Dal 18 agosto 2026 si applica in tutta l'Unione, Danimarca esclusa, il Regolamento (UE) 2023/1543. In un procedimento penale un'autorità giudiziaria può ordinare a un fornitore di servizi, tramite il suo stabilimento designato o rappresentante legale in un altro Stato membro, di produrre dati già conservati. Il termine è di 10 giorni; solo in emergenza scende a 8 ore (art. 10, paragrafi 2, 3 e 4). Per i dati bancari il perimetro è più stretto: l'articolo 3, punto 3 esclude i servizi finanziari.
Il 12 settembre 2026, secondo TechCrunch, Revolut ha confermato di aver consegnato dati di clienti a un terzo non autorizzato, dopo richieste fraudolente da un dominio e-mail governativo autentico, e parla di un numero «limitato» di persone. Shieldworkz conta 680 clienti e descrive richieste di emergenza dal dominio pec.interno.it, senza menzionare ordini europei di produzione; per Shieldworkz i sistemi centrali di Revolut non furono violati: il personale di compliance rilasciò i dossier.
⏱️ Le 8 ore e gli altri termini
Le 8 ore valgono solo per il «caso di emergenza»: una minaccia imminente per la vita, l'integrità fisica o la sicurezza di una persona, o per un'infrastruttura critica che, se danneggiata o distrutta, comporterebbe una minaccia imminente per una persona (art. 3, punto 18). Altrimenti il fornitore ha 10 giorni dalla ricezione dell'EPOC, il certificato che trasmette l'ordine. Con notifica allo Stato di esecuzione i dati partono a fine termine, o prima se lo Stato conferma di non rifiutare (art. 10, paragrafi 2 e 3).
L'ordine di conservazione, con il certificato EPOC-PR, congela i dati in attesa di una richiesta di produzione. L'obbligo cessa dopo 60 giorni, salvo conferma della richiesta, ed è prorogabile una volta di 30 giorni (art. 11, paragrafo 1). Restano utilizzabili l'ordine europeo di indagine (fino a 120 giorni) e l'assistenza giudiziaria (in media 10 mesi), per la Commissione (art. 32, paragrafo 1).
🏢 Chi deve rispondere e chi è escluso
L'articolo 3, punto 3 esclude dal «prestatore di servizi» i servizi finanziari della Direttiva 2006/123/CE, che all'art. 2, paragrafo 2, lettera b) cita l'attività bancaria e i servizi di pagamento. Lo ripetono la Direttiva (UE) 2023/1544 e il D.lgs. 216/2025; lo conferma Schoenherr. Gli ordini possono riguardare solo dati dei servizi coperti (art. 2, paragrafo 3).
Rientrano comunicazioni elettroniche, nomi di dominio e IP, e altri servizi online che permettono agli utenti di comunicare tra loro o di conservare dati, se la conservazione è parte propria del servizio. Conti e pagamenti sono servizi bancari e di pagamento, e Revolut, ricorda TechCrunch, opera come banca in più di 30 paesi: potrebbe essere un prestatore coperto solo per un eventuale servizio non finanziario compreso nell'articolo 3.
Serve un «collegamento sostanziale» con uno Stato membro (art. 3, punto 4); non conta dove sono i dati (art. 1, paragrafo 1). Per la violazione degli articoli 10, 11 e 13, paragrafo 4 gli Stati devono prevedere sanzioni pecuniarie fino al 2% del fatturato mondiale annuo (art. 15, paragrafo 1).
🗂️ Quali dati può chiedere l'autorità
- Per un prestatore coperto, nome, indirizzo e dati di fatturazione e pagamento sono dati degli abbonati (art. 3, punto 9).
- Indirizzi IP con data e ora, chiesti per identificare l'utente, sono una categoria a sé (punto 10).
- Fonte e destinatario di un messaggio, ubicazione del dispositivo, log-in e log-off sono dati sul traffico (punto 11).
- Testo, voce, video, immagini e suono sono dati di contenuto (punto 12).
Per abbonati e identificazione basta un qualsiasi reato (art. 5, paragrafo 3). Traffico e contenuto richiedono un reato con pena detentiva massima di almeno tre anni, o reati elencati (art. 5, paragrafo 4), e un ordine emesso o convalidato da un giudice o magistrato inquirente (art. 4, paragrafo 2). Per i dati sul traffico (esclusi quelli richiesti solo per identificare l'utente) e per i dati di contenuto l'autorità notifica lo Stato di esecuzione, che può rifiutare (art. 8, paragrafo 1; art. 12). Il regolamento riguarda solo dati già conservati: niente intercettazioni né obbligo generale di conservazione (considerando 19).
🇮🇹 L'Italia: decreti, Garante e conservazione
I D.lgs. 215/2025 e 216/2025, del 30 dicembre 2025, sono in vigore dal 30 gennaio 2026. Per il 215, prima dell'azione penale provvedono di regola all'emissione dell'ordine il giudice per le indagini preliminari per traffico e contenuto, il pubblico ministero per abbonati e identificazione (art. 2, comma 3).
Il D.lgs. 216/2025 attua la Direttiva 2023/1544. I fornitori designano uno stabilimento o nominano un rappresentante legale, in Italia o in altro Stato membro in cui operano (art. 4). Termine: 18 agosto 2026 per chi già offriva servizi il 18 febbraio 2026 (art. 4, comma 6). Chi non designa rischia da 500.000 a 1.500.000 euro (art. 7); ai fini di questo decreto l'autorità centrale è il Ministero dell'Interno (art. 8).
L'articolo 9 del 215 introduce un ordine nazionale («domestico»). Il pubblico ministero può ordinare a fornitori di servizi telefonici, informatici o telematici di conservare i dati di traffico, esclusi i contenuti, fino a 90 giorni, prorogabili a sei mesi in tutto (art. 132, comma 3-bis.1, Codice privacy).
Il parere del Garante, provvedimento n. 569 del 25 settembre 2025, riguarda lo schema dello stesso D.lgs. 215/2025 ed è favorevole: nessuna criticità sulla protezione dei dati. Chiede solo che il nuovo articolo 263-bis del codice di procedura penale indichi il tipo di dati personali da conservare.
⚖️ Diritti dell'utente e responsabilità
L'autorità di emissione informa la persona i cui dati sono richiesti «senza indebito ritardo» (art. 13, paragrafo 1). Può però ritardare o omettere l'informazione (art. 13, paragrafo 2) alle condizioni dell'art. 13, paragrafo 3 della Direttiva (UE) 2016/680. La stessa persona ha diritto a un ricorso effettivo davanti a un giudice dello Stato di emissione (art. 18, paragrafi 1 e 2).
Per il fornitore, che adempie un obbligo legale, la base del trattamento è l'articolo 6, paragrafo 1, lettera c del GDPR (Regolamento (UE) 2016/679). L'art. 15, paragrafo 2 esclude la responsabilità per il pregiudizio derivante esclusivamente dall'ottemperanza in buona fede a un EPOC o EPOC-PR, fatti salvi gli obblighi di protezione dei dati.
🔍 Conflitti con il diritto dei paesi terzi
Per i conflitti con il diritto di un paese terzo, che per Bird & Bird sono soprattutto divieti statunitensi di divulgazione, l'articolo 17 prevede un'obiezione motivata entro 10 giorni; se l'autorità intende confermare l'ordine, decide un giudice dello Stato di emissione.
🛠️ Cosa conviene predisporre
Shieldworkz indica come punto debole il processo di ricezione delle richieste. Propone verifica telefonica a un numero ufficiale dell'autorità e firma di un secondo responsabile prima di rilasciare documenti KYC. Un EPOC autentico è un certificato su modulo, firmato dall'autorità (art. 9, paragrafo 1).
#eevidence #fintech #datidigitali #dirittodigitale #Revolut
