e-Evidence Compliance Checklist: Is Your Organisation Ready Now the Regulation Applies?

O Regulamento (UE) 2023/1543 relativo às provas electrónicas has applied directly across the participating Member States since 18 de agosto de 2026. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.

Se a sua organização oferece serviços de comunicação eletrónica, alojamento, nuvem, redes sociais, mercado, domínio ou numeração IP a utilizadores na UE, é quase certo que está abrangida pelo âmbito de aplicação, mesmo que a sua sede se situe fora da União. O incumprimento pode dar origem a coimas que podem ir até 2% do volume de negócios anual global, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.

Este abrangente Lista de controlo de conformidade das provas electrónicas walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.

O que é o regulamento da UE relativo às provas electrónicas?

Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.

O regulamento introduz dois instrumentos fundamentais. Os European Production Order obriga um prestador a apresentar dados electrónicos específicos, enquanto a European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use e-CODEX, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.

Quem é abrangido pelo âmbito de aplicação do regulamento relativo às provas electrónicas?

O regulamento lança uma rede deliberadamente alargada. É provável que seja um prestador de serviços designado se oferecer algum dos seguintes serviços a utilizadores localizados na UE:

• Serviços de comunicações electrónicas - telefonia, mensagens, correio eletrónico, VoIP e comunicações interpessoais independentes do número.
• Serviços de nomes de domínio Internet e de numeração IP - registos, agentes de registo, RIR, serviços de privacidade/proxy e fornecedores de DNS.
• Serviços da sociedade da informação em que o armazenamento de dados é um componente determinante - redes sociais, mercados em linha, ferramentas de colaboração e plataformas de conteúdos.
• Computação em nuvem e fornecedores de alojamento - IaaS, PaaS, SaaS, alojamento gerido e redes de distribuição de conteúdos.

Fundamentalmente, o âmbito de aplicação segue o “teste da ”ligação substancial: if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).

As quatro categorias de provas electrónicas

O regulamento distingue quatro categorias de dados, cada uma com limiares e salvaguardas diferentes. O seu inventário de dados e fluxos de trabalho de divulgação devem ser capazes de os diferenciar com precisão:

1. Dados do assinante - identidade, dados de contacto, informações de faturação e o tipo de serviço utilizado.
2. Dados solicitados com o único objetivo de identificar o utilizador — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
3. Dados de tráfego (exceto da categoria 2) - registos de ligação, carimbos de data/hora, origem/destino, identificadores de dispositivos.
4. Dados de conteúdo - o conteúdo das comunicações, ficheiros armazenados, mensagens, fotografias e documentos.

Os dados de assinante e de identificação podem ser solicitados para qualquer infração penal. Os dados de tráfego e de conteúdo estão reservados para infracções puníveis com uma pena máxima de prisão de pelo menos três anos, ou para uma lista definida de infracções graves de cibercrime, terrorismo e abuso sexual de crianças. O mapeamento dos sistemas que contêm cada categoria é uma das etapas de preparação mais importantes - e muitas vezes negligenciada.

Preparação jurídica e organizacional

A sua primeira tarefa é uma avaliação do âmbito. Documentar, de forma fundamentada, quais dos seus serviços são abrangidos pelo regulamento, quais as entidades do seu grupo que receberão ordens e qual o Estado-Membro que actuará como “Estado de execução”. Esta avaliação deve ser assinada pelo seu consultor jurídico geral ou pelo diretor responsável pela proteção de dados e revista anualmente.

Next, designate one of your own EU establishments as the designated establishment (if you are established in the EU) or appoint a representante legal in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the Bundesamt für Justiz (BfJ); other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.

• Nomear um Responsável pela conformidade das provas electrónicas com autoridade multifuncional nos domínios jurídico, da segurança, da engenharia e das operações.
• Construir ou manter conhecimentos jurídicos especializados capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
• Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
• Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
• Atualização termos de serviço, avisos de privacidade e diretrizes de aplicação da lei para refletir o novo quadro.

Requisitos da infraestrutura técnica

Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (e-CODEX-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the ICS Plataforma de conformidade de provas electrónicas supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.

• Interface de admissão segura — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
• Validação da identidade e da encomenda - verificações automáticas de assinaturas digitais, credenciais da autoridade emissora, integridade do certificado e alinhamento de categorias.
• Descoberta e extração de dados - ferramentas capazes de localizar dados de assinantes, identificação, tráfego e conteúdo em todos os sistemas relevantes em poucas horas, e não em dias.
• Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
• Canais de distribuição encriptados — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
• Pista de auditoria inviolável - registos assinados criptograficamente de todas as acções, desde a entrada até à entrega, apoiando a integridade das provas e a revisão post-hoc.
• Resiliência e alta disponibilidade - Infraestrutura redundante capaz de cumprir a janela de resposta de emergência de 8 horas 24/7/365.
• Controlos de minimização de dados e limitação da finalidade - garantir que divulga apenas o que foi especificamente encomendado, em conformidade com o artigo 5º do RGPD.

Processos operacionais e tempos de resposta

O regulamento impõe prazos de resposta rigorosos e não negociáveis que devem orientar a conceção do seu modelo operacional:

• Ordens de produção standard: os dados devem ser transmitidos no prazo de 10 dias de receção.
• Ordens de produção de emergência: em caso de ameaça iminente à vida, à integridade física ou às infra-estruturas críticas, os dados devem ser transmitidos no prazo de 8 horas.
• Ordens de conservação: os dados devem ser preservados para 60 dias, prorrogável por mais 30 dias, na pendência de uma ordem de produção ou de um pedido do MLA.

Cumprir estes prazos exige mais do que apenas tecnologia - exige processos ensaiados e bem documentados. O seu manual operacional deve abranger:

• Atendimento e triagem 24 horas por dia, 7 dias por semana com pessoal jurídico e de engenharia de plantão nomeado.
• Classificação da gravidade distinção entre ordens de emergência, normais e de conservação.
• Vias de escalonamento para os despachos que suscitem questões de direitos fundamentais, imunidades, liberdade de imprensa ou quando a autoridade emissora pareça estar a agir ultra vires.
• Garantia de qualidade com uma análise de quatro olhos antes de qualquer dado sair do seu ambiente.
• Acompanhamento do reembolso de custos quando a legislação nacional permite o reembolso dos custos de conformidade.
• Exercícios de mesa simular cenários de emergência pelo menos duas vezes por ano.
• Formação contínua para o pessoal jurídico, de segurança, de apoio ao cliente e de engenharia que possa encontrar encomendas.

Motivos de recusa e proteção dos utilizadores

The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.

Interação com o RGPD, o NIS2 e a ASD

As provas electrónicas não existem isoladamente. As divulgações devem ser compatíveis com as RGPD (legalidade, minimização, registos de tratamento e obrigações de AIPD), o Diretiva NIS2 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the Lei dos Serviços Digitais (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.

Sanções por incumprimento

Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to 2% do volume de negócios anual total do fornecedor a nível mundial in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.

A Practical 6-Month Remediation Roadmap

1. Meses 1-2 - Descoberta e avaliação das lacunas. Confirmar o âmbito de aplicação, identificar os dados, auditar os processos de aplicação da lei existentes e comparar com os requisitos do regulamento.
2. Meses 2-3 - Fundamentos jurídicos. Designar o estabelecimento/representante, registar-se junto da autoridade nacional, finalizar as políticas e atualizar os contratos.
3. Meses 3-4 - Construção técnica. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
4. Meses 4-5 - Prontidão operacional. Recrutar e formar a equipa de resposta, finalizar o manual, realizar exercícios de mesa e simulacros de emergência.
5. Mês 6 - Garantia. Independent compliance audit, board-level sign-off and a go-live rehearsal.

Perguntas mais frequentes

Para uma referência mais longa, consulte a nossa secção dedicada FAQ da e-Evidence.

Quando é que o regulamento da UE relativo às provas electrónicas é aplicável?

Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 18 de agosto de 2026. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.

O regulamento aplica-se aos prestadores de serviços não comunitários?

Sim. Qualquer prestador que ofereça serviços na UE está abrangido pelo âmbito de aplicação, independentemente do seu local de estabelecimento. Os prestadores de serviços de países terceiros devem nomear um representante legal num Estado-Membro para receber e dar seguimento às encomendas.

O que acontece se eu não cumprir o prazo de emergência de 8 horas?

O incumprimento de um prazo pode desencadear a aplicação de sanções pela autoridade competente do Estado de execução, incluindo coimas administrativas até 2% do volume de negócios anual global. Esforços documentados e proporcionais para cumprir - e provas claras da causa de qualquer atraso - são essenciais para reduzir a exposição.

Posso notificar os utilizadores quando os seus dados são solicitados?

No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.

Como o ICS pode ajudá-lo a preparar-se

Se não for possível manter internamente uma disponibilidade de 24 horas por dia, 7 dias por semana, ou se pretender simplesmente uma garantia independente de que o seu programa resistirá a um exame minucioso, o ICS oferece uma solução completa para o problema. Avaliação da conformidade da e-Evidence e serviço de operações geridas. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.

Contactar o ICS hoje para agendar a sua avaliação de preparação para o e-Evidence and put a clear, defensible remediation plan in place.