E-evidence: prove elettroniche e dati cloud dall'estero

Le prove elettroniche (e-evidence) sono i dati digitali custoditi dai fornitori di servizi: dati degli abbonati, indirizzi IP, dati di traffico e contenuti. Dal 18 agosto 2026 il Regolamento (UE) 2023/1543 consente all'autorità giudiziaria di uno Stato UE di ordinarne la produzione direttamente al fornitore, che risponde entro 10 giorni o, in emergenza, entro 8 ore. In Italia le autorità competenti sono fissate dal D.Lgs. 215/2025.

Cosa sono le prove elettroniche e-evidence nel processo penale?

Con e-evidence si indicano i dati in formato elettronico conservati da un fornitore di servizi e utili a un procedimento penale: chi è intestatario di un account, da quale indirizzo IP si è collegato, con chi ha comunicato e quando, che cosa ha scritto o caricato. Il problema pratico è la loro collocazione: i dati di un utente italiano si trovano spesso su server di società con sede in Irlanda, nei Paesi Bassi o negli Stati Uniti.

Il pacchetto europeo è composto da due atti del 12 luglio 2023. Il Regolamento (UE) 2023/1543 disciplina gli ordini europei di produzione e di conservazione. La Direttiva (UE) 2023/1544 obbliga i fornitori che offrono servizi nell'Unione a designare uno stabilimento o un rappresentante legale incaricato di ricevere gli ordini, dal 18 febbraio 2026. L'Italia ha dato attuazione con il D.Lgs. 215/2025 (autorità competenti ai sensi dell'art. 31 del regolamento) e con il D.Lgs. 216/2025 (stabilimenti designati e rappresentanti legali).

Il pubblico ministero italiano può chiedere direttamente a Google o Meta i dati di un utente?

Dal 18 agosto 2026 sì, con un ordine europeo di produzione indirizzato allo stabilimento designato o al rappresentante legale del fornitore nell'Unione. Prima di quella data la richiesta diretta era possibile solo come domanda di collaborazione volontaria; in alternativa servivano l'ordine europeo di indagine verso lo Stato di sede o, per i fornitori extra UE, la rogatoria.

La competenza non è uguale per tutti i dati. Per i dati relativi agli abbonati e per quelli richiesti al solo fine di identificare l'utente, come l'indirizzo IP, l'ordine è emesso dal pubblico ministero. Per i dati di traffico e di contenuto la competenza passa al giudice per le indagini preliminari, su richiesta del pubblico ministero. Nelle emergenze l'ordine può essere emesso con procedura accelerata e convalida successiva. Gli ordini transitano sul sistema informatico decentrato istituito dall'art. 19 del regolamento.

Cosa sono gli ordini europei di produzione e di conservazione?

L'ordine di produzione obbliga il fornitore a consegnare dati già esistenti. L'ordine di conservazione impedisce la cancellazione dei dati in attesa della successiva richiesta di produzione o di un ordine europeo di indagine: serve contro la volatilità della prova digitale.

Che differenza c'è tra ordine europeo di indagine e ordine di produzione?

L'ordine europeo di indagine (Direttiva 2014/41/UE, D.Lgs. 108/2017) si rivolge a un'autorità giudiziaria di un altro Stato, che lo riconosce e lo esegue. L'ordine di produzione si rivolge direttamente al fornitore. Le differenze incidono sui tempi e sui controlli a disposizione della difesa.

L'esclusione dei servizi finanziari spiega perché, per banche e piattaforme di criptovalute, restino centrali l'ordine europeo di indagine e la rogatoria: il tema è sviluppato nella pagina sulle indagini su exchange esteri.

Come si ottengono dati conservati su un cloud all'estero?

Le strade sono quattro. La prima è la produzione diretta del fornitore con ordine europeo, dove il regolamento si applica. La seconda è l'art. 234-bis c.p.p., che consente di acquisire documenti e dati informatici conservati all'estero se disponibili al pubblico o con il consenso del legittimo titolare: è la regola interna corrispondente all'accesso transfrontaliero previsto dalla Convenzione di Budapest sulla criminalità informatica, ratificata con la L. 48/2008. La terza è l'ordine europeo di indagine; la quarta, per fornitori senza stabilimento nell'Unione, la rogatoria.

Sul piano interno la L. 48/2008 ha introdotto anche la conservazione urgente dei dati di traffico telematico: gli organi di polizia indicati dalla legge possono ordinarla ai fornitori per non più di 90 giorni, prorogabili fino a sei mesi, con comunicazione al pubblico ministero entro 48 ore per la convalida.

Il consenso del titolare è il punto debole della seconda strada: se l'indagato fornisce le credenziali senza l'assistenza del difensore, la validità del consenso diventa oggetto di contestazione.

I messaggi di WhatsApp acquisiti dall'estero sono utilizzabili nel processo penale italiano?

Dipende da come sono stati acquisiti. I messaggi con cifratura end-to-end si ricavano di norma dal telefono sequestrato, con copia forense, e non dal fornitore; dal fornitore si ottengono piuttosto dati di registrazione e metadati. Se i messaggi arrivano da un'autorità straniera che li ha già raccolti, valgono le regole fissate dalle Sezioni Unite nel 2024 per le chat criptate, esaminate nella pagina su Sky ECC ed EncroChat: niente art. 234-bis, disciplina della circolazione delle prove, verifica del rispetto dei diritti fondamentali.

Come può la difesa contestare dati informatici acquisiti all'estero senza garanzie?

Le leve sono tre. La prima è la categoria del dato: un ordine su dati di traffico o di contenuto emesso senza l'intervento del giudice competente viola il riparto fissato dal D.Lgs. 215/2025, che prevede anche una clausola di inutilizzabilità per i dati acquisiti in modo irregolare. La seconda è il diritto a un rimedio effettivo della persona i cui dati sono stati richiesti, previsto dall'art. 18 del regolamento. La terza è il principio affermato dalla Corte di giustizia UE nella causa C-670/22 (30 aprile 2024): il giudice penale deve escludere gli elementi di prova sui quali l'imputato non può svolgere osservazioni efficaci, se incidono in modo preponderante sulla valutazione dei fatti.

Sul piano tecnico contano l'integrità dei file (hash), la completezza dell'esportazione, i fusi orari e la corrispondenza fra account e persona. Per il quadro delle eccezioni processuali si rinvia alla sezione procedura penale.

Cosa fare se un provider comunica che i propri dati sono stati consegnati a un'autorità straniera?

La comunicazione va conservata integralmente, con data e riferimenti dell'autorità richiedente. Occorre poi stabilire se esiste un procedimento penale, in quale Stato e con quale ruolo (indagato, persona offesa, terzo). Se l'ordine proviene da un'autorità italiana, il difensore può chiedere l'accesso agli atti quando cessa il segreto e valutare i rimedi; se proviene da un altro Stato, i rimedi si propongono in quello Stato, con un difensore locale. Rilasciare dichiarazioni o cancellare contenuti dopo la comunicazione può aggravare la posizione processuale.

Per i procedimenti con più Stati coinvolti il quadro generale è nella pagina sulla difesa penale internazionale.