Regolamento E-Evidence: nuove regole per le prove digitali transfrontaliere

Il Regolamento E-Evidenza entrerà in vigore il 18 agosto 2026. E da quel momento, cambieranno le regole per la raccolta, conservazione e autenticazione delle prove digitali nei procedimenti penali transfrontalieri nell'Unione Europea.

Per chi opera nel settore legale, nella compliance o nell'IT, le ricadute operative sono tutt'altro che teoriche.

Fino ad oggi, le richieste di prove digitali tra Stati membri seguivano il canale delle Trattati di assistenza giudiziaria (MLAT). Un meccanismo pensato per un'epoca in cui le prove erano fisiche e le indagini si svolgevano dentro i confini nazionali.

I tempi medi di elaborazione di una richiesta MLAT raggiungono i 10 mesi negli Stati Uniti, con picchi superiori all’anno per le lettere rogatorie. Nel frattempo, email vengono cancellate, server dismessi, account chiusi. Secondo i dati del Dipartimento di Giustizia USA, il backlog di richieste MLAT per dati informatici è cresciuto di oltre il 1.000% tra il 2000 e il 2017, .

Il Regolamento E-Evidence (UE 2023/1543) nasce per colmare questo divario e introduce due strumenti nuovi: l’Ordine europeo di produzione (EPOC) e l’Ordine europeo di conservazione (EPOC-PR), che permettono alle autorità giudiziarie di un Paese membro di rivolgersi direttamente ai service provider in un altro Stato, senza passare per l'autorità centrale. I tempi di risposta passano da mesi a giorni. Ma cambia anche la responsabilità: chi gestisce i dati deve essere in grado di produrre dimostrare l'autenticità e l'integrità entro scadenze che non ammettono improvvisazione.

La velocità del digitale contro la lentezza della burocrazia

Il disallineamento è strutturale: le prove digitali possono svanire in giorni, ma i meccanismi per acquisirle richiedono mesi. Le frodi online, gli attacchi informatici, la diffusione di contenuti illeciti operano su scala transfrontaliera per definizione: i dati risiedono su server distribuiti tra giurisdizioni diverse.

Serviva uno strumento che permetteva di agire con la stessa velocità con cui operano i reati.

Cosa prevede il Regolamento E-Evidence (UE 2023/1543)

Ordine europeo di produzione (EPOC): scadenze e obblighi

L'EPOC consente a un'autorità giudiziaria di uno Stato membro di ordinare direttamente a un service provider in un altro Stato di produrre dati elettronici. Il provider deve rispondere entro 10 giorni dalla ricezione dell'ordine. In casi di emergenza debitamente motivati, la scadenza si riduce a 8 minerale.

I dati oggetto dell'ordine si dividono in quattro categorie: dati relativi all'abbonato, dati sugli indirizzi IP, dati di traffico e dati di contenuto. Per le ultime due categorie, le più sensibili, l'EPOC può essere emesso solo per reati punibili con una pena detentiva massima di almeno tre anni, o per specifici reati informatici e di terrorismo.

Ordine europeo di conservazione (EPOC-PR): preservare le prove

L'EPOC-PR non richiede la produzione immediata dei dati, ma impone al service provider di conservarli per 60 giorni, prorogabili di ulteriori 30. Lo scopo è impedire la cancellazione dei dati in attesa che l'autorità emetta un ordine di produzione o attivi una procedura di mutua assistenza.

Chi è obbligato a conformarsi

Il Regolamento si applica ai prestatori di servizi di comunicazione elettronica, ai servizi di registrazione di nomi di dominio e indirizzi IP, e ai servizi della società dell'informazione che consentono la comunicazione tra utenti o l'archiviazione e il trattamento di dati. Social media, marketplace, piattaforme cloud e servizi di hosting rientrano tutti nel perimetro. La regola si estende ai provider non-UE che offrono servizi agli utenti nell'Unione: nella sola Germania, circa 9.000 aziende rientrano nell'ambito di applicazione.

Ogni provider deve designare uno stabilimento o un rappresentante legale nell'UE e notificare i propri dati di contatto entro il 18 agosto 2026.

La sfida dell'autenticazione delle prove digitali

Integrità e catena di custodia nei trasferimenti transfrontalieri

Il Regolamento E-Evidence accelera la produzione delle prove, ma non risolve una questione che resta aperta: come dimostrare che un dato digitale trasferito da una giurisdizione all'altra non è stato alterato durante la conservazione e il trasferimento?

Le prove digitali, a differenza di quelle fisiche, possono essere copiate, modificate o cancellate senza lasciare tracce evidenti. Quando un'autorità giudiziaria in Italia riceve dati da un provider con sede in Irlanda, deve poter verificare che quei dati siano identici a quelli originariamente acquisiti. Senza una catena di custodia documentata e verificabile, la prova è contestabile.

L’articolo 5 del Regolamento richiede che i dati prodotti siano trasmessi “nella forma più integra possibile”. Ma non prescrive una metodologia specifica per garantire questa integrità. La responsabilità di adottare processi robusti di autenticazione ricade, di fatto, sui soggetti che raccolgono e conservano i dati.

Il ruolo di eIDAS e degli standard ISO/IEC 27037

Due quadri normativi forniscono le basi tecniche per rispondere a questa sfida.

Il Regolamento eIDAS (UE 910/2014) definisce i servizi fiduciari qualificati, tra cui i timestamp qualificati e le firme elettroniche, che godono di presunzione legale di accuratezza in tutti gli Stati membri.

L’ISO/IEC 27037 stabilisce le linee guida per l'identificazione, la raccolta, l'acquisizione e la conservazione delle prove digitali, definendo i requisiti per mantenere l'integrità probatoria lungo l'intero ciclo di vita del dato.

Combinare timestamp conformi a eIDAS con una metodologia allineata all'ISO/IEC 27037 crea un livello di garanzia riconosciuto a livello transfrontaliero. La prova digitale diventa verificabile indipendentemente dalla giurisdizione in cui viene presentata.

Implicazioni operative per imprese e service provider

I decreti attuativi italiani (D.Lgs. 215 e 216/2025)

L'Italia ha recepito il pacchetto E-Evidence con i decreti legislativi 215 e 216 del 30 dicembre 2025, pubblicati in Gazzetta Ufficiale il 15 gennaio 2026 ed efficaci dal 30 gennaio 2026.

Il D.Lgs. 215 disciplina l'esecuzione degli ordini europei di produzione e conservazione sul territorio italiano, mentre il D.Lgs. 216 regola la designazione degli stabilimenti e dei rappresentanti legali da parte dei prestatori di servizi.

Per le aziende italiane che trattano dati potenzialmente rilevanti per procedimenti penali, la finestra di adeguamento si chiude il 18 agosto 2026. Chi non sarà pronto a rispondere a un EPOC entro 10 giorni, o a conservare dati su richiesta entro poche ore, si espone a sanzioni e alla possibile inadempienza degli obblighi di cooperazione giudiziaria.

Adeguarsi entro il 18 agosto 2026

L'adeguamento non è solo una questione di compliance procedurale. Richiede una revisione dei processi interni di gestione dei dati: dalla raccolta alla conservazione, dall'autenticazione alla produzione su richiesta.

Le domande operative sono concrete: i dati conservati sono tracciabili? La loro integrità è dimostrabile? Esiste una catena di custodia documentata? I tempi di risposta interni permettono di produrre dati entro 10 giorni (o 8 ore in emergenza)?

Per molte organizzazioni, rispondere a queste domande richiede interventi sull'infrastruttura di gestione delle prove digitali.

Comprare un software non basta. Serve adottare un processo che garantisca autenticità e integrità fin dal momento dell'acquisizione del dato.

Certificazione forense alla fonte: l'approccio proattivo

Come la certificazione alla fonte risolve la sfida dell'autenticazione

Il Regolamento E-Evidence implicitamente richiede che le prove digitali siano autenticate e integre al momento della produzione. L'approccio più efficace per soddisfare questo requisito è certificare il dato nel momento stesso in cui viene creato o acquisito, non a posteriori.

La provenienza digitale, ovvero la capacità di tracciare e verificare l'origine e la storia di un contenuto digitale, offre esattamente questa garanzia. Quando un dato viene certificato alla fonte con metadati verificati (GPS, timestamp, identificativi del dispositivo), firma digitale e timestamp conformi a eIDAS, e una catena di custodia completa e documentata, il risultato è una prova che nasce già conforme ai requisiti di integrità del Regolamento.

TrueScreen opera su questo principio. La piattaforma consente a organizzazioni e professionisti di acquisire e certificare contenuti digitali (foto, video, documenti, registrazioni audio, sessioni web, email) con un processo forense che include la verifica dei parametri del dispositivo, l'applicazione di timestamp qualificati, la generazione di prove crittografiche di integrità e un report forense completo con tutti i metadati di acquisizione.

In uno scenario E-Evidence, un'organizzazione che utilizza TrueScreen per certificare i propri dati alla fonte può rispondere a un ordine di produzione con prove la cui autenticità è verificabile in modo indipendente. La catena di custodia non va ricostruita a posteriori: è già documentata dal momento dell’acquisizione.

In pratica, la conformità ai requisiti del Regolamento diventa un prodotto secondario del processo di acquisizione, non un costo aggiuntivo. E il rischio che le prove vengano contestate in sede giudiziaria si riduce in modo significativo.