Email e chat aziendali nelle indagini penali. Le nuove regole europee e il d.lgs. 188/2026

La posta elettronica e le chat con cui un'impresa assume le proprie decisioni e intrattiene i rapporti commerciali sono oggi conservate in larga parte presso fornitori di servizi digitali stabiliti all'estero. La loro acquisizione transfrontaliera in un procedimento penale è ora disciplinata dal regolamento (UE) 2023/1543, applicabile dal 18 agosto 2026, al quale l'ordinamento italiano si è adeguato con il d.lgs. n. 215 del 2025 e, da ultimo, con il d.lgs. 8 ottobre 2026, n. 188, che dal 4 novembre ne completa la disciplina, in particolare sul piano delle garanzie e dei rimedi.

Fino al 18 agosto 2026 l'autorità giudiziaria italiana doveva di regola passare per quella dello Stato in cui il fornitore è stabilito, mediante una rogatoria o un ordine europeo di indagine, per il quale la direttiva 2014/41/UE prevede trenta giorni per il riconoscimento e ulteriori novanta per l'esecuzione, salve le possibilità di proroga e di rinvio. Il regolamento le consente ora di rivolgersi direttamente al prestatore di servizi con un ordine europeo di produzione, da eseguire entro dieci giorni e nei casi di emergenza entro otto ore, oppure con un ordine di conservazione che impedisce la cancellazione dei dati in attesa della successiva acquisizione. Nelle indagini preliminari il pubblico ministero può chiedere i dati relativi agli abbonati e quelli necessari a identificare l'utente, mentre per i dati sul traffico e per i dati di contenuto, nei quali rientrano, oltre alle email e ai messaggi, anche i documenti conservati nel cloud, occorre il provvedimento del giudice per le indagini preliminari. Per questi ultimi si deve inoltre procedere per un reato punito con una pena massima non inferiore a tre anni o per alcune fattispecie indicate dal regolamento, tra cui determinati reati informatici e di terrorismo.

Quando il fornitore conserva i dati per conto dell'impresa, che ne è titolare del trattamento, l'art. 5 del regolamento consente di rivolgere l'ordine direttamente al fornitore soltanto se il titolare non è identificabile oppure se il suo coinvolgimento potrebbe pregiudicare l'indagine. In un procedimento che riguardi l'attività aziendale, compreso quello per la responsabilità dell'ente ai sensi del d.lgs. 231/2001, sarebbe verosimilmente questa seconda ipotesi a essere invocata, e il fornitore, tenuto di regola a informare l'impresa dell'avvenuta produzione, potrebbe ricevere dall'autorità la richiesta motivata di astenersene per il tempo necessario alle indagini.

La persona i cui dati sono stati richiesti deve esserne informata tempestivamente, ma l'art. 13 del regolamento consente di ritardare, limitare od omettere l'informazione a tutela delle indagini, alle condizioni che il d.lgs. n. 188 individua richiamando l'art. 14 del d.lgs. n. 51 del 2018, e la notizia dell'acquisizione potrebbe quindi giungere quando i dati sono stati prodotti da tempo.

L'informazione deve indicare i rimedi previsti dall'art. 4 del d.lgs. n. 188, che consentono di contestare l'ordine anche sotto il profilo della necessità e della proporzionalità, con il riesame dell'art. 324 c.p.p. se l'ordine è stato emesso o convalidato dal giudice e, se è stato emesso o convalidato dal pubblico ministero, con il ricorso al giudice per le indagini preliminari da proporre entro dieci giorni dalla conoscenza dell'acquisizione. L'art. 2, comma 7, del d.lgs. n. 215 del 2025 sancisce inoltre l'inutilizzabilità dei dati acquisiti fuori dai casi o in mancanza delle condizioni previste dal regolamento e dallo stesso decreto.

L'ordine europeo di produzione può essere emesso anche su richiesta della persona sottoposta alle indagini, dell'imputato o dei rispettivi difensori, secondo le attribuzioni dell'autorità giudiziaria competente. Lo strumento potrebbe servire soprattutto per i dati che l'impresa non detiene, come le comunicazioni di terzi conservate presso fornitori esteri, oppure per ottenere direttamente dal fornitore dati la cui provenienza difficilmente potrebbe essere contestata.

Per l'impresa il punto più delicato resta tuttavia l'ordine rivolto direttamente al fornitore, perché nel certificato che questi riceve le condizioni per prescindere dal titolare sono indicate barrando una casella, mentre le ragioni di necessità e di proporzionalità e la descrizione del caso, che il regolamento impone di indicare, restano nell'ordine. È quindi sull'ordine e sugli atti del fascicolo, dai quali devono risultare anche le ragioni dell'eventuale richiesta di differire l'informazione, che si concentrerebbe la contestazione, e quando risultasse che i dati sono stati ottenuti in mancanza delle condizioni stabilite dal regolamento ne potrebbe conseguire l'inutilizzabilità.