Understanding the EPOC and EPOC-PR request types is essential for operators subject to the EU e-Evidence Regulation. The EU e-Evidence Regulation (Regulation 2023/1543) represents one of the most significant developments in cross-border digital evidence gathering within the European Union. At its core, the regulation introduces two new orders, the European Production Order and the European Preservation Order, which reach the provider as standardised certificates (EPOC and EPOC-PR) and enable judicial authorities in one EU member state to order data directly from the designated establishment or legal representative of a provider in another Member State, wherever the provider is headquartered. For telecommunications operators and other service providers, understanding the distinction between these two instruments is essential for building compliant response processes.
Questo articolo offre un'analisi dettagliata dell'EPOC e dell'EPOC-PR, spiegando a cosa servono questi strumenti, chi può emetterli, quali requisiti impongono ai fornitori di servizi, in cosa differiscono l'uno dall'altro e in che modo si rapportano con quelli esistenti intercettazione lecita obblighi.
Understanding EPOC and EPOC-PR
The EPOC is an order requiring a service provider to produce specific electronic evidence to the issuing authority. It is the more consequential of the two instruments, as it compels the actual disclosure of data. EPOCs can be issued for subscriber data, for data requested for the sole purpose of identifying the user (such as an IP address with source port and timestamp), for traffic data, and for content data. The authorisation requirements depend on the category. In this article, ‘EPOC’ and ‘EPOC-PR’ are used as shorthand for the orders they transmit.
For subscriber data and user-identification data — which include basic registration information and IP addresses with source port and timestamp — an EPOC can be issued by a judge, a court, an investigating judge, or a prosecutor (or by another competent investigating authority, subject to validation). For traffic data and content data — which include communication metadata such as connection logs and the actual content of communications — an EPOC must be issued or validated by a judge, a court or an investigating judge, reflecting the higher privacy impact of these data categories. For these categories the issuing authority usually notifies the enforcing authority at the same time; outside emergencies, the provider then transmits at the end of the 10-day period unless a ground for refusal is raised.
When a service provider receives an EPOC, it must produce the requested data within ten days, or within eight hours in emergency cases. Any problem with an order (an incomplete form, manifest errors, de facto impossibility, immunities or privileges) is reported on the Annex III form to the issuing authority and, where it was notified, to the enforcing authority of the Member State where the provider’s designated establishment or legal representative is located. Potential conflicts with the law of a third (non-EU) country are raised by the provider through a reasoned objection within 10 days (Article 17). However, the provider cannot simply refuse to comply; the regulation obliges the addressee to execute the order within the deadline unless one of these specific procedures applies.
L’EPOC rappresenta un significativo allontanamento dalle tradizionali procedure di assistenza giudiziaria reciproca (MLA), che richiedono che le richieste passino attraverso le autorità centrali e possono richiedere mesi o addirittura anni per essere evase. Consentendo alle autorità giudiziarie di rivolgere gli ordini direttamente ai fornitori di servizi, il regolamento sulle prove elettroniche riduce drasticamente i tempi necessari per ottenere prove digitali transfrontaliere. Per i fornitori di servizi, ciò significa che devono essere pronti a ricevere, convalidare e rispondere alle EPOC entro scadenze molto strette.
The European Preservation Order (EPOC-PR)
L’EPOC-PR è uno strumento meno invasivo che impone al fornitore di servizi di conservare specifiche prove elettroniche in attesa di una successiva richiesta di produzione. A differenza dell’EPOC, l’EPOC-PR non richiede al fornitore di divulgare alcun dato, ma si limita a imporgli di garantire che i dati specificati non vengano cancellati, alterati o resi in altro modo non disponibili. L’EPOC-PR funge da misura conservativa che impedisce la perdita di prove mentre l’autorità emittente prepara un’ordinanza di produzione o altro procedimento legale per ottenere i dati.
Prosecutors can issue an EPOC-PR for any data category, whereas EPOCs for traffic or content data require a judge, a court or an investigating judge. This broader issuing authority reflects the lower privacy impact of preservation (the data is retained but not disclosed) compared to production (the data is actually disclosed to the requesting authority).
When a service provider receives an EPOC-PR, it must take immediate steps to preserve the specified data. The preservation obligation ends after 60 days. Within that period the issuing authority can extend it once by 30 days if it needs more time to issue a production request. If it confirms (Annex V) that a production request has been issued, the provider must keep preserving the data until it is produced. Without either, the obligation lapses, and the data fall back under the provider’s normal retention rules.
L’EPOC-PR è particolarmente utile in situazioni in cui le prove potrebbero essere a rischio di cancellazione — ad esempio, quando un indagato è a conoscenza di un’indagine e potrebbe tentare di distruggere le prove, oppure quando i dati sono soggetti a cancellazione automatica in base alle politiche di conservazione del fornitore di servizi. Garantendo rapidamente la conservazione dei dati, l’EPOC-PR impedisce la perdita di prove, lasciando al contempo il tempo necessario per il processo di autorizzazione più rigoroso richiesto per un’ordinanza di produzione.
Differenze principali tra EPOC ed EPOC-PR
Le differenze tra EPOC ed EPOC-PR sono fondamentali e riguardano diversi aspetti. La distinzione più basilare riguarda la finalità: un EPOC impone la produzione (divulgazione) dei dati, mentre un EPOC-PR impone solo la conservazione (ritenzione) dei dati. L’impatto sulla privacy di un EPOC è significativamente maggiore rispetto a quello di un EPOC-PR, il che si riflette nei diversi requisiti di autorizzazione e nelle garanzie procedurali.
Issuing authority requirements differ between the two instruments. EPOCs for traffic and content data must be issued or validated by a judge, a court or an investigating judge, while EPOC-PRs can be issued by prosecutors without judicial validation. This difference reflects the proportionality principle — the more invasive the measure, the higher the level of judicial oversight required.
Response timescales also differ. EPOCs require production within ten days (or eight hours in emergencies), while EPOC-PRs require immediate preservation with the obligation lasting 60 days (extendable by a further 30 days, and until the data is produced once the authority confirms that a production request has been issued). The EPOC-PR is designed to be a rapid, temporary measure, while the EPOC is a definitive order requiring substantive compliance.
The grounds for refusal differ between the two instruments. For EPOCs that require notification, the enforcing authority can refuse on limited grounds (immunities and privileges, a manifest breach of fundamental rights, ne bis in idem, dual criminality). The provider itself can flag immunities or privileges on the Annex III form, file a reasoned objection on third-country law, and object to enforcement only on the grounds in Article 16(4), points (a) to (f). For EPOC-PRs there is no notification and no ground for refusal by the enforcing authority, and no third-country objection procedure. The provider can report problems on the Annex III form and, if enforcement is sought, object on the grounds in Article 16(5).
Implicazioni per gli operatori di telecomunicazioni
Gli operatori di telecomunicazioni sono tra i destinatari più probabili sia degli EPOC che degli EPOC-PR, dato il volume di dati relativi agli abbonati, al traffico e ai contenuti di cui dispongono. Gli operatori devono mettere a punto processi e sistemi per gestire entrambi i tipi di ordinanze, compresa la capacità di ricevere e convalidare le ordinanze in arrivo, identificare i dati rilevanti nei propri sistemi, conservare i dati in risposta alle EPOC-PR, fornire i dati in risposta alle EPOC, monitorare lo stato e le tempistiche di ciascuna ordinanza e conservare la documentazione e le tracce di audit per conformità normativa.
Il tempo di risposta di dieci giorni previsto per gli EPOC (e di otto ore per le emergenze) è particolarmente impegnativo. Gli operatori devono disporre di procedure che consentano la rapida identificazione ed estrazione dei dati richiesti, la revisione da parte di personale qualificato in ambito legale e di conformità, e la consegna sicura all’autorità richiedente. I processi manuali che si basano sull’intervento individuale potrebbero non essere sufficienti a rispettare tali tempistiche in modo coerente, pertanto gli operatori dovrebbero valutare la possibilità di investire in sistemi automatizzati o semiautomatizzati per la gestione delle richieste di prove elettroniche.
Rapporto con l’intercettazione legale
È importante distinguere i provvedimenti relativi alle prove elettroniche (e-Evidence) dall’intercettazione legale. L’intercettazione legale comporta l’acquisizione e la trasmissione in tempo reale delle comunicazioni man mano che avvengono. Gli ordini relativi alle prove elettroniche, al contrario, riguardano i dati archiviati, ovvero dati che sono già stati generati e sono conservati dal fornitore di servizi. Un EPOC può richiedere dati storici sul traffico, registrazioni relative agli abbonati o contenuti archiviati, ma non autorizza l’intercettazione in tempo reale.
Tuttavia, i due quadri normativi sono complementari. Le forze dell’ordine possono avvalersi di ordinanze relative alle prove elettroniche per ottenere dati storici sulle abitudini di comunicazione di un soggetto e poi ricorrere all’intercettazione legale per monitorare le sue comunicazioni in corso. Gli operatori devono essere in grado di supportare entrambi i quadri normativi, con sistemi e procedure adeguati per ciascuno di essi. Il conservazione dei dati Anche le politiche dell'operatore sono rilevanti, poiché la disponibilità dei dati storici dipende dal periodo di conservazione delle diverse categorie di dati da parte dell'operatore.
Prepararsi alla conformità in materia di prove elettroniche
Gli operatori dovrebbero iniziare a prepararsi per Conformità in materia di prove elettroniche by designating a designated establishment (if established in the EU) or appointing a rappresentante legale in a Member State where they offer services (if not) to receive and handle e-Evidence orders. This was due by 18 August 2026. They should map which data they actually hold and for how long under existing law and business need, so they can find it quickly. The e-Evidence Regulation does not require them to keep data longer than they already do. They should also develop internal procedures for receiving, validating, and responding to both EPOCs and EPOC-PRs, train relevant staff on the requirements and timescales, and implement technical systems to support the rapid identification, preservation, and extraction of requested data.
Conclusione
The EPOC and EPOC-PR are the two pillars of the EU e-Evidence framework, each serving a distinct purpose in the cross-border evidence-gathering process. The EPOC compels the production of specified data, while the EPOC-PR requires its preservation. Together, they provide law enforcement with a faster, more direct mechanism for obtaining digital evidence across EU borders, complementing the slower EIO and MLA channels, which remain available. For telecommunications operators, compliance with both instruments requires investment in processes, systems, and trained personnel — but providers that set this up properly gain smoother compliance, reduced regulatory risk, and a constructive relationship with the law enforcement authorities that rely on operator cooperation.
The e-Evidence Regulation also introduces requirements for the establishment of a decentralised IT system to facilitate the transmission of e-Evidence orders between member states and service providers. Since 18 August 2026, orders and responses must go through the EU’s decentralised IT system (built on e-CODEX), where the Member State concerned has connected it. Providers access it through their Member State’s national system, either through the web-based interface or an API based on ETSI TS 104 144. Where the national components are not yet live, orders arrive by secure alternative means, and providers must handle both. The IT system provides a secure, standardised channel for the exchange of orders and responses, and aligning internal processes with its technical requirements avoids compliance challenges as more Member States connect.
Now that the EU e-Evidence Regulation applies, the volume of EPOC and EPOC-PR requests will increase significantly. Operators must ensure their processes can handle EPOC and EPOC-PR requests within the mandated timelines.
Articoli correlati
Per ulteriori letture su argomenti correlati, esplorate questi articoli:
- Come si differenziano e dove si sovrappongono l'e-Evidence e l'intercettazione legale
- EU E-Evidence Regulation: What Service Providers Must Do Now
- Obblighi di conservazione dei dati nel settore delle telecomunicazioni: cosa devono conservare gli operatori e per quanto tempo
Risorse esterne
Le seguenti risorse esterne forniscono ulteriore contesto e documentazione ufficiale:
