I tabulati: chi li chiede, quanto si conservano

Che cosa c'è in un tabulato

La legge parla di «dati relativi al traffico telefonico» e di «dati relativi al traffico telematico», questi ultimi «esclusi comunque i contenuti delle comunicazioni» (art. 132, comma 1, del Codice in materia di protezione dei dati personali, d.lgs. 196/2003). Un esempio concreto viene dal caso italiano deciso dalla Corte di giustizia dell'Unione europea nel 2024: per identificare gli autori di due furti di cellulari, la procura chiedeva le utenze e i codici IMEI dei dispositivi chiamati o chiamanti, i siti visitati, l'orario e la durata di chiamate e connessioni, le celle o i ripetitori interessati, le utenze e i codici IMEI di mittenti e destinatari di SMS e MMS.

Sono dati che non rivelano che cosa si è detto, ma possono dire molto. La Corte di giustizia li descrive come dati idonei a fornire informazioni sulle comunicazioni di una persona e sull'ubicazione dei dispositivi che usa, e «a permettere di trarre precise conclusioni sulla sua vita privata» (sentenza 2 marzo 2021, C-746/18). Per questo il loro uso nel processo ha regole proprie, distinte da quelle delle intercettazioni, che riguardano invece il contenuto.

Quanto si conservano

L'elenco dell'art. 407, comma 2, lettera a), comprende tra l'altro l'omicidio, la rapina e l'estorsione aggravate, il sequestro di persona a scopo di rapina o di estorsione, l'associazione mafiosa e i delitti commessi con metodo mafioso, i più gravi delitti in materia di armi e di stupefacenti, alcuni delitti di violenza sessuale aggravata e di sfruttamento dei minori. Scaduti i termini, i dati vanno distrutti secondo le modalità tecniche prescritte dal Garante per la protezione dei dati personali con provvedimento generale (art. 132, comma 5).

Chi li chiede e chi decide

Il comma 3 dell'art. 132 è stato riscritto dal decreto-legge 30 settembre 2021, n. 132, entrato in vigore lo stesso giorno e convertito dalla legge 23 novembre 2021, n. 178. Oggi dispone che, entro il termine di conservazione, i dati «sono acquisiti previa autorizzazione rilasciata dal giudice con decreto motivato, su richiesta del pubblico ministero o su istanza del difensore dell'imputato, della persona sottoposta a indagini, della persona offesa e delle altre parti private». Le condizioni sono tre:

1. Il reato. Reati per i quali è prevista la pena dell'ergastolo o della reclusione non inferiore nel massimo a tre anni, oppure minaccia e molestia o disturbo alle persone col mezzo del telefono, «quando la minaccia, la molestia e il disturbo sono gravi».
2. Gli indizi. Devono sussistere «sufficienti indizi» di quei reati.
3. La rilevanza. I dati devono essere rilevanti «per l'accertamento dei fatti ovvero per le ricerche di un latitante».

Il punto da notare è che l'istanza non è riservata all'accusa: anche il difensore dell'indagato o dell'imputato, e quello della persona offesa, possono chiedere al giudice di acquisire i tabulati, per esempio per ricostruire spostamenti o contatti utili alla difesa.

Quando «ricorrono ragioni di urgenza e vi è fondato motivo di ritenere che dal ritardo possa derivare grave pregiudizio alle indagini ovvero alle ricerche di un latitante», il pubblico ministero dispone l'acquisizione con decreto motivato, che va comunicato al giudice immediatamente e comunque non oltre quarantotto ore; il giudice decide sulla convalida nelle quarantotto ore successive (comma 3-bis).

Che cosa ha detto la Corte di giustizia

Il diritto dell'Unione pesa molto su questa materia. Con la sentenza del 2 marzo 2021 (Grande Sezione, C-746/18, H.K., su rinvio della Corte suprema estone) la Corte di giustizia ha stabilito che la direttiva 2002/58 osta a una normativa che consenta l'accesso a questi dati per finalità penali senza limitarlo alla lotta contro le forme gravi di criminalità o alla prevenzione di gravi minacce alla sicurezza pubblica, e a una normativa che renda il pubblico ministero competente ad autorizzare l'accesso. La riforma italiana del 30 settembre 2021 è arrivata sette mesi dopo.

Sulla norma italiana la Corte è tornata con la sentenza del 30 aprile 2024 (Grande Sezione, C-178/22), su rinvio del giudice per le indagini preliminari di Bolzano: la direttiva non osta a una disposizione che impone al giudice di autorizzare l'accesso per reati puniti con la reclusione non inferiore nel massimo a tre anni, se ci sono sufficienti indizi e i dati sono rilevanti, a condizione che il giudice possa negare l'accesso quando l'indagine riguarda un reato «manifestamente non grave, alla luce delle condizioni sociali esistenti nello Stato membro interessato».

Dati degli abbonati e ordini di conservazione

Non tutti i dati richiedono il giudice. Per effetto delle modifiche introdotte dal d.lgs. 30 dicembre 2025, n. 215, i commi 3 e 3-bis non si applicano ai dati relativi agli abbonati: l'identità dell'abbonato o del cliente (nome, data di nascita, indirizzo, dati di fatturazione e pagamento, numero di telefono o email forniti) e il tipo di servizio e la sua durata, compresi i dati tecnici collegati all'attivazione, escluse le password (comma 3-bis.2). Questi dati li acquisiscono il pubblico ministero o la polizia giudiziaria, di propria iniziativa o su delega (comma 3-bis.3).

Diversa dall'acquisizione è la conservazione. Il pubblico ministero può ordinare con decreto motivato agli operatori di conservare e proteggere i dati di traffico, esclusi i contenuti, per non più di novanta giorni, prorogabili fino a una durata complessiva di sei mesi (comma 3-bis.1). Ordini analoghi possono venire dal Ministro dell'interno o dagli uffici centrali specializzati delle forze di polizia, anche su richiesta di autorità investigative straniere; vanno comunicati entro quarantotto ore al pubblico ministero, che li convalida, e l'operatore deve mantenere il segreto sull'ordine ricevuto (commi 4-ter, 4-quater e 4-quinquies). Un potere generale di ordinare la conservazione dei dati detenuti dai fornitori è ora previsto anche dall'art. 263-bis c.p.p. La conservazione non dà accesso ai dati: per acquisirli servono comunque le regole viste sopra.

Se le regole non sono rispettate

La sanzione è netta: «I dati acquisiti in violazione delle disposizioni dei commi 3 e 3-bis non possono essere utilizzati» (comma 3-quater). Per i dati acquisiti prima del 30 settembre 2021, con le regole allora vigenti, il decreto-legge 132/2021 ha previsto una disciplina transitoria: possono essere usati contro l'imputato «solo unitamente ad altri elementi di prova» e soltanto per i reati puniti con la reclusione non inferiore nel massimo a tre anni e per le minacce e molestie telefoniche gravi (art. 1, comma 1-bis).

I tuoi diritti sui dati conservati

Sui dati conservati per finalità penali, i diritti che il GDPR riconosce all'interessato (accesso, rettifica, cancellazione e gli altri degli articoli da 12 a 22) si esercitano con le modalità richiamate dall'art. 132, comma 3-ter: puoi esercitarli anche tramite il Garante per la protezione dei dati personali, che ti informa di aver eseguito le verifiche necessarie o svolto un riesame e del tuo diritto di ricorrere al giudice; il titolare del trattamento deve informarti di questa facoltà (art. 2-undecies, comma 3, terzo, quarto e quinto periodo, d.lgs. 196/2003).

Casi frequenti

• «Posso chiedere i tabulati per difendermi?» Sì, tramite il difensore: l'istanza al giudice può venire dal difensore dell'indagato, dell'imputato, della persona offesa e delle altre parti private (comma 3). Entro i termini di conservazione, però: scaduti quelli, i dati non ci sono più.
• «Mi arrivano telefonate moleste: si possono acquisire i tabulati?» Sì, se la minaccia o la molestia sono gravi: la norma le prevede espressamente, accanto ai reati puniti con almeno tre anni di reclusione nel massimo (comma 3). Dove presentare denuncia o querela lo trovi in Dove chiedere aiuto.
• «Nei tabulati ci sono i messaggi WhatsApp?» No: il tabulato non contiene contenuti, e WhatsApp viaggia sulla connessione dati. Che cosa resta presso l'app lo spiega I dati di WhatsApp e delle app.
• «Hanno preso i tabulati senza il decreto del giudice: che cosa succede?» Fuori dal caso dell'urgenza convalidata, e salvo i dati dell'abbonato, i dati non sono utilizzabili (comma 3-quater). È un'eccezione che si valuta con il difensore sugli atti del procedimento.

Fonti

D.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), artt. 2-undecies e 132, nel testo vigente modificato dal d.lgs. 30 dicembre 2025, n. 215, art. 9. Decreto-legge 30 settembre 2021, n. 132, convertito dalla legge 23 novembre 2021, n. 178, art. 1. Legge 20 novembre 2017, n. 167, art. 24. Codice di procedura penale, artt. 263-bis e 407, comma 2, lettera a). Corte di giustizia UE, Grande Sezione, 2 marzo 2021, C-746/18, H.K. (Prokuratuur). Corte di giustizia UE, Grande Sezione, 30 aprile 2024, C-178/22, procedimento penale contro ignoti (Tribunale di Bolzano). Verificato il 23 settembre 2026.