E-evidence: cosa cambia con i Dlgs 215 e 216 del 2025

Abstract: Con i decreti legislativi 215 e 216 del 2025, l’Italia recepisce il nuovo pacchetto europeo sull’e-evidence, cioè la disciplina che permette alle autorità giudiziarie di ottenere e usare prove digitali (dati elettronici) nei processi penali in modo più rapido e uniforme tra gli Stati UE. Il D.lgs. 215/2025 definisce le procedure italiane per emettere, trasmettere ed eseguire gli ordini europei di produzione e conservazione dei dati, indicando chi li può firmare e come vanno trattati. Il D.lgs. 216/2025 impone ai provider digitali che operano nell’Unione di avere un interlocutore chiaro (stabilimento designato o rappresentante legale) per ricevere questi ordini. In pratica si rende più efficiente l’accesso alle prove digitali transfrontaliere, con regole europee comuni e garanzie procedurali.

Con i decreti legislativi 30 dicembre 2025, n. 215 e n. 216, pubblicati in Gazzetta Ufficiale il 15 gennaio 2026, l’Italia completa l’implementazione del c.d. pacchetto europeo e-evidence, composto dal Regolamento (UE) 2023/1543 (ordini europei di produzione e conservazione di prove elettroniche) e dalla Direttiva (UE) 2023/1544 (stabilimenti designati e rappresentanti legali dei prestatori di servizi).

Si tratta di due decreti complementari che mirano a rendere più rapido e “tracciabile” l’accesso alle prove digitali nei procedimenti penali assicurando, da un lato, procedure nazionali chiare per emettere e gestire gli ordini europei e, dall’altro, un destinatario certo (e responsabilizzato) tra i provider.

In questa prospettiva, il D.lgs. 215/2025 è il decreto “procedurale”: individua le autorità competenti e disciplina l’emissione, convalida, trasmissione, ricezione, esecuzione e riesame degli ordini europei di produzione (EPOC) e conservazione (EPOC-PR). Il D.lgs. 216/2025 è invece il decreto “organizzativo”: attua la Direttiva imponendo ai prestatori di servizi che offrono servizi nell’Unione di individuare uno stabilimento designato o nominare un rappresentante legale, con poteri e risorse adeguati a ricevere ed eseguire gli ordini.

Cosa cambia per l’autorità giudiziaria (D.lgs. 215/2025)

Emissione dell’ordine europeo di produzione (EPOC)

Nella logica del decreto, la competenza varia in funzione della fase e del tipo di dato:

• durante le indagini, l’ordine può essere emesso dal pubblico ministero (nel caso riguardi dati relativi agli abbonati o dati richiesti al solo scopo di identificare l’utente) o dal GIP  (nel caso riguardi dati di traffico o dati relativi al contenuto delle comunicazioni);

• nei casi di emergenza, anche la polizia giudiziaria può emettere un ordine limitato, ma con un presidio forte: convalida entro 48 ore, altrimenti revoca, cancellazione e inutilizzabilità dei dati acquisiti.

Rilevante, sul piano delle garanzie, la previsione espressa di inutilizzabilità dei dati acquisiti con ordine emesso fuori dai casi o senza le condizioni richieste.

Emissione dell’ordine europeo di conservazione (EPOC-PR - Art. 263bis c.p.p.)

Per quanto riguarda l’ordine europeo di conservazione (EPOC-PR), nelle indagini preliminari il baricentro è il pubblico ministero. La misura, infatti, non comporta l’immediata acquisizione dei dati, ma ne impone la conservazione temporanea, così da impedirne la cancellazione o l’alterazione in vista di una successiva richiesta di produzione. Si tratta, in sostanza, di uno strumento a funzione cautelare, volto a “congelare” la prova digitale. Anche in questo ambito è previsto un meccanismo flessibile: nei casi di emergenza, l’ordine può essere adottato dalla polizia giudiziaria, ma resta subordinato alla convalida del pubblico ministero entro 48 ore, pena la perdita di efficacia.

Quando vi sono “particolari ragioni di urgenza”, il decreto introduce un modulo rapido basato sulla previa convalida, con tempistiche molto strette (invio all'autorità competente entro 24 ore e decisione entro le successive 48).

Fase “passiva”: esecuzione di ordini esteri

Quando l’Italia è chiamata a eseguire un ordine europeo emesso da un altro Stato membro, la competenza è radicata nel distretto in cui è stabilito lo stabilimento designato o risiede il rappresentante legale del provider destinatario.

In particolare:

• il Procuratore della Repubblica presso il tribunale del capoluogo di distretto riceve la notifica ed è competente a riconoscere ed eseguire gli ordini che riguardano dati relativi agli abbonati o ordini di conservazione;

• se invece l’ordine riguarda dati di traffico o dati di contenuto, dopo il riconoscimento la richiesta è trasmessa al giudice per le indagini preliminari (GIP) dello stesso tribunale, che autorizza l’esecuzione.

Cosa cambia per i provider (D.lgs. 216/2025)

Chi rientra nel perimetro

Rientrano i prestatori di servizi che forniscono, tra l’altro:

• servizi di comunicazione elettronica,

• servizi di nomi di dominio e numerazione IP,

• servizi della società dell’informazione che consentono comunicazione tra utenti o conservazione/trattamento dati per conto degli utenti.

Non si applica, invece, ai prestatori stabiliti in Italia che offrono servizi esclusivamente sul territorio nazionale.

Obbligo “sostanziale”, non formale

Il prestatore deve assicurare che lo stabilimento designato o il rappresentante legale abbia poteri e risorse idonei a ricevere e dare esecuzione agli ordini e a gestire le procedure. È prevista anche una responsabilità solidale tra prestatore e stabilimento/rappresentante, proprio per evitare che l’inefficienza interna diventi un alibi.

Notifiche, lingue e “pubblicità” dell’interlocutore

Il provider deve notificare per iscritto all’autorità centrale i dati di contatto e le lingue accettate, e aggiornare le variazioni. In Italia l’autorità centrale è il Ministero dell’Interno. Le informazioni vengono poi trasmesse al Ministero della giustizia per la pubblicazione (Rete giudiziaria europea e sezione dedicata).

Sanzioni

Il sistema è sostenuto da sanzioni amministrative pecuniarie importanti, fino a 1,5 milioni di euro per le violazioni più gravi sugli obblighi di designazione/nomina.

Le scadenze

Il decreto individua nel 18 febbraio 2026 la data di riferimento per distinguere i prestatori già operativi nell’Unione da quelli che inizieranno ad offrire servizi successivamente.

Per i soggetti che alla data del 18 febbraio 2026 già offrono servizi nell’Unione, l’obbligo di designare uno stabilimento designato o nominare un rappresentante legale deve essere adempiuto entro il 18 agosto 2026.

Per i prestatori che iniziano ad operare nell’Unione dopo tale data, il termine è invece di sei mesi dall’inizio dell’offerta dei servizi.

Una volta effettuata la designazione o la nomina (o in caso di successive modifiche), i relativi dati di contatto e le lingue accettate devono essere notificati all’autorità centrale entro 30 giorni.

Un cambio di paradigma (e un lavoro organizzativo da fare subito)

Pur senza risolvere tutte le questioni relative all'e-evidence, i D.lgs. 215 e 216/2025 portano l’Italia dentro un modello europeo in cui la prova digitale si acquisisce con strumenti standardizzati e con un interlocutore certo tra i prestatori di servizi. Per i provider, però, la sfida è soprattutto organizzativa: non basta una nomina, serve un presidio operativo (poteri, risorse, processi e tempi di risposta).