Gli ordini europei di produzione e di conservazione delle prove elettroniche

Abstract

Lo studio prende le mosse dall’analisi delle peculiarità inerenti lo svolgimento dell’attività d’indagine per l’accertamento e la repressione dei reati commessi nel ciberspazio. Secondo quanto scritto nei considerando del regolamento UE 2023/1543 del Parlamento europeo e del Consiglio del 12 luglio 2023 – relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali – la Commissione “ha sottolineato che indagare e perseguire efficacemente i reati favoriti dalla cibernetica costituisce un deterrente essenziale dei ciberattacchi, e che il quadro procedurale attuale deve essere adattato meglio all’era di internet”: ne consegue che “la velocità dei ciberattacchi può talvolta avere il sopravvento sulle nostre procedure, creando quindi particolari necessità di una rapida cooperazione transfrontaliera”. In tale contesto l’acquisizione di prove elettroniche, caratterizzate dalla volatilità e dalla facile cancellabilità, potrebbe non rendere efficace lo strumento dell’ordine d’indagine europeo, già disciplinato dalla direttiva 2014/41/UE alla quale ha dato attuazione, in Italia, il decreto legislativo n. 108/2017, rendendo necessario prevedere e disciplinare il potere di un’Autorità giudiziaria competente nell’Unione di “ingiungere a un prestatore di servizi che offre servizi nell’Unione di produrre o conservare prove elettroniche mediante un ordine europeo di produzione o un ordine europeo di conservazione”. Dunque, la fiducia nei servizi di rete, resi possibili dalle tecnologie informatiche e telematiche, non può che giovarsi di strumenti che superano le limitazioni geografiche per consentire di accertare e perseguire condotte illecite “valorizzate” proprio dalle peculiarità di quei servizi che possono “essere forniti da qualsiasi luogo e non necessitano di un’infrastruttura fisica, di locali o personale nel paese” in cui essi sono offerti. Il lavoro si occupa di esaminare il regolamento europeo n. 1543 del 12 luglio 2023 la cui disciplina verrà confrontata con quella inerente l’ordine di indagine europeo (Direttiva n. 41/2014 alla quale è stata data attuazione mediante il decreto legislativo n. 108/2017) evidenziando la necessità di ricondurre le “prove elettroniche” nell’ambito delle fattispecie processuali tipizzate dal codice di procedura penale.

Il Regolamento europeo n. 1543/2023: caratteri generali

La rilevanza penale delle condotte che consistono in attacchi informatici e la dimensione di tali attacchi nell’ambito del ciberspazio ha imposto la regolamentazione europea delle modalità di accertamento e di repressione delle condotte stesse, modalità che si articolano nei nuovi strumenti processuali dell’ordine di indagine europeo e dell’ordine di produzione e di conservazione delle prove elettroniche.

Con regolamento n. 2023/1543 del Parlamento europeo e del Consiglio del 12 luglio 2023 il legislatore eurounitario ha disciplinato gli ordini europei di produzione e gli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali.

Il considerando n. 4 ricorda come le conclusioni del Consiglio del 9 giugno 2016 “hanno sottolineato il rilievo crescente delle prove elettroniche nei procedimenti penali e l’importanza di proteggere il ciberspazio da abusi e attività criminali nell’interesse delle economie e delle società e, di conseguenza, la necessità per le autorità di contrasto e le autorità giudiziarie di disporre di strumenti efficaci per indagare e perseguire atti criminali connessi al ciberspazio”: in particolare “Nella comunicazione congiunta della Commissione e dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza al Parlamento europeo e al Consiglio, del 13 settembre 2017, dal titolo «Resilience, Deterrence and Defence: Building strong cybersecurity for the EU» (Resilienza, deterrenza e difesa: verso una cibersicurezza forte per l’UE), la Commissione ha sottolineato che indagare e perseguire efficacemente i reati favoriti dalla cibernetica costituisce un deterrente essenziale dei ciberattacchi, e che il quadro procedurale attuale deve essere adattato meglio all’era di internet” (considerando n. 5).

A causa del modo in cui sono forniti i servizi su rete “le richieste di cooperazione giudiziaria sono spesso rivolte a Paesi che ospitano un gran numero di prestatori di servizi”. Difatti tali servizi possono essere forniti da qualsiasi luogo e non necessitano di un’infrastruttura fisica, di locali o personale nel paese in cui è offerto il pertinente servizio: questo determina che le prove elettroniche pertinenti sono spesso conservate al di fuori dello Stato che effettua le indagini o da un prestatore di servizi stabilito al di fuori di tale Stato, creando difficoltà per quanto riguarda la raccolta di prove elettroniche nell’ambito di procedimenti penali (considerando n. 7)

In tale contesto l’ordine europeo di indagine, previsto dalla Direttiva 2014/41/UE alla quale l’Italia ha dato attuazione mediante il decreto legislativo n.108/2017, potrebbe non fornire un rapido canale di cooperazione giudiziaria “dando luogo a situazioni in cui gli eventuali indizi potrebbero non essere più a disposizione” (considerando n. 8).

Il legislatore eurounitario ha sottolineato la necessità di “prevedere norme specifiche per quanto riguarda la cooperazione giudiziaria transfrontaliera per conservare e produrre prove elettroniche”. “Tali norme” prosegue il considerando n. 9 “dovrebbero includere l’obbligo per i prestatori di servizi che rientrano nell’ambito di applicazione del presente regolamento di rispondere direttamente alle richieste provenienti dalle autorità di un altro Stato membro”.

I dati oggetto del regolamento sono quelli relativi agli abbonati, quelli relativi al traffico e quelli relativi al contenuto (considerando n. 31): a norma dell’articolo 3 comma 1 n. 8 essi, conservati in formato elettronico da o per conto di un prestatore di servizi al momento della ricezione di un certificato di ordine europeo di produzione (EPOC) o di un certificato di ordine europeo di conservazione (EPOC-PR), sono le “prove elettroniche”.

In particolare, a norma dell’articolo 3 comma 1 n. 9, i dati relativi agli abbonati riguardano l’identità di un abbonato o di un cliente, come il nome, la data di nascita, l’indirizzo postale o geografico, il tipo di servizio e la sua durata.

I dati “richiesti al solo scopo di identificare l’utente” di cui all’articolo 3 comma 1 n. 10, sono, tra gli altri, gli indirizzi IP mentre i “dati sul traffico”, definiti come tali dall’articolo 3 comma 1 n. 11, sono quelli “riguardanti la fornitura di un servizio offerto da un prestatore di servizi, che servono per fornire informazioni di contesto o supplementari sul servizio e che sono generati o trattati da un sistema di informazione del prestatore di servizi, come la fonte e il destinatario di un messaggio o altro tipo di interazione, sull’ubicazione del dispositivo, la data, l’ora, la durata, le dimensioni, il percorso, il formato, il protocollo usato e il tipo di compressione”.

Infine, a norma dell’articolo 3 comma 1 n.12, per “dati relativi al contenuto” si intende “qualsiasi dato in formato digitale, come testo, voce, video, immagini o suono, diverso dai dati relativi agli abbonati o dai dati sul traffico”.

I dati così individuati possono formare oggetto di un “ordine europeo di produzione” o di un “ordine europeo di conservazione”: il primo è da intendersi come “la decisione che dispone la produzione di prove elettroniche, emessa o convalidata da un’autorità giudiziaria di uno Stato membro […] e rivolta a uno stabilimento designato o a un rappresentante legale di un prestatore di servizi che offre servizi nell’Unione” (articolo 3 comma 1 n. 1) mentre il secondo è definito come “la decisione che dispone la conservazione di prove elettroniche ai fini di una richiesta di produzione successiva, e che è emessa o convalidata da un’autorità giudiziaria di uno Stato membro […] e rivolta a uno stabilimento designato o a un rappresentante legale di un prestatore di servizi che offre servizi nell’Unione” (art. 3 comma 1 n. 2).

L’ordine europeo di conservazione che, come vedremo, può essere prodromico all’ordine europeo di produzione, è disciplinato dall’articolo 6 il quale stabilisce che esso è finalizzato ad “impedire la rimozione, la cancellazione o la modifica di dati in vista della presentazione di una successiva richiesta di produzione dei medesimi tramite l’assistenza giudiziaria, un ordine europeo d’indagine (OEI) o un ordine europeo di produzione”.

Tra le informazioni contenute nell’ordine europeo di conservazione, disciplinate dall’articolo 4, vi sono quelle inerenti “la categoria di dati richiesti quale definita all’articolo 3, punti da 9) a 12)” già esaminati in precedenza.

L’esecuzione dell’ordine europeo di conservazione dei dati è disciplinata dall’articolo 11 il quale, al comma 1 primo periodo stabilisce che “Quando riceve un EPOC-PR il destinatario provvede, senza indebito ritardo, a conservare i dati richiesti”.

Prima di esaminare le questioni di natura tecnica connesse alla esecuzione dell’ordine europeo di conservazione penso sia necessario soffermarsi sui casi in cui il destinatario dell’ordine ritenga di informare l’autorità di emissione in merito alla esistenza di circostanze che possano influire sulla esecuzione dell’ordine stesso.

In particolare, a norma dell’articolo 11 comma 4 “Qualora ritenga, sulla base delle sole informazioni contenute nell’EPOC-PR, che l’esecuzione dell’EPOC-PR possa interferire con le immunità o i privilegi o con le norme sulla determinazione o la limitazione della responsabilità penale relative alla libertà di stampa o alla libertà di espressione in altri mezzi di comunicazione, a norma del diritto dello Stato di esecuzione, il destinatario ne informa l’autorità di emissione e l’autorità di esecuzione”: in tal caso l’autorità di emissione, valutando quanto riferito dall’autorità di esecuzione, “decide, di propria iniziativa o su richiesta dell’autorità di esecuzione, se ritirare, adattare o mantenere l’ordine europeo di conservazione”.

Altro caso di particolare interesse riguarda l’ipotesi in cui il destinatario “non possa ottemperare al suo obbligo di conservare i dati richiesti per impossibilità materiale dovuta a circostanze che non gli possono essere imputate”: in tal caso il destinatario informa “senza indebito ritardo l’autorità di emissione specificata nell’EPOC-PR e spiega i motivi di tale impossibilità materiale”.

L’autorità di emissione può concludere che tale impossibilità sussiste ed in tal caso informa il destinatario che l’EPOC-PR non deve più essere eseguito.

L’allegato n. II del regolamento disciplina il contenuto del “Certificato di ordine europeo di conservazione (EPOC-PR) per la conservazione di prove elettroniche”.

In particolare ha interesse la sezione D che riguarda le “Prove elettroniche da conservare”, nell’ambito delle quali è possibile rinvenire anche i “dati relativi al traffico” per internet e, tra gli stessi, le informazioni di instradamento (routing) quali l’indirizzo IP sorgente, l’indirizzo o gli indirizzi IP destinazione, il browser, le informazioni contenute nell’header del messaggio di posta elettronica.

Vi sono inoltre i dati relativi al contenuto quali “il dump della casella di posta elettronica”, “il dump dei dati stoccati on line”, “il dump delle pagine”, “il dump dei messaggi di voicemail” ed “i contenuti del server”.

Come già rilevato in precedenza l’ordine europeo di conservazione può essere prodromico all’ordine europeo di produzione disciplinato dalla norma dell’articolo 5 che, per ciò che attiene i dati relativi al contenuto, a norma del comma 4 può essere emesso solo per determinati reati fra i quali figurano quelli punibili nello Stato di emissione con una pena detentiva della durata massima di almeno tre anni (art. 5 comma 4 lettera a).

Quanto al contenuto nello stesso rientrano, tra gli altri, “la categoria di dati richiesti quale definita all’articolo 3, punti da 9) a 12)” analogamente a quanto visto per l’ordine europeo di conservazione.

L’esecuzione dell’ordine europeo di produzione è disciplinata dall’articolo 10 il quale, al primo comma, stabilisce che “il destinatario agisce tempestivamente per conservare i dati” ed al secondo comma che “provvede affinché i dati richiesti siano trasmessi direttamente all’autorità di emissione o alle autorità di contrasto, come indicato nell’EPOC, al termine [del] periodo di 10 giorni”, periodo entro il quale l’autorità di esecuzione, se intende farlo, potrà far valere un motivo di rifiuto a norma dell’articolo 12.

Il termine di dieci giorni si riduce in quello di 8 ore in caso di emergenza (articolo 10 comma 4).

Le prove elettroniche e le fattispecie processuali disciplinate nel codice di procedura penale: ordine di indagine europeo e ordini europei di conservazione e produzione delle prove elettroniche

Un aspetto di rilievo della disciplina europea delle prove elettroniche attiene alla rincoducibilità delle stesse nell’ambito delle fattispecie processuali disciplinate dal codice di procedura penale: difatti ritengo sia necessario verificare che l’auspicata rapidità di acquisizione delle prove elettroniche, sottolineata nel considerando n. 8 del regolamento, non finisca per determinare lo svilimento dei diritti delle persone sottoposte alle indagini o imputate.

Come già rilevato in precedenza il legislatore eurounitario si era già dotato di uno strumento idoneo ad adeguare gli strumenti processuali alle caratteristiche tipiche del ciberspazio, mediante la direttiva europea n. 41 del 2014, dedicata all’ordine europeo di indagine ed alla quale il legislatore italiano ha dato attuazione mediante il decreto legislativo n. 108 del 2017

L’articolo 1 del predetto decreto stabilisce che la Direttiva è attuata “nel rispetto dei principi dell’ordinamento costituzionale e della Carta dei diritti fondamentali dell’Unione europea in tema di diritti fondamentali, nonché in tema di diritti di libertà e di giusto processo”.

I protagonisti dell’ordine di indagine europeo – definito dall’articolo 2 comma 1 lettera a) come “il provvedimento emesso dalla autorità giudiziaria o dalla autorità amministrativa e convalidato dall’autorità giudiziaria di uno Stato membro dell’Unione europea, per compiere atti di indagine o di assunzione probatoria che hanno ad oggetto persone o cose che si trovano nel territorio dello Stato o di un altro Stato membro dell’Unione ovvero per acquisire informazioni o prove che sono già disponibili” – sono l’autorità di emissione, ovvero “l’autorità competente di uno Stato membro dell’Unione, che emette l’ordine di indagine con il quale dispone l’acquisizione di elementi di prova in un procedimento penale, o convalida una richiesta di acquisizione probatoria proveniente da un’autorità amministrativa” (art. 2 comma 1 lettera b) e l’autorità di esecuzione, ovvero “l’autorità competente di uno Stato membro dell’Unione che riceve, riconosce e dà esecuzione a un ordine di indagine emesso dall’autorità giudiziaria italiana” (art. 2 comma 1 lettera c).

L’articolo 4 commi 1 e 3 del Regolamento n. 1543 del 2023 individua i protagonisti dell’ordine europeo di produzione e di conservazione stabilendo che essi devono essere emessi o convalidati da “un giudice, un organo giurisdizionale, un magistrato inquirente o un pubblico ministero competente nel caso interessato”.

A norma dell’articolo 7 comma 1 “Gli ordini europei di produzione e gli ordini europei di conservazione sono rivolti direttamente a uno stabilimento designato o a un rappresentante legale del prestatore di servizi interessato”: dunque, a differenza di ciò che accade per l’ordine di indagine europeo, non c’è un’autorità di esecuzione “che riceve, riconosce e dà esecuzione” ad un ordine europeo di produzione o di conservazione dei dati.

A norma dell’articolo 4 comma 1 del decreto legislativo n. 108/2017 “Il procuratore della Repubblica presso il tribunale del capoluogo del distretto nel quale devono essere compiuti gli atti richiesti provvede, con decreto motivato, al riconoscimento dell’ordine di indagine nel termine di trenta giorni dalla sua ricezione o entro il diverso termine indicato dall’autorità di emissione, e comunque non oltre sessanta giorni” mentre a norma dell’articolo 5 commi 1 e 2 “Quando l’autorità di emissione chiede che l’atto sia compiuto dal giudice o quando l’atto richiesto deve essere compiuto, secondo la legge italiana, dal giudice, il procuratore della Repubblica riconosce l’ordine di indagine e fa richiesta di esecuzione al giudice per le indagini preliminari.

Il giudice, ricevuta la richiesta, autorizza l’esecuzione previo accertamento delle condizioni per il riconoscimento dell’ordine di indagine”.

Nell’ottica della necessaria conformità alle norme del codice di procedura penale degli atti di indagine oggetto dell’ordine europeo del quale sia destinataria, per l’esecuzione, l’autorità giudiziaria italiana, la norma dell’articolo 9 comma 1 del decreto legislativo stabilisce che “Quando l’atto richiesto per l’esecuzione dell’ordine di indagine non è previsto dalla legge italiana o non ricorrono i presupposti che la legge italiana impone per il suo compimento, il procuratore della Repubblica provvede, previa comunicazione all’autorità di emissione, mediante il compimento di uno o più atti diversi e comunque idonei al raggiungimento del medesimo scopo”.

Tale disposizione è derogata dal comma 5 che dispone che in relazione a determinati atti – quali ad esempio l’acquisizione dei verbali di prove di altro procedimento, l’audizione della persona informata dei fatti, del testimone, del consulente o del perito, della persona offesa, nonchè della persona sottoposta ad indagini o dell’imputato presenti nel territorio dello Stato o atti di indagine che non incidono sulla libertà personale e sul diritto all’inviolabilità del domicilio ovvero riguardanti la identificazione di persone titolari di uno specifico numero telefonico o di un indirizzo di posta elettronica o di un indirizzo IP – si provvede in ogni caso alla esecuzione dell’ordine di indagine a meno che non ricorrano i motivi di rifiuto e di restituzione di cui all’articolo 10 fra i quali assume rilievo la sussistenza di fondati motivi per ritenere che l’esecuzione dell’atto richiesto nell’ordine di indagine non è compatibile con gli obblighi dello Stato sanciti dall’articolo 6 del Trattato dell’Unione europea e dalla Carta dei diritti fondamentali dell’Unione europea.

Analoga disposizione non è prevista per l’ipotesi in cui l’ordine di indagine europeo sia emesso dall’autorità giudiziaria dello Stato italiano per la presumibile ragione che detto ordine non può che fare riferimento ad atti di indagine conformi a quelli tipizzati dal nostro codice di procedura penale.

In riferimento all’ordine di indagine europeo emesso dall’autorità giudiziaria italiana l’articolo 27 del decreto legislativo stabilisce che “Nell’ambito di un procedimento penale o di un procedimento per l’applicazione di una misura di prevenzione patrimoniale, il pubblico ministero e il giudice che procede possono emettere, nell’ambito delle rispettive attribuzioni, un ordine di indagine e trasmetterlo direttamente all’autorità di esecuzione. Il giudice emette l’ordine di indagine sentite le parti”.

Nel regolamento europeo n. 1543/2023 sulle prove elettroniche non è prevista una disciplina analoga che valorizzi le fattispecie processuali disciplinate dal codice di procedura penale.

La norma dell’articolo 5 comma 1 stabilisce che “L’autorità di emissione può emettere un ordine europeo di produzione laddove siano soddisfatte le condizioni stabilite dal presente articolo” ed il comma 2 specifica che “L’ordine europeo di produzione [dev’essere] necessario e proporzionato ai fini del procedimento di cui all’articolo 2, paragrafo 3, tenuto conto dei diritti della persona oggetto di indagini o imputata, e può essere emesso solo se un ordine dello stesso tipo avrebbe potuto essere emesso alle stesse condizioni in un caso interno analogo”.

In relazione all’ordine europeo di conservazione l’articolo 6 comma 1 stabilisce, in via generale, che “L’autorità di emissione può [emetterlo] laddove siano soddisfatte le condizioni stabilite dal presente articolo” mentre il comma 2 reca: “Un ordine europeo di conservazione deve essere necessario e proporzionato al fine di impedire la rimozione, la cancellazione o la modifica di dati […]” e, a norma del comma 3, esso può essere emesso “per tutti i reati, laddove avrebbe potuto essere emesso alle stesse condizioni in un caso interno analogo […]”.

Mentre nella disciplina dell’ordine di indagine europeo l’intervento dell’autorità dello Stato di esecuzione costituisce la regola, nel regolamento sulle “prove elettroniche” detto intervento è previsto solo a fronte della ricezione dell’ordine di produzione e nei casi in cui l’autorità di emissione abbia l’obbligo di notificare tale ordine alla relativa autorità di esecuzione, casi disciplinati dalla norma dell’articolo 8 che, purtuttavia, contiene l’importante e discrezionale eccezione all’obbligo di notifica stabilendo che essa non deve aver luogo nel caso in cui “il reato sia stato commesso, sia in atto o sia suscettibile di essere commesso nello Stato di emissione” ovvero quando “la persona i cui dati sono richiesti risieda nello Stato di emissione”.

Uno strumento che pare valorizzare la disciplina processuale dei singoli Stati rispetto alle esigenze di celerità tipiche dell’ordine di produzione e dell’ordine di conservazione delle prove elettroniche è quello della impugnazione.

A norma dell’articolo 18 comma 1, rubricato “Mezzi di impugnazione effettivi”, “Fatti salvi ulteriori mezzi d’impugnazione disponibili ai sensi del diritto nazionale, qualsiasi persona i cui dati sono stati richiesti tramite un ordine europeo di produzione ha il diritto a un ricorso effettivo contro tale ordine. Ove sia oggetto di indagini o imputata, tale persona ha il diritto a un ricorso effettivo durante il procedimento penale in cui i dati sono utilizzati”.

Il comma 2 dell’articolo 18 stabilisce che “Il diritto a mezzi d’impugnazione effettivi è esercitato dinanzi a un organo giurisdizionale dello Stato di emissione in conformità del diritto nazionale di tale Stato e include la possibilità di contestare la legittimità della misura, comprese la sua necessità e la sua proporzionalità, fatte salve le garanzie dei diritti fondamentali nello Stato di esecuzione”.

A norma dell’articolo 18 comma 4 “I termini o altre condizioni per l’impugnazione sono uguali a quelli previsti in casi interni analoghi ai fini del presente regolamento e sono applicati in modo da garantire che il diritto a tale impugnazione possa essere esercitato efficacemente dalle persone interessate”.

Infine, la norma dell’articolo 18 comma 5 stabilisce che “Fatte salve le norme procedurali nazionali, lo Stato di emissione e ogni altro Stato membro cui sono state trasmesse prove elettroniche a norma del presente regolamento assicurano che siano rispettati i diritti della difesa e di un giusto processo nel valutare le prove ottenute tramite l’ordine europeo di produzione”.

 

Conclusioni

Com’è di tutta evidenza è ben possibile che l’adozione di questa delicata disciplina mediante la forma del “regolamento”, come tale immediatamente applicabile nei singoli Stati membri senza alcuna necessità di un atto legislativo di ricezione, può determinare gravi problemi di compatibilità dell’impianto normativo eurounitario con la disciplina processuale penale interna.

Forse in tal senso vanno lette le disposizioni contenute nella legge n. 91/2025 recante delega al Governo per il recepimento delle direttive europee e l’attuazione di altri atti dell’Unione europea.

L’articolo 19 contiene la delega al Governo per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2023/1543: in particolare a norma del comma 2 lettera r) “Nell’esercizio della delega di cui al comma 1 il Governo osserva […] anche i seguenti principi e criteri direttivi specifici […] apportare ogni ulteriore opportuna modifica alle norme dell’ordinamento interno, al fine di armonizzare il quadro giuridico nazionale e di favorire il più efficace perseguimento delle finalità del regolamento (UE) 2023/1543, anche attraverso l’abrogazione delle disposizioni con esso incompatibili”.

I decreti legislativi dovranno essere adottati entro dodici mesi dalla entrata in vigore della legge, ovvero entro la fine di luglio 2026: sarà interessante verificare se il Governo riterrà di modificare il codice di procedura penale onde chiarire se, ed in che termini, gli ordini di produzione delle “prove elettroniche” saranno compatibili con una o più tipologie di atti d’indagine già disciplinati.