Sanzioni e-evidence e d.lgs. 188/2026: cosa può dimostrare a sua difesa un prestatore di servizi

Quanto costa una violazione: importi per obbligo e tetto del 2%

Le sanzioni sulle prove elettroniche cambiano con l’obbligo violato, e il 2% del fatturato mondiale richiede le condizioni del comma 3.

Gli importi dell’art. 3, comma 1

Distinte sono le sanzioni dell’art. 7 del d.lgs. 216/2025: da 15.000 a 1.500.000 euro per altri obblighi (artt. 4 e 6 di quel decreto), applicate da altra autorità (art. 8). Sul perimetro dei destinatari si rimanda al proprio legale e alla pagina su designazione dello stabilimento e rappresentante legale.

Per l’art. 5 del d.lgs. 216/2025, salvo che il fatto costituisca reato, prestatori e stabilimenti designati o rappresentanti legali «sono responsabili in solido della violazione degli obblighi loro imposti dalle disposizioni applicabili alla ricezione, ottemperanza ed esecuzione delle decisioni e degli ordini» e «non possono addurre a propria giustificazione la mancanza o l’inadeguatezza delle procedure interne». Se e come questa norma rilevi per le sanzioni del d.lgs. 188/2026 va valutato con il proprio legale.

Quando si arriva al 2% del fatturato mondiale

Il comma 3 dell’art. 3 del d.lgs. 188/2026 recita: «Se concorrono due o più delle circostanze di cui al comma 2 o il fatto è di particolare gravità, quando la condotta tenuta ha impedito definitivamente l’acquisizione dei dati oggetto dell’ordine di produzione o ha comportato la perdita definitiva dei dati oggetto dell’ordine di conservazione è applicata una sanzione pecuniaria fino al 2 per cento del fatturato realizzato a livello mondiale dal prestatore di servizi nell’ultimo esercizio chiuso anteriormente all’accertamento della violazione, laddove esso sia superiore all’importo massimo della sanzione previsto per la specifica violazione.»

Si ipotizzi un prestatore la cui condotta comporta la perdita definitiva dei dati di un ordine europeo di conservazione (EPOC-PR): la sanzione fino al 2% del fatturato mondiale richiede anche che concorrano due o più circostanze del comma 2, o che il fatto sia di particolare gravità, e si applica laddove superi l’importo massimo previsto per la specifica violazione.

Chi applica le sanzioni e-evidence: il procedimento davanti al GIP

Le sanzioni e-evidence le applica il giudice per le indagini preliminari, e per difendersi restano trenta giorni dalla notificazione della contestazione (d.lgs. 188/2026, art. 3). TrueScreen attesta l’integrità di un estratto solo dal momento in cui lo certifica: conviene quindi certificare mentre l’ordine è aperto, non dopo la contestazione.

Dalla contestazione all’ordinanza: novanta giorni e trenta per difendersi

Il giudice procede d’ufficio oppure su richiesta del procuratore della Repubblica, quando questi è autorità di esecuzione (comma 4). Il comma 5 prevede:

1. Novanta giorni per disporre la notifica della contestazione, dalla scadenza del termine fissato dall’autorità di esecuzione o dalla notizia della violazione.
2. Trenta giorni dalla notificazione per scritti difensivi e documenti.
3. Ordinanza motivata: se ritiene fondato l’accertamento, il giudice determina la somma e ne ingiunge il pagamento con le spese; altrimenti archivia.

Dopo l’ordinanza: pagamento e opposizione

Il pagamento va eseguito entro trenta giorni dalla notifica dell’ordinanza, dopodiché «si procede alla riscossione» (comma 6). L’opposizione va proposta, «a pena di inammissibilità, entro trenta giorni dalla notificazione del provvedimento», al tribunale del capoluogo del distretto in cui lo stabilimento designato o il rappresentante legale sono stabiliti o risiedono (comma 7). Contro la sentenza «è ammesso esclusivamente ricorso per cassazione e unicamente per violazione di legge».

Le circostanze su cui si gioca la sanzione e cosa conviene poter documentare

L’art. 3, comma 2, del d.lgs. 188/2026 guarda a «tutte le circostanze rilevanti», e un ordine già chiuso è difficile da ricostruire a posteriori. TrueScreen può aiutare a documentare i passaggi di lavorazione di un ordine, con data certa per ogni certificazione effettuata. Se e quanto pesi lo valuta l’autorità.

Alcuni criteri dell’art. 3, comma 2, e cosa conviene poter documentare

Il comma 2 elenca anche i criteri delle lettere b), c), d) e g), qui non trattati.

Queste evidenze si raccolgono lungo il processo interno di risposta agli ordini.

Un’ipotesi: arriva un ordine d’emergenza (art. 10, par. 4, del regolamento (UE) 2023/1543: «al più tardi entro otto ore») e il prestatore comunica un’impossibilità materiale con il modulo dell’allegato III (art. 10, par. 7). Conviene poter documentare presa in carico, verifiche, orario e motivi; la certificazione di quel passaggio non prova da sola quando l’ordine è stato ricevuto.

Quali evidenze di processo si possono certificare

TrueScreen certifica le evidenze di processo di un ordine, cioè i metadati di lavorazione, così che ogni alterazione successiva di ciò che è stato certificato resti rilevabile. Sono passaggi eseguiti, orari, richieste di chiarimento, motivi comunicati, esiti ed estratti di log limitati ai metadati di lavorazione. È una delle misure che il prestatore può valutare, e non un’acquisizione forense.

Cosa si certifica e cosa resta fuori

Il contenuto degli ordini e dei dati prodotti resta fuori da ciò che TrueScreen certifica. La certificazione attesta che i metadati non sono cambiati da quel momento, non che siano veri o completi, e non prova da sola la data di ricezione dell’ordine né la completezza di ciò che è stato prodotto. La compatibilità di impronta e metadati con la riservatezza di un ordine specifico la valuta il legale del prestatore. TrueScreen non offre conservazione a norma.

Con le API si possono certificare dati con valore legale come titolo e coppie chiave-valore, non grandi volumi di dati, oppure un elenco di nomi di file con i rispettivi hash (impronte), certificati esattamente come li invia il chiamante, senza che il file lasci i propri sistemi. Un’estrazione del registro limitata ai metadati si certifica come file dal Portal: il file viene caricato e il Portal restituisce uno ZIP con la certificazione e la copia del file.

L’ultimo passo sono il sigillo elettronico qualificato e la marca temporale qualificata, descritti nella pagina su impronta e marca temporale: per l’eIDAS il sigillo gode della presunzione di integrità e correttezza dell’origine dei dati, la marca di quella di accuratezza di data e ora. Il peso della prova resta rimesso al giudice.

In conclusione