[doc. web n. 10184519]

Parere su uno schema di decreto legislativo recante “Individuazione delle autorità competenti di cui all’articolo 31 del regolamento (UE) 2023/1543 del Parlamento europeo e del Consiglio, del 12 luglio 2023, relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali, nonché delle procedure per l’emissione, ricezione, esecuzione e riesame degli ordini europei di produzione e di conservazione” - 25 settembre 2025

Registro dei provvedimenti
n. 569 del 25 settembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il cons. Angelo Fanizza, segretario generale;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 36, paragrafo 4;

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo 30 giugno 2003, n. 196 e s.m.i., di seguito: “Codice”);

Visto il decreto legislativo 18 maggio 2018, n. 51, recante “Attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio” e, in particolare, l’articolo 24, comma 2;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatrice la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

La Presidenza del Consiglio dei Ministri – Dipartimento affari giuridici e legislativi ha richiesto il parere del Garante su uno schema di decreto legislativo recante “Individuazione delle autorità competenti di cui all’articolo 31 del regolamento (UE) 2023/1543 del Parlamento europeo e del Consiglio, del 12 luglio 2023, relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali, nonché delle procedure per l’emissione, ricezione, esecuzione e riesame degli ordini europei di produzione e di conservazione”.

Il provvedimento intende conformare l’ordinamento interno al regolamento (UE) 2023/1543 (c.d. E-evidence), relativo all’acquisizione e alla gestione delle prove elettroniche nell’ambito dei procedimenti penali, che disciplina le condizioni di emissione degli ordini europei di produzione e conservazione, le procedure di esecuzione e sanzione in caso di inottemperanza, i mezzi di ricorso, il sistema informatico decentrato attraverso cui opererà lo scambio di prove elettroniche e ogni altro aspetto inerente a tale forma avanzata di cooperazione.

La delega legislativa è esercitata, ai sensi dell’articolo 19, comma 3, della legge n. 91 del 2025, limitatamente all’individuazione (oggetto di notifica entro il 18 agosto 2025) delle autorità competenti di cui all’articolo 31 del regolamento E-evidence, nonché delle procedure di emissione, ricezione, esecuzione e riesame degli ordini europei di produzione e conservazione di prove elettroniche nei procedimenti penali.

Il completo adeguamento dell’ordinamento interno alle disposizioni del regolamento sarà realizzato con l’adozione di ulteriori decreti legislativi, non limitati all’ambito delineato dall’art. 31 del regolamento.

L’odierno provvedimento introduce, dunque, le necessarie integrazioni alla disciplina processuale dei mezzi di prova e di ricerca della prova in conformità alle previsioni del regolamento E-evidence. Esso comprende inoltre, ai sensi dell’articolo 19, c. 1, lett. r) della legge di delegazione, le modifiche di coordinamento e armonizzazione della normativa vigente, opportune per la coerenza complessiva della materia.

RILEVATO

L’articolo 1 definisce l’oggetto e l’ambito di applicazione del decreto, individuando le autorità competenti per l’emissione, la convalida e la trasmissione degli ordini europei di produzione e conservazione e delle relative notifiche; le autorità giudiziarie competenti per la ricezione, a fini di notifica ed esecuzione, degli ordini europei di produzione e conservazione e dei relativi certificati; le autorità giudiziarie competenti e le procedure per il riesame delle obiezioni motivate dei destinatari degli ordini europei di produzione.

L’articolo 2 disciplina il procedimento per l’emissione degli ordini europei di produzione, sancendo la competenza del pubblico ministero e del giudice procedente sulla base delle rispettive attribuzioni (comma 1). Si prevede che l’ordine di produzione venga emesso dal giudice competente a pronunciarsi nel merito su richiesta del p.m., formulata anche su istanza della persona offesa o del suo difensore, ovvero su richiesta della persona sottoposta alle indagini, dell’imputato, delle parti private o dei rispettivi difensori (comma 2). Nel corso delle indagini preliminari, la competenza è invece ripartita tra il giudice e il p.m., in ragione della natura dei dati oggetto del provvedimento (rispettivamente, dati sul traffico o relativi al contenuto per il primo e dati relativi agli abbonati e dati richiesti al solo scopo di identificare l’utente per il secondo: comma 3), conformemente alla giurisprudenza costituzionale, alla riserva costituzionale di giurisdizione e alle stesse previsioni del regolamento. In casi di emergenza durante le indagini preliminari, l’ordine viene emesso dagli ufficiali di polizia giudiziaria in relazione ai dati relativi all’abbonato, ferma restando la successiva convalida dell’ordine entro quarantotto ore da parte del p.m. (comma 4). In relazione a delitti di competenza delle Procure distrettuali o a quelli per i quali è previsto il coordinamento investigativo, copia del certificato di ordine europeo di produzione è trasmessa al Procuratore nazionale antimafia e antiterrorismo e al Procuratore generale presso la Corte d’appello (comma 5). Spetta all’autorità giudiziaria procedente dare conoscenza alle parti e ai loro difensori dei dati e della documentazione acquisiti (comma 6). I dati acquisiti con un ordine europeo di produzione emesso fuori dai casi o in mancanza delle condizioni previste non sono utilizzabili (comma 7).

L’articolo 3 disciplina la procedura di emissione degli ordini europei di conservazione, conformandosi in buona parte alle disposizioni contenute nei primi 5 commi dell’articolo 2.

L’articolo 4 introduce una procedura speciale (“accelerata”) in caso di ragioni di urgenza nel corso delle indagini preliminari, attribuendo: al p.m. il potere di emettere un ordine di produzione per ottenere i dati sul traffico e quelli relativi al contenuto, subordinandone l’efficacia alla convalida del giudice per le indagini preliminari, cui l’ordine dev’essere trasmesso entro ventiquattro ore dall’emissione; agli ufficiali di polizia giudiziaria il potere di emettere un ordine di produzione per ottenere i dati relativi agli abbonati o i dati richiesti al solo scopo di identificare l’utente, subordinandone l’efficacia alla previa convalida del p.m. entro ventiquattro ore dall’emissione. Anche nei casi di procedura accelerata è prevista la comunicazione del certificato al Procuratore generale presso la Corte d’appello e al Procuratore nazionale antimafia e antiterrorismo secondo le rispettive competenze, sulla falsariga di quanto previsto nei precedenti articoli (comma 3).

L’articolo 5 individua nel Ministero della giustizia l’autorità centrale responsabile della trasmissione amministrativa dei certificati (EPOC e EPOC-PR), degli ordini europei di produzione e conservazione, nonché delle notifiche, della ricezione dei dati e delle notifiche e della trasmissione della corrispondenza ufficiale inerente agli ordini e ai certificati.

L’articolo 6 reca la disciplina delle autorità di esecuzione e delle procedure di esecuzione, individuando le prime nel procuratore della Repubblica presso il tribunale del capoluogo del distretto nel quale lo stabilimento designato o il rappresentante legale nominato ai sensi della direttiva (UE) 2023/1544, destinatari dell’ordine, sono stabiliti o risiedono e nel giudice per le indagini preliminari presso il medesimo tribunale (comma 1). Il procuratore della Repubblica è altresì competente ai fini della notifica dell’EPOC, nonché ai fini degli articoli 10, 11, 12 e 17 del regolamento (UE) 2023/1543 (comma 2). Il comma 3 disciplina la procedura informativa e di coordinamento con il Procuratore nazionale antimafia e antiterrorismo e il Procuratore generale presso la Corte d’appello, mentre i commi 4, 5 e 6 delineano i presupposti e le modalità di riconoscimento e di esecuzione dell’ordine europeo di produzione e conservazione.

L’articolo 7 disciplina la procedura di riesame e l’autorità competente in caso di obblighi contrastanti e di obiezioni da parte del prestatore dei servizi, mentre l’articolo 8 individua nel Ministero della giustizia il soggetto competente per la registrazione, l’elaborazione delle statistiche e la trasmissione delle stesse (comprensive dei dati elencati dal regolamento) alla Commissione europea, nonché per l’effettuazione delle notifiche previste dagli articoli 31 e 32 del regolamento stesso.

L’articolo 9 introduce una disciplina applicabile ai soli ordini “domestici” e reca disposizioni di coordinamento con l’articolo 132 del Codice, novellandolo in conformità al criterio di delega di cui all’art. 19, comma 2, lett. r) della legge n. 91 del 2025. In particolare, la disposizione introduce ai commi 3 e 3-bis il riferimento all’agevolazione delle ricerche di un latitante, al cui fine potrà essere autorizzata da parte del giudice (o del p.m. per i casi d’urgenza) l’acquisizione dei dati relativi al traffico telefonico presso il fornitore.

Si introducono, inoltre, tre commi aggiuntivi (3-bis.1, 3-bis.2 e 3-bis.3), il primo dei quali prevede che il p.m. possa ordinare ai fornitori e agli operatori di servizi telefonici, informatici o telematici la conservazione e la protezione, per un periodo non superiore a novanta giorni, dei dati relativi al traffico telefonico e telematico, esclusi comunque i contenuti delle comunicazioni, nonché dei dati relativi alle chiamate senza risposta. Il provvedimento, prorogabile per una durata complessiva non superiore a sei mesi, può prevedere particolari modalità di custodia dei dati e l’eventuale indisponibilità dei dati stessi da parte dei fornitori e degli operatori di servizi telefonici, informatici o telematici, ovvero di terzi.

Viene inoltre esclusa dal regime di applicabilità della disciplina di cui ai commi 3 e 3-bis l’acquisizione dei dati relativi agli abbonati − di cui viene fornita apposita definizione (comma 3-bis.2) in linea con le previsioni regolamentari (art. 3, par. 1, punto 9) −, precisandosi che alla stessa provvede il pubblico ministero o la polizia giudiziaria, su delega o di propria iniziativa, ai sensi dell’art. 348 c.p.p. (comma 3-bis.3). La legittimazione della polizia giudiziaria ad acquisire di propria iniziativa dati si fonda sull´art. 55 c.p.p., secondo il quale, in linea generale, la polizia giudiziaria, oltre a svolgere "ogni indagine e attività disposta o delegata dall´autorità giudiziaria" (comma 2) deve, "anche di propria iniziativa, prendere notizia dei reati, impedire che vengano portati a conseguenze ulteriori, ricercarne gli autori, compiere gli atti necessari per assicurare le fonti di prova e raccogliere quant´altro possa servire per l´applicazione della legge penale" (comma 1).

La disposizione novella inoltre il comma 4-ter dell’articolo 132 del Codice, estendendo l’oggetto della conservazione anche ai dati relativi al traffico telefonico e ai dati relativi alle chiamate senza risposta, superando così l’incongruenza che si sarebbe altrimenti determinata alla luce del regolamento. Il comma 4-ter viene, inoltre, novellato così da legittimare gli ufficiali di polizia giudiziaria all’emissione dell’ordine di conservazione per fini attinenti all’accertamento e repressione di specifici reati, non trattandosi in questo caso di attività di prevenzione.

Viene infine aggiunto l’articolo 263-bis al codice di rito penale, per disciplinare l’ordine di conservazione “domestico” emesso dal pubblico ministero per i dati – evidentemente diversi da quelli di cui all’articolo 132 del Codice- nella disponibilità dei fornitori. L’acquisizione avverrà, poi, secondo la disciplina processuale vigente. In analogia con la disciplina processuale degli atti urgenti, si è altresì legittimata la polizia giudiziaria a disporre in via di urgenza la conservazione dei dati con provvedimento soggetto a convalida da parte del pubblico ministero, in coerenza con quanto previsto dal regolamento (art. 4, par. 5), oltre che in analogia con il modulo procedimentale già dettato dallo stesso articolo 132, comma 4-ter, quanto alla conservazione dei dati di traffico. 

RITENUTO

Pur ravvisandosi l’opportunità di una precisazione secondo quanto si esporrà, lo schema di decreto legislativo non presenta criticità sotto il profilo della protezione dei dati. Esso ha infatti introdotto, conformemente ai principi e ai criteri direttivi per l’esercizio della delega legislativa, disposizioni volte ad adeguare l’ordinamento interno al regolamento E-evidence, armonizzando la normativa vigente per garantirne la complessiva coerenza con la fonte unionale.

Per quanto attiene alle modifiche apportate all’articolo 132 del Codice, il riferimento inserito, ai commi 3 e 3-bis, all’agevolazione delle ricerche di un latitante quale fine per il cui perseguimento si legittima l’acquisizione dei dati di traffico è coerente con la disciplina unionale.

In primo luogo, infatti, la novella è conforme alle previsioni di cui all’articolo 15, par.1, della direttiva 2002/58/UE, nell’interpretazione fornitane dalla CGUE (cfr., in particolare, sentenze Digital Rights Ireland dell’8 aprile 2014, cause riunite C-293/12 e C-594/12; Tele2 Sverige del 21 dicembre 2016, cause riunite C 203/15 e C 698/15;, SpaceNet e Telekom Deutschland del 20 settembre 2022, C-793/19 e C-794/19), dal momento che l’acquisizione dei dati ai fini della ricerca dei latitanti avverrebbe, comunque, limitatamente ai procedimenti per i gravi reati indicati dallo stesso articolo 132 del Codice.

In secondo luogo, la novella armonizza le previsioni del Codice inerenti la data retention, alla disciplina degli ordini europei di conservazione e produzione, funzionali all’esecuzione di pene o misure cautelari coercitive anche (nel primo caso), nei confronti del latitante condannato con sentenza definitiva a pena non inferiore a quattro mesi, non pronunciata in contumacia (artt. 5, par. 3 e 4, 6, par. 3, del regolamento E-evidence).

La novella all’articolo 132 non distingue la condizione del latitante in ragione della previa condanna, conformemente all’equiparazione delle due posizioni nel nostro ordinamento (cfr. artt. 295 e 296 c.p.p.). Tale impostazione, oltre a essere in linea con le disposizioni del regolamento E-evidence – che disciplina gli ordini europei di produzione e conservazione di prove elettroniche “nell'ambito di un procedimento penale, comprese le indagini penali, o per l'esecuzione di una pena o di una misura di sicurezza detentiva a seguito di un procedimento penale” (Considerando 18), dunque senza distinzione alcuna tra fasi procedimentali– risponde altresì al più generale interesse all’acquisizione di elementi probatori in ogni fase del procedimento, senza soluzione di continuità tra fase cautelare e fase esecutiva. Del resto, la legittimazione delle intercettazioni per la ricerca dei latitanti prevista dall’art. 295 c.p.p. parrebbe legittimare, a fortiori, anche l’attività – meno invasiva – di acquisizione dei dati relativi al traffico, assicurando l’effettività delle attività investigative in modo conforme al principio di proporzionalità di cui all’articolo 52 della CDFUE.

La disciplina introdotta dal nuovo comma 3-bis.1 dell’articolo 132, sotto altro profilo, riconosce in capo al p.m., coerentemente con le previsioni del regolamento, il potere di rivolgere un ordine di conservazione “domestico” ai fornitori e agli operatori di servizi telefonici, informatici o telematici rispetto ai dati relativi al traffico telefonico e telematico (con esclusione, dunque, dei contenuti delle comunicazioni), nonché ai dati relativi alle chiamate senza risposta. Si tratta, pertanto, di una disciplina simmetrica a quella dell’ordine di conservazione previsto a livello unionale, peraltro modulata sulla falsariga di quanto già previsto dallo stesso articolo 132, comma 4-ter, che legittima il Ministro dell’interno e i responsabili degli uffici centrali delle forze dell’ordine a ordinare la conservazione di dati telematici.

I commi 3-bis.2 e 3-bis.3 disciplinano l'acquisizione dei dati relativi agli abbonati, la cui definizione appare coerente con quella contenuta nel regolamento (art. 3, par. 1, punto 9), secondo una categorizzazione “conforme agli ordinamenti giuridici di molti Stati membri e al diritto dell'Unione, in particolare alla direttiva 2002/58/CE e alla giurisprudenza della Corte di giustizia, come pure al diritto 16 internazionale, segnatamente la Convenzione di Budapest” (Considerando 31). I due commi legittimano l’acquisizione di tali dati da parte del pubblico ministero o della polizia giudiziaria, su sua iniziativa o a seguito di delega, ai sensi dell’articolo 348 c.p.p., sottraendoli, coerentemente, al regime di applicabilità dei commi 3 e 3-bis. Si tratta, infatti, di dati per i quali non sussiste esigenza di giurisdizionalizzazione, in ragione della loro diversità ed estraneità tanto rispetto ai contenuti delle conversazioni (art. 15 Cost.), quanto ai dati di traffico ricompresi nella disciplina di cui al citato art. 15, par.1, della direttiva 2002/58/UE (Considerando 36 del regolamento).

L’attribuzione, alla polizia giudiziaria, della facoltà di agire di iniziativa rispetto all’acquisizione dei dati relativi agli abbonati si legittima in ragione delle caratteristiche processuali del nostro ordinamento – che impone, anche successivamente alla comunicazione della notizia di reato, la prosecuzione dello svolgimento delle funzioni di cui all’articolo 55 c.p.p., con la raccolta di ogni elemento utile alla ricostruzione del fatto e all’individuazione del colpevole (art. 348 c.p.p.) – e dell’equiparabilità della categoria dei dati relativi agli abbonati a quelli già oggi autonomamente acquisiti dalla polizia giudiziaria (artt. 6, c. 1, lett. a), 8, cc. 1 e 2, e 9, cc. 1 e 2, della legge 1° aprile 1981, n. 129, nonché d.lgs. 1° agosto 2003, n. 259 e l. 26 marzo 2001, n. 128, in combinato disposto con gli stessi articoli 55 e 348 c.p.p.). Del resto, per l'ipotesi simmetrica degli ordini europei di produzione, la previsione di cui all’articolo 4, paragrafo 1, lettera b), del regolamento non pare precludere l’intervento di altre autorità inquirenti.

Infine, il “nuovo” articolo 263-bis del c.p.p. (art. 9, c. 2), introduce nell’ordinamento l’istituto dell’ordine di conservazione emesso dal pubblico ministero, allineando così gli strumenti di indagine a disposizione di quest’ultimo con quelli introdotti a livello unionale. La norma, tuttavia, non precisa le tipologie di dati personali oggetto dell’ordine di conservazione, limitandosi a un richiamo ai dati detenuti dai fornitori e dagli operatori di servizi informatici, telematici o di telecomunicazioni.

Sul punto si ravvisa, pertanto, l’esigenza di una più puntuale definizione dei dati suscettibili di conservazione (art. 3, c.1, lett. a) e b) d.lgs. 51 del 2018), così da garantire maggiore determinatezza alla norma, evitando dubbi interpretativi e possibili contestazioni in ordine alla legittimità dell’ordine stesso.

IL GARANTE

ai sensi dell’articolo 24, comma 2, del d.lgs. n. 51 del 2018, esprime parere favorevole sul proposto schema di decreto legislativo con l’osservazione, esposta nel “Ritenuto”, relativa all’esigenza di integrare l’articolo 263-bis c.p.p., introdotto dall’articolo 9, comma 2 dello schema di decreto legislativo con l’indicazione della tipologia di dati personali oggetto dell’ordine di conservazione.

Roma, 25 settembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Fanizza