COMMISSIONE EUROPEA Strasburgo,17.4.2018 COM(2018) 225 final 2018/0108(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale {SWD(2018) 118 final}



{SWD(2018) 119 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta Usare i social media, la posta elettronica, i servizi di messaggistica e le applicazioni (“app”) per comunicare, lavorare, socializzare e ottenere informazioni è ormai prassi comune in molte parti del mondo. Questi servizi interconnettono centinaia di milioni di utenti e contribuiscono notevolmente al loro benessere economico e sociale in tutta l’Unione e al suo esterno. Tuttavia possono anche essere usati impropriamente come strumenti per commettere o facilitare reati, compresi reati gravi come gli attentati terroristici. In questi casi, tali servizi e app sono spesso l’unico posto in cui gli inquirenti possono trovare indizi per scoprire l’autore di un reato e ottenere prove utilizzabili in giudizio. Dato che internet non conosce frontiere, tali servizi possono essere prestati da qualsiasi luogo del mondo e non richiedono necessariamente un’infrastruttura fisica né la presenza di un’azienda o di personale negli Stati membri in cui sono offerti o nel mercato interno nel suo insieme. Non richiedono nemmeno un luogo specifico in cui conservare i dati: spesso il prestatore di servizi sceglie tale luogo in base a considerazioni legittime quali la sicurezza dei dati, le economie di scala e la rapidità di accesso. Di conseguenza, in un numero crescente di procedimenti penali riguardanti qualsiasi tipo di reato, le autorità degli Stati membri richiedono l’accesso ai dati che potrebbero servire da prove e che sono conservati al di fuori del loro paese e/o da prestatori di servizi situati in altri Stati membri o in paesi terzi. Per trattare i casi in cui le prove o il prestatore di servizi si trovano all’estero, vari decenni fa sono stati elaborati meccanismi per la cooperazione tra paesi. Nonostante le riforme periodiche, tali meccanismi di cooperazione subiscono una pressione crescente a causa della sempre maggiore necessità di accedere tempestivamente alle prove elettroniche a livello transfrontaliero. Per risolvere tale problema un certo numero di Stati membri e di paesi terzi ha deciso di ampliare gli strumenti nazionali. La frammentazione giuridica che ne è conseguita genera tuttavia incertezza giuridica e obblighi contrastanti, e solleva dubbi circa la protezione dei diritti fondamentali e delle garanzie procedurali delle persone interessate da tali richieste. Nel 2016 il Consiglio ha esortato a intraprendere azioni concrete sulla base di un approccio comune dell’UE per rendere più efficiente l’assistenza giudiziaria, migliorare la cooperazione tra le autorità degli Stati membri e i prestatori di servizi aventi sede in paesi terzi e proporre soluzioni al problema della determinazione e della competenza di esecuzione nel ciberspazio. Analogamente, il Parlamento europeo ha messo in rilievo le sfide che l’attuale quadro giuridico frammentato può creare per i prestatori di servizi che intendono soddisfare le richieste dei servizi di contrasto, e ha invitato a mettere a punto un quadro giuridico europeo che comprenda anche garanzie per i diritti e le libertà di tutti gli interessati. La presente proposta affronta il problema specifico dalla natura volatile delle prove elettroniche e della loro dimensione internazionale. Essa mira ad adattare i meccanismi di cooperazione all’era digitale, fornendo alle autorità giudiziarie e di contrasto gli strumenti per stare al passo con le attuali modalità di comunicazione dei criminali e combattere le forme moderne di criminalità. Tali strumenti sono subordinati alla condizione di essere soggetti a forti meccanismi di tutela dei diritti fondamentali. La presente proposta intende migliorare la certezza del diritto per le autorità, i prestatori di servizi e le persone interessate e mantenere uno standard elevato per le richieste delle autorità di contrasto, garantendo così la protezione dei diritti fondamentali, la trasparenza e la responsabilità. Essa inoltre rende più rapido il processo per assicurare ed ottenere prove elettroniche conservate e/o detenute da prestatori di servizi stabiliti in un’altra giurisdizione. Lo strumento proposto si affiancherà agli attuali strumenti di cooperazione giudiziaria, che rimangono pertinenti e possono essere usati dalle autorità competenti quando lo ritengono appropriato. Parallelamente, la Commissione si sta adoperando per rafforzare gli attuali meccanismi di cooperazione giudiziaria attraverso misure quali la creazione di una piattaforma sicura per lo scambio rapido di richieste tra le autorità giudiziarie dell’Unione e l’investimento di 1 milione di EUR nella formazione dei professionisti di tutti gli Stati membri dell’UE in materia di assistenza giudiziaria e cooperazione, in particolare con gli Stati Uniti, che sono il paese terzo che riceve il maggior numero di richieste dall’UE. Per la notifica e l’esecuzione degli ordini emessi ai sensi dello strumento proposto, le autorità dovrebbero avvalersi del rappresentante legale designato dai prestatori di servizi. La Commissione presenta oggi una proposta volta a garantire che tali rappresentanti legali siano effettivamente designati. Offre una soluzione comune a tutta l’UE per rivolgere gli ordini ai prestatori di servizi per mezzo di un rappresentante legale. •Coerenza con il quadro giuridico dell’UE in vigore nel settore e con la convenzione di Budapest del Consiglio d’Europa L’attuale quadro giuridico dell’UE si compone, da un lato, degli strumenti di cooperazione dell’Unione in materia penale, quali la direttiva 2014/41/UE relativa all’ordine europeo di indagine penale (direttiva OEI), la convenzione relativa all’assistenza giudiziaria in materia penale tra gli Stati membri dell’Unione europea, la decisione 2002/187/GAI del Consiglio che istituisce l’Eurojust, il regolamento (UE) 2016/794 su Europol, la decisione quadro 2002/465/GAI del Consiglio relativa alle squadre investigative comuni, e, dall’altro, degli accordi bilaterali tra l’Unione e paesi terzi, quali gli accordi sull’assistenza giudiziaria con gli USA e con il Giappone. Introducendo l’ordine europeo di produzione e l’ordine europeo di conservazione, la proposta rende più facile, nell’ambito di un procedimento penale, assicurare e raccogliere prove elettroniche conservate o detenute da prestatori di servizi in un’altra giurisdizione. La direttiva OEI, che ha in larga misura sostituito la convenzione relativa all’assistenza giudiziaria in materia penale, riguarda qualsiasi atto d’indagine. Copre quindi anche l’accesso alle prove elettroniche, ma non contiene disposizioni specifiche su questo tipo di prove. Il nuovo strumento non sostituirà l’OEI per l’ottenimento di prove elettroniche, ma fornirà alle autorità un ulteriore strumento. In alcune situazioni l’OEI risulta preferibile per le autorità pubbliche, ad esempio quando devono essere compiuti diversi atti d’indagine nello Stato membro di esecuzione. Poiché l’ottenimento di prove elettroniche presenta problematiche specifiche che non riguardano gli altri atti d’indagine contemplati dalla direttiva OEI, anziché modificare la direttiva OEI si è deciso di creare un nuovo strumento per tali prove. Per agevolare la raccolta di prove elettroniche, il nuovo strumento si baserà sui principi del reciproco riconoscimento. Ai fini della notifica e dell’esecuzione dell’ordine non occorrerà coinvolgere direttamente l’autorità del paese in cui si trova il destinatario dell’ordine, tranne se il destinatario non vi ottempera spontaneamente, nel qual caso l’ordine sarà fatto eseguire e sarà necessario l’intervento dell’autorità competente del paese in cui si trova il rappresentante. Lo strumento richiede pertanto una serie di solide garanzie e disposizioni, come la convalida da parte di un’autorità giudiziaria in ogni singolo caso. Ad esempio, l’ordine europeo di produzione riguardante dati relativi alle operazioni o al contenuto (ma non dati relativi agli abbonati o agli accessi) può essere emesso solo per reati punibili nello Stato di emissione con una pena detentiva della durata massima di almeno 3 anni o per specifici reati contro la sicurezza cibernetica, favoriti dall’uso del ciberspazio o connessi al terrorismo, specificati nella proposta. I dati personali rientranti nell’ambito di applicazione del regolamento proposto sono protetti e possono essere trattati solo in conformità con il regolamento generale sulla protezione dei dati e la direttiva sulla protezione dei dati nelle attività di polizia e giustizia. Il regolamento generale sulla protezione dei dati entra in applicazione il 25 maggio 2018, mentre la direttiva deve essere recepita dagli Stati membri entro il 6 maggio 2018. La convenzione di Budapest del Consiglio d’Europa sulla criminalità informatica (STCE n. 185), ratificata dalla maggior parte degli Stati membri dell’UE, stabilisce meccanismi internazionali di cooperazione contro la criminalità informatica. Essa riguarda i reati commessi tramite internet e altre reti informatiche. Fa obbligo alle parti di definire i poteri e le procedure per ottenere prove elettroniche e prestarsi assistenza giudiziaria, non solo in relazione ai reati informatici. In particolare, la convenzione impone alle parti di istituire ordini di produzione per ottenere dati informatici da prestatori di servizi presenti sul loro territorio e dati relativi agli abbonati da prestatori di servizi che offrono servizi sul loro territorio. Prevede inoltre la possibilità di ordinare la conservazione di dati qualora sussistano motivi per ritenere che i dati informatici siano particolarmente a rischio di perdita o modificazione. La notificazione e l’esecutività degli ordini nazionali di produzione nei confronti di prestatori stabiliti al di fuori del territorio di una delle parti sollevano problematiche. A tale proposito, sono attualmente all’esame ulteriori misure per migliorare l’accesso transfrontaliero alle prove elettroniche. •Sintesi del regolamento proposto Il regolamento proposto istituisce ordini europei di produzione e di conservazione vincolanti. Entrambi gli ordini devono essere emessi o convalidati da un’autorità giudiziaria di uno Stato membro. Un ordine può essere emesso per chiedere di conservare o produrre dati che sono conservati da un prestatore di servizi situato in un’altra giurisdizione e che sono necessari come prova in indagini o procedimenti penali. Tali ordini possono essere emessi solo se una misura dello stesso tipo è disponibile per lo stesso reato in una situazione nazionale comparabile nello Stato di emissione. Entrambi gli ordini possono essere notificati ai prestatori di servizi di comunicazione elettronica, alle reti sociali, ai mercati online, ad altri prestatori di servizi di hosting e ai fornitori di infrastrutture internet quali l’indirizzo IP e registri di nomi di dominio, o ai loro rappresentanti legali, se esistenti. L’ordine europeo di conservazione, analogamente all’ordine europeo di produzione, è rivolto al rappresentante legale al di fuori della giurisdizione dello Stato membro di emissione affinché provveda alla conservazione di dati in vista di una successiva richiesta di produzione dei medesimi, ad esempio tramite i canali di assistenza giudiziaria in caso di paesi terzi o attraverso un OEI tra gli Stati membri partecipanti. A differenza delle misure di sorveglianza e degli obblighi legali di conservazione dei dati, che non sono previsti dal presente regolamento, l’ordine europeo di conservazione è un ordine emesso o convalidato da un’autorità giudiziaria in un procedimento penale previa valutazione della proporzionalità e necessità nel singolo caso. Al pari dell’ordine europeo di produzione, esso si riferisce a specifici autori, noti o sconosciuti, di un reato che è già stato commesso. L’ordine europeo di conservazione consente di chiedere la conservazione solo di dati che sono già conservati al momento della ricezione dell’ordine, e non di accedere a dati in una fase successiva alla ricezione dell’ordine. Entrambi gli ordini possono essere usati solo nell’ambito di un procedimento penale, dalla fase preprocessuale delle indagini preliminari fino alla chiusura del procedimento con sentenza o altra decisione. Gli ordini per la produzione di dati relativi agli abbonati o agli accessi possono essere emessi per qualsiasi reato, mentre quelli per la produzione di dati relativi alle operazioni o al contenuto possono essere emessi solo per reati punibili nello Stato di emissione con una pena detentiva della durata massima di almeno 3 anni o per specifici reati precisati nella proposta e se vi è un collegamento specifico con gli strumenti elettronici e i reati rientranti nel campo di applicazione della direttiva (UE) 2017/541 sulla lotta contro il terrorismo.

Tenuto conto dei diversi livelli di invasività delle misure imposte in relazione ai dati ricercati, la proposta stabilisce una serie di condizioni e garanzie, tra cui l’obbligo di una convalida ex ante dell’ordine da parte di un’autorità giudiziaria. La proposta si applica solo ai dati conservati. Esulano dal suo ambito di applicazione le intercettazioni in tempo reale delle telecomunicazioni. La misura è limitata a quanto necessario e proporzionato ai fini del procedimento penale cui l’ordine si riferisce. Essa consente ai prestatori di servizi di ottenere chiarimenti dalle autorità di emissione, se necessario. Se i problemi sollevati non possono essere risolti e l’autorità di emissione decide di far eseguire l’ordine, il prestatore di servizi può avvalersi degli stessi motivi per opporsi all’esecuzione da parte delle proprie autorità. Inoltre, è istituita una procedura specifica per i casi in cui l’obbligo di fornire i dati contrasta con un obbligo derivante dal diritto di un paese terzo. La legislazione dell’UE tutela i diritti degli indagati e degli imputati nei procedimenti penali, e vi sono già norme che proteggono i dati personali. Tuttavia, per le persone i cui dati sono ricercati, le garanzie supplementari previste nella proposta riconoscono diritti procedurali sia all’interno che all’esterno del procedimento penale, come la possibilità di contestare la legittimità, la necessità o la proporzionalità dell’ordine, che vanno ad aggiungersi ai motivi di impugnazione previsti dal diritto nazionale. I diritti riconosciuti dalla legge dello Stato di esecuzione sono pienamente rispettati poiché i privilegi e le immunità che proteggono i dati ricercati nello Stato membro del prestatore di servizi devono essere presi in considerazione nello Stato di emissione. È il caso, in particolare, di quando la legge dello Stato di esecuzione garantisce una protezione maggiore rispetto a quella garantita dalla legge dello Stato di emissione. Gli ordini emessi ai sensi del regolamento proposto sono eseguiti allo stesso modo degli ordini nazionali comparabili nella giurisdizione in cui il prestatore di servizi riceve l’ordine. Il regolamento proposto prevede che gli Stati membri devono poter irrogare sanzioni efficaci e proporzionate. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica La base giuridica per le azioni in questo settore è l’articolo 82, paragrafo 1, del trattato sul funzionamento dell’Unione europea, che autorizza l’adozione, secondo la procedura legislativa ordinaria, di misure intese a definire norme e procedure per assicurare il riconoscimento in tutta l’Unione di qualsiasi tipo di sentenza e decisione giudiziaria, e di misure intese a facilitare la cooperazione tra le autorità giudiziarie o autorità omologhe degli Stati membri in relazione all’azione penale e all’esecuzione delle decisioni. Tale base giuridica si applica ai meccanismi di cui al regolamento proposto. L’articolo 82, paragrafo 1, garantisce il riconoscimento reciproco delle decisioni con cui l’autorità giudiziaria dello Stato di emissione si rivolge a una persona giuridica in un altro Stato membro e le impone obblighi, senza il previo intervento dell’autorità giudiziaria di tale altro Stato membro. L’ordine europeo di produzione o di conservazione può comportare l’intervento dell’autorità giudiziaria dello Stato di esecuzione ove necessario per far eseguire la decisione. •Scelta dell’atto giuridico L’articolo 82, paragrafo 1, del TFUE consente al legislatore dell’Unione di adottare regolamenti e direttive. Poiché la proposta riguarda procedure transfrontaliere, per le quali sono necessarie norme uniformi, non occorre lasciare un margine agli Stati membri per recepirle. Il regolamento è direttamente applicabile, offre chiarezza e maggiore certezza giuridica e consente di evitare interpretazioni divergenti negli Stati membri e altri problemi di recepimento incontrati dalle decisioni quadro sul riconoscimento reciproco delle sentenze e delle decisioni giudiziarie. Inoltre permette che lo stesso obbligo sia imposto in modo uniforme in tutta l’Unione. Pertanto la forma più appropriata per questo strumento di riconoscimento reciproco è il regolamento. •Sussidiarietà A causa della dimensione transfrontaliera dei problemi da affrontare, le misure contenute nella proposta devono essere adottate a livello di Unione per conseguire gli obiettivi. I reati per i quali esistono prove elettroniche spesso riguardano casi in cui il quadro giuridico nazionale, all’interno o all’esterno dell’Unione, applicabile all’infrastruttura in cui le prove elettroniche sono conservate e al prestatore di servizi che gestisce l’infrastruttura è diverso da quello applicabile alla vittima e all’autore del reato. Di conseguenza, può essere difficile e laborioso per il paese competente accedere effettivamente alle prove elettroniche oltre frontiera senza norme minime comuni. In particolare, gli Stati membri da soli avrebbero difficoltà ad affrontare le seguenti questioni: ·la frammentazione dei quadri giuridici degli Stati membri, che è stata identificata come un grosso problema per i prestatori di servizi che intendono ottemperare alle richieste sulla base di leggi nazionali diverse; ·migliori opportunità di cooperazione giudiziaria sulla base del diritto dell’UE in vigore, in particolare tramite l’OEI. In considerazione della varietà di approcci giuridici, del numero di settori interessati (sicurezza, diritti fondamentali, compresi i diritti procedurali e la protezione dei dati personali, aspetti economici) e dell’ampia gamma di parti interessate, un atto legislativo dell’Unione è lo strumento più idoneo per affrontare i problemi individuati. •Proporzionalità La proposta stabilisce norme che consentono a un’autorità competente di uno Stato membro di ordinare a un prestatore di servizi che offre servizi nell’Unione e che non è stabilito nello stesso Stato membro di produrre o conservare prove elettroniche. Gli elementi principali della proposta, quali l’ambito di applicazione materiale dell’ordine europeo di produzione, le condizioni che garantiscono la cortesia internazionale, il meccanismo sanzionatorio e il sistema di garanzie e mezzi di ricorso, limitano la proposta a quanto è necessario per conseguire i suoi principali obiettivi. In particolare, la proposta è limitata alle richieste di dati già conservati (l’intercettazione in tempo reale delle telecomunicazioni è esclusa dall’ambito di applicazione) e agli ordini emessi nell’ambito di un procedimento penale per un reato specifico per il quale sono in corso indagini. Essa non riguarda quindi la prevenzione della criminalità né altri tipi di procedimenti o violazioni (come i procedimenti amministrativi per violazione di norme giuridiche) e non impone ai prestatori di servizi di raccogliere o conservare sistematicamente più dati di quanto non facciano per motivi aziendali o per rispettare altri obblighi di legge. Inoltre, mentre gli ordini per la produzione di dati relativi agli abbonati o agli accessi possono essere emessi per qualsiasi reato, quelli per la produzione di dati relativi alle operazioni o al contenuto possono essere emessi solo per reati punibili nello Stato di emissione con una pena detentiva della durata massima di almeno 3 anni o per specifici reati contro la sicurezza cibernetica, favoriti dall’uso del ciberspazio o connessi al terrorismo, specificati nella proposta. Infine, la proposta chiarisce le norme procedurali e le garanzie applicabili all’accesso transfrontaliero alle prove elettroniche ma non si spinge ad armonizzare le misure nazionali. Essa si limita a quanto è necessario e proporzionato per rispondere alle esigenze delle autorità giudiziarie e di contrasto nell’era digitale. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D’IMPATTO •Consultazioni dei portatori di interessi Nel corso di un anno e mezzo la Commissione ha consultato tutti i portatori di interessi per individuare i problemi e le possibili soluzioni, organizzando una consultazione pubblica aperta e sondaggi mirati presso le autorità pubbliche pertinenti, riunioni di gruppi di esperti e riunioni bilaterali per discutere i potenziali effetti della normativa dell’UE e conferenze sull’accesso transfrontaliero alle prove elettroniche per raccogliere contributi per l’iniziativa.

In generale, i partecipanti alla consultazione ritengono che il crescente uso dei servizi dell’informazione ponga problemi alle autorità di contrasto, che sono spesso male equipaggiate per trattare prove online. Uno dei principali ostacoli è la lunghezza dell’iter per ottenere le prove. Altri aspetti problematici evidenziati dalle autorità pubbliche sono la mancanza di cooperazione affidabile con i prestatori di servizi, la mancanza di trasparenza e l’incertezza giuridica circa la competenza giurisdizionale per gli atti di indagine. La cooperazione transfrontaliera diretta tra le autorità di contrasto e i prestatori di servizi digitali dovrebbe aggiungere valore alle indagini penali. I prestatori di servizi e alcune organizzazioni della società civile hanno indicato che occorre garantire la certezza del diritto nella cooperazione con le autorità pubbliche e evitare i conflitti di legge. Per quanto riguarda le preoccupazioni per le ripercussioni della nuova legislazione dell’UE sui diritti, secondo i portatori di interessi condizione necessaria per qualunque strumento transfrontaliero è la predisposizione di garanzie specifiche. Dai contributi ottenuti dalla valutazione d’impatto iniziale è emerso che i portatori di interessi ritengono che colmando le lacune dell’attuale sistema di assistenza giudiziaria si potrebbe rendere il sistema più efficace e migliorare la certezza del diritto. Alcune organizzazioni della società civile si sono opposte a una legislazione a livello dell’UE sulla cooperazione diretta, preferendo che l’azione dell’UE si limiti al miglioramento delle procedure di assistenza giudiziaria. Questa posizione sarà portata avanti nel quadro delle misure pratiche approvate dal Consiglio nel giugno 2016. Da un sondaggio mirato presso le autorità pubbliche degli Stati membri è emersa l’assenza di un approccio comune all’ottenimento dell’accesso transfrontaliero alle prove elettroniche, in quanto ogni Stato membro ha le proprie prassi nazionali. Anche i prestatori di servizi reagiscono in maniera diversa alle richieste delle autorità di contrasto straniere, e i tempi di risposta variano a seconda dello Stato membro richiedente. Ciò crea incertezza giuridica per tutti gli attori coinvolti. In generale, la consultazione dei portatori di interessi ha messo in luce la frammentarietà e la complessità dell’attuale quadro giuridico, da cui conseguono ritardi durante la fase di esecuzione e l’inefficacia delle indagini e dei procedimenti nei confronti di reati per i quali è necessario l’accesso transfrontaliero alle prove elettroniche. •Valutazione d’impatto Il comitato per il controllo normativo ha emesso un parere favorevole sulla valutazione d’impatto che accompagna la presente proposta e ha formulato varie proposte di miglioramento. A seguito di tale parere, la valutazione d’impatto è stata modificata per approfondire ulteriormente le questioni relative ai diritti fondamentali correlate allo scambio transfrontaliero di dati, in particolare i collegamenti tra le diverse misure che fanno parte dell’opzione prescelta. La valutazione è stata modificata per rispecchiare meglio le opinioni dei portatori di interessi e degli Stati membri e il modo in cui sono state prese in considerazione. Inoltre, è stato rivisto il contesto politico per includere ulteriori riferimenti a vari aspetti, come le discussioni nei gruppi di esperti che hanno contribuito a dare forma all’iniziativa. La complementarità tra le diverse misure (in particolare la direttiva OEI, i negoziati sul protocollo addizionale alla convenzione di Budapest e il riesame congiunto dell’accordo di assistenza giudiziaria UE-USA) è stata chiarita in termini di ambito di applicazione, tempistica e intensità, e lo scenario di base è stato riveduto per rispecchiare meglio gli sviluppi che potrebbero verificarsi indipendentemente dall’adozione delle misure proposte. Infine, sono stati aggiunti diagrammi di flusso per descrivere meglio le procedure per lo scambio dei dati. Sono state esaminate quattro principali opzioni strategiche oltre allo scenario di base (opzione O): una serie di misure pratiche per migliorare le procedure di cooperazione giudiziaria e la cooperazione diretta tra le autorità pubbliche e i prestatori di servizi (opzione A: non legislativa); un’opzione che combina le misure pratiche dell’opzione A con soluzioni internazionali a livello bilaterale o multilaterale (opzione B: legislativa); un’opzione che combina le misure dell’opzione B con un ordine europeo di produzione e una misura per migliorare l’accesso alle banche dati che forniscono informazioni sugli abbonati sulla base di una ricerca, come il sistema WHOIS per i nomi di dominio (opzione C: legislativa); un’opzione che combina le misure dell’opzione C con una legislazione sull’accesso diretto ai dati conservati a distanza (opzione D: legislativa). Se non viene presa nessuna misura (opzione O), l’aumento del numero di richieste peggiorerà la situazione. Tutte le altre opzioni contribuiscono a realizzare gli obiettivi dell’iniziativa, ma in misura diversa. L’opzione A migliorerebbe l’efficienza dei processi attuali, ad esempio migliorando la qualità delle richieste, ma il margine di miglioramento sarebbe limitato dalle carenze strutturali dell’attuale sistema. L’opzione B permetterebbe più miglioramenti prevedendo soluzioni accettate a livello internazionale, ma il risultato di queste soluzioni dipenderebbe in larga misura dai paesi terzi. Le soluzioni sono pertanto incerte e meno efficaci di una soluzione dell’Unione e incapaci di offrire le stesse garanzie di quest’ultima. L’opzione C apporterebbe chiaramente un valore aggiunto rispetto alle precedenti opzioni e inoltre fornirebbe uno strumento intra-UE per la cooperazione diretta con i prestatori di servizi, che risponderebbe alla maggior parte delle problematiche individuate nel caso in cui un prestatore di servizi detenga i dati ricercati. L’opzione D è la più completa. Oltre alle misure di cui sopra, comporta una misura legislativa sull’accesso diretto nelle situazioni in cui il coinvolgimento del prestatore di servizi non è necessario. La presente iniziativa legislativa proposta dalla Commissione si basa sui risultati della valutazione d’impatto. Essa sarà integrata dalle misure pratiche descritte nella valutazione d’impatto e dai lavori sul protocollo addizionale alla convenzione di Budapest. Sulla base di tale proposta legislativa, la Commissione discuterà con gli Stati Uniti e altri paesi terzi la possibilità di futuri accordi bilaterali o multilaterali sull’accesso transfrontaliero alle prove elettroniche con le relative garanzie. Per quanto concerne le misure dell’opzione D sull’accesso diretto e sull’accesso alle banche dati, la Commissione attualmente non propone alcuna iniziativa legislativa e rifletterà sul modo più appropriato di procedere al riguardo. L’iniziativa dovrebbe aumentare l’efficacia e l’efficienza delle indagini e delle azioni penali nonché la trasparenza e la responsabilità, e assicurare il rispetto dei diritti fondamentali. Dovrebbe inoltre promuovere la fiducia nel mercato unico digitale, migliorando la sicurezza e riducendo la percezione di impunità per i reati commessi su dispositivi connessi in rete o tramite tali dispositivi. Per le autorità pubbliche, l’iniziativa dovrebbe generare costi iniziali di attuazione che, a lungo termine, dovrebbero essere compensati dai risparmi in costi correnti. Le autorità nazionali dovrebbero inizialmente adeguarsi alle nuove procedure e procedere ad attività di formazione. Dopo però trarrebbero vantaggio dalla semplificazione e dalla centralizzazione e dalla chiarezza del quadro giuridico che disciplina le richieste di accesso ai dati, poiché ne dovrebbero conseguire guadagni di efficienza. Analogamente, poiché l’opzione prescelta dovrebbe eliminare la pressione sui canali di cooperazione giudiziaria, i paesi che ricevono le richieste dovrebbero vedere una riduzione del numero di richieste da trattare. I prestatori di servizi dovrebbero adattarsi al nuovo quadro legislativo mettendo a punto (nuove) procedure e provvedendo alla formazione del personale. D’altro canto, un quadro armonizzato potrebbe ridurre l’onere per tali prestatori che attualmente rispondono alle richieste di dati non relativi al contenuto, dovendole valutare nel quadro delle diverse legislazioni di tutti gli Stati membri. La certezza giuridica e l’armonizzazione delle procedure dovrebbero avere un impatto positivo anche sulle piccole e medie imprese, in quanto allevierebbero l’onere amministrativo e favorirebbero la competitività. Nel complesso, l’iniziativa dovrebbe generare risparmi anche per loro. •Diritti fondamentali La proposta potrebbe potenzialmente incidere su una serie di diritti fondamentali: ·i diritti delle persone fisiche ai cui dati è previsto l’accesso: il diritto alla protezione dei dati personali; il diritto al rispetto della vita privata e familiare; il diritto alla libertà di espressione; il diritto alla difesa; il diritto a un ricorso effettivo e a un giudice imparziale; ·i diritti del prestatore di servizi: il diritto alla libertà d’impresa; il diritto a un ricorso effettivo; ·i diritti di tutti i cittadini: il diritto alla libertà e alla sicurezza.

Tenuto conto delle pertinenti disposizioni dell’acquis in materia di protezione dei dati, nel regolamento proposto sono incluse garanzie sufficienti e importanti per garantire che i diritti di tali soggetti siano tutelati. Poiché gli ordini possono essere emessi solo nell’ambito di un procedimento penale, sia durante la fase preprocessuale che durante quella processuale, e se vi sono situazioni nazionali comparabili, tutte le garanzie procedurali di diritto penale sono applicabili, tra cui, in particolare, il diritto a un equo processo sancito dall’articolo 6 della convenzione europea dei diritti dell’uomo (“CEDUA”) e dagli articoli 47 e 48 della Carta dei diritti fondamentali dell’Unione europea (“Carta”) e la legislazione pertinente dell’UE in materia di diritti procedurali nei procedimenti penali, vale a dire la direttiva 2010/64/UE sul diritto all’interpretazione e alla traduzione nei procedimenti penali, la direttiva 2012/13/UE sul diritto a ricevere informazioni relative ai diritti e all’accusa e ad accedere al fascicolo, la direttiva 2013/48/UE relativa al diritto di avvalersi di un difensore e di comunicare con familiari al momento dell’arresto e della detenzione, la direttiva 2016/343 sul rafforzamento di alcuni aspetti della presunzione di innocenza e del diritto di presenziare al processo, la direttiva 2016/800 sulle garanzie procedurali per i minori e la direttiva 2016/1919 sull’ammissione al patrocinio a spese dello Stato per indagati e imputati nell’ambito di procedimenti penali e per le persone ricercate nell’ambito di procedimenti di esecuzione del mandato d’arresto europeo. Più specificamente, il previo intervento di un’autorità giudiziaria ai fini dell’emissione dell’ordine garantisce che siano verificate la legittimità della misura e la sua necessità e proporzionalità nel caso di specie. Garantisce inoltre che l’ordine non abbia effetti indebiti sui diritti fondamentali, ivi compreso su principi giuridici come il segreto professionale dell’avvocato. L’autorità di emissione è tenuta ad assicurarsi che nel caso di specie la misura sia necessaria e proporzionata, anche in considerazione della gravità del reato oggetto dell’indagine. La proposta prevede inoltre delle soglie per i dati relativi alle operazioni e al contenuto, garantendo che, per tali dati, l’ordine europeo di produzione sia usato solo per i reati più gravi. La proposta prevede esplicitamente anche il diritto a un ricorso effettivo per le persone i cui dati sono richiesti. Le immunità e i privilegi di talune professioni, come quella di avvocato, nonché gli interessi fondamentali connessi alla sicurezza o alla difesa nazionali nello Stato del destinatario devono parimenti essere presi in considerazione nel corso del processo nello Stato di emissione. Il riesame da parte di un’autorità giudiziaria costituisce un’ulteriore garanzia. Essendo una misura vincolante, l’ordine incide anche sui diritti dei prestatori di servizi, in particolare sulla libertà d’impresa. La proposta comprende il diritto del prestatore di servizi di sollevare obiezioni nello Stato membro di emissione, ad esempio se l’ordine non è stato emesso o convalidato da un’autorità giudiziaria. Se l’ordine è trasmesso allo Stato di esecuzione per esecuzione, l’autorità di esecuzione può decidere, previa consultazione dell’autorità di emissione, di non riconoscere o non eseguire l’ordine qualora i motivi di opposizione sollevati siano evidenti. Inoltre, in caso di avvio della procedura di esecuzione, il destinatario può opporsi all’ordine dinanzi all’autorità di esecuzione sulla base di uno di tali motivi limitati, tra cui, ad esempio, se è evidente che l’ordine non è stato emesso o convalidato da un’autorità competente, se ottemperare all’ordine significa violare manifestamente la Carta o se l’ordine è manifestamente arbitrario. Ciò non esclude il diritto del destinatario a un ricorso giurisdizionale effettivo contro l’eventuale decisione che infligge una sanzione. Un potenziale problema connesso alle misure dell’UE in questo settore è la possibilità che esse spingano paesi terzi a imporre ai prestatori di servizi dell’UE obblighi di reciprocità incompatibili con le condizioni dei diritti fondamentali dell’Unione, tra cui l’alto livello di protezione dei dati garantito dall’acquis dell’UE. La proposta affronta tale situazione in due modi: in primo luogo, prevedendo una misura che contiene solide garanzie e riferimenti espliciti alle condizioni e garanzie già previste dall’acquis dell’UE e che funge così da modello per la legislazione straniera; in secondo luogo, prevedendo una specifica clausola di “contrasto di obblighi” che consente ai prestatori di servizi di identificare e segnalare eventuali obblighi contrastanti e far scattare un controllo giurisdizionale. Tale clausola serve per garantire il rispetto sia di disposizioni di legge generali di divieto, quali l’Electronic Communications Privacy Acta (EPA) degli Stati Uniti che vieta la divulgazione di dati relativi al contenuto che rientrano nel suo ambito di applicazione geografico ad eccezione di casi limitati, sia di leggi che non vietano in generale la divulgazione ma possono farlo in singoli casi. Per i casi rientranti nell’ambito di applicazione dell’EPA, attualmente l’accesso ai dati relativi al contenuto può essere impedito in determinate situazioni, pertanto gli accordi di assistenza giudiziaria dovrebbero restare lo strumento principale per accedere a tali dati. Tuttavia, a seguito delle modifiche introdotte dal CLOU Acta, le disposizioni generali di divieto potrebbero essere abolite qualora l’UE concluda un accordo con gli Stati Uniti. Ulteriori accordi internazionali con altri partner chiave possono ridurre ulteriormente le situazioni di conflitto di leggi. Alla luce di quanto precede, le misure della presente proposta sono compatibili con i diritti fondamentali. 4.INCIDENZA SUL BILANCIO Nessuna. 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione Il regolamento è direttamente applicabile nell’Unione. Esso sarà applicato direttamente dagli operatori del settore, senza la necessità di modificare i sistemi giuridici nazionali. Il regolamento formerà oggetto di valutazione e la Commissione presenterà una relazione al Parlamento europeo e al Consiglio al più tardi 5 anni dopo la sua entrata in vigore. Sulla base dei risultati della relazione, in particolare del fatto che il regolamento lasci o meno lacune rilevanti nella pratica, e tenuto conto degli sviluppi tecnologici, la Commissione valuterà l’opportunità di estendere il campo di applicazione del regolamento. Se necessario, la Commissione presenterà proposte di modifica del regolamento. Gli Stati membri trasmetteranno alla Commissione le informazioni necessarie per la preparazione della relazione. Essi raccoglieranno i dati necessari per il monitoraggio annuale del regolamento. Se necessario, la Commissione elaborerà orientamenti per i prestatori di servizi per agevolare l’ottemperanza agli obblighi imposti dal regolamento. •Illustrazione dettagliata delle singole disposizioni della proposta REGOLAMENTO Articolo Considerando I. Oggetto, definizioni e ambito di applicazione 1. Oggetto 1-15 2. Definizioni 16-23 3. Ambito di applicazione 24-27 II. Ordine europeo di produzione, ordine europeo di conservazione e certificati, rappresentante legale 4. Autorità di emissione 30 5. Condizioni di emissione dell’ordine europeo di produzione 28-29, 31-35 6. Condizioni di emissione dell’ordine europeo di conservazione 36 7. Destinatario dell’ordine europeo di produzione e dell’ordine europeo di conservazione 37 8. Certificato di ordine europeo di produzione e certificato di ordine europeo di conservazione 38-39 9. Esecuzione dell’EPOC 40-41 10. Esecuzione dell’EPOC-PR 42 11. Riservatezza e informazioni all’utente 43 12. Rimborso delle spese Nessuno III. Sanzioni ed esecuzione 13. Sanzioni Nessuno 14. Procedura di esecuzione 44-45, 55 IV. Mezzi di ricorso 15. e 16. Procedura di riesame in caso di obblighi contrastanti derivanti dal diritto di un paese terzo 47-53 17. Ricorso effettivo 54 18. Privilegi e immunità ai sensi del diritto dello Stato di esecuzione 35 V. Disposizioni finali 19. Monitoraggio e relazioni 58 20. Modifiche dei certificati e dei moduli 59-60 21. Esercizio della delega 60 22. Notifiche Nessuno 23. Relazione con l’ordine europeo di indagine 61 24. Valutazione 62 25. Entrata in vigore Nessuno

Questo articolo fissa l’ambito di applicazione generale e l’obiettivo della proposta, che è quello di stabilire le norme in base alle quali un’autorità giudiziaria competente dell’Unione europea può, mediante un ordine europeo di produzione o di conservazione, ingiungere a un prestatore di servizi che offre servizi nell’Unione di produrre o conservare prove elettroniche. Questi strumenti possono essere usati solo in situazioni transfrontaliere, ossia nei casi in cui il prestatore di servizi è stabilito o rappresentato in un altro Stato membro. Il regolamento offre strumenti supplementari alle autorità inquirenti per ottenere prove elettroniche, senza limitare i poteri già conferiti loro dal diritto nazionale per obbligare i prestatori di servizi stabiliti o rappresentati nel loro territorio. Pertanto se il prestatore di servizi è stabilito o rappresentato nello stesso Stato membro le autorità di tale Stato membro devono avvalersi delle misure nazionali. I dati richiesti tramite l’ordine europeo di produzione dovrebbero essere forniti direttamente alle autorità senza che sia necessario l’intervento delle autorità dello Stato membro in cui il prestatore di servizi è stabilito o rappresentato. Il regolamento inoltre abbandona il criterio di collegamento rappresentato dall’ubicazione dei dati, poiché generalmente la conservazione dei dati non comporta alcun controllo da parte dello Stato nel cui territorio i dati sono conservati. Nella maggior parte dei casi il luogo di conservazione è determinato dal prestatore di servizi sulla base di considerazioni commerciali. Inoltre, il regolamento si applica anche se il prestatore di servizi non è stabilito o rappresentato nell’Unione ma offre servizi nell’Unione. Questa disposizione si rispecchia nell’articolo 3, paragrafo 1. Quando il regolamento fa riferimento a un prestatore di servizi stabilito o rappresentato in uno Stato membro tramite un rappresentante legale, la sola designazione di un rappresentante legale non crea di per sé uno stabilimento del prestatore di servizi ai fini del regolamento. L’articolo 1, paragrafo 2, ricorda che il regolamento non ha l’effetto di modificare l’obbligo di rispettare i diritti fondamentali e i principi giuridici sanciti all’articolo 6 del trattato sull’Unione europea. Articolo 2: Definizioni Questo articolo stabilisce le definizioni che si applicano in tutto lo strumento. Rientrano nell’ambito di applicazione del regolamento i seguenti tipi di prestatori di servizi: i prestatori di servizi di comunicazione elettronica, i prestatori di servizi della società dell’informazione per i quali la conservazione dei dati è una componente propria del servizio fornito all’utente, compresi i social network nella misura in cui non possono essere considerati servizi di comunicazione elettronica, i mercati online che agevolano le operazioni tra utenti (come consumatori o imprese) e altri prestatori di servizi di hosting, e i prestatori di servizi di nomi di dominio internet e di numerazione. L’ambito di applicazione del regolamento comprende i prestatori di servizi di comunicazione elettronica come definiti [nella direttiva che istituisce il codice europeo delle comunicazioni elettroniche]. I servizi di telecomunicazione tradizionali, i consumatori e le imprese si affidano sempre più ai nuovi servizi basati su internet intesi a consentire le comunicazioni interpersonali, quali il voice-over-IP, la messaggistica istantanea e i servizi di posta elettronica, anziché fruire dei servizi di comunicazione tradizionali. Tali servizi, insieme alle reti sociali quali Twitter e Facebook che consentono agli utenti di condividere contenuti, dovrebbero pertanto essere coperti dalla presente proposta. In molti casi i dati non sono più conservati nel dispositivo dell’utente ma sono messi a disposizione su un’infrastruttura cloud che consente in linea di massima l’accesso da qualsiasi luogo. I prestatori di servizi non hanno bisogno di essere stabiliti o avere server in ogni giurisdizione ma ricorrono piuttosto a un’amministrazione centralizzata e a sistemi decentrati per conservare i dati e fornire i servizi. In tal modo ottimizzano il bilanciamento del carico e riducono i tempi di risposta alle richieste di dati degli utenti. Le reti di diffusione di contenuti (CDN) sono generalmente usate per accelerare la fornitura di contenuti copiando i contenuti in più server sparpagliati in tutto il mondo. Le imprese possono così fornire i contenuti dal server più vicino all’utente o in grado di inoltrare la comunicazione attraverso una rete meno congestionata. Per tenere conto di questo sviluppo, la definizione comprende i servizi cloud e altri servizi di hosting che forniscono una vasta gamma di risorse informatiche, quali reti, server o altre infrastrutture, mezzi di conservazione, app e servizi che permettono di conservare dati a diversi scopi. Lo strumento si applica anche ai mercati digitali che consentono ai consumatori e/o alle imprese di concludere operazioni tramite contratti di vendita o di servizi online. Tali operazioni sono effettuate o sul sito web del mercato online o sul sito web di un professionista che utilizza i servizi informatici forniti dal mercato online. È pertanto questo mercato che generalmente detiene prove elettroniche che possono essere necessarie nel corso di procedimenti penali. I servizi per i quali la conservazione di dati non è una componente propria non sono contemplati dalla proposta. Sebbene la maggior parte dei servizi forniti dai prestatori comprenda qualche tipo di conservazione dei dati, specialmente quando sono forniti online a distanza, è possibile distinguere servizi per i quali la conservazione dei dati non è una caratteristica principale bensì un elemento puramente accessorio, quali servizi giuridici, architettonici, ingegneristici e contabili forniti online a distanza. I dati detenuti dai prestatori di servizi di infrastruttura internet, quali i registrar di nomi di dominio e i registri e prestatori di servizi per la privacy o proxy, o i registri regionali di internet per gli indirizzi del protocollo internet, possono essere rilevanti per i procedimenti penali in quanto possono fornire indizi che permettono di identificare persone o entità coinvolti in attività criminali. Le categorie di dati che le autorità competenti possono ottenere con un ordine europeo di produzione sono i dati relativi agli abbonati, i dati relativi agli accessi, i dati relativi alle operazioni (categorie congiuntamente denominate “dati non relativi al contenuto”) e i dati relativi al contenuto conservati. Questa distinzione, a parte i dati relativi agli accessi, esiste negli ordinamenti giuridici di molti Stati membri e di paesi terzi. Tutte le categorie contengono dati personali e rientrano pertanto nel campo di applicazione delle garanzie previste dall’acquis dell’UE sulla protezione dei dati. Il loro impatto sui diritti fondamentali varia, in particolare per quanto riguarda i dati relativi agli abbonati, da un lato, e i dati relativi alle operazioni e al contenuto, dall’altro. È essenziale che tutte queste categorie rientrino nell’ambito di applicazione dello strumento: i dati relativi agli abbonati e i dati relativi agli accessi sono spesso il punto di partenza per ottenere indizi in un’indagine sull’identità dell’indagato, mentre i dati relativi alle operazioni e al contenuto possono essere più pertinenti come materiale probatorio. Considerati i diversi livelli di impatto sui diritti fondamentali, è giustificato fissare condizioni diverse per i dati relativi agli abbonati, da un lato, e i dati relativi alle operazioni e al contenuto, dall’altro, come fanno varie disposizioni del regolamento. È opportuno considerare i dati relativi agli accessi come una categoria specifica di dati ai fini del presente regolamento. I dati relativi agli accessi sono richiesti allo stesso scopo dei dati relativi agli abbonati, ossia per individuare l’utente, e il livello di impatto sui diritti fondamentali è simile. Essi dovrebbero pertanto essere soggetti alle stesse condizioni dei dati relativi agli abbonati. La proposta pertanto introduce una nuova categoria di dati, che devono essere trattati come i dati relativi agli abbonati se l’obiettivo perseguito dal loro ottenimento è analogo. L’articolo 2 definisce gli Stati membri e le autorità che potrebbero essere coinvolti nella procedura. La definizione di autorità di emissione è inclusa nell’articolo 4. I casi di emergenza sono situazioni eccezionali che richiedono regolarmente una reazione tempestiva da parte dei prestatori di servizi e per i quali saranno applicabili condizioni speciali. Sono pertanto definiti separatamente in questo articolo. Articolo 3: Ambito di applicazione Questo articolo definisce l’ambito di applicazione del regolamento. Quest’ultimo si applica a tutti i prestatori di servizi che offrono servizi nell’Unione, compresi i prestatori di servizi che non sono stabiliti nell’Unione. L’offerta attiva di servizi nell’Unione, con tutti i vantaggi che ne derivano, giustifica che anche tali prestatori di servizi siano soggetti al regolamento e assicura la parità di trattamento tra partecipanti agli stessi mercati. Inoltre, non includere tali prestatori di servizi creerebbe una lacuna e renderebbe più facile per i criminali eludere l’ambito di applicazione del regolamento.

Per determinare se un prestatore di servizi offre servizi nell’Unione le autorità devono verificare se il prestatore consente alle persone fisiche o giuridiche di uno o più Stati membri di usufruire dei suoi servizi. Tuttavia, la semplice accessibilità del servizio (che potrebbe derivare anche dall’accessibilità del sito web del prestatore di servizi o di un intermediario o di un indirizzo di posta elettronica e di altri dati di contatto) non dovrebbe di per sé costituire una condizione sufficiente per l’applicazione del regolamento. Pertanto, per determinare un nesso sufficiente tra il prestatore di servizi e il territorio in cui i servizi sono offerti occorre un collegamento sostanziale con tali Stati membri. Tale collegamento sostanziale sussiste qualora il prestatore di servizi abbia uno stabilimento in uno o più Stati membri. In mancanza di stabilimento nell’Unione, il criterio del collegamento sostanziale con l’Unione dovrebbe essere valutato sulla base dell’esistenza di un numero significativo di utenti in uno o più Stati membri, o dell’orientamento delle attività verso uno o più Stati membri. L’orientamento delle attività verso uno o più Stati membri può essere determinato sulla base di tutte le circostanze pertinenti, tra cui l’uso di una lingua o di una moneta generalmente usata in uno Stato membro. Potrebbe anche desumersi dalla disponibilità di un’app nell’apposito negozio online (“app store”) nazionale, dalla fornitura di pubblicità a livello locale o nella lingua usata in uno Stato membro, dal fatto che siano usate informazioni provenienti da persone presenti negli Stati membri nel corso delle attività o dalla gestione dei rapporti con la clientela, ad esempio la fornitura dell’assistenza alla clientela nella lingua generalmente usata in uno Stato membro. Il criterio del collegamento sostanziale dovrebbe inoltre considerarsi soddisfatto qualora il prestatore di servizi diriga le sue attività verso uno o più Stati membri, come previsto all’articolo 17, paragrafo 1, lettera c), del regolamento (UE) n. 1215/2012 concernente la competenza giurisdizionale, il riconoscimento e l’esecuzione delle decisioni in materia civile e commerciale. L’ordine europeo di produzione e l’ordine europeo di conservazione sono atti di indagine che possono essere emessi solo nell’ambito di un’indagine penale o di un procedimento penale per un reato concreto. Il nesso con un’indagine concreta distingue tali ordini dalle misure preventive e dagli obblighi di conservazione dei dati stabiliti dalla legge e garantisce l’applicazione dei diritti procedurali applicabili nei procedimenti penali. La competenza ad avviare indagini in relazione a uno specifico reato è pertanto un prerequisito per l’uso del regolamento. Ulteriore requisito è che i dati richiesti siano correlati a servizi offerti dal prestatore di servizi all’interno dell’Unione. Capo 2: Ordine europeo di produzione, ordine europeo di conservazione e certificati Articolo 4: Autorità di emissione All’emissione di un ordine europeo di produzione o di conservazione deve sempre partecipare un’autorità giudiziaria in veste di autorità di emissione o di autorità di convalida. Per gli ordini di produzione riguardanti dati relativi alle operazioni o al contenuto tale autorità deve essere un giudice o un organo giurisdizionale, mentre per quelli riguardanti dati relativi agli abbonati o agli accessi può essere anche un pubblico ministero. Articolo 5: Condizioni di emissione dell’ordine europeo di produzione L’articolo 5 stabilisce le condizioni per l’emissione di un ordine europeo di produzione, che devono essere valutate dall’autorità giudiziaria di emissione. L’ordine europeo di produzione può essere emesso solo se è necessario e proporzionato nel caso di specie. Inoltre, dovrebbe essere emesso solo se una misura dello stesso tipo è disponibile in una situazione nazionale comparabile nello Stato di emissione. L’ordine di produrre dati relativi agli abbonati o dati relativi agli accessi può essere emesso per qualsiasi reato. Per i dati relativi alle operazioni o al contenuto dovrebbero essere soddisfatti requisiti più rigorosi onde tener conto della natura più sensibile di tali dati e del corrispondente maggiore impatto dell’ordine rispetto ai dati relativi agli abbonati o agli accessi. Pertanto per i dati relativi alle operazioni o al contenuto l’ordine può essere emesso solo in relazione a reati che comportano una pena detentiva della durata massima di almeno 3 anni. La fissazione di una soglia basata sulla durata massima della pena detentiva consente un approccio più proporzionato, insieme a una serie di altre condizioni e garanzie ex ante ed ex post per assicurare il rispetto della proporzionalità e dei diritti degli interessati. La soglia non dovrebbe però compromettere l’efficacia dello strumento e il suo uso da parte degli operatori. La durata massima delle pene detentive varia tra gli Stati membri e dipende dal sistema giuridico nazionale. I codici penali nazionali differiscono l’uno dall’altro e non sono armonizzati. Anche i reati e le sanzioni applicabili sono diversi. Parimenti i codici di procedura nazionali differiscono per quanto riguarda le soglie per ottenere dati relativi alle operazioni o al contenuto: alcuni Stati membri non fissano nessuna soglia specifica; altri invece prevedono un elenco di reati. Una soglia di tre anni circoscrive l’ambito di applicazione dello strumento ai reati più gravi senza limitare eccessivamente la possibilità di uso dello strumento da parte degli operatori del settore. Tale soglia esclude dall’ambito di applicazione un’ampia serie di reati che dipende da ogni singolo codice penale nazionale (ad esempio in alcuni Stati membri l’uso di un ordine di produzione transnazionale riguardante dati più sensibili può essere considerato sproporzionato per reati quali non solo la partecipazione ad attività di un gruppo criminale organizzato e la sottrazione di minori, ma anche il furto, la frode e la minaccia di violenza fisica). D’altro canto, una soglia di tre anni abbraccia i reati che richiedono un approccio più efficace, come l’appartenenza a un’organizzazione criminale, il finanziamento di gruppi terroristici, il sostegno o la pubblicità a un’organizzazione criminale, la formazione per la commissione di reati terroristici, determinati reati commessi con finalità di terrorismo, la preparazione di reati da commettere con finalità di terrorismo e la preparazione di presa di ostaggi, che sarebbero altrimenti esclusi se fosse applicata una soglia più elevata, a seconda dello Stato membro. Tale soglia è stata scelta per garantire in tutti gli Stati membri un equilibrio tra l’efficienza delle indagini penali e la protezione dei diritti e della proporzionalità. Una soglia offre inoltre il vantaggio di essere facilmente applicabile nella pratica. Inoltre, l’ordine di produrre dati relativi alle operazioni o al contenuto può essere emesso anche per specifici reati armonizzati elencati in determinati strumenti, per i quali le prove sono tipicamente disponibili per lo più solo in formato elettronico. Ciò giustifica l’applicazione del regolamento anche nei casi in cui la pena detentiva massima è inferiore alla suddetta soglia, altrimenti le indagini non potrebbero essere adeguate, il che potrebbe determinare l’impunità. Gli strumenti in cui sono elencati tali reati sono: i) la decisione quadro 2001/413/GAI del Consiglio relativa alla lotta contro le frodi e le falsificazioni di mezzi di pagamento diversi dai contanti, ii) la direttiva 2011/92/UE relativa alla lotta contro l’abuso e lo sfruttamento sessuale dei minori e la pornografia minorile, e che sostituisce la decisione quadro 2004/68/GAI del Consiglio e iii) la direttiva 2013/40/UE relativa agli attacchi contro i sistemi di informazione e che sostituisce la decisione quadro 2005/222/GAI del Consiglio. L’ordine può essere emesso anche per i reati elencati nella direttiva (UE) 2017/541 sulla lotta contro il terrorismo e che sostituisce la decisione quadro 2002/475/GAI del Consiglio e che modifica la decisione 2005/671/GAI del Consiglio. Per alcuni di questi reati la soglia massima è di almeno 1 anno, per altri di 2 anni, ma per nessuno è inferiore a 1 anno. Questo articolo inoltre stabilisce le informazioni obbligatorie che devono figurare nell’ordine europeo di produzione per permettere al prestatore di servizi di identificare i dati richiesti e di produrli. Anche i motivi della necessità e della proporzionalità della misura fanno parte integrante dell’ordine. L’ordine europeo di produzione è attuato mediante l’emissione di un certificato di ordine europeo di produzione (European Production Order Certificate, EPOC) (si veda l’articolo 8), che è tradotto e trasmesso al prestatore di servizi. L’EPOC contiene le stesse informazioni obbligatorie figuranti nell’ordine, tranne i motivi della necessità e della proporzionalità della misura o altri dettagli sul caso. Qualora i dati ricercati siano conservati o trattati nell’ambito di un’infrastruttura fornita dal prestatore di servizi a una società, tipicamente nel caso dei servizi di hosting o di software, il principale destinatario della richiesta delle autorità inquirenti dovrebbe essere la società. Se questa non è un prestatore di servizi ai sensi del regolamento è necessario ricorrere a un OEI o a un accordo di assistenza giudiziaria. L’ordine europeo di produzione può essere rivolto al prestatore di servizi solo se non risulta appropriato rivolgere la richiesta alla società, soprattutto per il rischio di compromettere l’indagine, ad esempio quando l’impresa stessa è oggetto di indagine. Prima di emettere un ordine europeo di produzione, l’autorità di emissione deve tener conto anche dei potenziali privilegi e immunità previsti dal diritto dello Stato membro del prestatore di servizi e di qualsiasi impatto sugli interessi fondamentali di tale Stato membro, come la sicurezza e la difesa nazionali. Lo scopo di questa disposizione è garantire che i privilegi e le immunità che proteggono i dati richiesti nello Stato membro del prestatore di servizi siano presi in considerazione nello Stato di emissione, in particolare qualora riconoscano una protezione maggiore rispetto a quella accordata dal diritto dello Stato di emissione. Articolo 6: Condizioni di emissione dell’ordine europeo di conservazione L’ordine europeo di conservazione è soggetto a condizioni simili a quelle cui è soggetto l’ordine europeo di produzione. Può essere emesso per qualsiasi reato in linea con le altre condizioni di cui all’articolo 6. Il suo scopo è impedire la rimozione, la cancellazione o la modifica di dati pertinenti in situazioni in cui potrebbe occorrere più tempo per ottenere la produzione di tali dati, ad esempio quando saranno usati i canali della cooperazione giudiziaria. Dato che, ad esempio, l’OEI può essere emesso per qualsiasi reato senza limiti di soglia, anche l’ordine europeo di conservazione non deve essere sottoposto a limiti, altrimenti non sarebbe efficace. Per consentire alle autorità inquirenti di agire rapidamente e considerato che la richiesta pertinente di produrre i dati sarà emessa successivamente, dopo che tutte le condizioni saranno nuovamente esaminate, l’ordine europeo di conservazione può essere emesso o convalidato anche da un pubblico ministero. Articolo 7: Destinatario dell’ordine europeo di produzione o dell’ordine europeo di conservazione L’ordine europeo di produzione e l’ordine europeo di conservazione dovrebbero essere rivolti al rappresentante legale designato dal prestatore di servizi ai fini dell’acquisizione di prove nei procedimenti penali conformemente alla direttiva che stabilisce norme armonizzate sulla nomina dei rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali. La trasmissione sarà effettuata sotto forma di un certificato di ordine europeo di produzione (European Production Order Certificate, EPOC) o un certificato di ordine europeo di conservazione (European Preservation Order Certificate, EPOC-PR) di cui all’articolo 8. Il rappresentante legale sarà responsabile della loro ricezione e della loro esecuzione tempestiva e completa. In questo modo i prestatori di servizi sono liberi di scegliere come organizzarsi per produrre i dati richiesti dalle autorità degli Stati membri.

In assenza di designazione del rappresentante legale, l’ordine europeo di produzione e l’ordine europeo di conservazione possono essere rivolti a qualsiasi stabilimento del prestatore di servizi nell’Unione. Questa possibilità di riserva consente di garantire l’efficacia del sistema qualora il prestatore di servizi non abbia (ancora) nominato un apposito rappresentante, ad esempio quando non sussiste l’obbligo di designare un rappresentante legale ai sensi della direttiva dal momento che il prestatore è stabilito e opera in un solo Stato membro o quando l’obbligo di designare un rappresentante legale non è ancora in vigore, ossia prima del termine ultimo per il recepimento della direttiva. Qualora il rappresentante legale non ottemperi all’ordine, vi sono due situazioni in cui l’autorità di emissione può rivolgersi a qualsiasi stabilimento del prestatore di servizi nell’Unione: nei casi di emergenza definiti all’articolo 9, paragrafo 2, e nei casi in cui il rappresentante legale non ottempera agli obblighi di cui all’articolo 9 e 10, e quando l’autorità di emissione ritiene che sussista un chiaro rischio di perdita dei dati. Articolo 8: Certificato di ordine europeo di produzione e certificato di ordine europeo di conservazione L’EPOC e l’EPOC-PR servono a trasmettere gli ordini al destinatario di cui all’articolo 7. I modelli di entrambi i certificati figurano negli allegati I e II del regolamento; essi devono essere tradotti in una delle lingue ufficiali dello Stato membro in cui il destinatario è situato. Il prestatore di servizi può dichiarare che gli ordini saranno accettati anche in altre lingue ufficiali dell’Unione. Lo scopo dei certificati è fornire tutte le informazioni necessarie da trasmettere al destinatario in un formato standardizzato, riducendo al minimo le fonti di errore, consentendo di identificare facilmente i dati ed evitando, per quanto possibile, testi liberi, riducendo così i costi di traduzione. I motivi della necessità e della proporzionalità e ulteriori dettagli sul caso non sono inclusi nel certificato per non compromettere le indagini. Essi sono pertanto necessari come parte integrante dell’ordine solo successivamente per consentire all’indagato di contestare l’ordine durante il procedimento penale. Alcuni prestatori di servizi hanno già creato piattaforme per la presentazione delle richieste da parte delle autorità di contrasto. Il regolamento non impedisce l’uso di queste piattaforme, che offrono numerosi vantaggi, tra cui la possibilità di un’autenticazione rapida e una trasmissione sicura dei dati. Tuttavia, le piattaforme devono consentire la presentazione dell’EPOC e dell’EPOC-PR nel formato di cui agli allegati I e II, senza chiedere dati aggiuntivi sull’ordine. Anche le piattaforme istituite dagli Stati membri o dagli organi dell’Unione possono fornire mezzi sicuri di trasmissione e agevolare l’autenticazione degli ordini e la raccolta di statistiche. È opportuno prendere in considerazione la possibilità di espandere le piattaforme eCodex e SIRIUS per includere una connessione sicura ai prestatori di servizi ai fini della trasmissione dell’EPOC e dell’EPOC-PR e, se del caso, delle risposte dei prestatori di servizi. Articolo 9: Esecuzione dell’EPOC L’articolo 9 obbliga i destinatari a rispondere all’EPOC e introduce termini obbligatori. Il termine normale è di 10 giorni, anche se le autorità possono stabilire un termine più breve ove giustificato. In caso di emergenza, definito come una situazione in cui vi è una minaccia imminente per la vita o l’integrità fisica di una persona o per un’infrastruttura critica, il termine è di 6 ore. La disposizione garantisce inoltre la possibilità di un dialogo tra il destinatario e l’autorità di emissione. Se l’EPOC è incompleto, manifestamente inesatto o non contiene informazioni sufficienti affinché il prestatore di servizi possa ottemperarvi il destinatario deve contattare l’autorità di emissione e chiedere chiarimenti usando il modulo di cui all’allegato III. Il destinatario deve informare l’autorità di emissione anche qualora non possa fornire i dati a causa di forza maggiore o per impossibilità materiale, ad esempio quando la persona i cui dati sono richiesti non era cliente del servizio o quando i dati sono stati legittimamente cancellati dal prestatore di servizi, ad esempio nell’ambito di altri obblighi di tutela della vita privata, prima che il prestatore o il suo rappresentante legale ricevesse l’ordine. L’autorità di emissione deve conoscere tali circostanze per reagire velocemente, ad esempio per acquisire le prove elettroniche da un altro prestatore o evitare di avviare una procedura di esecuzione laddove ciò non abbia senso. Se per motivi diversi da quelli indicati non fornisce le informazioni o non le fornisce in modo esaustivo o tempestivo, il destinatario deve comunicare all’autorità di emissione i motivi usando il modulo di cui all’allegato III. Il destinatario può quindi sollevare qualsiasi questione connessa all’esecuzione dell’EPOC con l’autorità di emissione. Questo permette all’autorità di emissione di rettificare o riesaminare l’EPOC in una fase precoce, prima di attivarsi per far rispettare l’ordine. Se i dati non sono prodotti immediatamente, in particolare quando è avviato un dialogo tra il destinatario e l’autorità di emissione, con conseguente inosservanza dei termini di cui all’articolo 9, paragrafo 1, il prestatore di servizi deve conservare i dati per evitare che questi vengano persi, sempre che i dati possano essere individuati. La conservazione può servire per un successivo EPOC chiarito o una successiva richiesta di assistenza giudiziaria o un OEI che verrà inviato in luogo dell’iniziale EPOC. Articolo 10: Esecuzione dell’EPOC-PR L’esecuzione dell’EPOC-PR richiede la conservazione dei dati disponibili al momento della ricezione dell’ordine. Il prestatore di servizi dovrebbe conservare i dati per il tempo necessario alla loro produzione su richiesta, a condizione che l’autorità di emissione confermi entro 60 giorni dalla data di emissione di aver avviato la successiva richiesta di produzione. A tal fine è necessario che siano espletate almeno alcune formalità, ad esempio l’invio di una richiesta di assistenza giudiziaria ai fini della traduzione. D’altro canto, la richiesta di conservazione dovrebbe essere presentata o mantenuta solo per il tempo necessario per consentire la presentazione della successiva richiesta di produzione dei dati. Se decide di non emettere o ritirare l’ordine di produzione o la richiesta di cooperazione giudiziaria, l’autorità di emissione ne informa immediatamente il destinatario per evitare che i dati siano conservati inutilmente o per troppo tempo. Questa disposizione inoltre garantisce la possibilità di un dialogo tra il destinatario e l’autorità di emissione, analogamente alla disposizione dell’articolo 9. Se l’EPOC-PR è incompleto, manifestamente inesatto o non contiene informazioni sufficienti affinché il prestatore di servizi possa ottemperarvi il destinatario deve contattare l’autorità di emissione e chiedere chiarimenti usando il modulo di cui all’allegato III. Il destinatario deve informare l’autorità di emissione anche qualora non possa fornire i dati a causa di forza maggiore, per impossibilità materiale o per altri motivi. Articolo 11: Riservatezza e informazioni all’utente La riservatezza delle indagini in corso, tra cui il fatto che è stato emesso un ordine per ottenere i dati pertinenti, deve essere protetta. Questo articolo si ispira all’articolo 19 della direttiva OEI. Prevede l’obbligo per il destinatario e, se diverso, il prestatore di servizi di garantire la riservatezza dell’EPOC o dell’EPOC-PR, in particolare astenendosi dall’informare la persona i cui dati sono ricercati, se richiesto dall’autorità di emissione, al fine di proteggere le indagini sui reati, in conformità all’articolo 23 del regolamento generale sulla protezione dei dati. D’altro canto è importante, in particolare per l’esercizio dei mezzi di ricorso, che la persona i cui dati sono ricercati venga informata. Se non lo fa il prestatore di servizi su richiesta dell’autorità di emissione, quest’ultima vi provvede ai sensi dell’articolo 13 della direttiva sulla protezione dei dati nelle attività di polizia e giustizia, quando non c’è più il rischio di compromettere le indagini, e include informazioni sui mezzi di ricorso disponibili. A causa del minore impatto sui diritti coinvolti, tali informazioni sono fornite solo per l’ordine europeo di produzione, non per l’ordine europeo di conservazione. Articolo 12: Rimborso delle spese Laddove ciò sia previsto dal diritto nazionale dello Stato di emissione per gli ordini nazionali in situazioni analoghe, il prestatore di servizi può chiedere allo Stato di emissione il rimborso delle spese conformemente al diritto nazionale di tale Stato. Ciò garantisce parità di trattamento tra i prestatori di servizi cui è stato rivolto un ordine nazionale e quelli cui è stato rivolto un EPOC da parte dello stesso Stato membro, qualora quest’ultimo abbia scelto di rimborsare determinati prestatori di servizi. D’altra parte, il regolamento non armonizza il rimborso delle spese, in quanto gli Stati membri hanno compiuto scelte diverse al riguardo.

Il rimborso può essere chiesto direttamente dal prestatore di servizi o tramite il suo rappresentante legale. Le spese possono essere rimborsate solo una volta. Capo 3: Sanzioni ed esecuzione Articolo 13: Sanzioni Gli Stati membri assicurano che siano disponibili sanzioni effettive, proporzionate e dissuasive per il caso in cui il prestatore di servizi non ottemperi agli obblighi di cui all’articolo 9, 10 o 11. Ciò non pregiudica i diritti nazionali che prevedono l’irrogazione di sanzioni penali per tali situazioni. Articolo 14: Procedura di esecuzione L’articolo 14 stabilisce la procedura da seguire in caso di inottemperanza per far eseguire gli ordini con l’aiuto dello Stato membro in cui è situato il destinatario del certificato trasmesso. A seconda del destinatario iniziale, tale Stato è lo Stato membro del prestatore di servizi o del rappresentante legale. L’autorità di emissione trasferisce l’intero ordine, compresi i motivi della necessità e della proporzionalità, insieme al certificato, all’autorità competente dello Stato di esecuzione, che lo fa eseguire conformemente al proprio diritto nazionale, se necessario irrogando le sanzioni di cui all’articolo 13. Se l’ordine è trasmesso per esecuzione allo Stato di esecuzione, l’autorità di esecuzione può decidere, previa consultazione dell’autorità di emissione, di non riconoscere o non eseguire l’ordine qualora si applichino i motivi di opposizione. Inoltre, in caso di avvio della procedura di esecuzione, il destinatario potrà opporsi all’ordine dinanzi all’autorità di esecuzione sulla base di uno di tali motivi, esclusi i privilegi e le immunità ma compresi i casi in cui è evidente che l’ordine non è stato emesso o convalidato da un’autorità competente, che ottemperare all’ordine significa violare manifestamente la Carta o che l’ordine è manifestamente arbitrario. Ad esempio, un ordine che chieda la produzione di dati relativi al contenuto riguardanti una categoria indeterminata di persone in un’area geografica o che non ha alcun collegamento concreto con un procedimento penale ignorerebbe in modo manifesto le condizioni per l’emissione dell’ordine europeo di produzione previste dal regolamento e ciò sarebbe evidente già dal contenuto del certificato. Altri motivi possono essere invocati dalla persona i cui dati sono richiesti, nell’ambito dei mezzi di ricorso dello Stato di emissione (si veda l’articolo 17). Inoltre, il prestatore di servizi deve disporre di un rimedio giurisdizionale contro la decisione dell’autorità di esecuzione che gli irroga una sanzione. La procedura di esecuzione contiene vari termini per l’autorità di esecuzione e di emissione al fine di evitare ritardi nel corso di tale procedura. Capo 4: Mezzi di ricorso Articoli 15 e 16: Procedura di riesame in caso di obblighi contrastanti derivanti dal diritto di un paese terzo Gli articoli 15 e 16 prevedono una procedura di riesame nel caso in cui i prestatori di servizi aventi sede in un paese terzo debbano far fronte a obblighi contrastanti. Tali disposizioni sono di grande importanza per garantire la tutela dei diritti dei singoli e la cortesia internazionale. Fissando un livello elevato, mirano a incoraggiare i paesi terzi a prevedere un livello di tutela analogo. In caso contrario, qualora le autorità di un paese terzo cerchino di ottenere i dati di un cittadino dell’UE da un prestatore di servizi dell’UE, il diritto dell’Unione o degli Stati membri che tutela i diritti fondamentali, come l’acquis in materia di protezione dei dati, può allo stesso modo impedire la divulgazione. L’Unione europea si attende che i paesi terzi rispettino tali divieti come lo fa il regolamento proposto. Il destinatario può attivare la procedura di cui all’articolo 15 qualora ottemperare all’ordine europeo di produzione significhi violare il diritto di un paese terzo che vieta la divulgazione dei dati per la necessità di tutelare i diritti fondamentali delle persone interessate o interessi fondamentali del paese terzo connessi alla sicurezza o alla difesa nazionali. Il destinatario deve informare l’autorità di emissione, con obiezione motivata, dei motivi per i quali ritiene che sussistano obblighi contrastanti. Tale obiezione motivata non può fondarsi sul mero fatto che il diritto del paese terzo non prevede disposizioni analoghe né sulla sola circostanza che i dati sono conservati in un paese terzo. L’obiezione motivata è presentata secondo la procedura di cui all’articolo 9, paragrafo 5, per notificare l’intenzione di non ottemperare, usando il modulo di cui all’allegato III. Sulla base dell’obiezione motivata l’autorità di emissione rivede il proprio ordine. Se decide di ritirarlo la procedura si conclude. Se invece intende confermarlo trasferisce il caso all’organo giurisdizionale competente del proprio Stato membro. L’organo giurisdizionale valuta quindi, sulla base dell’obiezione motivata e tenuto conto di tutti i fatti pertinenti del caso, se il diritto del paese terzo si applica al caso di specie e, in caso affermativo, se sussistono effettivamente obblighi contrastanti. Nell’effettuare tale valutazione l’organo giurisdizionale dovrebbe esaminare se il diritto del paese terzo, anziché tutelare i diritti fondamentali o interessi fondamentali del paese terzo connessi alla sicurezza o alla difesa nazionali, intenda manifestamente tutelare altri interessi o proteggere attività illecite dalle richieste delle autorità di contrasto nell’ambito delle indagini penali. Se conclude che nella fattispecie esiste un contrasto con gli obblighi derivanti dalla legislazione a tutela dei diritti fondamentali delle persone o degli interessi fondamentali del paese terzo connessi alla sicurezza o alla difesa nazionali, l’organo giurisdizionale deve chiedere il parere del paese terzo interessato tramite le autorità centrali nazionali di quest’ultimo. Se il paese terzo consultato conferma l’esistenza del contrasto e si oppone all’esecuzione dell’ordine, l’organo giurisdizionale deve ritirare l’ordine. Se il contrasto deriva da una legislazione del paese terzo che non mira a tutelare i diritti fondamentali delle persone o gli interessi fondamentali del paese terzo connessi alla sicurezza o alla difesa nazionali, l’organo giurisdizionale adotta la sua decisione bilanciando gli interessi a favore e quelli contro la conferma dell’ordine. Le condizioni di cui all’articolo 9, soprattutto gli obblighi di conservazione di cui al paragrafo 6, si applicano anche in caso di obblighi contrastanti derivanti dal diritto di un paese terzo. Qualora concluda che l’ordine va confermato, l’organo giurisdizionale ne informa l’autorità di emissione e il prestatore di servizi ai fini della sua esecuzione. Qualora l’ordine sia revocato, può essere emesso un ordine europeo di conservazione per garantire la disponibilità dei dati nel caso in cui questi possano essere ottenuti mediante una richiesta di assistenza giudiziaria. Poiché l’ordine europeo di conservazione non comporta di per sé la divulgazione dei dati e pertanto non dà luogo a preoccupazioni analoghe, la procedura di riesame è limitata all’ordine europeo di produzione. Articolo 17: Ricorso effettivo Questa disposizione garantisce che le persone colpite dall’ordine europeo di produzione dispongano di un ricorso effettivo. Il ricorso dovrebbe essere esercitato nello Stato di emissione conformemente al diritto nazionale. Per quanto riguarda gli indagati e gli imputati, il ricorso dovrebbe essere esercitato nel corso del procedimento penale. Il diritto a un ricorso effettivo non è disponibile per l’ordine europeo di conservazione, giacché tale ordine di per sé non consente la divulgazione dei dati; tuttavia qualora esso sia seguito da un ordine europeo di produzione o da un altro strumento che comporta la divulgazione dei dati il ricorso è possibile in virtù di questi strumenti. Le persone i cui dati sono richiesti pur non essendo tali persone indagati o imputati in un procedimento penale hanno diritto a un ricorso nello Stato di emissione. Tutti questi diritti non pregiudicano i mezzi di ricorso disponibili ai sensi della direttiva sulla protezione dei dati nelle attività di polizia e giustizia e del regolamento generale sulla protezione dei dati. A differenza di quanto previsto per i prestatori di servizi, il regolamento non limita i possibili motivi adducibili da tutte queste persone per contestare la legittimità dell’ordine. Tali motivi includono la necessità e la proporzionalità dell’ordine.

L’esercizio del ricorso nello Stato di emissione non deve imporre un onere sproporzionato alle persone colpite. Come per gli ordini che sono eseguiti attraverso altre forme di cooperazione giudiziaria, gli organi giurisdizionali dello Stato di emissione sono nella posizione migliore per controllare la legittimità degli ordini europei di produzione emessi dalle proprie autorità e valutare la compatibilità con il proprio diritto nazionale. Inoltre, durante la fase di esecuzione il destinatario può opporsi all’esecuzione dell’EPOC o dell’EPOC-PR nel proprio Stato membro ospitante sulla base di un elenco di motivi enumerati nel regolamento stesso (si veda l’articolo 14). Articolo 18: Privilegi e immunità ai sensi del diritto dello Stato di esecuzione Questa disposizione persegue lo stesso obiettivo dell’articolo 5, paragrafo 7, ossia garantire che i privilegi e le immunità che proteggono i dati ricercati nello Stato membro del prestatore di servizi siano presi in considerazione nello Stato di emissione, in particolare qualora sussistano disparità tra tali Stati membri, così come gli interessi fondamentali di tale Stato membro, quali la sicurezza e la difesa nazionali. L’articolo 18 impone all’organo giurisdizionale dello Stato di emissione di tenerne conto come se fossero previsti dal suo diritto nazionale. A causa delle differenze esistenti tra gli Stati membri nel valutare la pertinenza e l’ammissibilità delle prove, la disposizione lascia una certa libertà agli organi giurisdizionali su come tenerne conto. Capo 5: Disposizioni finali Articolo 19: Monitoraggio e relazioni Questo articolo fa obbligo agli Stati membri di fornire informazioni specifiche concernenti l’applicazione del regolamento al fine di assistere la Commissione nell’esercizio dei suoi obblighi di cui all’articolo 24. La Commissione stabilisce un programma dettagliato di monitoraggio per controllare gli esiti, i risultati e gli effetti del regolamento. Articolo 20: Modifiche dei certificati e dei moduli I certificati e i moduli che figurano negli allegati I, II, e III del regolamento agevoleranno l’esecuzione dell’EPOC e dell’EPOC-PR. Per tale motivo è necessario che in futuro sia possibile migliorarne il contenuto il più rapidamente possibile. Considerato che modificare i tre allegati attraverso la procedura legislativa ordinaria non risponde a tale esigenza e che i tre allegati costituiscono elementi non essenziali dell’atto legislativo giacché i principali elementi sono definiti all’articolo 8, l’articolo 20 prevede una procedura più rapida e più flessibile per le modifiche tramite atti delegati. Articolo 21: Esercizio della delega Questo articolo fissa le condizioni alle quali la Commissione ha il potere di adottare atti delegati per apportare le modifiche necessarie ai certificati e ai moduli di cui agli allegati. Stabilisce una procedura standard per l’adozione di tali atti delegati. Articolo 22: Notifiche Gli Stati membri sono tenuti a notificare alla Commissione le autorità di emissione e di esecuzione competenti e gli organi giurisdizionali competenti a trattare le obiezioni motivate dei prestatori di servizi in caso di conflitto di legge. Articolo 23: Relazione con l’ordine europeo di indagine Questa disposizione chiarisce che il regolamento non impedisce alle autorità degli Stati membri di emettere ordini europei di indagine ai sensi della direttiva 2014/41/UE per ottenere prove elettroniche. Articolo 24: Valutazione Questa disposizione obbliga la Commissione ad effettuare una valutazione del regolamento in linea con i suoi orientamenti per legiferare meglio e con il punto 22 dell’accordo interistituzionale del 13 aprile 2016. Cinque anni dopo l’entrata in vigore del regolamento la Commissione presenterà al Parlamento europeo e al Consiglio una relazione sui risultati della valutazione, compresa una valutazione della necessità di estendere l’ambito di applicazione a servizi non ancora coperti ma che potrebbero diventare pertinenti per le indagini. Articolo 25: Entrata in vigore Il regolamento entrerà in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Esso si applicherà 6 mesi dopo la data di entrata in vigore. 2018/0108 (COD) Proposta di

REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA, visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 82, paragrafo 1, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)L’Unione si è prefissa l’obiettivo di mantenere e sviluppare uno spazio di libertà, sicurezza e giustizia. Per realizzare gradualmente tale spazio, l’Unione adotta misure nel settore della cooperazione giudiziaria in materia penale basate sul principio del reciproco riconoscimento delle sentenze e decisioni giudiziarie, il quale, a partire dal Consiglio europeo di Tampere del 15 e 16 ottobre 1999, è comunemente considerato una pietra angolare della cooperazione giudiziaria in materia penale nell’Unione. (2)Le misure per ottenere e conservare prove elettroniche sono sempre più importanti per consentire lo svolgimento delle indagini e dei procedimenti penali all’interno dell’Unione. Per combattere la criminalità sono essenziali meccanismi efficaci per l’ottenimento di prove elettroniche, che garantiscano nel contempo il pieno rispetto dei diritti fondamentali e dei principi riconosciuti dalla Carta dei diritti fondamentali dell’Unione europea e sanciti nei trattati, in particolare i principi di necessità e proporzionalità e i diritti al giusto processo, alla protezione dei dati, alla segretezza della corrispondenza e al rispetto della vita privata. (3)La dichiarazione congiunta dei ministri della Giustizia e degli Affari interni e dei rappresentanti delle istituzioni dell’UE del 22 marzo 2016 sugli attentati terroristici di Bruxelles ha sottolineato la necessità, in via prioritaria, di trovare modalità per assicurare ed ottenere più rapidamente ed efficacemente prove elettroniche e di individuare misure concrete per far fronte al problema. (4)Le conclusioni del Consiglio del 9 giugno 2016 hanno sottolineato il rilievo crescente delle prove elettroniche nei procedimenti penali e l’importanza di proteggere il ciberspazio da abusi e attività criminali nell’interesse delle economie e società e, di conseguenza, la necessità per le autorità di contrasto e giudiziarie di disporre di strumenti efficaci per indagare e perseguire atti criminali connessi al ciberspazio. (5)Nella comunicazione congiunta del 13 settembre 2017 sulla resilienza, deterrenza e difesa la Commissione ha sottolineato che indagare e perseguire efficacemente i reati favoriti dalla cibernetica costituisce un deterrente essenziale dei ciberattacchi, e che il quadro procedurale attuale deve essere adattato meglio all’era di internet. Talvolta le attuali procedure non sono risultate adeguate alla velocità dei ciberattacchi, che richiedono una rapida cooperazione transfrontaliera. (6)Nella risoluzione del 3 ottobre 2017 sulla lotta contro la criminalità informatica il Parlamento europeo ha ribadito tali preoccupazioni, evidenziando le difficoltà che l’attuale quadro giuridico frammentato può creare per i prestatori di servizi che intendono soddisfare le richieste dei servizi di contrasto, e ha invitato la Commissione a proporre un quadro giuridico europeo in materia di prove elettroniche che comprenda garanzie sufficienti per i diritti e le libertà di tutti gli interessati. (7)I servizi su rete possono essere forniti da qualsiasi luogo e non necessitano di un’infrastruttura fisica, di locali o personale nel paese di destinazione. Di conseguenza, le prove pertinenti sono spesso conservate al di fuori dello Stato che effettua le indagini o da un prestatore di servizi stabilito al di fuori di tale Stato. Sovente non esiste alcun altro collegamento tra il caso oggetto di indagine nello Stato interessato e lo Stato in cui si trova il luogo di conservazione o lo stabilimento principale del prestatore di servizi. (8)A causa di questa mancanza di collegamento, le richieste di cooperazione giudiziaria sono spesso rivolte a paesi che ospitano un gran numero di prestatori di servizi ma che non hanno nessun’altra relazione con il caso di specie. Per giunta il numero di richieste è fortemente aumentato a seguito dell’uso sempre maggiore dei servizi su rete, per natura privi di frontiere. Di conseguenza, per ottenere prove elettroniche attraverso i canali della cooperazione giudiziaria occorre spesso molto tempo, più di quello per cui gli eventuali indizi rimangono a disposizione. Inoltre, non esiste un quadro chiaro per la cooperazione con i prestatori di servizi, sebbene alcuni prestatori di paesi terzi accettino le richieste dirette di dati non relativi al contenuto quando consentito dal diritto nazionale applicabile. Di conseguenza, tutti gli Stati membri si basano sul canale della cooperazione con i prestatori di servizi, ove disponibile, ricorrendo a strumenti, condizioni e procedure nazionali diversi. Inoltre, per quanto riguarda i dati relativi al contenuto, alcuni Stati membri hanno preso iniziative unilaterali, mentre altri continuano a basarsi sulla cooperazione giudiziaria. (9)La frammentarietà del quadro giuridico crea difficoltà per i prestatori di servizi che cercano di ottemperare alle richieste dei servizi di contrasto. Occorre pertanto presentare un quadro giuridico europeo in materia di prove elettroniche che imponga ai prestatori di servizi che rientrano nell’ambito di applicazione dello strumento di rispondere direttamente alle autorità, senza che sia necessario l’intervento di un’autorità giudiziaria nello Stato membro del prestatore di servizio. (10)Gli ordini di cui al presente regolamento dovrebbero essere rivolti a rappresentanti legali dei prestatori di servizi appositamente designati. Se un prestatore di servizi stabilito nell’Unione non ha designato un rappresentante legale, gli ordini possono essere indirizzati a un qualsiasi stabilimento del prestatore all’interno dell’Unione. Questa possibilità di riserva consente di garantire l’efficacia del sistema qualora il prestatore di servizi non abbia (ancora) nominato un apposito rappresentante. (11)Il meccanismo dell’ordine europeo di produzione e dell’ordine europeo di conservazione per le prove elettroniche in materia penale può operare solo sulla base di un livello elevato di fiducia reciproca tra gli Stati membri, che è un prerequisito essenziale per il buon funzionamento del presente strumento.

(12)Il presente regolamento rispetta i diritti fondamentali ed osserva i principi riconosciuti in particolare dalla Carta dei diritti fondamentali dell’Unione europea, tra cui il diritto alla libertà e alla sicurezza, il rispetto della vita privata e familiare, la protezione dei dati personali, la libertà di impresa, il diritto di proprietà, il diritto a un ricorso effettivo e a un giudice imparziale, la presunzione di innocenza e i diritti della difesa, i principi della legalità e della proporzionalità e il diritto di non essere giudicato o punito due volte per lo stesso reato. Qualora abbia elementi per ritenere che in un altro Stato membro possa essere in corso un procedimento penale parallelo, lo Stato membro di emissione deve consultare le autorità di tale Stato membro in conformità della decisione quadro 2009/948/GAI del Consiglio. (13)Al fine di garantire il pieno rispetto dei diritti fondamentali, il presente regolamento fa espresso riferimento alle norme necessarie per l’ottenimento dei dati personali, il trattamento di tali dati, il controllo giurisdizionale dell’uso dell’atto d’indagine previsto dal presente strumento e i mezzi di ricorso disponibili. (14)Il presente regolamento dovrebbe essere applicato senza pregiudizio per i diritti procedurali nei procedimenti penali riconosciuti dalle direttive 2010/64/UE, 2012/13/UE, 2013/48/UE, 2016/343, 2016/800 e 2016/1919 del Parlamento europeo e del Consiglio. (15)Il presente strumento stabilisce le norme in base alle quali un’autorità giudiziaria competente dell’Unione europea può, mediante un ordine europeo di produzione o di conservazione, ingiungere a un prestatore di servizi che offre servizi nell’Unione di produrre o conservare prove elettroniche. Esso è applicabile in tutti i casi in cui il prestatore di servizi è stabilito o rappresentato in un altro Stato membro. Nelle situazioni nazionali in cui non è possibile usare gli strumenti disposti dal presente regolamento, quest’ultimo non dovrebbe limitare i poteri già conferiti dal diritto nazionale alle autorità nazionali competenti per obbligare i prestatori di servizi stabiliti o rappresentati nel loro territorio. (16)I prestatori di servizi più pertinenti per i procedimenti penali sono i prestatori di servizi di comunicazione elettronica e specifici prestatori di servizi della società dell’informazione che facilitano l’interazione tra utenti. Pertanto, entrambi i gruppi dovrebbero rientrare nell’ambito di applicazione del presente regolamento. I servizi di comunicazione elettronica sono definiti nella proposta di direttiva che istituisce il codice europeo delle comunicazioni elettroniche. Essi comprendono le comunicazioni interpersonali, quali Voice over IP (VoIP), la messaggistica istantanea e i servizi di posta elettronica. Le categorie di servizi della società dell’informazione che rientrano nel presente strumento sono quelle per le quali la conservazione dei dati è una componente propria del servizio fornito all’utente, e riguardano, in particolare, i social network nella misura in cui non possono essere considerati servizi di comunicazione elettronica, i mercati online che agevolano le operazioni tra utenti (come consumatori o imprese) e altri servizi di hosting, anche quando il servizio è fornito attraverso cloud computing. I servizi della società dell’informazione per i quali la conservazione dei dati non è una componente propria del servizio fornito all’utente bensì un elemento puramente accessorio, quali i servizi giuridici, architettonici, ingegneristici e contabili forniti online a distanza, dovrebbero essere esclusi dall’ambito di applicazione del presente regolamento, anche quando possono rientrare nella definizione di servizi della società dell’informazione di cui alla direttiva (UE) 2015/1535. (17)In molti casi i dati non sono più conservati o trattati nel dispositivo dell’utente ma sono messi a disposizione su un’infrastruttura cloud accessibile da qualsiasi luogo. Per fornire tali servizi i prestatori non hanno bisogno di essere stabiliti o avere server in una data giurisdizione. Pertanto l’applicazione del presente regolamento non dovrebbe dipendere dal luogo effettivo in cui si trova lo stabilimento del prestatore o la struttura per il trattamento o la conservazione dei dati. (18)I prestatori di servizi di infrastruttura internet relativi all’assegnazione di nomi e numeri, quali i registrar di nomi di dominio e i registri e i prestatori di servizi per la privacy o proxy, o i registri regionali di internet (Regional Internet Registry, RIR) per gli indirizzi del protocollo internet (IP), sono particolarmente rilevanti quando occorre identificare soggetti dietro siti web dannosi o compromessi. I dati in possesso di tali prestatori di servizi sono di particolare rilevanza per i procedimenti penali, in quanto permettono di identificare persone o entità dietro un sito web usato in attività criminali o le vittime dell’attività criminale qualora un sito web compromesso sia stato piratato da criminali. (19)Il presente regolamento disciplina l’acquisizione solo dei dati conservati, ossia dei dati detenuti dal prestatore di servizi al momento della ricezione di un certificato di ordine europeo di produzione o di conservazione. Non impone un obbligo generale di conservare i dati né autorizza l’intercettazione di dati o l’ottenimento di dati che saranno conservati dopo la ricezione del certificato di ordine di produzione o di conservazione. I dati devono essere forniti a prescindere dal fatto che siano criptati o meno. (20)Le categorie di dati rientranti nell’ambito di applicazione del presente regolamento comprendono i dati relativi agli abbonati, i dati relativi agli accessi, i dati relativi alle operazioni (categorie congiuntamente denominate “dati non relativi al contenuto”) e i dati relativi al contenuto. Questa distinzione, tranne per quanto riguarda i dati relativi agli accessi, esiste negli ordinamenti giuridici di molti Stati membri e nell’attuale quadro giuridico statunitense, che consente ai prestatori di servizi di condividere su base volontaria i dati non relativi al contenuto con le autorità di contrasto straniere. (21)È opportuno considerare i dati relativi agli accessi come una categoria specifica di dati ai fini del presente regolamento. I dati relativi agli accessi sono richiesti allo stesso scopo dei dati relativi agli abbonati, ossia per individuare l’utente sottostante, e il livello di impatto sui diritti fondamentali è simile a quello dei dati relativi agli abbonati. I dati relativi agli accessi tipicamente sono registrati nell’ambito di una registrazione di eventi (in altre parole un log server) per indicare l’inizio e la fine di una sessione di accesso utente a un servizio. Il più delle volte si tratta di un indirizzo IP (statico o dinamico) o altro identificatore che individua l’interfaccia di rete usata durante la sessione di accesso. Se l’utente è ignoto, spesso occorre ottenere tali dati prima di poter richiedere al prestatore di servizi i dati relativi agli abbonati correlati a quell’identificatore. (22)I dati relativi alle operazioni, invece, sono generalmente richiesti per ottenere informazioni sui contatti dell’utente e sul luogo in cui questo si trova e possono servire per definire il profilo di una persona. Ciò detto, i dati relativi agli accessi non possono, di per sé, servire a un siffatto scopo, ad esempio non rivelano nessuna informazione sugli interlocutori dell’utente. La presente proposta pertanto introduce una nuova categoria di dati, che devono essere trattati come i dati relativi agli abbonati se l’obiettivo perseguito dal loro ottenimento è analogo. (23)Tutte le categorie di dati contengono dati personali e rientrano pertanto nell’ambito di applicazione delle garanzie previste dall’acquis dell’Unione in materia di protezione dei dati, ma l’intensità dell’impatto sui diritti fondamentali varia, in particolare tra i dati relativi agli abbonati e i dati relativi agli accessi, da un lato, e i dati relativi alle operazioni e i dati relativi al contenuto, dall’altro. Mentre i dati relativi agli abbonati e i dati relativi agli accessi sono utili per ottenere i primi indizi in un’indagine sull’identità dell’indagato, i dati relativi alle operazioni e i dati relativi al contenuto sono i più pertinenti come materiale probatorio. È pertanto essenziale che tutte queste categorie di dati rientrino nell’ambito di applicazione dello strumento. Considerato il diverso livello di impatto sui diritti fondamentali, sono previste condizioni diverse per l’ottenimento dei dati relativi agli abbonati e dei dati relativi agli accessi, da un lato, e dei dati relativi alle operazioni e dei dati relativi al contenuto, dall’altro. (24)L’ordine europeo di produzione e l’ordine europeo di conservazione sono atti d’indagine che dovrebbero essere emessi solo nell’ambito di specifici procedimenti penali nei confronti di specifici autori, noti o ancora ignoti, di un reato concreto che è già stato commesso, previa valutazione individuale della proporzionalità e della necessità in ogni singolo caso. (25)Il presente regolamento non pregiudica i poteri d’indagine delle autorità nei procedimenti civili o amministrativi, anche qualora tali procedimenti possano comportare sanzioni. (26)Il presente regolamento dovrebbe applicarsi ai prestatori di servizi che offrono servizi nell’Unione, e gli ordini di cui al presente regolamento dovrebbero essere emessi solo in relazione ai dati riguardanti servizi offerti nell’Unione. I servizi offerti esclusivamente al di fuori dell’Unione non rientrano nell’ambito di applicazione del presente regolamento, anche se il prestatore di servizi è stabilito nell’Unione. (27)Per determinare se un prestatore di servizi offre servizi nell’Unione occorre verificare se il prestatore di servizi consente alle persone fisiche o giuridiche di uno o più Stati membri di usufruire dei suoi servizi. Tuttavia, la semplice accessibilità di un’interfaccia online, ad esempio l’accessibilità del sito web del prestatore di servizi o di un intermediario o di un indirizzo di posta elettronica e di altri dati di contatto in uno o più Stati membri, non dovrebbe di per sé costituire una condizione sufficiente per l’applicazione del presente regolamento. (28)Per determinare l’ambito di applicazione del presente regolamento dovrebbe sussistere anche un collegamento sostanziale con l’Unione. Tale collegamento dovrebbe considerarsi presente quando il prestatore di servizi ha uno stabilimento nell’Unione. In mancanza di stabilimento nell’Unione, il criterio del collegamento sostanziale dovrebb