(1)

L'Unione si è data l'obiettivo di mantenere e sviluppare uno spazio di libertà, sicurezza e giustizia. Per realizzare gradualmente tale spazio, l'Unione deve adottare misure nel settore della cooperazione giudiziaria in materia penale basate sul principio del reciproco riconoscimento delle sentenze e decisioni giudiziarie, il quale, a partire dal Consiglio europeo di Tampere del 15 e 16 ottobre 1999, è comunemente considerato una pietra angolare della cooperazione giudiziaria in materia penale nell'Unione.

(2)

Le misure per ottenere e conservare prove elettroniche sono sempre più importanti per le indagini e i procedimenti penali all'interno dell'Unione. Per combattere la criminalità sono essenziali meccanismi efficaci per l'ottenimento di prove elettroniche, e tali meccanismi dovrebbero essere soggetti a condizioni e garanzie per assicurare il pieno rispetto dei diritti fondamentali e dei principi riconosciuti dall'articolo 6 del trattato sull'Unione europea (TUE) e dalla Carta dei diritti fondamentali dell'Unione europea («Carta»), in particolare i principi di necessità e proporzionalità e i diritti al giusto processo, alla protezione della vita privata e dei dati personali e alla riservatezza delle comunicazioni.

(3)

La dichiarazione congiunta dei ministri della Giustizia e degli Affari interni e dei rappresentanti delle istituzioni dell'Unione del 24 marzo 2016 sugli attentati terroristici di Bruxelles ha sottolineato la necessità di assicurare ed ottenere, in via prioritaria, prove digitali più rapidamente ed efficacemente e di individuare misure concrete per farlo.

(4)

Le conclusioni del Consiglio del 9 giugno 2016 hanno sottolineato il rilievo crescente delle prove elettroniche nei procedimenti penali e l'importanza di proteggere il ciberspazio da abusi e attività criminali nell'interesse delle economie e delle società e, di conseguenza, la necessità per le autorità di contrasto e le autorità giudiziarie di disporre di strumenti efficaci per indagare e perseguire atti criminali connessi al ciberspazio.

(5)

Nella comunicazione congiunta della Commissione e dell'alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza al Parlamento europeo e al Consiglio, del 13 settembre 2017, dal titolo «Resilience, Deterrence and Defence: Building strong cybersecurity for the EU» (Resilienza, deterrenza e difesa: verso una cibersicurezza forte per l'UE), la Commissione ha sottolineato che indagare e perseguire efficacemente i reati favoriti dalla cibernetica costituisce un deterrente essenziale dei ciberattacchi, e che il quadro procedurale attuale deve essere adattato meglio all'era di internet. La velocità dei ciberattacchi può talvolta avere il sopravvento sulle nostre procedure, creando quindi particolari necessità di una rapida cooperazione transfrontaliera.

(6)

La risoluzione del Parlamento europeo del 3 ottobre 2017 sulla lotta alla criminalità informatica (3) ha sottolineato la necessità di trovare le risorse per ottenere prove elettroniche in maniera più rapida, come pure l'importanza di una stretta cooperazione tra le autorità di contrasto, i paesi terzi e i prestatori di servizi operanti nel territorio europeo, in conformità del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (4) e della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio (5), nonché degli accordi esistenti di mutua assistenza giudiziaria. Tale risoluzione del Parlamento europeo ha inoltre sottolineato che l'attuale frammentazione del quadro giuridico può creare sfide per i prestatori di servizi che intendono soddisfare le richieste dei servizi di contrasto, e ha invitato la Commissione a proporre un quadro giuridico europeo in materia di prove elettroniche che comprenda garanzie sufficienti per i diritti e le libertà di tutti gli interessati, esprimendo al contempo apprezzamento per l'attuale lavoro della Commissione mirato a una piattaforma di cooperazione con un canale di comunicazione sicuro per gli scambi digitali degli ordini europei di indagine (OEI) per le prove elettroniche e le risposte tra le autorità giudiziarie dell'Unione.

(7)

I servizi su rete possono essere forniti da qualsiasi luogo e non necessitano di un'infrastruttura fisica, di locali o personale nel paese in cui è offerto il pertinente servizio. Pertanto, le prove elettroniche pertinenti sono spesso conservate al di fuori dello Stato che effettua le indagini o da un prestatore di servizi stabilito al di fuori di tale Stato, creando difficoltà per quanto riguarda la raccolta di prove elettroniche nell'ambito di procedimenti penali.

(8)

A causa del modo in cui sono forniti i servizi su rete, le richieste di cooperazione giudiziaria sono spesso rivolte a paesi che ospitano un gran numero di prestatori di servizi. Il numero di richieste è inoltre fortemente aumentato a causa dell'uso sempre maggiore dei servizi su rete. La direttiva 2014/41/UE del Parlamento europeo e del Consiglio (6) stabilisce la possibilità di emettere un OEI ai fini dell'acquisizione di prove in un altro Stato membro. Inoltre, la convenzione stabilita dal Consiglio conformemente all'articolo 34 del trattato sull'Unione europea, relativa all'assistenza giudiziaria in materia penale tra gli Stati membri dell'Unione europea (7) («convenzione relativa all'assistenza giudiziaria in materia penale») prevede anche la possibilità di richiedere prove a un altro Stato membro. Tuttavia, le procedure e le scadenze previste nell'ambito della direttiva 2014/41/UE che istituisce l'OEI e nella convenzione relativa all'assistenza giudiziaria in materia penale potrebbero non essere adeguate per le prove elettroniche, che sono più volatili e potrebbero essere cancellate più facilmente e rapidamente. Per ottenere prove elettroniche attraverso i canali della cooperazione giudiziaria occorre spesso molto tempo, dando luogo a situazioni in cui gli eventuali indizi potrebbero non essere più a disposizione. Inoltre, non esiste un quadro armonizzato per la cooperazione con i prestatori di servizi, sebbene alcuni prestatori di paesi terzi accettino le richieste dirette di dati diversi dai dati relativi al contenuto quando consentito dal diritto nazionale applicabile. Di conseguenza, gli Stati membri si basano sempre di più sui canali di cooperazione volontari diretti con i prestatori di servizi, ove disponibili, e applicano strumenti, condizioni e procedure nazionali diversi. Per quanto riguarda i dati relativi al contenuto, alcuni Stati membri hanno preso iniziative unilaterali, mentre altri continuano a basarsi sulla cooperazione giudiziaria.

(9)

La frammentarietà del quadro giuridico crea difficoltà per le autorità di contrasto e le autorità giudiziarie, così come per i prestatori di servizi che cercano di ottemperare alle richieste di natura giuridica di prove elettroniche, in quanto sono sempre più spesso confrontati a incertezza giuridica e, potenzialmente, a conflitti di leggi. Occorre pertanto prevedere norme specifiche per quanto riguarda la cooperazione giudiziaria transfrontaliera per conservare e produrre prove elettroniche, che affrontino la natura specifica delle prove elettroniche. Tali norme dovrebbero includere l'obbligo per i prestatori di servizi che rientrano nell'ambito di applicazione del presente regolamento di rispondere direttamente alle richieste provenienti dalle autorità di un altro Stato membro. Il presente regolamento integrerà pertanto la legislazione dell'Unione vigente e chiarirà le norme applicabili alle autorità di contrasto e alle autorità giudiziarie nonché ai prestatori di servizi nel settore delle prove elettroniche, garantendo nel contempo il pieno rispetto dei diritti fondamentali.

(10)

Il presente regolamento rispetta i diritti fondamentali e osserva i principi riconosciuti dall'articolo 6 TUE e dalla Carta, dal diritto internazionale e dagli accordi internazionali di cui l'Unione o tutti gli Stati membri sono parte, compresa la convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali, e dalle costituzioni degli Stati membri nel loro rispettivo ambito di applicazione. Tali diritti e principi includono, in particolare, il diritto alla libertà e alla sicurezza, il rispetto della vita privata e familiare, la protezione dei dati personali, la libertà di impresa, il diritto di proprietà, il diritto a un ricorso effettivo e a un giudice imparziale, la presunzione di innocenza e i diritti della difesa, i principi di legalità e proporzionalità e il diritto di non essere giudicato o punito due volte per lo stesso reato.

(11)

Nessun elemento del presente regolamento dovrebbe essere interpretato nel senso di impedire il rifiuto di un ordine europeo di produzione da parte di un'autorità di esecuzione qualora sussistano elementi oggettivi per ritenere che l'ordine europeo di produzione sia stato emesso al fine di perseguire penalmente o punire una persona per motivi fondati sul genere, sull'origine razziale o etnica, la religione, l'orientamento sessuale o l'identità di genere, la nazionalità, la lingua o le opinioni politiche, oppure che la posizione di tale persona possa essere pregiudicata per uno di tali motivi.

(12)

Il meccanismo dell'ordine europeo di produzione e dell'ordine europeo di conservazione per le prove elettroniche nei procedimenti penali si basa sul principio della fiducia reciproca tra gli Stati membri e sulla presunzione di conformità da parte degli Stati membri al diritto dell'Unione, allo Stato di diritto e, in particolare, ai diritti fondamentali, che sono elementi essenziali dello spazio di libertà, di sicurezza e di giustizia dell'Unione. Tale meccanismo consente alle autorità nazionali competenti di inviare tali ordini direttamente ai prestatori di servizi.

(13)

Il rispetto della vita privata e familiare e la tutela delle persone fisiche in relazione al trattamento dei dati personali sono diritti fondamentali. In conformità dell'articolo 7 e dell'articolo 8, paragrafo 1, della Carta, ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni, nonché alla protezione dei dati personali che la riguardano.

(14)

Nell'attuare il presente regolamento gli Stati membri dovrebbero assicurare che i dati personali siano protetti e trattati in conformità del regolamento (UE) 2016/679 e della direttiva (UE) 2016/680, nonché della direttiva 2002/58/CE del Parlamento europeo e del Consiglio (8), anche in caso di ulteriori utilizzi, trasmissioni e trasferimenti successivi dei dati ottenuti.

(15)

I dati personali acquisiti in conformità del presente regolamento dovrebbero essere trattati solamente laddove necessario e in modo proporzionato ai fini della prevenzione, dell'indagine, dell'accertamento e del perseguimento di reati o dell'esecuzione di sanzioni penali e dell'esercizio dei diritti della difesa. In particolare gli Stati membri dovrebbero garantire che alla trasmissione di dati personali da parte delle autorità competenti ai prestatori di servizi ai fini del presente regolamento si applichino politiche e misure adeguate in materia di protezione dei dati, comprese misure per garantire la sicurezza dei dati. I prestatori di servizi dovrebbero garantire che le stesse garanzie si applichino alla trasmissione di dati personali alle autorità competenti. Soltanto le persone autorizzate dovrebbero avere accesso alle informazioni contenenti dati personali che possono essere acquisiti tramite processi di autenticazione.

(16)

I diritti procedurali nei procedimenti penali stabiliti nelle direttive 2010/64/UE (9), 2012/13/UE (10), 2013/48/UE (11), (UE) 2016/343 (12), (UE) 2016/800 (13) e (UE) 2016/1919 (14) del Parlamento europeo e del Consiglio dovrebbero applicarsi, nei limiti dell'ambito di applicazione di tali direttive, ai procedimenti penali rientranti nell'ambito di applicazione del presente regolamento per quanto riguarda gli Stati membri vincolati da tali direttive. Dovrebbero applicarsi anche le garanzie procedurali previste dalla Carta.

(17)

Al fine di garantire il pieno rispetto dei diritti fondamentali, il valore probatorio delle prove raccolte in applicazione del presente regolamento dovrebbe essere valutato in giudizio dall'autorità giudiziaria competente, conformemente al diritto nazionale e nel rispetto, in particolare, del diritto a un processo equo e dei diritti della difesa.

(18)

Il presente regolamento stabilisce le norme in base alle quali un'autorità giudiziaria competente dell'Unione può, nell'ambito di un procedimento penale, comprese le indagini penali, o per l'esecuzione di una pena o di una misura di sicurezza detentiva a seguito di un procedimento penale in conformità del presente regolamento, ingiungere a un prestatore di servizi che offre servizi nell'Unione di produrre o conservare prove elettroniche mediante un ordine europeo di produzione o un ordine europeo di conservazione. Il presente regolamento dovrebbe essere applicabile in tutti i casi transfrontalieri in cui il prestatore di servizi ha lo stabilimento designato o il rappresentante legale in un altro Stato membro. Il presente regolamento non pregiudica la facoltà delle autorità nazionali di rivolgersi ai prestatori di servizi stabiliti o rappresentati nel loro territorio affinché ottemperino a misure nazionali dello stesso tipo.

(19)

Il presente regolamento dovrebbe disciplinare l'acquisizione dei dati conservati dal prestatore di servizi solamente al momento della ricezione di un ordine europeo di produzione o di un ordine europeo di conservazione. Non dovrebbe imporre un obbligo generale di conservazione dei dati per i prestatori di servizi e non dovrebbe avere l'effetto di comportare una conservazione generalizzata e indifferenziata dei dati. Il presente regolamento non dovrebbe inoltre autorizzare l'intercettazione di dati o l'ottenimento di dati che sono conservati dopo la ricezione di un ordine europeo di produzione o di un ordine europeo di conservazione.

(20)

L'applicazione del presente regolamento non dovrebbe pregiudicare l'uso della cifratura da parte dei prestatori di servizi o dei loro utenti. I dati richiesti per mezzo di un ordine europeo di produzione o di un ordine europeo di conservazione dovrebbero essere forniti o conservati a prescindere dal fatto che siano criptati o meno. Tuttavia, il presente regolamento non dovrebbe stabilire alcun obbligo per i prestatori di servizi di decifrare i dati.

(21)

In molti casi i dati non sono più conservati o altrimenti trattati nel dispositivo dell'utente ma sono messi a disposizione su un'infrastruttura cloud che consente l'accesso da qualsiasi luogo. Per fornire tali servizi i prestatori non hanno bisogno di essere stabiliti o di avere server in una specifica giurisdizione. Pertanto l'applicazione del presente regolamento non dovrebbe dipendere dal luogo effettivo in cui sono stabiliti il prestatore di servizi o la struttura per il trattamento o la conservazione dei dati.

(22)

Il presente regolamento non pregiudica i poteri d'indagine delle autorità nei procedimenti civili o amministrativi, anche qualora tali procedimenti possano comportare sanzioni.

(23)

Poiché un procedimento relativo a una richiesta di assistenza giudiziaria può essere considerato un procedimento penale in base al diritto nazionale applicabile negli Stati membri, è opportuno precisare che non si dovrebbe emettere un ordine europeo di produzione o un ordine europeo di conservazione per fornire assistenza giudiziaria a un altro Stato membro o a un paese terzo. In tal caso, la richiesta di assistenza giudiziaria dovrebbe essere rivolta allo Stato membro o al paese terzo che può fornire assistenza giuridica secondo il proprio diritto nazionale.

(24)

Nel quadro dei procedimenti penali, l'ordine europeo di produzione e l'ordine europeo di conservazione dovrebbero essere emessi solo per specifici procedimenti penali riguardanti un reato concreto che è già stato commesso, previa valutazione individuale della necessità e della proporzionalità di tali ordini in ogni singolo caso, tenendo conto dei diritti della persona oggetto di indagini o imputata.

(25)

Il presente regolamento dovrebbe applicarsi anche ai procedimenti avviati da un'autorità di emissione per rintracciare una persona condannata latitante, al fine di eseguire una pena o una misura di sicurezza detentiva a seguito di un procedimento penale. Tuttavia, se la pena o la misura di sicurezza privative della libertà sono state irrogate con decisione pronunciata in contumacia, non dovrebbe essere possibile emettere un ordine europeo di produzione o un ordine europeo di conservazione, dal momento che il diritto nazionale degli Stati membri in materia di decisioni giudiziarie pronunciate in contumacia varia notevolmente all'interno dell'Unione.

(26)

Il presente regolamento dovrebbe applicarsi ai prestatori di servizi che offrono servizi nell'Unione, e dovrebbe essere possibile emettere gli ordini di cui al presente regolamento in relazione ai dati riguardanti servizi offerti nell'Unione. I servizi offerti esclusivamente al di fuori dell'Unione non dovrebbero rientrare nell'ambito di applicazione del presente regolamento, anche se il prestatore di servizi è stabilito nell'Unione. Pertanto, il presente regolamento non dovrebbe consentire l'accesso a dati diversi dai dati relativi ai servizi offerti all'utente nell'Unione da tali prestatori di servizi.

(27)

I prestatori di servizi più pertinenti per l'acquisizione di prove nei procedimenti penali sono i prestatori di servizi di comunicazione elettronica e specifici prestatori di servizi della società dell'informazione che facilitano l'interazione tra utenti. Pertanto, entrambi i gruppi dovrebbero rientrare nell'ambito di applicazione del presente regolamento. I servizi di comunicazione elettronica sono definiti nella direttiva (UE) 2018/1972 del Parlamento europeo e del Consiglio (15) e comprendono i servizi di comunicazioni interpersonali, quali Voice over IP (VoIP), la messaggistica istantanea e i servizi di posta elettronica. Il presente regolamento dovrebbe essere applicabile anche a prestatori di servizi della società dell'informazione ai sensi della direttiva (UE) 2015/1535 del Parlamento europeo e del Consiglio (16) che non possono essere considerati prestatori di servizi di comunicazione elettronica ma offrono agli utenti la possibilità di comunicare tra loro oppure servizi che possono essere utilizzati per memorizzare o altrimenti trattare dati per loro conto. Ciò sarebbe in linea con i termini utilizzati nella Convenzione del Consiglio d'Europa sulla criminalità informatica (STC n. 185) («Convenzione di Budapest»), firmata a Budapest il 23 novembre 2001 («convenzione di Budapest»). Il trattamento dei dati dovrebbe essere inteso nel senso tecnico di creazione o manipolazione di dati, vale a dire di operazioni tecniche volte a produrre o modificare dati attraverso la potenza di elaborazione informatica. Le categorie di prestatori di servizi che rientrano nel presente regolamento dovrebbero includere, ad esempio, i mercati online che offrono ai consumatori e alle imprese la possibilità di comunicare tra loro e altri servizi di hosting, anche quando il servizio è fornito attraverso cloud computing, nonché le piattaforme di gioco online e le piattaforme di gioco d'azzardo online. Se un prestatore di servizi della società dell'informazione non offre ai propri utenti la possibilità di comunicare tra loro, ma solo con il prestatore di servizi, o non offre la possibilità di memorizzare o altrimenti trattare dati, ovvero se la conservazione di dati non costituisce una componente propria, ovvero una parte essenziale del servizio fornito agli utenti, quali i servizi giuridici, di ingegneria architettonica e contabili forniti online a distanza, esso non dovrebbe rientrare nella definizione di «prestatore di servizi» di cui al presente regolamento, anche se i servizi forniti da tale prestatore sono servizi della società dell'informazione ai sensi della direttiva (UE) 2015/1535.

(28)

I prestatori di servizi di infrastruttura internet relativi all'assegnazione di nomi e numeri, quali i registri e i registrar di nomi di dominio e i prestatori di servizi per la privacy o proxy, o i registri regionali di internet per gli indirizzi del protocollo internet (IP), sono particolarmente rilevanti quando occorre identificare soggetti dietro siti web dannosi o compromessi. I dati in possesso di tali prestatori di servizi potrebbero permettere di identificare persone o entità dietro un sito web usato in un'attività criminale o le vittime di un'attività criminale.

(29)

Per determinare se un prestatore di servizi offre servizi nell'Unione occorre verificare se il prestatore di servizi consente alle persone fisiche o giuridiche di uno o più Stati membri di usufruire dei suoi servizi. Tuttavia, la semplice accessibilità di un'interfaccia online nell'Unione, ad esempio l'accessibilità di un sito web o di un indirizzo di posta elettronica o di altri dati di contatto di un prestatore di servizi o di un intermediario, presi singolarmente, dovrebbero essere considerati insufficienti per determinare che un prestatore di servizi offre servizi nell'Unione ai sensi del presente regolamento.

(30)

Per determinare se un prestatore di servizi offre servizi nell'Unione dovrebbe sussistere anche un collegamento sostanziale con l'Unione. Tale collegamento dovrebbe considerarsi presente quando il prestatore di servizi ha uno stabilimento nell'Unione. In mancanza di tale stabilimento nell'Unione, il criterio del collegamento sostanziale dovrebbe basarsi su specifici criteri di fatto quali l'esistenza di un numero significativo di utenti in uno o più Stati membri, o dell'orientamento delle attività verso uno o più Stati membri. L'orientamento delle attività verso uno o più Stati membri dovrebbe essere determinato sulla base di tutte le circostanze pertinenti, tra cui l'uso di una lingua o di una moneta generalmente usata nello Stato membro in questione o la possibilità di ordinare prodotti o servizi. L'orientamento delle attività verso uno Stato membro potrebbe anche desumersi dalla disponibilità di un'applicazione («app») nell'apposito negozio online («app store») nazionale, dalla fornitura di pubblicità a livello locale o nella lingua generalmente usata nello Stato membro in questione o dalla gestione dei rapporti con la clientela, ad esempio la fornitura dell'assistenza alla clientela nella lingua generalmente usata in tale Stato membro. Il criterio del collegamento sostanziale dovrebbe inoltre considerarsi soddisfatto qualora il prestatore di servizi diriga le sue attività verso uno o più Stati membri, come previsto dal regolamento (UE) n. 1215/2012 del Parlamento europeo e del Consiglio (17). Al contrario, la fornitura di un servizio al fine del mero rispetto del divieto di discriminazione imposto dal regolamento (UE) 2018/302 del Parlamento europeo e del Consiglio (18) non può di per sé considerarsi direzione o orientamento delle attività verso un dato territorio all'interno dell'Unione. Le stesse considerazioni dovrebbero applicarsi nel determinare se un prestatore di servizi offre servizi in uno Stato membro.

(31)

Il presente regolamento dovrebbe comprende le seguenti categorie di dati: dati relativi agli abbonati, dati relativi al traffico e dati relativi al contenuto. Tale categorizzazione è conforme agli ordinamenti giuridici di molti Stati membri e al diritto dell'Unione, in particolare alla direttiva 2002/58/CE e alla giurisprudenza della Corte di giustizia, come pure al diritto internazionale, segnatamente la Convenzione di Budapest.

(32)

Gli indirizzi IP come pure i numeri di accesso e le relative informazioni possono rappresentare un punto di partenza fondamentale per le indagini penali in cui l'identità di un indagato non è nota. Tipicamente essi costituiscono componenti di una registrazione di eventi, anche conosciuta come «log server», che indica l'inizio e la fine di una sessione di accesso utente a un servizio. Il più delle volte si tratta di un indirizzo IP, statico o dinamico, o di un altro identificatore che individua l'interfaccia di rete usata durante la sessione di accesso. Sono necessarie informazioni correlate sull'inizio e la fine di una sessione di accesso utente a un servizio, quali porte sorgenti e marche temporali o equivalenti, in quanto gli indirizzi IP sono spesso condivisi tra utenti, ad esempio quando sono in essere servizi di traduzione degli indirizzi di rete di livello carrier (CGN) o equivalenti tecnici. Tuttavia, in conformità dell'acquis dell'Unione, gli indirizzi IP devono essere considerati quali dati personali e devono godere di piena protezione a norma dell'acquis dell'Unione sulla protezione dei dati. Inoltre, in determinate circostanze, gli indirizzi IP possono essere considerati dati relativi al traffico. In alcuni Stati membri anche i numeri di accesso e le relative informazioni sono considerati dati relativi al traffico. Tuttavia, ai fini di un'indagine penale specifica, le autorità di contrasto possono dover richiedere un indirizzo IP nonché i numeri di accesso e le relative informazioni al solo fine di identificare l'utente prima che i dati relativi agli abbonati collegati a quell'identificativo possano essere richiesti al prestatore di servizi. In tali casi, è opportuno applicare lo stesso regime applicabile ai dati relativi agli abbonati, quali definiti nel presente regolamento.

(33)

Qualora gli indirizzi IP, i numeri di accesso e le relative informazioni non siano richiesti al solo scopo di identificare l'utente nell'ambito di un'indagine penale specifica, essi sono generalmente richiesti per ottenere informazioni più invasive della vita privata, come quelle sui contatti dell'utente e sul luogo in cui questo si trova. Pertanto, essi potrebbero servire per definire il profilo completo di una persona, ma al tempo stesso possono essere trattati e analizzati più facilmente rispetto ai dati relativi al contenuto, essendo già presentati in un formato strutturato e standardizzato. È pertanto essenziale che, in tali situazioni, gli indirizzi IP, i numeri di accesso e le relative informazioni non richiesti al solo fine di identificare l'utente nell'ambito di un'indagine penale specifica siano trattati come dati relativi al traffico e richiesti nel quadro dello stesso regime applicabile a quello dei dati relativi al contenuto, quali definiti nel presente regolamento.

(34)

Tutte le categorie di dati contengono dati personali e rientrano pertanto nell'ambito di applicazione delle garanzie previste dall'acquis dell'Unione in materia di protezione dei dati. Tuttavia, l'intensità dell'impatto sui diritti fondamentali varia a seconda delle categorie, in particolare tra i dati relativi agli abbonati e i dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, da un lato, e i dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, e i dati relativi al contenuto, dall'altro. Mentre i dati relativi agli abbonati nonché gli indirizzi IP, i numeri di accesso e le relative informazioni, se richiesti al solo scopo di identificare l'utente, potrebbero essere utili per ottenere i primi indizi in un'indagine sull'identità dell'indagato, i dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, e i dati relativi al contenuto sono spesso più pertinenti come materiale probatorio. È pertanto essenziale che tutte queste categorie di dati rientrino nell'ambito di applicazione del presente regolamento. Considerato il diverso livello di impatto sui diritti fondamentali, dovrebbero essere previste garanzie e condizioni adeguate per l'ottenimento di tali dati.

(35)

Le situazioni in cui sussiste una minaccia imminente per la vita, l'integrità fisica o l'incolumità di una persona dovrebbero essere trattate come casi di emergenza e prevedere termini più brevi per il prestatore di servizi e l'autorità di esecuzione. Qualora il danneggiamento o la distruzione di un'infrastruttura critica ai sensi della direttiva 2008/114/CE del Consiglio (19) comporti tale minaccia, anche in ragione di un grave danno alla fornitura di beni indispensabili alla popolazione o all'esercizio delle funzioni essenziali dello Stato, tale situazione dovrebbe essere considerata un caso di emergenza, in conformità del diritto dell'Unione.

(36)

È opportuno che nel processo di emissione o di convalida di un ordine europeo di produzione o di un ordine europeo di conservazione intervenga sempre un'autorità giudiziaria. Considerata la natura più sensibile dei dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, e dei dati relativi al contenuto, l'emissione o la convalida di un ordine europeo di produzione per ottenere tali categorie di dati richiede il riesame da parte di un giudice. Poiché i dati relativi agli abbonati e i dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento sono meno sensibili, un ordine europeo di produzione per ottenere tali dati può essere emesso o convalidato anche da un pubblico ministero competente. Nel rispetto del diritto a un equo processo, garantito nella Carta dei diritti fondamentali dell'Unione europea e nella Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali, i pubblici ministeri esercitano le loro responsabilità in modo obiettivo, prendendo le loro decisioni circa l'emissione o la convalida di un ordine europeo di produzione o di un ordine europeo di conservazione unicamente sulla base degli elementi fattuali contenuti nel fascicolo e tenendo conto di tutti gli elementi a carico e a discarico.

(37)

Al fine di assicurare che i diritti fondamentali siano pienamente tutelati, la convalida degli ordini europei di produzione o degli ordini europei di conservazione da parte delle autorità giudiziarie dovrebbe in linea di massima essere ottenuta prima dell'emissione dell'ordine in questione. Dovrebbe essere possibile derogare a tale principio solo in casi di urgenza debitamente giustificata nelle richieste di produzione di dati relativi agli abbonati o di dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento o di conservazione di dati, se non è possibile ottenere previa convalida da parte dell'autorità giudiziaria in tempo utile, in particolare quando non è possibile contattare l'autorità di convalida per ottenere la convalida e la minaccia è talmente imminente da richiedere un intervento immediato. Tuttavia, tali eccezioni dovrebbero essere previste solo nel caso in cui l'autorità che emette l'ordine in questione potrebbe emettere l'ordine senza previa convalida in un caso interno analogo conformemente al diritto nazionale.

(38)

Un ordine europeo di produzione dovrebbe essere emesso solo se è necessario, proporzionato, adeguato e applicabile al caso di specie. L'autorità di emissione dovrebbe tenere conto dei diritti della persona oggetto di indagini o imputata nei procedimenti relativi a un reato ed emettere un ordine europeo di produzione solo se tale ordine avrebbe potuto essere disposto alle stesse condizioni in un caso interno analogo. La valutazione se emettere o meno un ordine europeo di produzione dovrebbe considerare se tale ordine è limitato a quanto strettamente necessario per raggiungere il legittimo obiettivo di ottenere dati che siano pertinenti e necessari per servire da prova nella singola fattispecie.

(39)

Qualora un ordine europeo di produzione venga emesso per ottenere diverse categorie di dati, l'autorità di emissione dovrebbe assicurare che siano soddisfatte le condizioni e le procedure, come la notifica all'autorità di esecuzione, previste per ciascuna delle categorie di dati interessate.

(40)

Considerata la natura più sensibile dei dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, e dei dati relativi al contenuto, occorre effettuare una distinzione per quanto riguarda l'ambito di applicazione materiale del presente regolamento. Dovrebbe essere possibile emettere un ordine europeo di produzione per ottenere i dati relativi agli abbonati o per ottenere i dati richiesti al solo scopo di identificare l'utente, ai sensi del presente regolamento, per qualsiasi reato; mentre un ordine europeo di produzione per ottenere dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, o per ottenere dati relativi al contenuto dovrebbe essere soggetto a requisiti più severi, a causa del carattere più sensibile di questi dati. Il presente regolamento dovrebbe prevedere una soglia in relazione al suo ambito di applicazione, consentendo un approccio più proporzionato, insieme a una serie di altre condizioni e garanzie ex ante ed ex post per assicurare il rispetto della proporzionalità e dei diritti degli interessati. Tale soglia non dovrebbe però limitare l'efficacia del presente regolamento e il suo uso da parte degli operatori. Autorizzare l'emissione di ordini europei di produzione nei procedimenti penali solo per reati punibili con una pena detentiva della durata massima di almeno 3 anni limiterà l'ambito di applicazione del presente regolamento ai reati più gravi senza compromettere eccessivamente le possibilità di uso dello stesso da parte degli operatori. Tale limitazione escluderebbe dall’ambito di applicazione del presente regolamento un numero significativo di reati che gli Stati membri considerano meno gravi e puniscono con una pena massima inferiore. Tale limitazione offrirà inoltre il vantaggio di essere facilmente applicabile nella pratica.

(41)

Esistono reati specifici per i quali le prove sono tipicamente disponibili esclusivamente in formato elettronico, per natura particolarmente effimero. Si tratta dei reati connessi all'informatica, anche quando non sono considerati gravi di per sé ma potrebbero causare un danno esteso o considerevole, in particolare i reati che comportano un effetto individuale scarso ma un danno complessivo di elevato volume. Per la maggior parte dei reati commessi a mezzo di un sistema d'informazione, l'applicazione della stessa soglia fissata per gli altri tipi di reato comporterebbe l'impunità nella maggior parte dei casi. Questa considerazione giustifica l'applicazione del presente regolamento per tali reati anche qualora comportino una pena detentiva della durata massima inferiore a 3 anni. Anche i reati connessi al terrorismo ai sensi della direttiva (UE) 2017/541 del Parlamento europeo e del Consiglio (20), come pure i reati relativi all'abuso e allo sfruttamento sessuale dei minori di cui alla direttiva 2011/93/UE del Parlamento europeo e del Consiglio (21), non dovrebbero richiedere la soglia minima di una pena detentiva della durata massima di 3 anni.

(42)

In linea di principio, un ordine europeo di produzione dovrebbe essere rivolto al prestatore di servizi che agisce in qualità di titolare del trattamento. Tuttavia, in alcune circostanze, determinare se un prestatore di servizi abbia il ruolo di titolare o di responsabile del trattamento può rivelarsi particolarmente problematico, in particolare quando nel trattamento dei dati sono coinvolti diversi prestatori di servizi o quando i prestatori di servizi trattano i dati per conto di una persona fisica. La distinzione tra i ruoli del titolare del trattamento e del responsabile del trattamento in relazione a una specifica serie di dati richiede non solo conoscenze specialistiche del contesto giuridico, ma potrebbe anche richiedere l'interpretazione di quadri contrattuali spesso molto complessi che prevedono, in un caso specifico, l'attribuzione di compiti e ruoli diversi a vari prestatori di servizi in relazione a una particolare serie di dati. Quando i prestatori di servizi trattano i dati per conto di una persona fisica, può essere talvolta difficile determinare chi sia il responsabile del trattamento, anche se vi è un solo prestatore di servizi coinvolto. Qualora i dati in questione siano conservati o altrimenti trattati da un prestatore di servizi e non è chiaro chi sia il titolare del trattamento, nonostante ragionevoli sforzi da parte dell'autorità di emissione, dovrebbe essere possibile rivolgere un ordine europeo di produzione direttamente a tale prestatore di servizi. Inoltre, in alcuni casi, rivolgersi al titolare del trattamento potrebbe pregiudicare l'indagine nel caso in questione, ad esempio perché il titolare del trattamento è un indagato, un imputato o un condannato o vi sono indicazioni che il titolare del trattamento potrebbe agire nell'interesse della persona oggetto dell'indagine. Anche in tali casi dovrebbe essere possibile rivolgere un ordine europeo di produzione direttamente al prestatore di servizi che tratta i dati per conto del titolare del trattamento. Ciò non dovrebbe pregiudicare il diritto dell'autorità di emissione di ingiungere al prestatore di servizi di conservare i dati.

(43)

A norma del regolamento (UE) 2016/679, il responsabile del trattamento che conserva o altrimenti tratta i dati per conto del titolare dovrebbe informare quest'ultimo circa la produzione dei dati, a meno che l'autorità di emissione non abbia chiesto al prestatore di servizi di astenersi dall'informare il titolare del trattamento, per il tempo necessario e proporzionato, al fine di non ostacolare il pertinente procedimento penale. In tal caso, l'autorità di emissione dovrebbe indicare nel fascicolo i motivi del ritardo nell'informare il titolare del trattamento, aggiungendo una breve motivazione anche nel certificato di accompagnamento trasmesso al destinatario.

(44)

Qualora i dati siano conservati o trattati nell'ambito di un'infrastruttura fornita da un prestatore di servizi a un'autorità pubblica, dovrebbe essere possibile emettere un ordine europeo di produzione o un ordine europeo di conservazione solo se l'autorità pubblica per la quale i dati sono conservati o altrimenti trattati è situata nello Stato di emissione.

(45)

Nei casi in cui i dati protetti dal segreto professionale a norma del diritto dello Stato di emissione sono conservati o altrimenti trattati da un prestatore di servizi nell'ambito di un'infrastruttura fornita a professionisti coperti dal segreto professionale, nella loro veste commerciale, dovrebbe essere possibile emettere un ordine europeo di produzione per l'acquisizione dei dati sul traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, o per l'acquisizione dei dati sul contenuto solo se il professionista coperto dal segreto professionale risiede nello Stato di emissione, se rivolgersi al professionista coperto dal segreto professionale potrebbe pregiudicare l'indagine, oppure se il segreto professionale è stato revocato conformemente al diritto applicabile.

(46)

Il principio del ne bis in idem è un principio fondamentale del diritto dell'Unione, riconosciuto dalla Carta e sviluppato dalla giurisprudenza della Corte di giustizia dell'Unione europea. Qualora abbia motivo di ritenere che in un altro Stato membro possa essere in corso un procedimento penale parallelo, l'autorità di emissione dovrebbe consultare le autorità di tale Stato membro in conformità della decisione quadro 2009/948/GAI del Consiglio (22). In ogni caso, non deve essere emesso un ordine europeo di produzione o un ordine europeo di conservazione qualora l'autorità di emissione abbia motivo di ritenere che ciò sia contrario al principio ne bis in idem.

(47)

Le immunità e i privilegi, che possono riguardare categorie di persone, ad esempio i diplomatici, o rapporti specificamente protetti, ad esempio i rapporti tra avvocato e cliente o il diritto dei giornalisti di non rivelare le loro fonti di informazione, sono trattati in altri strumenti di riconoscimento reciproco quale la direttiva 2014/41/UE che istituisce l'ordine europeo di indagine (OEI). La gamma e l' impatto delle immunità e dei privilegi variano a seconda del diritto nazionale applicabile di cui occorre tener conto al momento dell'emissione dell'ordine europeo di produzione o dell'ordine europeo di conservazione, giacché l'autorità di emissione può emettere un ordine solo se tale ordine avrebbe potuto essere disposto alle stesse condizioni in un caso interno analogo. Nel diritto dell'Unione non vi è una definizione comune di ciò che costituisce un'immunità o un privilegio. La precisa definizione di tali termini è pertanto lasciata al diritto nazionale e può comprendere la protezione che si applica, ad esempio, alle professioni mediche e legali, anche quando in tali professioni sono utilizzate piattaforme specializzate. La precisa definizione di immunità e di privilegio può altresì includere norme sulla determinazione e sulla limitazione della responsabilità penale connesse alla libertà di stampa e alla libertà di espressione in altri mezzi di comunicazione.

(48)

Qualora l'autorità di emissione cerchi di ottenere dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, od ottenere dati relativi al contenuto mediante l'emissione di un ordine europeo di produzione ed abbia fondati motivi di ritenere che i dati richiesti siano protetti da immunità o privilegi riconosciuti dal diritto dello Stato di esecuzione, o che tali dati sono soggetti a norme di detto Stato in materia di determinazione e limitazione della responsabilità penale relative alla libertà di stampa o alla libertà di espressione in altri mezzi di comunicazione, l'autorità di emissione dovrebbe essere in grado di chiedere chiarimenti prima di emettere l'ordine europeo di produzione, anche consultando le autorità competenti dello Stato di esecuzione, direttamente o tramite Eurojust o la Rete giudiziaria europea.

(49)

Dovrebbe essere possibile emettere un ordine europeo di conservazione per qualsiasi reato. L'autorità di emissione dovrebbe tenere conto dei diritti della persona oggetto di indagini o imputata nei procedimenti relativi a un reato ed emettere un ordine europeo di conservazione solo se tale ordine avrebbe potuto essere disposto alle stesse condizioni in un caso interno analogo e solo se esso è necessario, proporzionato, adeguato e applicabile al caso di specie. La valutazione se emettere o meno un ordine europeo di conservazione dovrebbe considerare se tale ordine è limitato a quanto strettamente necessario per raggiungere il legittimo obiettivo di impedire la rimozione, la cancellazione o la modifica di dati che siano pertinenti e necessari per servire da prova nella singola fattispecie in situazioni in cui potrebbe occorrere più tempo per ottenere la loro produzione.

(50)

Gli ordini europei di produzione e gli ordini europei di conservazione dovrebbero essere rivolti direttamente a uno stabilimento designato o al rappresentante legale, designato o nominato dal prestatore di servizi ai sensi della direttiva (UE) 2023/1544 del Parlamento europeo e del Consiglio (23). In via eccezionale, nei casi di emergenza di cui al presente regolamento, qualora lo stabilimento designato o il rappresentante legale di un prestatore di servizi non reagisca a un certificato di ordine europeo di produzione (EPOC) o a un certificato di ordine europeo di conservazione (EPOC-PR) entro i tempi previsti o non sia stato designato o nominato entro i termini stabiliti dalla direttiva (UE) 2023/1544, tale EPOC o EPOC-PR può essere rivolto a qualsiasi altro stabilimento o rappresentante legale del prestatore di servizi nell'Unione parallelamente o in alternativa alla procedura per far eseguire l'ordine iniziale conformemente al presente regolamento. In considerazione di questi diversi scenari possibili, nelle disposizioni del presente regolamento è usato il termine generico «destinatario».

(51)

Considerata la natura più sensibile di un ordine europeo di produzione per ottenere dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, o per ottenere dati relativi al contenuto, è opportuno prevedere un meccanismo di notifica applicabile agli ordini europei di produzione per l'acquisizione di tali categorie di dati. Tale meccanismo di notifica dovrebbe coinvolgere un'autorità di esecuzione e consistere nella trasmissione dell'EPOC a tale autorità contestualmente alla trasmissione dell'EPOC al destinatario. Tuttavia, nel caso in cui un ordine europeo di produzione sia emesso per ottenere prove elettroniche in procedimenti penali con legami forti e sostanziali con lo Stato di emissione, non dovrebbe essere prevista alcuna notifica all'autorità di esecuzione. Suddetti collegamenti dovrebbero essere presunti qualora, al momento dell'emissione dell'ordine europeo di produzione, l'autorità di emissione abbia fondati motivi di ritenere che il reato sia stato commesso, sia in atto o sia suscettibile di essere commesso nello Stato di emissione e qualora la persona i cui dati sono richiesti risieda nello Stato di emissione.

(52)

Ai fini del presente regolamento, un reato dovrebbe essere ritenuto commesso, in atto o suscettibile di essere commesso nello Stato di emissione se è ritenuto tale conformemente al diritto nazionale di tale Stato. In alcuni casi, in particolare nell'ambito della criminalità informatica, alcuni elementi fattuali, quali il luogo di residenza della vittima, costituiscono di solito indicazioni importanti di cui tener conto nel determinare il luogo in cui il reato è stato commesso. Ad esempio, spesso si ritiene che il reato di ransomware sia commesso nel luogo in cui risiede la vittima di tale reato, anche quando il luogo esatto da cui è stato lanciato il ransomware è incerto. La determinazione del luogo in cui il reato è stato commesso non dovrebbe pregiudicare le norme in materia di competenza giurisdizionale per i reati in questione ai sensi del diritto nazionale applicabile.

(53)

Spetta all'autorità di emissione valutare, al momento dell'emissione dell'ordine europeo di produzione per l'acquisizione dei dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, o dei dati relativi al contenuto, e sulla base del materiale di cui dispone, se vi siano fondati motivi per ritenere che la persona di cui si richiedono i dati risieda nello Stato di emissione. A tale riguardo, possono assumere rilevanza diverse circostanze oggettive che potrebbero indicare che l'interessato ha stabilito il centro abituale dei suoi interessi in un determinato Stato membro o ha l'intenzione di farlo. Dalla necessità di applicare in modo uniforme il diritto dell'Unione e dal principio di uguaglianza deriva che la nozione di «residenza» in questo particolare contesto dovrebbe essere interpretata in modo uniforme in tutta l'Unione. Potrebbero sussistere fondati motivi per ritenere che una persona risieda in uno Stato di emissione, in particolare quando ha registrato la sua residenza in uno Stato di emissione, come indicato dal possesso di un documento d'identità, o di un permesso di soggiorno o dall'iscrizione al registro dell'anagrafe. In assenza di iscrizione nello Stato di emissione, la residenza potrebbe essere dimostrata dal fatto che una persona ha manifestato l'intenzione di stabilirsi in tale Stato membro o ha acquisito, al termine di un periodo di presenza stabile in detto Stato membro, taluni legami con tale Stato di grado analogo a quelli derivanti dallo stabilimento di residenza formale in tale Stato membro. Al fine di determinare se, in una situazione specifica, esistano legami sufficienti tra la persona interessata e lo Stato di emissione che diano adito a fondati motivi per ritenere che la persona interessata risieda in tale Stato, si potrebbe tenere conto di diversi elementi oggettivi che caratterizzano la situazione di tale persona, tra cui, in particolare, la durata, la natura e le condizioni della sua presenza nello Stato di emissione o i legami familiari o economici stabiliti in tale Stato membro. L'immatricolazione di un veicolo, un conto bancario, il fatto che il soggiorno della persona nello Stato di emissione sia stato ininterrotto o altri fattori oggettivi potrebbero essere pertinenti per stabilire che vi siano fondati motivi per ritenere che la persona interessata risieda nello Stato di emissione. Una breve visita, una vacanza, anche in una casa di villeggiatura, o un soggiorno analogo nello Stato di emissione senza alcun ulteriore legame sostanziale non sono sufficienti per determinare la residenza in tale Stato membro. Nei casi in cui, al momento dell'emissione dell'ordine europeo di produzione per l'acquisizione dei dati relativi al traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente ai sensi del presente regolamento, o dei dati relativi al contenuto, l'autorità di emissione non disponga di fondati motivi per ritenere che la persona di cui si richiedono i dati risieda nello Stato di emissione, l'autorità di emissione dovrebbe informarne l'autorità di esecuzione.

(54)

Al fine di sveltire la procedura, il momento pertinente per stabilire se è necessaria la notifica all'autorità di esecuzione dovrebbe essere il momento in cui l'ordine europeo di produzione è emesso. Qualsiasi successivo cambiamento della residenza non dovrebbe avere alcun impatto sulla procedura. La persona interessata dovrebbe poter far valere i suoi diritti nonché le norme in materia di determinazione e limitazione della responsabilità penale relative alla libertà di stampa e alla libertà di espressione in altri mezzi di comunicazione, durante l'intero procedimento penale, e l'autorità di esecuzione dovrebbe poter sollevare un motivo di rifiuto qualora, in situazioni eccezionali, sussistano fondati motivi di ritenere, sulla base di prove specifiche e oggettive, che l'esecuzione dell'ordine comporterebbe, nelle circostanze particolari del caso di specie, una violazione manifesta di un pertinente diritto fondamentale sancito dall'articolo 6 TUE e dalla Carta. Inoltre, dovrebbe essere possibile far valere tali motivi anche durante la procedura di esecuzione.

(55)

Un ordine europeo di produzione dovrebbe essere trasmesso mediante un EPOC e un ordine europeo di conservazione dovrebbe essere trasmesso mediante un EPOC-PR. Se necessario, l'EPOC o l'EPOC-PR dovrebbe essere tradotto in una lingua ufficiale dell'Unione accettata dal destinatario. Qualora il prestatore di servizi non abbia specificato alcuna lingua, l'EPOC o l'EPOC-PR dovrebbe essere tradotto in una lingua ufficiale dello Stato membro in cui è situato lo stabilimento designato o il rappresentante legale del prestatore di servizi, o in un'altra lingua ufficiale che lo stabilimento designato o il rappresentante legale del prestatore di servizi abbia dichiarato di accettare. Qualora sia prevista la notifica all'autorità di esecuzione a norma del presente regolamento, l'EPOC da trasmettere a tale autorità dovrebbe essere tradotto in una lingua ufficiale dello Stato di esecuzione o in un'altra lingua ufficiale dell'Unione accettata da tale Stato. A tale riguardo, ciascuno Stato membro dovrebbe essere incoraggiato a indicare, in qualsiasi momento, in una dichiarazione scritta presentata alla Commissione, se e in quali lingue ufficiali dell'Unione, oltre alla lingua o alle lingue ufficiali di tale Stato membro, accetterebbe le traduzioni degli EPOC e degli EPOC-PR. La Commissione dovrebbe rendere disponibili tali dichiarazioni a tutti gli Stati membri e alla rete giudiziaria europea.

(56)

Se è stato emesso un EPOC e non è prevista una notifica all'autorità di esecuzione a norma del presente regolamento, il destinatario, quando riceve l'EPOC, dovrebbe provvedere affinché i dati richiesti siano trasmessi direttamente all'autorità di emissione o alle autorità di contrasto, come indicato nell'EPOC, al più tardi entro 10 giorni dalla ricezione dell'EPOC. Se è prevista una notifica all'autorità di esecuzione a norma del presente regolamento, quando riceve l'EPOC il prestatore di servizi dovrebbe procedere tempestivamente alla conservazione dei dati. Se l'autorità di esecuzione non ha fatto valere alcun motivo di rifiuto a norma del presente regolamento entro 10 giorni dalla ricezione dell'EPOC, il destinatario dovrebbe provvedere affinché i dati richiesti siano trasmessi direttamente all'autorità di emissione o alle autorità di contrasto, come indicato nell'EPOC, al termine di tale periodo di 10 giorni. Se l'autorità di esecuzione conferma all'autorità di emissione e al destinatario, già prima del termine di tale periodo di 10 giorni, che non farà valere alcun motivo di rifiuto, il destinatario agisce quanto prima dopo tale conferma e al più tardi al termine di tale periodo di 10 giorni. Il destinatario e, se del caso, l'autorità di esecuzione dovrebbero rispettare termini più brevi applicabili in casi di emergenza quali definiti nel presente regolamento. Il destinatario e, se del caso, l'autorità di esecuzione dovrebbero eseguire l'EPOC quanto prima e al più tardi entro i termini di cui al presente regolamento, tenendo il più possibile conto dei termini procedurali e di altri termini indicati dallo Stato di emissione.

(57)

Qualora ritenga, sulla base delle sole informazioni contenute nell'EPOC o nell'EPOC-PR, che l'esecuzione dell'EPOC o dell'EPOC-PR possa interferire con le immunità o i privilegi o con le norme sulla determinazione o la limitazione della responsabilità penale relative alla libertà di stampa o alla libertà di espressione in altri mezzi di comunicazione, ai sensi del diritto dello Stato di esecuzione, il destinatario ne informa l'autorità di emissione e l'autorità di esecuzione. Per quanto riguarda gli EPOC, se non è stata effettuata alcuna notifica all'autorità di esecuzione a norma del presente regolamento, l'autorità di emissione dovrebbe tenere conto delle informazioni pervenute dal destinatario e dovrebbe decidere, di propria iniziativa o su richiesta dell'autorità di esecuzione, se ritirare, adattare o mantenere l'ordine europeo di produzione. Se è stata effettuata una notifica all'autorità di esecuzione a norma del presente regolamento, l'autorità di emissione dovrebbe tenere conto delle informazioni pervenute dal destinatario e dovrebbe decidere se ritirare, adattare o mantenere l'ordine europeo di produzione. L'autorità di esecuzione dovrebbe inoltre poter far valere i motivi di rifiuto di cui al presente regolamento.

(58)

Per consentire al destinatario di risolvere eventuali problemi formali con un EPOC o un EPOC-PR è necessario stabilire una procedura di comunicazione tra il destinatario e l'autorità di emissione nonché, qualora sia stata effettuata una notifica all'autorità di esecuzione a norma del presente regolamento, tra il destinatario e l'autorità di esecuzione, nei casi in cui l'EPOC o l'EPOC-PR sia incompleto o contenga errori manifesti o non contenga informazioni sufficienti per eseguire l'ordine in questione. Inoltre, se il destinatario non fornisce le informazioni in modo esaustivo o tempestivo per qualsiasi altro motivo, ad esempio perché ritiene che vi sia un contrasto con un obbligo previsto dal diritto di un paese terzo o che l'ordine europeo di produzione o l'ordine europeo di conservazione non sia stato emesso nel rispetto delle condizioni stabilite dal presente regolamento, il destinatario dovrebbe informare l'autorità di emissione nonché, qualora sia stata effettuata una notifica all'autorità di esecuzione, l'autorità di esecuzione e dovrebbe fornire una giustificazione per la mancata esecuzione dell'EPOC o dell'EPOC-PR in modo tempestivo. Pertanto la procedura di comunicazione dovrebbe consentire all'autorità di emissione di rettificare o riesaminare l'ordine europeo di produzione o l'ordine europeo di conservazione in una fase precoce. Al fine di garantire la disponibilità dei dati richiesti, il destinatario dovrebbe conservare tali dati, sempre che tale destinatario possa identificare tali dati.

(59)

Il destinatario non dovrebbe essere tenuto a ottemperare all'ordine europeo di produzione o all'ordine europeo di conservazione in caso di impossibilità di fatto dovuta a circostanze non imputabili al destinatario o, se diverso, al prestatore di servizi al momento della ricezione dell'ordine europeo di produzione o dell'ordine europeo di conservazione. L'impossibilità di fatto dovrebbe essere presunta se la persona i cui dati sono richiesti non è un cliente del prestatore di servizi o non può essere identificata come tale anche dopo una richiesta di ulteriori informazioni all'autorità di emissione, o se i dati sono stati cancellati legalmente prima della ricezione dell'ordine in questione.

(60)

Quando riceve un EPOC-PR il destinatario dovrebbe conservare i dati richiesti per un periodo massimo di 60 giorni, a meno che l'autorità di emissione confermi che è stata emessa una successiva richiesta di produzione, nel qual caso la conservazione dovrebbe proseguire. L'autorità di emissione dovrebbe poter prorogare la durata della conservazione di ulteriori 30 giorni, se necessario, per consentire l'emissione di una successiva richiesta di produzione, usando il modulo di cui al presente regolamento. Se durante il periodo di conservazione l'autorità di emissione conferma che è stata emessa una successiva richiesta di produzione, il destinatario dovrebbe conservare i dati per tutto il tempo necessario per produrli una volta ricevuta la successiva richiesta di produzione. Tale conferma dovrebbe essere inviata al destinatario entro il relativo termine, in una lingua ufficiale dello Stato di esecuzione o in qualsiasi altra lingua accettata dal destinatario, usando il modulo di cui al presente regolamento. Per evitare che la conservazione cessi, dovrebbe essere sufficiente che la successiva richiesta di produzione sia stata emessa e che la conferma sia stata inviata dall'autorità di emissione; in quel momento non dovrebbe essere necessario espletare le ulteriori formalità richieste per la trasmissione, come la traduzione dei documenti. Ove la conservazione non fosse più necessaria, l'autorità di emissione ne dovrebbe informare il destinatario senza indebito ritardo e l'obbligo di conservazione sulla base dell'ordine europeo di conservazione dovrebbe cessare.

(61)

In deroga al principio della fiducia reciproca, l'autorità di esecuzione dovrebbe poter far valere motivi di rifiuto di un ordine europeo di produzione, se è stata effettuata una notifica all'autorità di esecuzione a norma del presente regolamento, sulla base dell'elenco dei motivi di rifiuto di cui al presente regolamento. Se la notifica all'autorità di esecuzione o l'esecuzione avviene a norma del presente regolamento, lo stato di esecuzione potrebbe prevedere nell’ambito del proprio diritto nazionale l'esecuzione di un ordine europeo di produzione potrebbe richiedere il coinvolgimento nella procedura di un organo giurisdizionale nello Stato di esecuzione.

(62)

Se le è notificato un ordine europeo di produzione per ottenere dati sul traffico, ad eccezione dei dati richiesti al solo scopo di identificare l'utente quali definiti nel presente regolamento, o per ottenere dati relativi al contenuto, l'autorità di esecuzione dovrebbe avere il diritto di valutare le informazioni contenute nell'ordine e, se del caso, rifiutarle qualora, sulla base di un'analisi obbligatoria e dovuta delle informazioni contenute in tale ordine e nel rispetto delle norme applicabili del diritto primario dell'Unione, in particolare della Carta, giunga alla conclusione che potrebbero essere fatti valere uno o più dei motivi di rifiuto previsti dal presente regolamento. La necessità di rispettare l'indipendenza delle autorità giudiziarie esige che tali autorità dispongano di un certo margine di discrezionalità nell'adottare decisioni in merito ai motivi di rifiuto.

(63)

L'autorità di esecuzione, se notificata a norma del presente regolamento, dovrebbe poter rifiutare un ordine europeo di produzione qualora i dati richiesti siano protetti da immunità o privilegi concessi ai sensi del diritto dello Stato di esecuzione che impediscono l'esecuzione o l’applicazione dell'ordine europeo di produzione, o qualora i dati richiesti siano soggetti alle norme sulla determinazione o limitazione della responsabilità penale relative alla libertà di stampa o alla libertà di espressione in altri mezzi di comunicazione, che impediscono l'esecuzione o l’applicazione dell'ordine europeo di produzione.

(64)

L'autorità di esecuzione dovrebbe poter rifiutare un ordine in situazioni eccezionali, qualora sussistano validi motivi di ritenere, sulla base di prove specifiche e oggettive, che l'esecuzione dell'ordine europeo di produzione, nelle particolari circostanze del caso, comporti una violazione manifesta di un pertinente diritto fondamentale sancito dall'articolo 6 TUE e dalla Carta. In particolare, nel valutare tale motivo di rifiuto, qualora l'autorità di esecuzione disponga delle prove o degli elementi indicati in una proposta motivata di un terzo degli Stati membri, del Parlamento europeo o della Commissione europea, adottata a norma dell'articolo 7, paragrafo 1, TUE, che indichi che sussiste un chiaro rischio, in caso di esecuzione dell'ordine, di una grave violazione del diritto fondamentale a un ricorso effettivo e a un equo processo a norma dell'articolo 47 della Carta, a causa di carenze sistemiche o generalizzate per quanto riguarda l'indipendenza del potere giudiziario dello Stato di emissione, l'autorità di esecuzione dovrebbe determinare in modo specifico e preciso se, tenuto conto della situazione personale dell'interessato, della natura del reato per il quale è condotto il procedimento penale nonché del contesto fattuale che è alla base dell'ordine, e alla luce delle informazioni fornite dall'autorità di emissione, vi siano validi motivi di ritenere che sussista un rischio di violazione del diritto di una persona a un equo processo.

(65)

L'autorità di esecuzione dovrebbe poter rifiutare un ordine qualora la sua esecuzione sia in contrasto con il principio del ne bis in idem.

(66)

L'autorità di esecuzione, se notificata a norma del presente regolamento, dovrebbe poter rifiutare un ordine europeo di produzione qualora la condotta per la quale l'ordine è stato emesso non costituisca reato ai sensi del diritto dello Stato di esecuzione, a meno che non riguardi un reato elencato nelle categorie di reati figuranti in un allegato al presente regolamento, come indicato dall'autorità di emissione nell'EPOC, se è punibile nello Stato di emissione con una pena o una misura di sicurezza detentiva della durata massima di almeno tre anni.

(67)

Poiché l'informazione della persona i cui dati sono richiesti è un elemento essenziale per quanto riguarda i diritti di protezione dei dati e i diritti di difesa, in quanto consente un riesame e un ricorso giurisdizionale effettivi, in conformità dell'articolo 6 TUE e della Carta, l'autorità di emissione dovrebbe informare, senza indebito ritardo, la persona i cui dati sono richiesti in merito alla produzione di dati sulla base di un ordine europeo di produzione. Tuttavia, conformemente al diritto nazionale, l'autorità di emissione dovrebbe poter ritardare o limitare l'informazione o omettere di informare la persona i cui dati sono richiesti, nella misura e per tutto il tempo in cui sono soddisfatte le condizioni della direttiva (UE) 2016/680, nel qual caso l'autorità di emissione dovrebbe indicare nel fascicolo i motivi del ritardo, della limitazione o dell'omissione e aggiungere una breve giustificazione nell'EPOC. I destinatari e, se diversi, i prestatori di servizi dovrebbero adottare le necessarie misure operative e tecniche all'avanguardia per garantire la riservatezza, la segretezza e l'integrità dell'EPOC o dell'EPOC-PR e dei dati prodotti o conservati.

(68)

Laddove tale possibilità sia prevista nel diritto nazionale dello Stato di emissione per gli ordini nazionali in situazioni analoghe, il prestatore di servizi dovrebbe poter chiedere allo Stato di emissione il rimborso delle spese sostenute per rispondere a un ordine europeo di produzione o a un ordine europeo di conservazione, conformemente alle disposizioni nazionali di tale Stato. Gli Stati membri dovrebbero informare la Commissione delle loro norme nazionali in materia di rimborso, e la Commissione dovrebbe renderle pubbliche. Il presente regolamento prevede norme distinte applicabili al rimborso delle spese relative al sistema informatico decentrato.

(69)

Fatti salvi i diritti nazionali che prevedono l'irrogazione di sanzioni penali, gli Stati membri dovrebbero stabilire le norme relative alle sanzioni pecuniarie applicabili in caso di violazione del presente regolamento e dovrebbero adottare tutti i provvedimenti necessari per assicurarne l'applicazione. Gli Stati membri dovrebbero garantire che le sanzioni pecuniarie previste nel loro diritto nazionale siano effettive, proporzionate e dissuasive. Gli Stati membri dovrebbero notificare senza indugio tali norme e provvedimenti alla Commissione nonché provvedere a dare immediata notifica delle eventuali modifiche successive.

(70)

Nel valutare nel caso di specie le opportune sanzioni pecuniarie, le autorità competenti dovrebbero tenere conto di tutte le circostanze pertinenti, quali la natura, la gravità e la durata della violazione, se è stata commessa intenzionalmente o per negligenza, se il prestatore di servizi è stato ritenuto responsabile per analoghe violazioni precedenti, nonché la solidità finanziaria del prestatore di servizi ritenuto responsabile. In circostanze eccezionali, tale valutazione potrebbe portare l'autorità di esecuzione a decidere di astenersi dall'irrogare sanzioni pecuniarie. A tale riguardo, occorre prestare particolare attenzione alle microimprese che non ottemperano a un ordine europeo di produzione o a un ordine europeo di conservazione in un caso di emergenza per mancanza di risorse umane al di fuori del normale orario di lavoro, se i dati sono trasmessi senza indebito ritardo.

(71)

Fatti salvi gli obblighi in materia di protezione dei dati, i prestatori di servizi non dovrebbero essere ritenuti responsabili negli Stati membri per i pregiudizi causati agli utenti o a terzi derivanti esclusivamente dall'ottemperanza in buona fede all'EPOC o all'EPOC-PR. La responsabilità di garantire la legittimità dell'ordine in questione, in particolare la sua necessità e proporzionalità, dovrebbe spettare all'autorità di emissione.

(72)

Se il destinatario non ottempera all'EPOC entro il termine stabilito o all'EPOC-PR senza fornire motivi che siano accettati dall'autorità di emissione e, se del caso, se l'autorità di esecuzione non ha fatto valere alcuno dei motivi di rifiuto previsti dal presente regolamento, l'autorità di emissione dovrebbe poter chiedere all'autorità di esecuzione di eseguire l'ordine europeo di produzione o l'ordine europeo di conservazione. A tal fine, l'autorità di emissione dovrebbe trasferire all'autorità di esecuzione l'ordine in questione, il modulo pertinente, conformemente alle disposizioni del presente regolamento, quale completato dal destinatario, e qualsiasi documento pertinente. L'autorità di emissione dovrebbe tradurre l'ordine in questione e qualsiasi documento da trasferire in una delle lingue accettate dallo Stato di esecuzione e dovrebbe informare il destinatario del trasferimento. Tale Stato dovrebbe procedere all'esecuzione dell'ordine in questione conformemente al proprio diritto nazionale.

(73)

La procedura di esecuzione dovrebbe consentire al destinatario di opporsi all'esecuzione, sulla base di un elenco di motivi specifici previsti dal presente regolamento, compreso il fatto che l'ordine in questione non è stato emesso o convalidato da un'autorità competente come previsto dal presente regolamento, o che l'ordine non riguarda dati conservati dal prestatore di servizi o per suo conto al momento della ricezione del relativo certificato. L'autorità di esecuzione dovrebbe poter rifiutare il riconoscimento e l'esecuzione di un ordine europeo di produzione o di un ordine europeo di conservazione in base agli stessi motivi nonché, in situazioni eccezionali, in ragione della manifesta violazione di un pertinente diritto fondamentale sancito dall'articolo 6 TUE e dalla Carta. Prima di decidere di non riconoscere o non eseguire l'ordine sulla base di tali motivi l'autorità di esecuzione dovrebbe consultare l'autorità di emissione. Se il destinatario non ottempera agli obblighi derivanti da un ordine europeo di produzione o da un ordine europeo di conservazione riconosciuto, la cui esecutività è stata confermata dall'autorità di esecuzione, quest'ultima irroga una sanzione pecuniaria. Tale sanzione dovrebbe essere proporzionata, in particolare alla luce di circostanze specifiche come l'inottemperanza reiterata o sistematica.

(74)

L'ottemperanza a un ordine europeo di produzione potrebbe entrare in conflitto con un obbligo derivante dal diritto applicabile di un paese terzo. Per rispettare il principio di cortesia internazionale rispetto agli interessi sovrani dei paesi terzi, proteggere la persona interessata e far fronte a eventuali obblighi contrastanti in capo al prestatore di servizi, il presente regolamento prevede un meccanismo specifico di riesame giurisdizionale nel caso in cui ottemperare a un ordine europeo di produzione costringa un prestatore di servizi a violare obblighi giuridici derivanti dal diritto di un paese terzo.

(75)

Se il destinatario ritiene che nella fattispecie un ordine europeo di produzione comporti la violazione di un obbligo giuridico derivante dal diritto di un paese terzo, dovrebbe informare l'autorità di emissione e l'autorità di esecuzione dei motivi per non eseguire l'ordine a mezzo di un'obiezione motivata, usando il modulo previsto dal presente regolamento. L'autorità di emissione dovrebbe riesaminare l'ordine europeo di produzione sulla base dell'obiezione motivata e di qualsiasi contributo fornito dallo Stato di esecuzione, tenendo conto degli stessi criteri che l'organo giurisdizionale competente dello Stato di emissione dovrebbe seguire. Se l'autorità di emissione intende confermare l'ordine, ne chiede il riesame da parte dell'organo giurisdizionale competente dello Stato di emissione, quale notificato dallo Stato membro pertinente, che dovrebbe procedere al riesame dell'ordine.

(76)

Al fine di stabilire l'esistenza di un obbligo contrastante nel caso di specie, l'organo giurisdizionale competente potrebbe basarsi, se necessario, su appropriate competenze esterne, ad esempio in caso di problemi di interpretazione del diritto del paese terzo in questione. A tal fine, l'organo giurisdizionale competente potrebbe ad esempio consultare l'autorità centrale del paese terzo, tenendo conto della direttiva (UE) 2016/680. In particolare, lo Stato di emissione dovrebbe chiedere informazioni all'autorità competente del paese terzo qualora il conflitto riguardi diritti fondamentali o altri interessi fondamentali del paese terzo connessi alla sicurezza e alla difesa nazionali.

(77)

Le competenze in materia di interpretazione potrebbero essere ottenute anche tramite pareri di esperti, ove disponibili. È opportuno che le informazioni e la giurisprudenza relative all'interpretazione del diritto di un paese terzo e alle procedure di conflitto delle procedure del diritto degli Stati membri siano rese disponibili su una piattaforma centrale quale il progetto SIRIUS o la Rete giudiziaria europea, affinché sia possibile beneficiare delle esperienze e competenze acquisite sulla stessa questione o su questioni simili. La disponibilità di tali informazioni su una piattaforma centrale non dovrebbe impedire una nuova consultazione del paese terzo, se del caso.

(78)

Nel valutare se sussistano obblighi contrastanti, l'organo giurisdizionale competente dovrebbe stabilire se il diritto del paese terzo sia applicabile e, in tal caso, se vieti la divulgazione dei dati in questione. Se accerta che il diritto del paese terzo vieta la divulgazione dei dati in questione, l'organo giurisdizionale competente dovrebbe decidere se confermare o ritirare l'ordine europeo di produzione, ponderando una serie di elementi intesi a verificare la solidità del collegamento con una delle due giurisdizioni coinvolte, i rispettivi interessi ad ottenere o impedire la divulgazione dei dati e le possibili conseguenze per il destinatario o il prestatore di servizi derivanti dall'obbligo di ottemperare all'ordine. Nell'effettuare la valutazione, particolare importanza e peso dovrebbero essere accordati alla protezione dei diritti fondamentali da parte del diritto pertinente del paese terzo e ad altri interessi fondamentali, come la sicurezza nazionale del paese terzo, nonché al grado di collegamento tra il procedimento penale e l'una o l'altra delle due giurisdizioni. Se decide di revocare l'ordine, l'organo giurisdizionale ne informa l'autorità di emissione e il destinatario. Se stabilisce che l'ordine deve essere confermato, l'organo giurisdizionale competente ne informa l'autorità di emissione e il destinatario, il quale dovrebbe procedere ad eseguire l'ordine. L'autorità di emissione dovrebbe informare l'autorità di esecuzione dell'esito della procedura di riesame.

(79)

Le condizioni per l'esecuzione dell'EPOC di cui al presente regolamento dovrebbero applicarsi anche in caso di obblighi contrastanti derivanti dal diritto di un paese terzo. Pertanto, durante il controllo giurisdizionale, nel caso in cui ottemperare a un ordine europeo di produzione costringa il prestatore di servizi a violare un obbligo giuridico derivante dal diritto di un paese terzo, i dati richiesti da tale ordine dovrebbero essere conservati. Qualora, a seguito del controllo giurisdizionale, l'organo giurisdizionale competente decida di revocare un ordine europeo di produzione, dovrebbe essere possibile emettere un ordine europeo di conservazione per consentire all'autorità di emissione di chiedere la produzione dei dati attraverso altri canali, ad esempio l'assistenza giudiziaria.

(80)

È essenziale che tutte le persone i cui dati sono richiesti nel corso di indagini o procedimenti penali abbiano accesso a un ricorso giurisdizionale effettivo, in linea con l'articolo 47 della Carta. In linea con tale requisito e fatti salvi ulteriori mezzi di ricorso disponibili ai sensi del diritto nazionale, qualsiasi persona i cui dati sono stati richiesti tramite un ordine europeo di produzione dovrebbe avere diritto a un ricorso effettivo contro tale ordine. Se la persona in questione è un indagato o un imputato, dovrebbe avere diritto a un ricorso effettivo nel corso del procedimento penale in cui i dati sono utilizzati come prova. Il diritto a un ricorso effettivo dovrebbe essere esercitato dinanzi a un organo giurisdizionale nello Stato di emissione, conformemente al suo diritto nazionale, e dovrebbe includere la possibilità di contestare la legittimità della misura, comprese la sua necessità e la sua proporzionalità, fatte salve le garanzie dei diritti fondamentali nello Stato di esecuzione, o altri mezzi di ricorso supplementari conformemente al diritto nazionale. Il presente regolamento non dovrebbe limitare i motivi per contestare la legittimità di un ordine. Il diritto a un ricorso effettivo previsto dal presente regolamento non dovrebbe pregiudicare il diritto di presentare ricorso ai sensi del regolamento (UE) 2016/679 e della direttiva (UE) 2016/680. Occorre fornire a tempo debito informazioni sulle possibilità di ricorso previste dal diritto nazionale e garantire l'esercizio effettivo delle stesse.

(81)

Dovrebbero essere predisposti canali adeguati per garantire che tutte le parti possano cooperare efficacemente con mezzi digitali, attraverso un sistema informatico decentrato che consenta uno scambio elettronico transfrontaliero rapido, diretto, interoperabile, sostenibile, affidabile e sicuro di moduli, dati e informazioni relativi ai casi.

(82)

Al fine di consentire una comunicazione scritta efficiente e sicura tra le autorità competenti e gli stabilimenti o i rappresentanti legali designati dai prestatori di servizi a norma del presente regolamento, tali stabilimenti o rappresentanti legali designati dovrebbero disporre di mezzi elettronici di accesso ai sistemi informatici nazionali, facenti parte del sistema informatico decentrato e gestiti dagli Stati membri.

(83)

Il sistema informatico decentrato dovrebbe comprendere i sistemi informatici degli Stati membri e delle agenzie e degli organi dell'Unione, così come i punti di accesso interoperabili attraverso i quali tali sistemi sono interconnessi. I punti di accesso del sistema informatico decentrato dovrebbero basarsi sul sistema e-CODEX, istituito dal regolamento (UE) 2022/850 del Parlamento europeo e del Consiglio (24).

(84)

I prestatori di servizi che si avvalgono di soluzioni informatiche su misura ai fini dello scambio di informazioni e dati relativi alle richieste di prove elettroniche dovrebbero disporre di mezzi automatizzati di accesso ai sistemi informatici decentrati mediante una norma comune per lo scambio dei dati.

(85)

Di norma, tutte le comunicazioni scritte tra le autorità competenti o tra le autorità competenti e gli stabilimenti o i rappresentanti legali designati dovrebbero avvenire attraverso il sistema informatico decentrato. Dovrebbe essere consentito l'uso di mezzi alternativi solo qualora l'uso del sistema informatico decentrato non sia possibile, ad esempio a causa di specifici requisiti forensi, poiché il volume dei dati da trasferire è ostacolato da vincoli di capacità tecnica o poiché in caso di emergenza è necessario rivolgersi a un altro stabilimento non collegato al sistema informatico decentrato. In tali casi, la trasmissione dovrebbe essere effettuata con i mezzi alternativi più appropriati, tenendo conto della necessità di garantire uno scambio di informazioni rapido, sicuro e affidabile.

(86)

Per garantire che il sistema informatico decentrato contenga una registrazione completa degli scambi scritti a norma del presente regolamento, qualsiasi trasmissione effettuata con mezzi alternativi dovrebbe essere registrata nel sistema informatico decentrato senza indebito ritardo.

(87)

È opportuno prendere in considerazione l'uso di meccanismi che garantiscano l'autenticità, quali previsti dal regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio (25).

(88)

I prestatori di servizi, in particolare le piccole e medie imprese, non dovrebbero essere esposti a costi sproporzionati legati all'istituzione e al funzionamento del sistema informatico decentrato. Nel quadro della creazione, della manutenzione e dello sviluppo dell'attuazione di riferimento, la Commissione è pertanto tenuta a mettere a disposizione anche un'interfaccia web che consenta ai prestatori di servizi di comunicare in modo sicuro con le autorità senza dover creare una propria infrastruttura dedicata per accedere al sistema informatico decentrato.

(89)

Per gli Stati membri dovrebbe essere possibile utilizzare il software sviluppato dalla Commissione, segnatamente il software di implementazione di riferimento, anziché un sistema informatico nazionale. Tale software di implementazione di riferimento deve essere basato su un'impostazione modulare, il che significa che il software è confezionato e fornito separatamente dai componenti del sistema e-CODEX necessari per connetterlo al sistema informatico decentrato. Tale impostazione dovrebbe consentire agli Stati membri di riutilizzare o migliorare la loro rispettiva infrastruttura nazionale di comunicazione giudiziaria esistente per uso transfrontaliero.

(90)

La Commissione dovrebbe essere responsabile della creazione, della manutenzione e dello sviluppo del software di implementazione di riferimento. La Commissione dovrebbe progettare, sviluppare e mantenere il software di implementazione di riferimento in conformità dei requisiti e dei principi in materia di protezione dei dati stabiliti dal regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (26), dal regolamento (UE) 2016/679 e dalla direttiva (UE) 2016/680, in particolare dei principi della protezione dei dati fin dalla progettazione e per impostazione predefinita, così come nel rispetto di un livello elevato di cibersicurezza. È importante che il software di implementazione di riferimento includa inoltre misure tecniche adeguate e consentire di adottare le misure organizzative necessarie per garantire un adeguato livello di sicurezza e interoperabilità.

(91)

È opportuno attribuire alla Commissione competenze di esecuzione al fine di garantire condizioni uniformi di esecuzione del presente regolamento. È altresì opportuno che tali competenze siano esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio (27).

(92)

Per gli scambi di dati effettuati tramite il sistema informatico decentrato o registrati nel sistema informatico decentrato, gli Stati membri dovrebbero poter raccogliere statistiche per adempiere ai loro obblighi di monitoraggio e comunicazione ai sensi del presente regolamento attraverso i loro portali nazionali.

(93)

Al fine di monitorare gli esiti, i risultati e gli effetti del presente regolamento, la Commissione dovrebbe pubblicare una relazione annuale per l'anno civile precedente, sulla base dei dati ottenuti dagli Stati membri. A tal fine, gli Stati membri dovrebbero raccogliere e fornire alla Commissione statistiche complete sui diversi aspetti del presente regolamento, per tipo di dati richiesti, destinatari e situazione (di emergenza o meno).

(94)

L'uso di moduli standard pretradotti faciliterebbe la cooperazione e lo scambio di informazioni a norma del presente regolamento, consentendo così una comunicazione più rapida ed efficace in modo più semplice. Tali moduli ridurrebbero i costi di traduzione e contribuirebbero a una comunicazione di elevata qualità. Analogamente, i moduli di risposta consentirebbero uno scambio standardizzato di informazioni, in particolare quando i prestatori di servizi non sono in grado di adempiere a quanto richiesto perché l'account utente non esiste o i dati non sono disponibili. I moduli previsti dal presente regolamento faciliterebbero inoltre la raccolta di statistiche.

(95)

Al fine di rispondere efficacemente all'eventuale necessità di migliorare il contenuto dei moduli EPOC ed EPOC-PR e dei moduli per fornire informazioni sull'impossibilità di eseguire un EPOC o un EPOC-PR, per confermare l'emissione di una richiesta di produzione a seguito di un ordine europeo di conservazione e per prorogare la conservazione di prove elettroniche, è opportuno delegare alla Commissione il potere di adottare atti conformemente all'articolo 290 del trattato sul funzionamento dell'Unione europea (TFUE) riguardo alla modifica dei moduli previsti dal presente regolamento. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti, nel rispetto dei principi stabiliti nell'accordo interistituzionale «Legiferare meglio» del 13 aprile 2016 (28). In particolare, al fine di garantire la parità di partecipazione alla preparazione degli atti delegati, il Parlamento europeo e il Consiglio ricevono tutti i documenti contemporaneamente agli esperti degli Stati membri, e i loro esperti hanno sistematicamente accesso alle riunioni dei gruppi di esperti della Commissione incaricati della preparazione di tali atti delegati.

(96)

Il presente regolamento non dovrebbe incidere sugli altri strumenti, accordi e modalità dell'Unione o internazionali concernenti l'acquisizione di prove che rientra nell'ambito di applicazione del presente regolamento. Le autorità degli Stati membri dovrebbero scegliere lo strumento più adatto al caso di specie. In alcuni casi, esse potrebbero preferire usare altri strumenti, accordi e modalità dell'Unione o internazionali per richiedere una serie di tipi diversi di atti di indagine non limitati alla produzione di prove elettroniche da un altro Stato membro. Gli Stati membri dovrebbero notificare alla Commissione, entro tre anni dall'entrata in vigore del presente regolamento, gli strumenti, gli accordi e le modalità esistenti di cui al presente regolamento che continueranno ad applicare. Gli Stati membri dovrebbero altresì notificare alla Commissione, entro tre mesi dalla firma, i nuovi accordi o le nuove modalità di cui al presente regolamento.

(97)

In considerazione dell'evoluzione tecnologica, tra qualche anno potrebbero predominare nuove forme di strumenti di comunicazione o emergere lacune nell'applicazione del presente regolamento. È pertanto importante prevedere una valutazione della sua applicazione.

(98)

La Commissione dovrebbe effettuare una valutazione del presente regolamento basata sui cinque criteri di efficienza, efficacia, pertinenza, coerenza e valore aggiunto dell'Unione, e tale valutazione dovrebbe servire da fondamento per le valutazioni d'impatto di altre possibili misure. La relazione di valutazione dovrebbe includere una valutazione dell'applicazione del presente regolamento e dei risultati conseguiti in relazione ai suoi obiettivi nonché una valutazione dell'impatto del presente regolamento sui diritti fondamentali. È opportuno che la Commissione raccolga periodicamente informazioni al fine di contribuire alla valutazione del presente regolamento.

(99)

Poiché l'obiettivo del presente regolamento, vale a dire migliorare la protezione e l'ottenimento di prove elettroniche a livello transfrontaliero, non può essere conseguito in misura sufficiente dagli Stati membri data la sua natura transfrontaliera, ma può essere conseguito meglio a livello di Unione, quest'ultima può intervenire in base al principio di sussidiarietà sancito dall'articolo 5 TUE. Il presente regolamento si limita a quanto è necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.

(100)

A norma dell'articolo 3 del protocollo n. 21 sulla posizione del Regno Unito e dell'Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al TUE e al TFUE, l'Irlanda ha notificato che desidera partecipare all'adozione e all'applicazione del presente regolamento.

(101)

A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al TUE e al TFUE, la Danimarca non partecipa all'adozione del presente regolamento, non è da esso vincolata né è soggetta alla sua applicazione.

(102)

Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 6 novembre 2019 (29),