Un messaggio scritto a Roma può viaggiare su un servizio con sede in Irlanda, appoggiarsi a server sparsi in mezza Europa e diventare, poche ore dopo, la prova decisiva di un'indagine per truffa o terrorismo. Fino a ieri, per arrivarci, un magistrato italiano doveva passare attraverso l'autorità di un altro Stato, con il rischio di dover aspettare mesi. Dal 18 agosto 2026 è applicabile il regolamento (UE) 2023/1543, che introduce l'Ordine europeo di produzione e l'Ordine europeo di conservazione delle prove elettroniche. Il percorso, da quel giorno, è molto più corto.
Il problema è ormai strutturale, secondo la Commissione europea più della metà delle indagini penali comprende, ad oggi, una richiesta transfrontaliera di accesso a prove elettroniche. La rapina di oggi non lascia impronte, lascia log.
Il meccanismo è semplice. Con l'ordine europeo di produzione un'autorità giudiziaria si rivolge direttamente al fornitore di servizi, o al suo rappresentante legale in un altro Stato membro. Il destinatario deve rispondere entro dieci giorni, che scendono a otto ore nei casi di emergenza: la Commissione mette questi tempi a confronto con i possibili 120 giorni dell'Ordine europeo d'indagine e con una media di circa dieci mesi per le procedure tradizionali di assistenza giudiziaria. Accanto c'è l'ordine di conservazione: non chiede la consegna del dato, ma impone al provider di congelarlo in attesa di una richiesta successiva. Serve perché i dati digitali muoiono in fretta.
Cambia anche la domanda di fondo. Il sistema sposta l'attenzione dalla posizione fisica del server al soggetto che disp
one giuridicamente delle informazioni: nel cloud non conta dove sta l'armadio, conta chi ha la chiave. Per questo la direttiva (UE) 2023/1544 obbliga i provider ad avere nell'Unione uno stabilimento designato o un rappresentante legale, così da raggiungere anche società con sede fuori dall'Ue.
Non tutti i dati hanno lo stesso peso. Per il traffico e per i contenuti l'ordine è ammesso, in generale, per reati puniti con almeno tre anni di pena detentiva massima, oltre ad alcune fattispecie europee come reati informatici e terrorismo, e serve l'intervento o la convalida di un giudice; per i dati dell'abbonato e per le informazioni di sola identificazione può bastare il pubblico ministero. Due chiarimenti utili contro la confusione che circola: non esiste un obbligo generale di decifrare dati a cui il provider non può accedere, e il regolamento non dà alcun potere a una "polizia europea" né consente a Europol di ordinare la consegna dei dati.
L'Italia è arrivata pronta. I decreti legislativi 215 e 216 del 2025, pubblicati in Gazzetta Ufficiale il 15 gennaio 2026, in vigore dal 30 gennaio, individuano le autorità competenti e le procedure per emissione, esecuzione e riesame degli ordini, con previsioni specifiche sull'inutilizzabilità delle prove acquisite in violazione delle regole.
Qui finisce la parte facile. Il canale diretto fa guadagnare tempo, ma toglie un filtro. Il regolamento compensa con una notifica allo Stato in cui il provider è stabilito, che nei casi previsti può fermare la produzione a tutela di immunità, privilegi, protezione dei dati e libertà di stampa. Le organizzazioni per i diritti digitali sostengono però che la rete abbia maglie larghe: nessuna notifica è prevista quando si chiedono dati dell'abbonato o dati di traffico al solo scopo di identificare un sospettato, cioè tipicamente indirizzi IP, che possono però rivelare l'identità di un whistleblower o di un giornalista. Il timore dichiarato è l'uso dello strumento contro giornalisti, attivisti, oppositori politici e avvocati in contesti dove lo stato di diritto è già fragile.
C'è poi chi gli ordini deve eseguirli. Le tempistiche strette rischiano di comprimere lo spazio per valutare legittimità e proporzionalità delle richieste, ed espongono le aziende a errori o comunicazioni indebite di dati: il regolamento trasferisce una quota sostanziale di responsabilità sui prestatori, che dialogano con autorità straniere senza il filtro sistematico dell'autorità nazionale. Un ufficio legale che riceve un ordine alle due di notte, in una lingua che non è la sua, ha otto ore per decidere. Non è molto.
L'e-Evidence non è una legge sulla sorveglianza di massa, e chi la racconta così sbaglia bersaglio. È qualcosa di più sottile: la scommessa che la giustizia penale europea sia abbastanza omogenea da poter fare a meno di un controllo intermedio. Se regge, lo diranno i primi casi difficili davanti alla Corte di giustizia.