Una procura di Amburgo che indaga su una frode online può ora rivolgersi direttamente a una società italiana di hosting e ottenere i dati di un account, senza chiedere il permesso a un giudice italiano. Il meccanismo che rende possibile questo passaggio è il regolamento europeo sulle prove elettroniche, diventato pienamente applicabile in tutti gli Stati membri tre anni dopo la propria entrata in vigore. Per le imprese digitali cambia l’interlocutore, cambiano i tempi di risposta e cambia il livello di rischio sanzionatorio.
Come funzionano gli ordini europei di produzione e conservazione
Il sistema poggia su due atti che l’autorità giudiziaria emette e che il fornitore riceve senza intermediari, compilati su moduli standard identici in tutta l’Unione.
Il primo strumento è l’ordine europeo di produzione, che nella modulistica ufficiale circola con la sigla EPOC e obbliga il destinatario a consegnare informazioni già in suo possesso, dai dati anagrafici dell’abbonato agli indirizzi IP, fino ai dati di traffico e ai contenuti delle comunicazioni. Il secondo è l’ordine europeo di conservazione, indicato come EPOC-PR, che congela i dati per sessanta giorni in attesa di una richiesta successiva, così da evitare che una cancellazione automatica faccia sparire l’unica traccia utile all’indagine. I tempi di riscontro sono compressi: dieci giorni per un ordine ordinario e otto ore quando l’autorità emittente dichiara l’emergenza. Chi ignora l’ordine rischia sanzioni pecuniarie che il regolamento permette agli Stati di calibrare fino al 2% del fatturato mondiale annuo dell’esercizio precedente. La distanza rispetto al passato si misura in tempo, perché le richieste di dati tra Paesi viaggiavano sui canali dell’assistenza giudiziaria reciproca oppure sull’ordine europeo di indagine, con attese che arrivavano a diversi mesi, mentre secondo le stime della Commissione europea oltre l’85% delle indagini penali richiede l’accesso a prove elettroniche e in circa due terzi dei casi quei dati si trovano in una giurisdizione diversa. Restano fuori dal perimetro soltanto le autorità danesi, per effetto della clausola di esenzione che quel Paese mantiene sulle materie di giustizia e affari interni.
Il campo di applicazione merita una precisazione che pesa sulle scelte quotidiane di chi fa impresa. Gli ordini europei funzionano esclusivamente nei procedimenti penali e nell’esecuzione di pene detentive già pronunciate, quindi restano esclusi il contenzioso civile, le cause commerciali, le vertenze di lavoro e le liti sulla proprietà intellettuale. L’azienda che voglia risalire all’autore di una recensione diffamatoria o di una contraffazione online continua a muoversi con i provvedimenti d’urgenza del giudice civile e con il regolamento europeo sull’assunzione delle prove in materia civile e commerciale, oppure sceglie la querela, che apre l’unico canale in cui il nuovo sistema diventa attivabile.
Perché la sede europea a Dublino delle grandi piattaforme pesa meno
La geografia societaria del digitale europeo ha un baricentro preciso, perché le società che gestiscono i social network più diffusi, i principali servizi cloud, i motori di ricerca e le piattaforme di video sharing hanno collocato la propria sede europea in Irlanda, da Meta a Google, da Microsoft ad Apple, passando per la società cinese che controlla TikTok. Quella scelta fiscale e organizzativa aveva finora una conseguenza processuale precisa. Un magistrato italiano che avesse voluto i messaggi privati di un profilo, i log di accesso di una casella di posta o i file caricati su un archivio remoto doveva rassegnarsi a un percorso a tappe, tra rogatorie verso gli Stati Uniti per i contenuti coperti dalla legislazione statunitense sulle comunicazioni conservate, richieste volontarie inoltrate ai portali che le piattaforme mettono a disposizione delle forze dell’ordine e ordini europei di indagine indirizzati all’autorità irlandese. Dublino funzionava, di fatto, come porta d’ingresso per le domande provenienti da tutta l’Unione, con una concentrazione di carico su un singolo apparato nazionale che ricorda la dinamica già osservata sul fronte della protezione dei dati, dove il meccanismo dello sportello unico ha attribuito all’autorità irlandese il ruolo di capofila nelle istruttorie contro le maggiori piattaforme, attirando critiche ricorrenti sui tempi. Da oggi la procura di Milano compila il certificato, lo trasmette allo stabilimento designato della piattaforma e attende dieci giorni.
Il margine di manovra costruito negli anni si riduce parecchio, perché la risposta a una richiesta straniera restava in larga misura una decisione aziendale, filtrata da criteri interni che di norma consentivano la comunicazione dei dati identificativi dell’utenza e rinviavano alla rogatoria ogni domanda sui contenuti, mentre l’ordine europeo vincola il destinatario e ammette rifiuti soltanto nelle ipotesi elencate, dal certificato incompleto o manifestamente errato all’impossibilità materiale per cause estranee al prestatore, dalle immunità riconosciute nello Stato di esecuzione al contrasto con i diritti fondamentali. La direttiva aggiunge la responsabilità solidale tra il prestatore e il soggetto designato a riceverne gli atti, così da rendere poco praticabile lo scarico di responsabilità sulla sede estera, mentre per i dati di traffico e per i contenuti sopravvive in alcune ipotesi la notifica all’autorità dello Stato in cui si trova il destinatario. L’Irlanda è arrivata all’appuntamento con poco margine, avendo firmato soltanto il 15 luglio 2026 la legge che recepisce la direttiva e istituisce un ufficio dedicato alla cooperazione giudiziaria internazionale in materia penale, designato come autorità di esecuzione e titolare del potere di infliggere sanzioni fino al 2% del fatturato globale. Il ritardo, evidentemente, non riguarda solo Dublino, visto che a fine marzo 2026 la Commissione europea ha avviato procedure di infrazione contro ventidue Stati membri per mancata comunicazione del recepimento.
Quali obblighi scattano per i provider italiani e chi deve adeguarsi
Il perimetro copre quattro famiglie di servizi: le comunicazioni elettroniche, i servizi di registrazione di nomi a dominio e di indirizzi IP, i servizi che permettono agli utenti di archiviare dati come cloud e hosting, le piattaforme della società dell’informazione dove l’archiviazione è componente essenziale, dai social network ai marketplace fino alle applicazioni di messaggistica e al gaming online. La dimensione aziendale resta irrilevante, perché il regolamento non prevede soglie di esonero per le piccole imprese e una società italiana con dieci dipendenti che offra un servizio in abbonamento a clienti spagnoli o tedeschi rientra esattamente come una multinazionale. Il criterio è quello del collegamento sostanziale con l’Unione, che si valuta guardando alla presenza di utenti in uno o più Stati membri e ad attività di orientamento del mercato, dalla lingua dell’interfaccia alla valuta di pagamento, dalla disponibilità dell’app negli store nazionali alle campagne pubblicitarie mirate. Chi opera davvero soltanto in Italia può invocare l’esenzione dell’articolo 3, comma 2, del d.lgs. 216/2025, formula che gli operatori giudicano generica perché nessuna autorità valida in anticipo l’autovalutazione dell’azienda, con la conseguenza che il rischio ricade sul prestatore, chiamato a documentare l’assetto dei servizi offerti, l’orientamento del proprio mercato, la struttura dei contratti e le modalità di accesso ai portali.
Gli adempimenti concreti partono dalla designazione. Il prestatore stabilito nell’Unione indica uno o più stabilimenti designati in uno Stato membro vincolato dalla direttiva, mentre quello che opera dall’esterno nomina un rappresentante legale, e in entrambi i casi il soggetto individuato deve ricevere poteri e risorse sufficienti a dare seguito agli ordini, poiché la responsabilità è solidale con la casa madre. Segue la notifica, che passa dal modulo ospitato sulla banca dati giudiziaria della Commissione europea, accessibile con le credenziali EU Login, da scaricare, firmare digitalmente e caricare per l’inoltro all’autorità centrale nazionale, che in Italia è il Ministero dell’Interno e che verifica il contenuto accettandolo oppure respingendolo con provvedimento motivato. Nella stessa comunicazione vanno dichiarate le lingue in cui il destinatario accetta gli ordini, con l’obbligo di includere quelle ufficiali dello Stato in cui il destinatario si trova e la possibilità di aggiungerne altre, scelta che incide direttamente sui tempi di lavorazione interna. Le informazioni sul destinatario vanno inoltre rese pubblicamente disponibili, tipicamente in una pagina dedicata alle richieste dell’autorità giudiziaria. Dal lato dei processi serve una catena di ricezione attiva senza interruzioni, perché il termine di otto ore nei casi di emergenza rende poco compatibile un presidio limitato agli orari d’ufficio, e serve una procedura di verifica del certificato che consenta di intercettare campi mancanti, errori manifesti o profili di contrasto con i diritti fondamentali entro finestre temporali molto strette. Quando l’esecuzione risulta impossibile il prestatore deve informare l’autorità emittente usando l’apposito modulo previsto dal regolamento, motivando la circostanza e rispettando gli stessi termini, mentre nel frattempo è tenuto a conservare i dati richiesti in attesa della definizione della vicenda. Va gestita anche la riservatezza, dato che su richiesta dell’autorità emittente il destinatario si astiene dall’informare l’utente interessato, con evidenti riflessi sulle procedure interne di trasparenza. Sul piano tecnico il canale di scambio è il sistema informatico decentrato disciplinato da un regolamento di esecuzione del luglio 2025 e costruito su uno standard europeo aggiornato a maggio 2026, con un limite di venticinque megabyte per singolo invio che, per acquisizioni voluminose, obbligherebbe al ricorso a canali alternativi. Resta infine la tracciabilità, perché ogni passaggio di conservazione e trasmissione dovrà poter essere ricostruito se la prova viene contestata nel processo.
Sul versante delle garanzie, nelle audizioni parlamentari gli ordinari di diritto processuale penale Jacopo Della Torre e Michele Caianiello avevano segnalato profili di tensione costituzionale, in particolare sui poteri della polizia giudiziaria nell’acquisizione dei dati di traffico presso i provider e sul diritto dell’interessato a essere informato, che la norma italiana riconosce senza fissare un termine mentre il testo europeo parla di comunicazione senza indebito ritardo. Il 15 giugno 2026 sono arrivate le linee guida per la compilazione dei certificati, elaborate dalle agenzie europee di cooperazione giudiziaria e di polizia e prive di carattere vincolante. Chi offriva servizi nell’Unione al 18 febbraio 2026 doveva completare la notifica entro oggi, mentre per chi avvia l’attività dopo quella data il termine è di sei mesi.
