Prove elettroniche: cosa cambia davvero con i D.Lgs. 215 e 216/2025

L’Italia completa l’attuazione dell’e‑evidence package europeo

Coi decreti legislativi n. 215 e 216 del 2025, pubblicati in Gazzetta Ufficiale il 15 gennaio 2026, l’Italia compie un passo decisivo nell’adeguamento al nuovo quadro europeo per l’acquisizione delle prove elettroniche nei procedimenti penali. I due provvedimenti danno attuazione, rispettivamente, al Regolamento (UE) 2023/1543 e alla Direttiva (UE) 2023/1544, completando l’infrastruttura normativa necessaria per l’operatività degli ordini europei di produzione (EPOC) e degli ordini europei di conservazione (EPOC‑PR).

Il D.Lgs. 215/2025: autorità competenti e procedure operative

Il decreto n. 215 non riscrive il contenuto degli ordini europei (già disciplinati dal Regolamento, direttamente applicabile) bensì individua le autorità italiane competenti e definisce le procedure nazionali per l’emissione, la trasmissione, la ricezione, l’esecuzione e il riesame degli ordini.

Emissione degli ordini

Ordine europeo di produzione (EPOC)
Può essere emesso dal pubblico ministero o dal giudice, secondo la natura dei dati richiesti:
- per i dati relativi all’abbonato e all’accesso (art. 3, punti 9 e 10 del Regolamento), provvede il PM;
- per i dati relativi al traffico e ai contenuti (art. 3, punti 11 e 12), è competente il giudice.
In casi di emergenza, gli ufficiali di PG possono emettere ordini limitati ai dati dell’abbonato, con obbligo di convalida entro 48 ore da parte del PM.
Ordine europeo di conservazione (EPOC‑PR)
Può essere emesso dal PM o dal giudice; in emergenza, anche dalla PG, sempre con convalida entro 48 ore.

Esecuzione degli ordini provenienti da altri Stati membri

Il decreto individua come autorità di esecuzione:

il procuratore della Repubblica del distretto in cui è stabilito lo stabilimento designato o risiede il rappresentante legale del prestatore di servizi;
il GIP dello stesso tribunale, quando l’ordine riguarda dati più sensibili (traffico o contenuti).

Il PM:

valuta l’esistenza di motivi di rifiuto previsti dal Regolamento;
riconosce l’ordine con decreto motivato;
dispone l’esecuzione o trasmette al GIP per l’autorizzazione, a seconda dei dati richiesti.

Riesame in caso di obblighi contrastanti

Il decreto disciplina la procedura prevista dall’art. 17 del Regolamento:

se l’ordine è stato emesso o convalidato dal giudice, decide il tribunale del riesame;
se l’ordine è stato emesso o convalidato dal PM, decide il GIP.

Il D.Lgs. 216/2025: stabilimenti designati, rappresentanti legali e sanzioni

Il decreto n. 216 attua la Direttiva 2023/1544, introducendo nel diritto italiano l’obbligo, per i prestatori di servizi che offrono servizi nell’Unione, di designare uno stabilimento designato o nominare un rappresentante legale incaricato di ricevere ed eseguire gli ordini europei.

Obblighi dei prestatori di servizi

A seconda della loro situazione giuridica:

i prestatori stabiliti in Italia devono designare uno stabilimento designato in Italia o in altro Stato membro in cui offrono servizi;
i prestatori non stabiliti nell’UE ma che offrono servizi in Italia devono nominare un rappresentante legale in Italia o in altro Stato membro;
i prestatori stabiliti in Stati membri che non partecipano all’e‑evidence package devono nominare un rappresentante legale in uno Stato membro partecipante.

Gli stabilimenti designati e i rappresentanti legali devono:

essere stabiliti o risiedere in uno Stato membro in cui il prestatore offre servizi;
disporre di poteri e risorse adeguate per ottemperare agli ordini;
cooperare con le autorità competenti.

Notifiche e pubblicità

I prestatori devono notificare all’autorità centrale italiana, individuata nel Ministero dell’Interno, i dati di contatto dello stabilimento designato o del rappresentante legale, indicando anche le lingue accettate per la comunicazione degli ordini.
Il Ministero dell’Interno trasmette tali informazioni al Ministero della Giustizia, che le pubblica sul portale della Rete giudiziaria europea e sul proprio sito istituzionale.

Sanzioni amministrative

Il decreto introduce un sistema sanzionatorio molto significativo, graduato in base alla gravità della violazione:

da 500.000 a 1.500.000 euro per l’omessa designazione o nomina (art. 4, commi 1‑3);
da 400.000 a 1.000.000 euro per l’omessa attribuzione di poteri e risorse (comma 4);
da 50.000 a 350.000 euro per violazioni relative a stabilimento/residenza e cooperazione (comma 5);
da 250.000 a 800.000 euro per l’omessa notifica (art. 6, comma 1);
da 15.000 a 50.000 euro per l’omessa indicazione delle lingue (comma 2);
da 150.000 a 500.000 euro per l’omessa indicazione dell’ambito territoriale e delle lingue (comma 3).

Le sanzioni sono irrogate dal Ministero dell’Interno, che ne incassa i proventi.

Cosa cambia in concreto: dalla “burocrazia delle carte” al clic diretto

Per capire davvero la portata di questa riforma, conviene fare un passo indietro e ricordare come funzionava il sistema fino a ieri. Quando un magistrato italiano aveva bisogno di ottenere un’email, una chat o i dati di accesso conservati sui server di una grande piattaforma digitale con sede in un altro Stato membro dell’Unione, per esempio una multinazionale americana stabilita in Irlanda, era costretto ad avviare una procedura di cooperazione giudiziaria internazionale. Si trattava di un percorso lungo, multilivello, che passava attraverso ministeri, autorità centrali e canali diplomatici. Anche nei casi più semplici, i tempi si misuravano in mesi; nei casi più complessi, si arrivava a superare l’anno. Nel frattempo, però, i dati potevano essere cancellati automaticamente dai sistemi del provider o diventare irrecuperabili, con un impatto diretto sulla possibilità di accertare un reato.

Con i decreti legislativi 215 e 216 del 2025, questo scenario cambia in modo radicale. La riforma introduce un modello di cooperazione “diretta” all’interno dell’Unione europea: le autorità giudiziarie competenti italiane possono emettere un ordine europeo di produzione o conservazione e trasmetterlo, tramite il relativo certificato digitale standardizzato (EPOC o EPOC‑PR), direttamente al rappresentante legale del fornitore di servizi stabilito nell’UE. Non è più necessario passare per la trafila diplomatica tradizionale tra Stati membri, perché il Regolamento europeo ha creato un canale uniforme, obbligatorio e immediatamente operativo.

Il cambiamento non è solo procedurale, ma anche temporale. Il fornitore di servizi è tenuto per legge a rispondere entro 10 giorni nei casi ordinari, mentre nelle situazioni di emergenza, pensiamo a minacce terroristiche, rischi per l’incolumità delle persone, reati in corso, il termine scende a 8 ore. Tempi che, fino a pochi anni fa, sarebbero sembrati fantascienza per la cooperazione giudiziaria internazionale.

In pratica, lo schermo di un computer non potrà più essere utilizzato come un muro dietro cui occultare prove digitali. La prova elettronica viene trattata con la stessa rapidità con cui viaggia sulla rete: un messaggio, una foto, un accesso a un account diventano elementi acquisibili in tempo utile per indagini su cyberbullismo, truffe online, stalking digitale, pedopornografia o terrorismo. È un salto di qualità che non elimina del tutto la complessità, in quanto restano regole, garanzie e controlli, tuttavia riduce drasticamente il rischio che un procedimento penale fallisca semplicemente perché la tecnologia corre più veloce della giustizia.

Un sistema finalmente operativo

Con i due decreti, l’Italia completa l’implementazione dell’e‑evidence package.
Il Regolamento europeo (che stabilisce moduli standardizzati, termini di risposta e obblighi di cooperazione) diventa ora pienamente applicabile grazie alla definizione delle autorità nazionali competenti e alla creazione di un interlocutore certo per gli ordini europei presso i prestatori di servizi.

Il risultato è un sistema più rapido, coordinato e prevedibile per l’acquisizione di prove digitali, in linea con le esigenze delle indagini contemporanee e con le garanzie previste dal diritto dell’Unione.