VPNs com servidores na Itália

Separadamente, o Ministro do Interior ou os chefes dos serviços policiais centrais especializados podem ordenar aos fornecedores e operadores de serviços telefónicos, informáticos ou telemáticos que preservem os dados de tráfego durante um período máximo de 90 dias, prorrogável até seis meses no total. Os fornecedores devem cumprir sem demora e manter a ordem confidencial; esta é enviada ao Ministério Público no prazo de 48 horas para validação.

O artigo 174.º-sexies da Lei 633/1941, introduzido em 2024, menciona os fornecedores de VPN: devem comunicar infrações de direitos de autor, acesso não autorizado a um sistema informático e fraude informática à autoridade judiciária ou à polícia, designar um ponto de contacto junto da AGCOM e, fora da UE, um representante em Itália; a omissão é punível com pena de prisão até um ano. O artigo 132.º não menciona as VPN, e não está comprovado se um operador de VPN é um fornecedor para efeitos desse artigo.

A Lei 93/2023 habilita o regulador das comunicações AGCOM a ordenar aos fornecedores de serviços, incluindo os fornecedores de acesso à rede, que desativem o acesso a conteúdos protegidos distribuídos ilegalmente; o regulador gere este processo através de uma plataforma.

O texto em vigor desde 9 de outubro de 2024, na sequência da Lei 143/2024, menciona também os fornecedores de VPN e os fornecedores de DNS disponíveis publicamente, «onde quer que sejam residentes e onde quer que estejam localizados», e estabelece um prazo máximo de 30 minutos a contar da notificação para o bloqueio produzir efeitos.

A difamação é um crime nos termos do artigo 595.º do Código Penal: até um ano de prisão, até dois anos quando é atribuído um facto específico, e de seis meses a três anos, ou uma multa de pelo menos €516, quando cometida através da imprensa ou de «qualquer outro meio de publicidade». A perseguição (artigo 612.º-bis) é punível com uma pena de um a seis anos e seis meses, agravada quando praticada através de meios informáticos ou telemáticos.

Para obter dados de tráfego conservados, um tribunal autoriza o acesso ao abrigo do artigo 132.º, n.º 3, do Código da Privacidade, a pedido do Ministério Público ou mediante requerimento da defesa ou de outra parte.

Em Procura della Repubblica presso il Tribunale di Bolzano (C-178/22, 30 de abril de 2024), o Tribunal de Justiça da União Europeia, reunido em Grande Secção, declarou que o direito da UE não se opõe às regras italianas segundo as quais um tribunal autoriza o acesso a dados de tráfego ou de localização conservados relativamente a infrações puníveis com uma pena de prisão de pelo menos três anos, embora o tribunal possa recusar o acesso quando a infração não seja manifestamente grave.

Segundo relatos da imprensa sobre o seu relatório de junho de 2025, o COPASIR, a comissão parlamentar que supervisiona os serviços de informações, concluiu que a utilização do spyware Graphite da Paragon contra dois ativistas estava em conformidade com a lei. O Citizen Lab confirmou a presença do spyware nos telefones de um jornalista e desses dois ativistas. O relatório afirma que o contrato foi suspenso em 14 de fevereiro de 2025 e posteriormente cancelado.

A ordem das linhas corresponde à pontuação de segurança, e a localização de um servidor não constitui uma recomendação.