Il D.Lgs. 8/10/2026, n. 188 (da analizzare insieme alla sua Relazione illustrativa e tecnica – Vedi all. 1 e 2) rappresenta il completamento e l’adeguamento dell’ordinamento italiano al Regolamento (UE) 2023/1543, relativo agli ordini europei di produzione (EPOC) e di conservazione (EPOC-PR) delle prove elettroniche.
Il focus del presente articolo, è principalmente sull’articolo 3 del D.Lgs. 188/2026 (entrata in vigore il 4/11/2026) che applica un articolato sistema di responsabilità amministrativa per specifiche violazioni agli ordini europei. A parere di chi scrive, l’aspetto di maggiore interesse per i Telco, non riguarda soltanto gli importi delle sanzioni previste, ma anche e soprattutto il modo in cui la disciplina incide sui processi aziendali di gestione delle richieste dell’autorità giudiziaria.
Come vedremo di seguito, la conformità deve essere valutata sull’intero ciclo di vita dell’ordine partendo dalla ricezione e classificazione operata dal Telco, alla tempestiva conservazione dei dati, alla loro eventuale produzione, fino alla gestione delle anomalie e alla chiusura documentata della prestazione. È importante comprendere che assume particolare rilevanza la capacità del Telco di dimostrare concretamente non soltanto l’esito finale della richiesta, ma anche la tempestività delle attività svolte, le responsabilità assegnate, le ragioni di eventuali impedimenti e l’effettiva applicazione delle misure tecniche e organizzative adottate.
Con l’articolo 3 quali condotte vengono sanzionate?
Se andiamo ad esaminare la relazione illustrativa (All. 2), possiamo vedere che questa chiarisce che il sistema di compliance dell’e-evidence package opera su due piani distinti e autonomi:
- A) obblighi organizzativi: designazione dello stabilimento o del rappresentante legale, disponibilità di poteri e risorse, organizzazione, notifiche e cooperazione con le autorità. Questi obblighi discendono principalmente dalla Direttiva (UE) 2023/1544 e dalla normativa nazionale che la attua (D.Lgs. 215 e 216 in Allegati 3 e 4).
- B) esecuzione dei singoli ordini: conservazione tempestiva, trasmissione dei dati, comunicazioni sulle cause che impediscono l’adempimento, sicurezza dei dati e ottemperanza dopo l’intervento dell’autorità di esecuzione. È questo il contesto disciplinato dall’articolo 3 del D.Lgs. 188/2026 in attuazione dell’art- 15 del Regolamento E-Evidence.
Per gli uffici Telco che gestiscono le prestazioni obbligatorie di giustizia, è fondamentale comprendere la distinzione in quanto ad esempio la sola designazione del referente/rappresentante aziendale non garantisce, da sola, la conformità al Regolamento nell’esecuzione di ciascun ordine e allo stesso modo, l’esecuzione di un ordine non esclude una violazione commessa durante la sua gestione operativa (esempio dovuta a carenze organizzative, mancanza di procedure e/o formazione, ecc.).
La violazione su entrambi i contesti, può comportare il cumulo delle sanzioni es. la mancata consegna dei dati entro i termini dovuta a carenza di risorse, può costituire violazione dell’art. 4 co 4 del D.Lgs. 216/2025 e dell’art. 3 co 1 lett. a) del D.Lgs. 188/2026 anche se l’effettiva possibilità di applicare più sanzioni deve tuttavia essere valutata sulla base degli elementi costitutivi delle singole violazioni e delle regole di coordinamento tra i rispettivi regimi.
Quali sono gli articoli del Regolamento E-Evidence richiamati dall’articolo 3?
Vediamoli di seguito sinteticamente.
Articolo 10 – Esecuzione dell’EPOC
Disciplina l’esecuzione del certificato di produzione (EPOC). Il destinatario (Telco) deve attivarsi tempestivamente per conservare i dati e produrli entro i termini previsti (10 giorni), rispettando criteri specifici quando è prevista la notifica all’autorità di esecuzione (richiesta tabulati traffico), oppure entro otto ore nei casi di emergenza. Disciplina, inoltre, i casi di “immunità” e le informazioni dovute quando l’ordine non può essere eseguito integralmente o nei termini.
Impatti lato TELCO: deve distinguere tra un ordine in lavorazione, un ordine in attesa di un passaggio procedurale, un ordine non eseguibile e un ordine eseguibile soltanto in parte. Se queste situazioni vengono gestite attraverso un unico stato generico — per esempio, “in attesa” — aumenta il rischio che una causa ostativa non sia comunicata, che un termine venga calcolato in modo errato o che la risposta venga inviata fuori i tempi previsti.
Articolo 11 – Esecuzione dell’EPOC-PR
Regola il certificato di conservazione (EPOC-PR), imponendo di conservare i dati richiesti senza indebito ritardo. La conservazione cessa ordinariamente dopo 60 giorni, salvo conferma della successiva richiesta di produzione (con emissione EPOC). La conservazione può essere prorogata di ulteriori 30 giorni. Sono inoltre disciplinate le “immunità” e le comunicazioni relative all’impossibilità o alla mancata conservazione.
Impatti lato TELCO: non è sufficiente che le procedure di conservazione adottate siano solo tecnicamente disponibili. Occorre che l’ordine venga associato ai dati corretti, che il blocco delle cancellazioni sia verificabile e tempestivo, che le eventuali proroghe siano recepite e che la revoca o la cessazione dell’obbligo siano gestite sulla base di comunicazioni attendibili. La perdita dei dati può derivare anche da un processo automatico di cancellazione non coordinato con l’ordine.
Articolo 13, paragrafo 4 – Riservatezza e integrità
Impone al destinatario e, se diverso, al prestatore di servizi di adottare le misure operative e tecniche all’avanguardia necessarie per tutelare riservatezza, segretezza e integrità dell’EPOC o dell’EPOC-PR e dei dati prodotti o conservati.
Impatti lato TELCO: la sicurezza non può essere considerata un controllo aggiuntivo, separato dall’esecuzione della prestazione, diventando parte integrante dell’obbligo normativo e può costituire una fattispecie sanzionabile autonoma rispetto al ritardo o all’incompletezza della risposta (art. 3 lett. e).
Articolo 16, paragrafo 10 – Sanzione dopo la procedura di esecuzione
Prevede che l’autorità di esecuzione applichi una sanzione pecuniaria quando il destinatario non ottempera agli obblighi derivanti da un ordine europeo di produzione o conservazione che sia stato riconosciuto e la cui esecutività sia stata confermata.
Impatti lato TELCO: per la funzione aziendale che gestisce le prestazioni obbligatorie di giustizia, un atto proveniente dall’autorità di esecuzione non deve quindi essere trattato come un sollecito ordinario: richiede escalation immediata, assegnazione di responsabilità nominative e verifica documentata della possibilità di adempiere.
Un piccolo ripasso sulla differenza tra EPOC ed EPOC-PR
Per la gestione operativa delle richieste è opportuno distinguere i due strumenti.
| Elemento | EPOC – Ordine di Produzione | EPOC-PR – Ordine di Conservazione |
| Finalità | Ottenere la trasmissione dei dati richiesti | Impedire che i dati richiesti vengano cancellati o perduti (totalmente o parzialmente) |
| Attività iniziale | Attivare tempestivamente la conservazione e preparare la produzione | Preservare tempestivamente i dati identificati |
| Obbligo principale | Trasmettere i dati nei termini applicabili | Mantenere i dati disponibili per il periodo previsto, garantendone l’integrità |
| Rischio operativo | Ritardo, omissione o incompletezza della risposta | Mancata conservazione o perdita (totale/parziale) dei dati |
| Controllo essenziale | Tracciamento della scadenza e verifica della completezza dei dati da fornire | Blocco delle cancellazioni e monitoraggio della durata della conservazione |
La distinzione tra EPOC ed EPOC-PR non è quindi semplicemente terminologica, ma comporta esigenze operative differenti che devono essere applicate dal Telco.
Nel caso dell’EPOC, il processo adottato deve consentire di verificare la tempestiva produzione dei dati richiesti, la completezza della risposta e la gestione delle eventuali cause ostative.
Per un EPOC-PR, il focus principale riguarda invece la tempestiva individuazione dei dati e la loro effettiva preservazione (congelamento) per il periodo applicabile, evitando potenziali cancellazioni o alterazioni incompatibili con l’ordine.
Le sanzioni previste dall’articolo 3, comma 1
Il D.Lgs. 188/2026 individua 6 fattispecie sanzionatorie che riportiamo sinteticamente nella seguente tabella.
L’art.3 prevede per ciascuna fattispecie, una sanzione compresa nell’intervallo indicato.
Ai sensi del comma 3, se concorrono due o più delle circostanze di cui al comma 2 o il fatto è di particolare gravità, quando la condotta tenuta ha impedito definitivamente l’acquisizione dei dati oggetto dell’EPOC o ha comportato la perdita definitiva dei dati oggetto dell’EPOC-PR, è applicata una sanzione pecuniaria fino al 2% del fatturato mondiale del prestatore di servizi nell’ultimo esercizio chiuso prima dell’accertamento della violazione, laddove tale importo sia superiore all’importo massimo della sanzione previsto la specifica violazione. La determinazione dell’importo è soggetta ai criteri sanciti dal comma 2, che vedremo di seguito.
| Lettera art. 3 co 1 | Riferimento al Regolamento | Condotta sanzionata | Sanzione |
| a) | Art. 10, par. 2 e 3
Art. 10, par. 4 |
Mancata trasmissione tempestiva dei dati nei casi ordinari, con o senza notifica all’autorità di esecuzione | € 25.000–100.000 |
| Ritardo nella trasmissione dei dati richiesti in caso di emergenza | |||
| b) | Art. 10, par. 5, 6 e 7
Art. 10, par. 8 |
Omessa comunicazione di specifiche cause ostative previste dal Regolamento | € 10.000–50.000 |
| Omessa comunicazione di altri motivi di mancata, incompleta o tardiva produzione | |||
| c) | Art. 11, par. 1 e 2 | Mancata conservazione dei dati richiesti con EPOC-PR | € 100.000–1.000.000 |
| d) | Art. 11, par. 4, 5 e 6
Art. 11, par. 7 |
Omessa comunicazione di specifiche immunità o cause ostative alla conservazione | € 10.000–50.000 |
| Omessa comunicazione di altri motivi di mancata conservazione diversi dal precedente punto 7 | |||
| e) | Art. 13, par. 4 | Mancata adozione di misure tecniche e operative adeguate a garantire la riservatezza, segretezza e integrità dell’EPOC e EPOC-PR | € 500.000–1.000.000 |
| f) | Art. 16, par. 10 | Inottemperanza all’esito positivo della procedura di esecuzione | € 600.000–1.200.000 |
È indubbio che seppur gli importi previsti non paiano eccessivi, la potenziale applicazione del parametro del 2% connesso al fatturato, rende secondo me insufficiente valutare il rischio di inadempimento sulla sola base degli importi minimi o massimi fissi (soprattutto per i Telco Top Player).
Come viene determinata e applicata la sanzione e da chi
L’articolo 3 non si limita a stabilire gli importi ma definisce anche i criteri per graduare la sanzione, l’autorità competente, il procedimento e i mezzi di impugnazione.
Il giudice (GIP), ai sensi dell’art. 3 co 2, deve considerare tutte le circostanze rilevanti, tra cui:
- natura, gravità e durata della violazione;
- carattere doloso o colposo della condotta;
- precedenti violazioni commesse dall’autore della violazione;
- condizioni patrimoniali, economiche e finanziarie;
- cooperazione con le autorità competenti;
- attività svolte per eliminare o attenuare le conseguenze;
- natura e dimensioni del prestatore di servizi o dello stabilimento designato;
- grado di colpa, tenendo conto delle misure tecniche e organizzative adottate per conformarsi alla disciplina.
Impatti lato Telco: questi criteri attribuiscono particolare rilievo alla qualità del sistema di controllo interno ed alla gestione end2end delle richieste ed ovviamente al sistema di compliance adottato. Una mancanza operativa/gestionale non dimostra automaticamente la responsabilità, così come ad esempio l’esistenza di procedure formalizzate non esclude automaticamente una violazione. Segnalo, pertanto, l’importanza di poter dimostrare quali misure fossero concretamente attive, come siano state applicate e quale sia stata la reazione aziendale all’evento.
Autorità competente e procedimento: commi 3-10
Il D.Lgs. 188/2026 introduce una procedura particolare, affidata all’Autorità Giudiziaria anziché ad una autorità Amministrativa.
1. Avvio del procedimento
Il comma 4 prevede che il GIP procede d’ufficio oppure su richiesta del pubblico ministero presso il tribunale del capoluogo del distretto in cui è stabilito lo stabilimento designato o risiede il rappresentante legale, qualora questi sia autorità di esecuzione.
2. Termine per la richiesta
Il comma 5 prevede che il GIP notifichi agli interessati una specifica contestazione del fatto, con avviso che nel termine di 30 giorni, decorrente dalla data di notificazione, gli stessi possono far pervenire alla stessa autorità competente scritti difensivi e documenti
La notifica di cui al punto precedente, è disposta entro il termine di 90 giorni decorrenti dalla scadenza del termine fissato dall’autorità di esecuzione del provvedimento adottato ai sensi dell’art. 16 par. 3 del Regolamento 2023/1543 ovvero dalla data in cui è pervenuta notizia di taluna delle violazioni di cui al comma 1 dell’art. 3 D.Lgs. 188/2026.
3. Decisione del GIP
Decorsi i 30 giorni il GIP, esaminati i documenti inviati e le argomentazioni, se ritiene fondata la violazione, determina con ordinanza motivata la somma dovuta e ne ingiunge il pagamento, insieme alle spese, all’autore della violazione ed alle persone che vi sono obbligate. In caso contrario, dispone l’archiviazione degli atti.
Ai fini di cui al comma 4, le autorità di esecuzione si possono avvalere del personale indicato dall’articolo 13, comma quarto, della legge 24 novembre 1981, n. 689 (ufficiali e agenti di Polizia Giudiziaria).
Per il Telco la fase di contestazione assume particolare rilevanza perché richiede di ricostruire in modo verificabile la gestione del singolo ordine.
La documentazione che il Telco dovrà predisporre, deve consentire di individuare la data e le modalità di ricezione, quali attività sono state svolte, i livelli di responsabilità assegnate a chi opera nel contesto degli ordini, le comunicazioni intercorse con le autorità, gli eventuali impedimenti e le misure adottate per superarli. E fornire elementi sugli assetti tecnico organizzativi adottati.
La disponibilità di tali elementi ovviamente non esclude automaticamente la responsabilità, ma può consentire una valutazione più completa della condotta, del grado di colpa e delle circostanze rilevanti ai fini della determinazione della sanzione.
4. Pagamento
Il pagamento (art. 3 co. 6) è previsto entro 30 giorni dalla notifica dell’ordinanza mediante versamento ad apposito conto corrente intestato al fondo di cui all’art. 61 del DL 112/2008. In caso di mancato pagamento si procede alla riscossione secondo le norme sul recupero delle spese processuali.
5. Opposizione e ricorso per cassazione
L’opposizione (art. 3 co. 7) va proposta entro 30 giorni dalla notifica del provvedimento, davanti al tribunale del capoluogo del distretto interessato. Contro la sentenza resa sull’opposizione è previsto ricorso per cassazione per violazione di legge.
Il comma 8 rinvia, per quanto non diversamente disposto e in quanto compatibile, alla legge 24 novembre 1981, n. 689.
Un elemento significativo: la sanzione può intervenire anche dopo l’adempimento
La relazione illustrativa chiarisce espressamente che la sanzione per violazioni, prescinde dalla successiva esecuzione, volontaria o forzosa, dell’ordine.
Questo significa che un Telco non può considerare automaticamente sanata la violazione per il solo fatto di aver trasmesso i dati in ritardo e aver quindi completato successivamente una risposta incompleta o aver ripristinato una condizione di sicurezza inadeguata.
L’adempimento tardivo e le misure correttive adottate successivamente, possono essere rilevanti nella determinazione della sanzione, ma non annullano necessariamente la violazione già verificatasi (vedi ad esempio art. 3 co 2 lett. f).
Come si evince, e come più volte sottolineato, per il Telco diventa pertanto vitale documentare sia l’evento originario sia le azioni successive intraprese.
Analisi critica dei principali punti di attenzione
Vediamo quali sono i principali punti da attenzionare.
Potenziali sovrapposizioni al sistema sanzionatorio
Al comma 2 dell’art. 3 del D.Lgs. 188/2026 sono stabiliti, come detto poc’anzi, i criteri per la determinazione della sanzione, e al riguardo vorrei evidenziare la lettera h) ove prevede che tra i criteri per la determinazione della sanzione va valutato “il grado di colpa dell’autore della violazione, tenuto conto delle misure tecniche e organizzative adottate per conformarsi al presente decreto” e la sanzione prevista dal D.Lgs. 216/2025 art. 7 comma 1 lett. b che sanziona le violazioni dell’art. 4 comma 4” che recita:
“I prestatori di servizi che sono stabiliti o che offrono servizi in Italia hanno, in ogni caso, l’obbligo di attribuire agli stabilimenti designati e ai rappresentanti legali nominati, i poteri e le risorse necessari per ottemperare alle decisioni e agli ordini di cui all’articolo 3, comma 1, nonché per l’esperimento delle procedure di esecuzione ai sensi delle disposizioni vigenti.”
Il primo riferimento attribuisce rilievo al grado di colpa dell’autore della violazione, tenendo conto delle misure tecniche e organizzative adottate per conformarsi alla disciplina. Il secondo decreto, secondo quanto richiamato nel presente articolo, disciplina obblighi organizzativi la cui inosservanza può assumere autonoma rilevanza sanzionatoria.
Le due disposizioni non sono necessariamente incompatibili, poiché possono riguardare profili distinti quali da un lato, l’adeguatezza delle misure ai fini della valutazione della condotta relativa a un ordine; dall’altro, l’eventuale inosservanza degli obblighi organizzativi imposti al prestatore.
Il problema interpretativo si potrebbe porre quando la stessa carenza organizzativa viene utilizzata per fondare contestazioni distinte. In tali casi occorre verificare se le condotte contestate siano effettivamente autonome, quali siano gli elementi costitutivi delle rispettive violazioni e come debbano essere coordinate le conseguenze sanzionatorie.
Un ulteriore interrogativo riguarda il valore di un precedente controllo nel quale non siano state rilevate carenze organizzative. Un simile esito può costituire un elemento utile nella ricostruzione dei fatti, ma non esclude necessariamente che una specifica procedura, in un momento successivo o in circostanze differenti, presenti criticità rilevanti.
La questione centrale è pertanto individuare criteri coerenti di valutazione delle misure organizzative, evitando sia di attribuire a un controllo precedente un effetto automaticamente esonerativo, sia di ignorarne le risultanze senza un’adeguata valutazione delle circostanze.
Proporzionalità/Esimenti
Se esaminiamo i Considerando 69 e 70 del Regolamento, vediamo che le sanzioni oltre ad essere effettive e dissuasive, devono essere proporzionate:
(69) Fatti salvi i diritti nazionali che prevedono l’irrogazione di sanzioni penali, gli Stati membri dovrebbero stabilire le norme relative alle sanzioni pecuniarie applicabili in caso di violazione del presente regolamento e dovrebbero adottare tutti i provvedimenti necessari per assicurarne l’applicazione. Gli Stati membri dovrebbero garantire che le sanzioni pecuniarie previste nel loro diritto nazionale siano effettive, proporzionate e dissuasive. Gli Stati membri dovrebbero notificare senza indugio tali norme e provvedimenti alla Commissione nonché provvedere a dare immediata notifica delle eventuali modifiche successive.
(70) Nel valutare nel caso di specie le opportune sanzioni pecuniarie, le autorità competenti dovrebbero tenere conto di tutte le circostanze pertinenti, quali la natura, la gravità e la durata della violazione, se è stata commessa intenzionalmente o per negligenza, se il prestatore di servizi è stato ritenuto responsabile per analoghe violazioni precedenti, nonché la solidità finanziaria del prestatore di servizi ritenuto responsabile. In circostanze eccezionali, tale valutazione potrebbe portare l’autorità di esecuzione a decidere di astenersi dall’irrogare sanzioni pecuniarie. A tale riguardo, occorre prestare particolare attenzione alle microimprese che non ottemperano a un ordine europeo di produzione o a un ordine europeo di conservazione in un caso di emergenza per mancanza di risorse umane al di fuori del normale orario di lavoro, se i dati sono trasmessi senza indebito ritardo.
Il richiamo alla proporzionalità pone un problema interpretativo che merita di essere approfondito.
Il considerando 70 richiama la possibilità che, in circostanze eccezionali, la valutazione del caso concreto potrebbe condurre a non irrogare una sanzione, soffermandosi anche sulle difficoltà che possono interessare le microimprese in caso di ordini urgenti al di fuori del normale orario di lavoro.
Si pone quindi il problema di comprendere in quale misura tale indicazione debba orientare l’interpretazione e l’applicazione della disciplina nazionale e quali presupposti siano necessari per attribuire rilievo a circostanze eccezionali.
Le Autorità che possono incidere nel sistema sanzionatorio
Come descritto in un mio precedente articolo riguardante il sistema sanzionatorio connesso con le prestazioni obbligatorie di giustizia (Vedi All. 7), ripropongo la seguente sintesi comparativa:
Due livelli di sanzione
-
- Sanzioni domestiche, art. 30 CCE, sanzioni settoriali per dati di traffico (Decreto Frattini / art.162-bis Codice Privacy, Provvedimenti del Garante), sanzioni previste dal GDPR.
- Sanzioni del pacchetto E-Evidence
- A) D.Lgs. 188/2026 in attuazione dell’art. 15 del Regolamento UE 2023/1543 introduce una soglia “collegata al fatturato annuo mondiale” (fino al 2%) che per operatori Telco Top Player può superare ampiamente le sanzioni nazionali domestiche, oltre quelle a fasce del D.Lgs. 188/2026 stesso.
- B) D.Lgs. 216/2025 applica le sanzioni sugli “obblighi organizzativi” e la responsabilità solidale tra prestatore e stabilimento/rappresentante.
La presenza di più regimi sanzionatori e di differenti autorità competenti, rende necessario distinguere le finalità dei singoli procedimenti e gli obblighi cui ciascuno si riferisce.
La stessa vicenda operativa infatti potrebbe presentare profili rilevanti rientranti in discipline diverse, ma questo ovviamente non comporta automaticamente che tutte le disposizioni siano applicabili al medesimo fatto o che le relative sanzioni siano cumulabili.
La comparazione tra i regimi dovrebbe quindi consentire non soltanto di identificare le autorità coinvolte, ma anche di comprendere quali obblighi siano oggetto di controllo, quali violazioni possano essere contestate e quali criteri debbano essere applicati per coordinare le rispettive conseguenze.
Autorità competente
| Autorità | Fonte normativa | Ambito di intervento | Tipologia sanzione |
| MIMIT / AGCOM | Disposizioni pertinenti del Codice delle comunicazioni elettroniche | Sanzioni settoriali di rispettiva competenza (art. 30 CCE) | Domestica |
| Garante per la protezione dei dati personali | Codice Privacy, Provvedimenti Garante del 2005 e 2008, GDPR, ove applicabili | Violazioni in materia di protezione dei dati | Domestica |
| Ministero dell’Interno – / Polizia Postale | D.Lgs. 216/2025 e disposizioni attuative pertinenti | Obblighi organizzativi, nei limiti delle competenze attribuite | Pacchetto E-Evidence |
| Giudice competente (GIP) | Art. 3 del D.Lgs. 188/2026, secondo il procedimento previsto | Sanzioni relative alle violazioni disciplinate dalla disposizione (rif. Art. 15 Regolamento 2023/1543) | Pacchetto E-Evidence |
Sintesi conclusiva
L’art. 3 del D.Lgs. 188/2026 introduce un quadro sanzionatorio che richiede ai Telco un’attenta valutazione dei processi attraverso i quali vengono gestiti gli ordini europei di produzione e conservazione.
Il rischio, come abbiamo visto, non riguarda soltanto l’eventuale mancata totale o parziale trasmissione dei dati o la loro perdita o il ritardo, ma anche la capacità di dimostrare concretamente e con senso logico, la corretta gestione operativa dell’ordine, il rispetto dei termini applicabili, la tempestiva comunicazione degli impedimenti e l’adeguatezza delle misure adottate a tutela della riservatezza e dell’integrità.
In questo contesto, la gestione delle richieste dovrebbe basarsi, a mio avviso, su quattro direttrici operative
| Direttrice operativa | Obiettivo | Misure operative |
| 1. Automazione delle scadenze | Garantire il monitoraggio dei termini previsti per la gestione degli ordini E-Evidence. | Identificazione delle scadenze applicabili, gestione delle priorità, notifiche automatiche e attivazione di meccanismi di escalation in caso di ritardo. |
| 2. Formalizzazione delle eccezioni | Rendere verificabili gli impedimenti e le anomalie che possono influire sull’esecuzione dell’ordine. | Registrazione delle cause di ritardo o impossibilità, delle comunicazioni inviate alle autorità, delle decisioni assunte e delle azioni intraprese. |
| 3. Tracciabilità end-to-end | Ricostruire l’intero ciclo di vita dell’ordine, dalla ricezione alla chiusura. | Tracciamento delle attività svolte, delle tempistiche, dei soggetti responsabili, delle comunicazioni e dell’esito finale della richiesta. |
| 4. Documentazione delle misure organizzative | Dimostrare l’effettiva applicazione delle procedure e dei controlli previsti. | Formalizzazione delle responsabilità, conservazione delle evidenze dei controlli eseguiti e documentazione delle misure correttive adottate. |
Queste misure seppur non garantiscono, da sole, l’esclusione della responsabilità, possono però contribuire a prevenire le violazioni, a individuare tempestivamente le anomalie e a documentare le circostanze rilevanti ai fini della valutazione della condotta.
La conformità non può pertanto essere valutata esclusivamente sulla base dell’esito finale della prestazione ma deve essere verificabile lungo l’intero processo, attraverso procedure e policy effettivamente applicate, responsabilità definite, controlli documentati e una gestione delle anomalie coerente con gli obblighi normativi.
La capacità di dimostrare come è stato gestito ogni ordine diventa così una componente essenziale del sistema di controllo interno dell’operatore.
NOTA: la precedente analisi è informativa; non sostituisce una verifica legale della sua applicabilità al singolo operatore.
ALLEGATI
(1) D.Lgs. 188/2026 https://www.gazzettaufficiale.it/atto/serie_generale/caricaDettaglioAtto/originario?atto.dataPubblicazioneGazzetta=2026-10-20&atto.codiceRedazionale=26G00205&elenco30giorni=false
(2) Relazione tecnica e illustrativa https://www.senato.it/service/PDF/PDFServer/BGT/1509201.pdf
(3) D.Lgs. 215/2025 https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2025-12-30;215
Articoli (5, 6 e 7)
(5) https://lnkd.in/p/dYNJb6An
(8) Rettifica Regolamento E-Evidence https://www.linkedin.com/safety/go/?url=https%3A%2F%2Flnkd.in%2Fdeu3Uu_5&urlhash=b7wZ&mt=Xs8d3GQcRqMmiB5ogHXX3pgU-0mL5nqTWVeV6p5ZQth5U08NAExctPhB3YBsGsay2bBz8R671QoQFQdTpmXteSRP5Y32Hx6spQb9MklvGT5B4LRJs4Dhhjxs&isSdui=true&lipi=urn%3Ali%3Apage%3Ad_flagship3_profile_creator_profile_all_content_view%3BHdLaPxBzRAqH3yDHKpywJA%3D%3D
(9) Regolamento E-Evidence https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32023R1543
