Prove elettroniche: obblighi dei provider dal 4 novembre

Dal 4 novembre 2026 la violazione degli obblighi del regolamento (UE) 2023/1543 sulle prove elettroniche comporta sanzioni pecuniarie da 10.000 euro. Il limite sale fino al 2% del fatturato mondiale del prestatore di servizi se ricorrono le condizioni dell’articolo 3, comma 3.

Lo prevede il decreto legislativo 8 ottobre 2026, n. 188, pubblicato nella Gazzetta Ufficiale, Serie generale, n. 244 del 20 ottobre 2026. Il testo ha sei articoli e integra il decreto legislativo 30 dicembre 2025, n. 215, pubblicato nella Gazzetta Ufficiale n. 11 del 15 gennaio 2026, che aveva già individuato autorità competenti e procedure. Per il quadro dei d.lgs. 215 e 216 del 2025 la rivista ha pubblicato un approfondimento.

Il quadro normativo e l’iter del decreto

Il regolamento (UE) 2023/1543 disciplina gli ordini europei di produzione e di conservazione di prove elettroniche nei procedimenti penali. Si applica dal 18 agosto 2026, secondo l’articolo 34, paragrafo 2. L’obbligo di usare il sistema informatico decentrato per le comunicazioni scritte si applica invece da un anno dopo l’adozione degli atti di esecuzione previsti dall’articolo 25. Sul pacchetto E-evidence il sito ha già ricostruito l’architettura delle autorità italiane.

L’articolo 15 del regolamento impone agli Stati membri di fissare sanzioni pecuniarie effettive, proporzionate e dissuasive per le violazioni degli articoli 10 e 11 e dell’articolo 13, paragrafo 4. Gli Stati devono inoltre garantire che le sanzioni possano arrivare fino al 2 per cento del fatturato mondiale totale annuo del prestatore nell’esercizio precedente.

Il decreto 188/2026 attua la delega dell’articolo 19 della legge 13 giugno 2025, n. 91. Il Consiglio dei ministri ha approvato il testo in via preliminare il 22 dicembre 2025 e in via definitiva il 2 ottobre 2026. Il Garante per la protezione dei dati personali ha espresso il parere il 28 maggio 2026, e hanno espresso parere anche le Commissioni competenti di Camera e Senato. Il decreto reca la data dell’8 ottobre 2026 ed è firmato dal Presidente della Repubblica Mattarella e dal Presidente del Consiglio Meloni. La proposta è dei ministri Foti e Nordio, di concerto con i ministri dell’interno, degli esteri, della difesa e dell’economia.

Chi riceve gli ordini: il decreto legislativo 216/2025

Il decreto legislativo 30 dicembre 2025, n. 216, attua la direttiva (UE) 2023/1544 e stabilisce chi riceve gli ordini. I prestatori di servizi che offrono servizi nell’Unione designano stabilimenti designati o nominano rappresentanti legali (articolo 3, comma 2). La regola non si applica ai prestatori stabiliti in Italia che offrono servizi esclusivamente sul territorio nazionale.

Il decreto definisce il prestatore di servizi attraverso tre categorie. Sono i servizi di comunicazione elettronica e quelli di nomi di dominio e di numerazione IP. Rientrano poi gli altri servizi della società dell’informazione che consentono agli utenti di comunicare, o di conservare e trattare dati per loro conto. Restano esclusi i servizi finanziari di cui all’articolo 2, paragrafo 2, lettera b), della direttiva 2006/123/CE (articolo 2).

Designazione, notifica e responsabilità

L’articolo 4 pone gli obblighi seguenti:

I prestatori con personalità giuridica stabiliti in Italia designano uno o più stabilimenti in Italia, se vi offrono servizi. Possono designarli in un altro Stato membro in cui offrono servizi e che partecipa agli strumenti indicati.
I prestatori non stabiliti nell’Unione che offrono servizi in Italia, e quelli stabiliti in Stati membri che non partecipano a tali strumenti, nominano uno o più rappresentanti legali. Li nominano in Italia o in un altro Stato membro in cui offrono servizi e che partecipa agli strumenti.
Gli stabilimenti designati e i rappresentanti legali ricevono i poteri e le risorse necessari per ottemperare agli ordini e per le procedure di esecuzione, e cooperano con le autorità competenti.
Designazione e nomina avvengono entro il 18 agosto 2026, se al 18 febbraio 2026 il prestatore offriva servizi nell’Unione. Altrimenti il prestatore ha sei mesi dalla data in cui inizia a offrirli.

L’articolo 6 impone di notificare per iscritto all’autorità centrale i dati di contatto dello stabilimento o del rappresentante e le lingue in cui è possibile rivolgersi a loro. Se lo stabilimento è in Italia, tra le lingue figura in ogni caso l’italiano. La notifica avviene senza ritardo e comunque entro trenta giorni dalla designazione, dalla nomina o dalla modifica.

L’articolo 5 stabilisce la responsabilità solidale di prestatori, stabilimenti designati e rappresentanti legali per la violazione degli obblighi, salvo che il fatto costituisca reato. Non possono addurre a giustificazione la mancanza o l’inadeguatezza delle procedure interne.

L’autorità centrale e le sanzioni del decreto 216

L’autorità centrale è il Ministero dell’interno (articolo 8). L’organo centrale per la sicurezza e la regolarità dei servizi di telecomunicazione, previsto dall’articolo 7-bis del decreto-legge 144/2005, riceve le notifiche e vigila sul rispetto degli obblighi. Accerta e contesta le violazioni e applica le sanzioni.

Le sanzioni dell’articolo 7 sono distinte da quelle del decreto 188: puniscono la violazione degli obblighi di designazione e notifica, non quelle del regolamento. Le applica l’autorità centrale ai sensi della legge 689/1981, salvo che il fatto costituisca reato:

da 500.000 a 1.500.000 euro per la violazione dell’articolo 4, commi 1, 2 e 3;
da 400.000 a 1.000.000 di euro per l’articolo 4, comma 4;
da 50.000 a 350.000 euro per l’articolo 4, comma 5;
da 250.000 a 800.000 euro per l’articolo 6, comma 1;
da 15.000 a 50.000 euro per l’articolo 6, comma 2;
da 150.000 a 500.000 euro per l’articolo 6, comma 3.

I criteri per determinare la sanzione sono gli stessi otto elencati dal decreto 188, compreso il grado di colpa valutato alla luce delle misure tecniche e organizzative adottate.

I termini che il regolamento impone ai destinatari

Il decreto non modifica i termini del regolamento sulle prove elettroniche, che restano quelli europei. Gli ordini europei di produzione sono rivolti allo stabilimento designato o al rappresentante legale di un prestatore di servizi che offre servizi nell’Unione. Questi devono trovarsi in uno Stato membro diverso da quello dell’autorità di emissione (articolo 3, punto 1).

Ordine europeo di produzione (EPOC)

L’articolo 10 del regolamento stabilisce queste scadenze:

Alla ricezione dell’EPOC il destinatario agisce tempestivamente per conservare i dati.
Il destinatario trasmette i dati all’autorità di emissione o alle autorità di contrasto entro dieci giorni dalla ricezione.
Se è prevista la notifica all’autorità di esecuzione, i dati si trasmettono alla scadenza dei dieci giorni. Se l’autorità di esecuzione conferma prima di non far valere motivi di rifiuto, il destinatario agisce subito dopo la conferma e al più tardi alla scadenza.
Nei casi di emergenza il destinatario trasmette i dati senza indebito ritardo e al più tardi entro otto ore dalla ricezione.
Se l’EPOC è incompleto, contiene errori manifesti o informazioni insufficienti, il destinatario lo comunica senza indebito ritardo e chiede chiarimenti con il modulo dell’allegato III. L’autorità di emissione reagisce al più tardi entro cinque giorni dalla ricezione del modulo. Finché non arrivano i chiarimenti, gli obblighi di conservazione e trasmissione non si applicano.
In caso di impossibilità materiale per circostanze non imputabili, il destinatario informa senza indebito ritardo l’autorità di emissione e spiega i motivi.
Se non fornisce i dati, o li fornisce in modo non esaustivo, per altri motivi, il destinatario li comunica entro gli stessi termini.

L’articolo 3, punto 18, definisce il caso di emergenza: una situazione in cui sussiste una minaccia imminente per la vita, l’integrità fisica o la sicurezza di una persona, o per un’infrastruttura critica.

Ordine europeo di conservazione (EPOC-PR)

Per l’ordine di conservazione l’articolo 11 prevede quanto segue:

Il destinatario conserva i dati richiesti senza indebito ritardo.
L’obbligo cessa dopo sessanta giorni, a meno che l’autorità di emissione confermi l’emissione di una successiva richiesta di produzione. Durante i sessanta giorni l’autorità può prorogare la conservazione di altri trenta giorni.
Se la richiesta di produzione è confermata, il destinatario conserva i dati per il tempo necessario alla produzione.
Se l’EPOC-PR è incompleto o contiene errori, il destinatario chiede chiarimenti. L’autorità di emissione reagisce entro cinque giorni; in mancanza di reazione il prestatore è esonerato dagli obblighi di conservazione.

Riservatezza e integrità dei dati

L’articolo 13, paragrafo 4, impone ai destinatari e ai prestatori di servizi di adottare misure operative e tecniche all’avanguardia. Le misure devono garantire la riservatezza, la segretezza e l’integrità dell’EPOC o dell’EPOC-PR e dei dati prodotti o conservati. La violazione di questo dovere è sanzionata dal decreto con importi da 500.000 a 1.000.000 di euro.

Le sanzioni dell’articolo 3 del decreto

Le sei fasce

L’articolo 3, comma 1, prevede sanzioni amministrative pecuniarie per la violazione delle disposizioni del regolamento sulle prove elettroniche:

Obblighi di trasmissione (articolo 10, paragrafi 2, 3 e 4): da 25.000 a 100.000 euro.
Obblighi di informazione e comunicazione sulla produzione (articolo 10, paragrafi 5, 6, 7 e 8): da 10.000 a 50.000 euro.
Obblighi di conservazione (articolo 11, paragrafi 1 e 2): da 100.000 a 1.000.000 di euro.
Obblighi di informazione e comunicazione sulla conservazione (articolo 11, paragrafi 4, 5, 6 e 7): da 10.000 a 50.000 euro.
Doveri dell’articolo 13, paragrafo 4: da 500.000 a 1.000.000 di euro.
Inottemperanza dell’articolo 16, paragrafo 10, cioè a un ordine riconosciuto e dichiarato esecutivo dall’autorità di esecuzione: da 600.000 a 1.200.000 euro.

Il tetto del 2 per cento del fatturato mondiale

L’articolo 3, comma 3, prevede una sanzione fino al 2 per cento del fatturato realizzato a livello mondiale dal prestatore di servizi. Si applica quando concorrono due o più delle circostanze del comma 2, oppure il fatto è di particolare gravità. Serve inoltre che la condotta abbia impedito definitivamente l’acquisizione dei dati dell’ordine di produzione, o abbia comportato la perdita definitiva dei dati dell’ordine di conservazione.

Il fatturato di riferimento è quello dell’ultimo esercizio chiuso prima dell’accertamento della violazione. Il tetto del 2 per cento vale quando supera l’importo massimo previsto per la specifica violazione.

I criteri per determinare la sanzione

L’articolo 3, comma 2, elenca le circostanze di cui si tiene conto:

natura, gravità e durata della violazione;
carattere doloso o colposo;
precedenti violazioni dell’autore;
condizioni patrimoniali, economiche e finanziarie;
cooperazione con le autorità competenti;
attività svolta per eliminare o attenuare le conseguenze;
natura e dimensioni del prestatore di servizi o dello stabilimento designato;
grado di colpa, tenuto conto delle misure tecniche e organizzative adottate per conformarsi al decreto.

Chi applica le sanzioni e con quale procedimento

Il giudice per le indagini preliminari

Le sanzioni non sono applicate da un’autorità amministrativa. Le applica il giudice per le indagini preliminari presso il tribunale del capoluogo di distretto. È il distretto in cui sono stabiliti o risiedono lo stabilimento designato o il rappresentante legale destinatari dell’ordine (articolo 6, comma 1, del decreto legislativo 215/2025). Il giudice procede d’ufficio oppure su richiesta del procuratore della Repubblica presso lo stesso tribunale, quando questi è autorità di esecuzione. Le autorità di esecuzione possono avvalersi degli ufficiali e degli agenti di polizia giudiziaria indicati dall’articolo 13, quarto comma, della legge 24 novembre 1981, n. 689.

Contestazione e ordinanza

Il giudice notifica agli interessati una specifica contestazione del fatto. Entro trenta giorni dalla notificazione gli interessati possono far pervenire scritti difensivi e documenti. La notifica è disposta entro novanta giorni dalla scadenza del termine fissato dall’autorità di esecuzione ai sensi dell’articolo 16, paragrafo 3, del regolamento, oppure dalla data in cui è pervenuta notizia della violazione.

Il giudice esamina documenti e scritti difensivi. Se ritiene fondato l’accertamento, determina con ordinanza motivata la somma dovuta e ne ingiunge il pagamento, con le spese, all’autore e ai coobbligati solidali. Altrimenti emette ordinanza motivata di archiviazione. La decisione è comunicata all’autorità di emissione e, per le finalità dell’articolo 6, paragrafo 1, della direttiva (UE) 2023/1544, all’autorità centrale dell’articolo 8 del decreto legislativo 216/2025.

Pagamento

Il pagamento avviene entro trenta giorni dalla notifica dell’ordinanza, con versamento su un conto intestato al fondo dell’articolo 61, comma 23, del decreto-legge 25 giugno 2008, n. 112. Se il termine scade senza pagamento, si procede alla riscossione con le norme sul recupero delle spese processuali.

L’opposizione davanti al tribunale

Contro il provvedimento che applica la sanzione è ammessa opposizione davanti al tribunale del capoluogo del distretto in cui sono stabiliti o risiedono lo stabilimento designato o il rappresentante legale, destinatari dell’ordine. Il rappresentante è quello nominato ai sensi della direttiva (UE) 2023/1544.

L’opposizione si propone a pena di inammissibilità entro trenta giorni dalla notificazione. Il tribunale decide con sentenza, in composizione monocratica, senza intervento delle parti, con avviso almeno dieci giorni prima della data fissata. Le parti possono presentare memorie fino al quinto giorno precedente l’udienza. Contro la sentenza è ammesso solo ricorso per cassazione, e soltanto per violazione di legge. Per quanto non previsto si applica, in quanto compatibile, la legge 689/1981.

Informazione all’interessato e mezzi di ricorso

L’articolo 13 del regolamento prevede che l’autorità di emissione informi senza indebito ritardo la persona i cui dati sono richiesti. L’articolo 2 del decreto stabilisce che l’informazione avvenga in conformità all’articolo 14 del decreto legislativo 18 maggio 2018, n. 51, fermo l’articolo 2, comma 6, del decreto legislativo 215/2025. L’informazione contiene l’avviso della facoltà di ricorso prevista dall’articolo 4 del decreto.

L’articolo 4 consente alla persona i cui dati sono stati acquisiti con un ordine europeo di produzione di proporre ricorso contro l’ordine, anche per contestarne legittimità, necessità e proporzionalità. Le regole cambiano secondo l’autorità che ha emesso o convalidato l’ordine:

Ordine emesso o convalidato dal giudice: il ricorso si presenta ai sensi dell’articolo 324 del codice di procedura penale, con l’articolo 325 in quanto compatibile.
Ordine emesso o convalidato dal pubblico ministero: il ricorso si propone davanti al giudice per le indagini preliminari entro dieci giorni da quando l’interessato ha avuto conoscenza dell’acquisizione. Il giudice decide a norma dell’articolo 127 del codice di procedura penale.
In entrambi i casi il ricorso per cassazione è ammesso solo per violazione di legge.

La manleva per l’ottemperanza in buona fede

L’articolo 15, paragrafo 2, del regolamento stabilisce che i prestatori di servizi non sono ritenuti responsabili negli Stati membri per il pregiudizio causato agli utenti o a terzi. Vale quando il pregiudizio deriva esclusivamente dall’ottemperanza in buona fede a un EPOC o a un EPOC-PR, fatti salvi gli obblighi in materia di protezione dei dati.

Le risorse stanziate per il sistema informatico

L’articolo 5 del decreto autorizza una spesa di 1.865.412 euro per il 2026 e di 45.840 euro annui a decorrere dal 2027. Servono all’adattamento del sistema informatico nazionale e alla creazione dei punti di accesso al sistema informatico decentrato, previsti dal capo V del regolamento.

La copertura è così ripartita. Per il 2026 sono 1.819.572 euro, con riduzione del fondo per il recepimento della normativa europea (articolo 41-bis della legge 234/2012). I 45.840 euro annui derivano dalla riduzione dell’autorizzazione dell’articolo 19, comma 4, della legge 91/2025. Il comma 1 indica i 45.840 euro annui a decorrere dal 2027, mentre la lettera b) della copertura li indica a decorrere dal 2026. La somma dei due importi del 2026 coincide con lo stanziamento complessivo.

La legge 91/2025 autorizzava 2.145.412 euro per il 2025 e 225.840 euro annui dal 2026. L’articolo 6 del decreto dispone che, salvo l’articolo 5, le amministrazioni provvedono con le risorse disponibili, senza nuovi o maggiori oneri per la finanza pubblica.

Il rapporto Europol sulla prova digitale

Nel 2026 l’Ufficio delle pubblicazioni dell’Unione europea ha edito il rapporto Digital Forensics: gap analysis, coordinato dalla Commissione europea in cooperazione con Europol. Il documento descrive carenze di risorse e di capacità negli Stati membri e un mercato di strumenti dominato da prodotti commerciali, spesso costosi e poco interoperabili. Segnala inoltre processi di catena di custodia ancora in larga parte manuali e una standardizzazione incompleta, in particolare per la catena di custodia e l’acquisizione delle prove in ambienti cloud e IoT.

Sul lavoro forense assistito dall’intelligenza artificiale il rapporto chiede trasparenza, tracciabilità e documentazione. Indica la registrazione strutturata di ogni azione svolta dall’IA, analisi ripetibili e, dove necessario, verificate manualmente. Esclude l’uso dell’IA come scatola nera e richiama il rispetto dell’AI Act, del GDPR, delle norme ISO/IEC e del NIST AI RMF.

Fonti

Condividi sui Social Network:

Domande frequenti

Da quando si applicano le sanzioni del decreto 188/2026?

Il decreto entra in vigore il 4 novembre 2026. Il regolamento (UE) 2023/1543, di cui sanziona le violazioni, si applica dal 18 agosto 2026.

Quanto tempo ha un provider per rispondere a un ordine europeo di produzione?

Ha dieci giorni dalla ricezione dell’EPOC e otto ore nei casi di emergenza. Se è prevista la notifica all’autorità di esecuzione, i dati si trasmettono alla scadenza dei dieci giorni, salvo conferma anticipata.

Quando la sanzione può arrivare al 2% del fatturato mondiale?

Quando concorrono due o più circostanze o il fatto è di particolare gravità, e la condotta impedisce l’acquisizione o causa la perdita definitiva dei dati. Il tetto vale se supera il massimo della violazione.

Chi applica le sanzioni previste dal decreto 188/2026?

Le applica il giudice per le indagini preliminari, d’ufficio o su richiesta del procuratore della Repubblica quando è autorità di esecuzione. L’opposizione va proposta al tribunale entro trenta giorni.

I provider rispondono dei danni causati dal rispetto di un ordine europeo?

No, se il pregiudizio deriva esclusivamente dall’ottemperanza in buona fede a un EPOC o a un EPOC-PR, fatti salvi gli obblighi in materia di protezione dei dati (articolo 15, paragrafo 2 del regolamento).

Prove elettroniche, gli obblighi dei provider italiani dal 4 novembre 2026

Il quadro normativo e l’iter del decreto