Decisione (UE) 2026/1347 del Consiglio del 4 giugno 2026 relativa alla conclusione, a nome dell’Unione europea, della Convenzione delle Nazioni Unite contro la criminalità informatica — Rafforzare la cooperazione internazionale ai fini della lotta contro determinati reati commessi tramite sistemi di tecnologia dell’informazione e della comunicazione e per la condivisione di prove in formato elettronico per reati gravi

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 82, paragrafi 1 e 2, l’articolo 83, paragrafo 1, e l’articolo 87, paragrafo 2, in combinato disposto con l’articolo 218, paragrafo 6,

vista la proposta della Commissione europea,

vista l’approvazione del Parlamento europeo¹,

Conformemente alla decisione (UE) 2025/2307 del Consiglio², la Convenzione delle Nazioni Unite contro la criminalità informatica — Rafforzare la cooperazione internazionale ai fini della lotta contro determinati reati commessi tramite sistemi di tecnologia dell’informazione e della comunicazione e per la condivisione di prove in formato elettronico per reati gravi («Convenzione») è stata firmata, a nome dell’Unione, ad Hanoi, Vietnam, il 25 ottobre 2025, con riserva della sua conclusione.

La Convenzione è in conformità con gli obiettivi dell’Unione in materia di sicurezza di cui all’articolo 67, paragrafo 3, del trattato sul funzionamento dell’Unione europea (TFUE), ossia garantire un livello elevato di sicurezza attraverso misure di prevenzione e di lotta contro la criminalità, attraverso misure di coordinamento e cooperazione tra forze di polizia e autorità giudiziarie e altre autorità competenti, nonché tramite il ravvicinamento delle legislazioni penali.

La Convenzione si applica a indagini o procedimenti penali specifici riguardanti i reati previsti dalla Convenzione, nonché allo scambio di prove in formato elettronico relative a reati gravi (reati sanzionabili con una pena privativa della libertà non inferiore nel massimo a quattro anni o con una pena più grave), e consente gli scambi di informazioni solo per tali finalità.

La Convenzione armonizza una serie limitata di reati chiaramente definiti, offrendo al tempo stesso agli Stati parte la flessibilità necessaria per evitare la criminalizzazione di condotte lecite.

La Convenzione stabilisce solo norme minime sulla responsabilità delle persone giuridiche per la partecipazione ai reati stabiliti conformemente alla Convenzione. Non richiede agli Stati parte di adottare le misure eventualmente necessarie per determinare la responsabilità delle persone giuridiche in un modo che sarebbe incompatibile con i loro principi giuridici.

La Convenzione è inoltre in conformità con gli obiettivi dell’Unione in materia di protezione dei dati di carattere personale, della vita privata e dei diritti fondamentali, in linea con l’articolo 16 del TFUE e con la Carta dei diritti fondamentali dell’Unione europea («Carta»).

In materia di diritti umani la Convenzione prevede solide condizioni e garanzie, che rientrano nel suo oggetto e nelle sue finalità e sono inestricabilmente legate ai poteri e alle procedure previste dalla Convenzione stessa. Come tali, le condizioni e le garanzie non sono assoggettabili a riserve. La Convenzione esclude ogni interpretazione che possa portare alla soppressione di diritti umani o libertà fondamentali, in particolare la libertà di espressione, di coscienza, di opinione, di religione o convinzione, di riunione pacifica e di associazione. Tali garanzie assicurano inoltre che la cooperazione internazionale possa essere rifiutata qualora contraria al diritto interno degli Stati parte o ove tale rifiuto sia necessario per evitare qualsiasi forma di discriminazione.

Per quanto riguarda i poteri e le procedure sia a livello interno sia a livello internazionale, la Convenzione prevede condizioni e garanzie orizzontali che assicurino la tutela dei diritti umani conformemente agli obblighi degli Stati parte ai sensi del diritto internazionale in materia di diritti umani. Gli Stati parte sono tenuti anche a incorporare il principio di proporzionalità nel loro diritto nazionale. Tali condizioni e garanzie devono includere, fra l’altro, il controllo giurisdizionale o un altro controllo indipendente, il diritto a un ricorso effettivo, i motivi che giustificano l’applicazione e la limitazione dell’ambito e della durata di tali poteri o procedure.

La Convenzione contiene un’apposita disposizione sulla protezione dei dati personali, la quale garantisce che, prima che qualsiasi dato personale possa essere fornito a un altro Stato parte, siano applicati importanti principi in materia di protezione dei dati, compresi i principi di limitazione della finalità, di minimizzazione dei dati, di proporzionalità e di necessità, conformemente alla Carta.

Partecipando ai negoziati a nome dell’Unione, la Commissione ha garantito la compatibilità della Convenzione con le norme dell’Unione in materia.

Sono necessarie diverse riserve per garantire la compatibilità della Convenzione con il diritto e le politiche dell’Unione, l’applicazione uniforme della Convenzione tra gli Stati membri nei loro rapporti con gli Stati parte non appartenenti all’UE e l’effettiva applicazione della Convenzione.

Le riserve non pregiudicano la possibilità che gli Stati membri formulino individualmente altre riserve, ove consentito.

Poiché la Convenzione prevede procedure che migliorano l’accesso transfrontaliero alle prove in formato elettronico e un elevato livello di garanzie, aderendovi le parti della Convenzione promuoveranno la coesione dell’impegno dell’Unione nella lotta contro la criminalità informatica e altre forme di criminalità a livello mondiale. Si faciliterà inoltre la cooperazione fra gli Stati parte membri dell’UE e gli Stati parte non appartenenti all’UE, garantendo al tempo stesso un elevato livello di protezione delle persone.

Una rapida conclusione della Convenzione da parte dell’Unione garantirà inoltre che questa abbia una voce importante nella fase iniziale dell’attuazione di questo nuovo quadro mondiale per la lotta contro la criminalità informatica.

Ai sensi del suo articolo 64, paragrafo 3, la Convenzione è soggetta a ratifica, accettazione o approvazione da parte degli Stati e delle organizzazioni regionali d’integrazione economica, come l’Unione.

L’Unione dovrebbe aderire alla Convenzione unitamente ai suoi Stati membri, in quanto l’Unione e i suoi Stati membri hanno competenze nei settori da essa contemplati. La conclusione della Convenzione da parte dell’Unione non pregiudica la competenza degli Stati membri per quanto concerne la sua ratifica, accettazione o approvazione, conformemente alle rispettive procedure interne. È opportuno concludere la Convenzione a nome dell’Unione per quanto riguarda le materie ricadenti nella competenza dell’Unione nella misura in cui la Convenzione può incidere su norme comuni o modificarne la portata. Nel settore delle competenze concorrenti, gli Stati membri mantengono le rispettive competenze nella misura in cui la Convenzione non incide sulle norme comuni o ne modifica la portata.

Conformemente alla Convenzione, nel suo strumento di ratifica, accettazione, approvazione o adesione l’Unione ha l’obbligo di dichiarare l’ambito della sua competenza riguardo alle materie disciplinate dalla Convenzione stessa. L’Unione ha definito la portata della sua competenza riguardo alle materie disciplinate dalla Convenzione nella dichiarazione di competenza dell’Unione europea a norma dell’articolo 64, paragrafi 3 e 4, della Convenzione delle Nazioni Unite contro la criminalità informatica – Rafforzare la cooperazione internazionale ai fini della lotta contro determinati reati commessi tramite sistemi di tecnologia dell’informazione e della comunicazione e per la condivisione di prove in formato elettronico per reati gravi («Dichiarazione di competenza»).

Il Garante europeo della protezione dei dati è stato consultato a norma dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio³ e ha espresso un parere in data 4 settembre 2025.

A norma degli articoli 1 e 2 del protocollo n. 21 sulla posizione del Regno Unito e dell’Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull’Unione europea (TUE) e al TFUE, e fatto salvo l’articolo 4 di tale protocollo, l’Irlanda non partecipa all’adozione della presente decisione, non è da essa vincolata né è soggetta alla sua applicazione.

A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al TUE e al TFUE, la Danimarca non partecipa all’adozione della presente decisione, non è da essa vincolata né è soggetta alla sua applicazione.

È opportuno approvare la Convenzione, le riserve allegate e la Dichiarazione di competenza,