Dal 4 novembre 2026 entra in vigore il D.lgs. 188/2026, che completa l’adeguamento italiano al sistema europeo e-evidence: nuove regole sull’informazione dell’interessato, sanzioni per i provider e strumenti per contestare gli ordini di produzione delle prove digitali.
Un messaggio, un account o un file si trova sui server di un provider in un altro Stato europeo. Come può acquisirlo l’autorità giudiziaria italiana?
È questo il problema che affronta il sistema europeo e-evidence, costruito per rendere più rapida l’acquisizione transfrontaliera delle prove elettroniche.
Dal 4 novembre 2026 entra in vigore il D.lgs. 8 ottobre 2026, n. 188, che completa l’adeguamento italiano al regolamento (UE) 2023/1543.
Attenzione però: il sistema non parte il 4 novembre. Il regolamento europeo è applicabile dal 18 agosto 2026 e il D.lgs. 215/2025 ha già individuato autorità competenti e procedure per emettere, ricevere ed eseguire gli ordini.
Il nuovo decreto completa il quadro su quattro fronti: informazione dell’interessato, sanzioni, mezzi di ricorso e infrastruttura informatica.
Il sistema si affianca inoltre alla disciplina sugli stabilimenti designati e sui rappresentanti legali dei provider introdotta dal D.lgs. 216/2025.
Come funziona l’e-evidence
Gli strumenti principali sono due.
Con l’ordine europeo di produzione, trasmesso attraverso il certificato EPOC, l’autorità competente chiede al provider di consegnare dati già nella sua disponibilità.
Con l’ordine europeo di conservazione, trasmesso attraverso l’EPOC-PR, gli chiede invece di preservare determinati dati in attesa della successiva acquisizione.
Possono essere interessati dati relativi agli abbonati e all’identificazione dell’utente, dati di traffico e dati di contenuto, come email, messaggi e file archiviati.
Il meccanismo consente quindi, nei casi previsti dal regolamento, di rivolgersi direttamente al prestatore di servizi o al suo rappresentante nell’Unione, accelerando la tradizionale cooperazione giudiziaria tra Stati.
Informazione all’interessato: ma non sempre subito
Chi viene informato quando i dati sono acquisiti?
Il nuovo decreto disciplina l’informazione della persona i cui dati sono stati richiesti e stabilisce che debba essere avvertita anche della possibilità di impugnare l’ordine di produzione.
La disposizione si affianca all’obbligo, già previsto dal D.lgs. 215/2025, di informare parti e difensori dei dati e della documentazione acquisiti.
L’informazione dell’interessato, tuttavia, non è necessariamente immediata. Può essere ritardata, limitata o omessa quando ciò sia necessario e proporzionato, ad esempio per non compromettere indagini o procedimenti.
Un punto importante perché dalla conoscenza dell’acquisizione può iniziare a decorrere il termine per reagire.
Sanzioni per i provider: fino al 2% del fatturato mondiale
Il decreto introduce sanzioni amministrative per i prestatori che non rispettano gli obblighi imposti dal regolamento.
Le principali sono:
da 25.000 a 100.000 euro per le violazioni degli obblighi di trasmissione;
da 10.000 a 50.000 euro per alcune violazioni degli obblighi di informazione e comunicazione;
da 100.000 a 1 milione di euro per le violazioni degli obblighi di conservazione;
da 500.000 a 1 milione di euro per la violazione degli obblighi diretti a garantire riservatezza, segretezza e integrità degli ordini e dei dati;
da 600.000 a 1,2 milioni di euro per l’inottemperanza a un ordine la cui esecutività sia stata confermata dall’autorità competente.
Nei casi di particolare gravità, quando la condotta impedisce definitivamente l’acquisizione dei dati o ne determina la perdita definitiva, la sanzione può arrivare fino al 2% del fatturato mondiale annuo del prestatore, se superiore al massimo previsto per la specifica violazione.
Le sanzioni sono applicate dal giudice per le indagini preliminari, d’ufficio o su richiesta del pubblico ministero nei casi previsti.
Il destinatario può presentare scritti difensivi e documenti entro trenta giorni dalla contestazione e opporsi all’ordinanza davanti al tribunale competente.
Come si contesta un ordine europeo di produzione
Per la difesa è probabilmente questa la novità più importante.
La persona i cui dati sono stati acquisiti può contestare l’ordine europeo di produzione sotto tre profili: legittimità, necessità e proporzionalità.
Se l’ordine è stato emesso o convalidato dal giudice, il ricorso segue il procedimento di riesame previsto dall’articolo 324 c.p.p.
Se invece è stato emesso o convalidato dal pubblico ministero, il ricorso deve essere proposto al GIP entro dieci giorni dalla conoscenza dell’avvenuta acquisizione. Il giudice decide con il procedimento in camera di consiglio previsto dall’articolo 127 c.p.p.
Contro la decisione è ammesso ricorso per Cassazione soltanto per violazione di legge.
Il rimedio riguarda quindi l’ordine di produzione, cioè l’atto con cui i dati vengono effettivamente acquisiti.
Cosa deve controllare subito la difesa
Quando nel fascicolo compare una prova digitale acquisita tramite e-evidence, non basta chiedersi che cosa dimostri.
La prima domanda è: come è entrata nel processo?
Occorre ricostruire l’ordine, individuare l’autorità che lo ha emesso o convalidato, verificare la categoria dei dati acquisiti e controllare legittimità, necessità e proporzionalità della richiesta.
Ma il controllo non finisce qui.
Una volta acquisito il dato occorre verificarne anche autenticità, integrità, completezza e riferibilità all’account o al soggetto interessato. Un dato ottenuto legittimamente non diventa per questo automaticamente una prova incontestabile.
E poi c’è il fattore tempo.
Quando l’ordine proviene dal pubblico ministero, il termine di dieci giorni decorre dalla conoscenza dell’avvenuta acquisizione.
La domanda pratica diventa quindi: quando possiamo dimostrare che l’interessato ne ha avuto conoscenza?
Una verifica tardiva può significare perdere il rimedio.
Più velocità, più controlli
L’e-evidence rende più semplice acquisire una prova digitale conservata oltre confine.
Il D.lgs. 188/2026 completa il sistema italiano introducendo sanzioni significative per chi non collabora e, allo stesso tempo, strumenti di tutela per chi subisce l’acquisizione dei propri dati.
Per l’avvocato cambia soprattutto il metodo di controllo.
Davanti a una prova digitale non basta più chiedersi cosa dice.
Bisogna verificare come è stata ottenuta e se il dato acquisito è davvero quello che sembra.
Documenti correlati:
- DECRETO LEGISLATIVO 8 ottobre 2026, n. 188
Completo adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2023/1543 del Parlamento europeo e del Consiglio, del 12 luglio 2023, relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l'esecuzione di pene detentive a seguito di procedimenti penali (GU n.244 del 20-10-2026) Prove digitali nel processo penale: recepita la direttiva e-evidence — D.lgs. 30 dicembre 2025, n. 216
Sequestro dello smartphone: quando è illegittimo? — Cass. pen., sez. VI, 8 luglio 2026, n. 33309
Messaggi WhatsApp e screenshot sono utilizzabili come prova nel processo penale? — Cass. pen., sez. V, 18 settembre 2025, n. 6024/2026