I dati di WhatsApp e delle app: che cosa resta

Contenuti e metadati

Il regolamento europeo sulle prove elettroniche (regolamento (UE) 2023/1543) offre il vocabolario più preciso, e si applica dal 18 agosto 2026 (art. 34). Distingue quattro categorie (art. 3):

La cifratura end-to-end rende illeggibile al fornitore solo l'ultima categoria. Le altre sono generate o trattate dai sistemi del fornitore per far funzionare il servizio: il regolamento definisce i dati sul traffico proprio come dati «generati o trattati da un sistema di informazione del prestatore di servizi». Se e per quanto tempo il fornitore li conserva dipende da che cosa dichiara nelle sue regole e dagli obblighi che la legge gli impone.

Che cosa resta presso l'operatore telefonico

WhatsApp descrive il proprio servizio come messaggistica e chiamate via Internet: per l'operatore telefonico, dunque, una chat o una chiamata fatta con l'app è traffico dati. L'operatore conserva i dati relativi al traffico telematico per dodici mesi, «esclusi comunque i contenuti delle comunicazioni» (art. 132, comma 1, d.lgs. 196/2003), e nel procedimento penale li consegna con decreto motivato del giudice, per reati puniti con la reclusione non inferiore nel massimo a tre anni o per minacce e molestie telefoniche gravi (comma 3). Il meccanismo completo è nella pagina sui tabulati.

Che cosa dichiarano i fornitori delle app

WhatsApp

Nel suo centro assistenza WhatsApp pubblica due documenti sul tema: una guida per le forze dell'ordine (Information for Law Enforcement Authorities) e una pagina di domande e risposte sulle richieste dei governi (About government requests for user data). In sintesi, dichiara che:

• non può e non consegna il contenuto dei messaggi, protetti dalla cifratura end-to-end; il contenuto resta sul telefono e, se l'utente lo ha scelto, nel backup nel cloud;
• nel normale funzionamento del servizio non conserva i messaggi dopo la consegna né i registri dei messaggi consegnati; i messaggi non consegnati sono cancellati dai server dopo trenta giorni;
• a seconda della richiesta, può fornire, se disponibili, informazioni di base sull'abbonato (nome, data di inizio del servizio, data dell'ultimo accesso, indirizzo IP, tipo di dispositivo, email) e informazioni sull'account (testo di presentazione, immagini del profilo, informazioni sui gruppi, elenco dei contatti);
• per rispettare una richiesta legale valida, come un ordine statunitense di pen register, può iniziare a raccogliere i registri dei messaggi e delle chiamate di un determinato utente: a chi o da chi, a che ora, da quale indirizzo IP, di che tipo;
• su richiesta collegata a un'indagine penale, conserva i dati dell'account per novanta giorni in attesa dell'atto formale;
• si riserva di avvisare l'utente della richiesta prima di consegnare i dati, salvo divieto di legge o circostanze eccezionali.

La guida indica come destinataria delle richieste la società statunitense WhatsApp LLC e precisa che, per le autorità di altri Paesi, per ottenere il contenuto di un account può essere necessaria una rogatoria o una richiesta basata su un trattato di assistenza giudiziaria.

Telegram

Nelle FAQ Telegram distingue le chat segrete, cifrate end-to-end, per le quali dichiara di non avere dati da consegnare, dalle chat ordinarie, cifrate tra app e server e conservate in data center collocati in diverse giurisdizioni. Nell'informativa privacy (paragrafo 8.3) dichiara che, se riceve dalle autorità giudiziarie competenti un ordine valido che confermi che sei indagato in un caso relativo ad attività criminali in violazione dei suoi termini di servizio, dopo un'analisi legale può comunicare il tuo indirizzo IP e il tuo numero di telefono, e che ne dà conto in un rapporto di trasparenza trimestrale. Il servizio è fornito da Telegram Messenger Inc., che ha sede fuori dallo Spazio economico europeo e ha designato un rappresentante nell'Unione ai sensi dell'art. 27 del GDPR.

Il backup

Quello che il fornitore dell'app non ha può trovarsi altrove: nel telefono e nel backup, se attivato. Il backup ha regole proprie, che dipendono dal servizio che lo custodisce: vedi Cloud, backup e provider.

Come ci arrivano le autorità italiane

Presso i fornitori di servizi informatici, telematici o di telecomunicazioni il codice prevede il sequestro dei dati da questi detenuti, «compresi quelli di traffico o di ubicazione», anche mediante copia con una procedura che ne assicuri la conformità agli originali e l'immodificabilità (art. 254-bis c.p.p.), e oggi l'ordine del pubblico ministero di conservarli (art. 263-bis c.p.p.). Per i dati conservati all'estero l'art. 234-bis c.p.p. consente l'acquisizione di quelli disponibili al pubblico e, con il consenso del legittimo titolare, anche degli altri. Negli altri casi si passa dalla cooperazione giudiziaria: la rogatoria o, tra Stati dell'Unione, l'ordine europeo di indagine.

L'ordine europeo di produzione

Dal 18 agosto 2026 si applica il regolamento (UE) 2023/1543. L'autorità di uno Stato membro può ordinare a un fornitore che offre servizi nell'Unione di produrre o conservare prove elettroniche, «indipendentemente dall'ubicazione dei dati» (art. 1). L'ordine va rivolto allo stabilimento designato o al rappresentante legale del fornitore (art. 7), che i fornitori devono designare o nominare (d.lgs. 30 dicembre 2025, n. 216, art. 3, attuativo della direttiva 2023/1544). I punti principali:

• Chi lo emette. In Italia, prima dell'azione penale, il pubblico ministero per i dati degli abbonati e per gli indirizzi IP, il giudice per le indagini preliminari per i dati sul traffico e per i contenuti; dopo, il giudice competente (art. 2, d.lgs. 30 dicembre 2025, n. 215).
• Per quali reati. Dati degli abbonati e IP per qualsiasi reato; traffico e contenuti per reati puniti con una pena detentiva massima di almeno tre anni, per alcuni reati commessi con sistemi informatici e per il terrorismo (art. 5, paragrafi 3 e 4, del regolamento).
• In quanto tempo. Il fornitore trasmette i dati entro dieci giorni, entro otto ore nei casi di emergenza (art. 10); per traffico e contenuti l'ordine va notificato anche allo Stato del rappresentante, che può opporre motivi di rifiuto, salvo che reato e persona interessata siano nello Stato che lo emette (artt. 8 e 12).
• L'informazione all'interessato. L'autorità che emette l'ordine informa senza indebito ritardo la persona i cui dati sono richiesti, ma può ritardare, limitare od omettere l'informazione alle condizioni della direttiva 2016/680 (art. 13); la persona ha diritto a un ricorso effettivo, anche nel procedimento penale in cui i dati sono usati (art. 18).
• La sanzione. I dati acquisiti fuori dai casi o senza le condizioni previste dal regolamento e dal decreto italiano non sono utilizzabili (art. 2, comma 7, d.lgs. 215/2025).

Resta un limite che nessun ordine supera: il fornitore consegna solo ciò che ha. Il regolamento riguarda i dati conservati dal fornitore o per suo conto al momento in cui riceve l'ordine (art. 3, punto 8): se il contenuto è cifrato end-to-end e non resta sui server, l'ordine può riguardare i metadati, non i messaggi.

Casi frequenti

• «Esistono i tabulati di WhatsApp?» Non come quelli dell'operatore. WhatsApp dichiara di non conservare, nel normale funzionamento, i registri dei messaggi consegnati, ma di poter iniziare a raccoglierli per un utente determinato su richiesta legale valida, e di avere dati sull'account come indirizzo IP, ultimo accesso e gruppi.
• «La difesa può chiedere i dati a un fornitore estero?» Il regolamento prevede che l'emissione di un ordine europeo di produzione possa essere richiesta anche dall'indagato o dall'imputato, o dal suo avvocato (art. 1, paragrafo 2); in Italia l'ordine lo emette il giudice su richiesta delle parti o dei difensori (art. 2, comma 2, d.lgs. 215/2025).
• «Posso sapere quali dati ha WhatsApp su di me?» Sì: WhatsApp rinvia gli utenti alla funzione dell'app che permette di richiedere le informazioni del proprio account, e il GDPR ti riconosce il diritto di accesso ai tuoi dati (art. 15 del regolamento (UE) 2016/679).
• «Le chat trovate nel telefono valgono come prova?» È un tema diverso, che riguarda l'acquisizione e l'autenticità: vedi Le chat WhatsApp come prova nel processo penale.

Fonti

Regolamento (UE) 2023/1543 sugli ordini europei di produzione e di conservazione, artt. 1, 3, 5, 7, 8, 10, 12, 13, 18, 34. D.lgs. 30 dicembre 2025, n. 215, art. 2. D.lgs. 30 dicembre 2025, n. 216, art. 3. Codice di procedura penale, artt. 234-bis, 254-bis, 263-bis. D.lgs. 30 giugno 2003, n. 196, art. 132. Regolamento (UE) 2016/679 (GDPR), artt. 15 e 27. WhatsApp Help Center (faq.whatsapp.com): Information for Law Enforcement Authorities e About government requests for user data. Telegram: FAQ, voce Do you process data requests?, e Privacy Policy, paragrafi 1 e 8.3 (telegram.org). Verificato il 23 settembre 2026.