Reglamento (UE) 2023/1543 del Parlamento Europeo y del Consejo, de 12 de julio de 2023, sobre las órdenes europeas de producción y las órdenes europeas de conservación a efectos de prueba electrónica en procesos penales y de ejecución de penas privativas de libertad a raíz de procesos penales. («DOUE» núm. 191, de 28 de julio de 2023)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 82, apartado 1,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (1),

De conformidad con el procedimiento legislativo ordinario (2),

Considerando lo siguiente:

(1) La Unión se ha fijado el objetivo de mantener y desarrollar un espacio de libertad, seguridad y justicia. Para el establecimiento progresivo de dicho espacio, la Unión debe adoptar medidas relativas a la cooperación judicial en materia penal, basándose en el principio de reconocimiento mutuo de las sentencias y resoluciones judiciales, que es considerado comúnmente como la piedra angular de la cooperación judicial en materia penal en la Unión desde el Consejo Europeo de Tampere de 15 y 16 de octubre de 1999.

(2) Las medidas para obtener y conservar pruebas electrónicas son cada vez más importantes a efectos de las investigaciones penales y de los procesos penales en toda la Unión. Unos mecanismos eficaces para obtener pruebas electrónicas son esenciales para combatir la delincuencia, y dichos mecanismos han de estar sujetos a unas condiciones y salvaguardias que garanticen el pleno respeto de los derechos fundamentales y de los principios reconocidos en el artículo 6 del Tratado de la Unión Europea (TUE) y la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), en particular, los principios de necesidad y proporcionalidad, las garantías procesales, la protección de la intimidad y de los datos personales y la confidencialidad de las comunicaciones.

(3) La Declaración conjunta de los ministros de Justicia y Asuntos de Interior y los representantes de las instituciones de la Unión Europea, de 24 de marzo de 2016, con motivo de los atentados terroristas perpetrados en Bruselas subrayó la necesidad, con carácter prioritario, de proteger y obtener más rápida y eficazmente pruebas digitales, y de determinar medidas concretas para llevarlo a cabo.

(4) Las Conclusiones del Consejo de 9 de junio de 2016 resaltaron la importancia creciente de las pruebas electrónicas en los procesos penales, y la importancia de proteger el ciberespacio de los abusos y las actividades delictivas en beneficio de las economías y las sociedades, y, por tanto, la necesidad de que las autoridades policiales y las autoridades judiciales dispongan de herramientas eficaces para investigar y enjuiciar los actos delictivos relacionados con el ciberespacio.

(5) En la Comunicación conjunta de la Comisión y de la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad al Parlamento Europeo y al Consejo, de 13 de septiembre de 2017, titulada «Resiliencia, disuasión y defensa: fortalecer la ciberseguridad de la UE», la Comisión destacó que la investigación y el emprendimiento de acciones penales eficaces contra la ciberdelincuencia son fundamentales para desalentar los ataques, y que el marco procesal actual debe adaptarse mejor a la era de internet. Los procedimientos actuales pueden a veces verse superados por la velocidad de los ciberataques, creándose de este modo la necesidad de una rápida cooperación transfronteriza.

(6) La Resolución del Parlamento Europeo, de 3 de octubre de 2017, sobre la lucha contra la ciberdelincuencia (3) subrayaba la necesidad de encontrar medios para la protección y obtención de pruebas electrónicas con mayor celeridad, así como la importancia de una estrecha cooperación entre las fuerzas de seguridad, los terceros países y los prestadores de servicios activos en territorio europeo, con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (4), la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (5) y los acuerdos de asistencia judicial mutua vigentes. Dicha Resolución del Parlamento Europeo también ponía de relieve las dificultades que la fragmentación del actual marco jurídico puede plantear a los prestadores de servicios en su intento por cumplir los requerimientos de las autoridades policiales o judiciales y pidió a la Comisión que propusiese un marco jurídico de la Unión para las pruebas electrónicas con las suficientes garantías para los derechos y las libertades de todos los interesados, al tiempo que celebraba la labor que estaba realizando la Comisión a fin de crear una plataforma de cooperación con un canal de comunicación seguro para el intercambio digital de órdenes europeas de investigación (OEI) relativas a pruebas electrónicas y de respuestas entre las autoridades judiciales de la Unión.

(7) Los servicios basados en la red pueden prestarse desde cualquier lugar y no requieren infraestructura física, instalaciones o personal en el país donde se ofrece el servicio en cuestión. En consecuencia, las pruebas electrónicas pertinentes se almacenan a menudo fuera del Estado investigador o por un prestador de servicios establecido fuera de dicho Estado, lo que genera problemas en relación con la obtención de pruebas electrónicas en los procesos penales.

(8) Debido a la forma en que se prestan los servicios basados en la red, las solicitudes de cooperación judicial se dirigen frecuentemente a Estados que acogen a un gran número de prestadores de servicios. Además, el número de solicitudes se ha multiplicado debido al mayor uso de servicios basados en la red. La Directiva 2014/41/UE del Parlamento Europeo y del Consejo (6) prevé la posibilidad de emitir una OEI con el fin de obtener pruebas en otro Estado miembro. Además, el Convenio celebrado por el Consejo de conformidad con el artículo 34 del Tratado de la Unión Europea relativo a la asistencia judicial en materia penal entre los Estados miembros de la Unión Europea (7) (en lo sucesivo, «Convenio relativo a la asistencia judicial en materia penal») también prevé la posibilidad de solicitar pruebas a otro Estado miembro. Sin embargo, los procedimientos y plazos previstos en la Directiva 2014/41/UE relativa a la OEI y en el Convenio relativo a la asistencia judicial en materia penal podrían no ser adecuados para las pruebas electrónicas, que son más volátiles y podrían eliminarse con mayor facilidad y rapidez. La obtención de pruebas electrónicas utilizando los canales de cooperación judicial a menudo lleva mucho tiempo, lo que da lugar a situaciones en las que los indicios podrían no estar ya disponibles. Por otra parte, no existe un marco armonizado para la cooperación con los prestadores de servicios, mientras que algunos prestadores de terceros países aceptan solicitudes directas de datos que no sean datos de contenido si lo permite su Derecho nacional aplicable. Por ello, los Estados miembros dependen cada vez más de los canales de cooperación voluntaria y directa con los prestadores de servicios cuando se disponga de ellos, y aplican diferentes instrumentos, condiciones y procedimientos nacionales. Para los datos de contenido, algunos Estados miembros han adoptado medidas unilaterales, mientras que otros siguen confiando en la cooperación judicial.

(9) La fragmentación del marco jurídico supone una dificultad para las autoridades policiales y las autoridades judiciales, así como para los prestadores de servicios que desean cumplir los requerimientos judiciales de pruebas electrónicas, ya que se enfrentan cada vez más a una inseguridad jurídica y, potencialmente, a conflictos de leyes. Por lo tanto, es preciso establecer normas específicas en lo que respecta a la cooperación judicial transfronteriza para la conservación y la producción de pruebas electrónicas, que tengan en cuenta la naturaleza específica de las pruebas electrónicas. Dichas normas deben incluir la obligación de que los prestadores de servicios incluidos en el ámbito de aplicación del presente Reglamento respondan directamente a las solicitudes procedentes de las autoridades de otro Estado miembro. Por consiguiente, el presente Reglamento complementará el Derecho de la Unión vigente y aclarará las normas aplicables a las autoridades policiales y judiciales, así como a los prestadores de servicios en el ámbito de las pruebas electrónicas, garantizando al mismo tiempo el pleno respeto de los derechos fundamentales.

(10) El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos por el artículo 6 del TUE y la Carta, por el Derecho internacional y por los acuerdos internacionales de los que son parte la Unión o todos los Estados miembros, incluido el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, así como por las constituciones de los Estados miembros en sus respectivos ámbitos de aplicación. Entre estos derechos y principios se incluyen, en particular, el derecho a la libertad y a la seguridad, el respeto de la vida privada y familiar, la protección de los datos de carácter personal, la libertad de empresa, el derecho a la propiedad, el derecho a la tutela judicial efectiva y a un juez imparcial, la presunción de inocencia y el derecho a la defensa, los principios de legalidad y de proporcionalidad, así como el derecho a no ser juzgado o condenado penalmente dos veces por la misma infracción penal.

(11) Nada de lo dispuesto en el presente Reglamento debe interpretarse en el sentido de que impide la denegación de una orden europea de producción de pruebas electrónicas (en lo sucesivo, «orden europea de producción») por parte de una autoridad de ejecución cuando existan razones objetivas para suponer que dicha orden europea de producción ha sido emitida con fines de persecución o sanción a una persona por razón de sexo, raza, origen étnico, religión, orientación sexual o identidad de género, nacionalidad, lengua u opiniones políticas, o que la situación de dicha persona pueda quedar perjudicada por cualquiera de estas razones.

(12) El mecanismo de la orden europea de producción y de la orden europea de conservación a efectos de procesos penales se basa en el principio de confianza mutua entre los Estados miembros y en la presunción del respeto por parte de los Estados miembros del Derecho de la Unión, del Estado de Derecho y, en particular, de los derechos fundamentales, que son elementos esenciales del espacio de libertad, seguridad y justicia de la Unión. Tal mecanismo permite a las autoridades nacionales competentes remitir dichas órdenes directamente a los prestadores de servicios.

(13) El respeto de la vida privada y familiar, así como la protección de las personas físicas en relación con el tratamiento de datos personales, son derechos fundamentales. De conformidad con el artículo 7 y el artículo 8, apartado 1, de la Carta, toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de sus comunicaciones y a la protección de los datos de carácter personal que le conciernan.

(14) Al aplicar el presente Reglamento, los Estados miembros deben velar por que los datos de carácter personal estén protegidos y sean tratados de conformidad con el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680, así como con la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (8), también en los casos de utilización posterior, transmisiones y transferencias ulteriores de los datos obtenidos.

(15) Los datos personales obtenidos en virtud del presente Reglamento deben tratarse solo cuando sea necesario y de un modo proporcionado en relación con los fines de prevención, investigación, detección y enjuiciamiento de delitos, la aplicación de sanciones penales y el ejercicio de los derechos de defensa. En particular, los Estados miembros deben garantizar que se apliquen las políticas y medidas adecuadas en materia de protección de datos a la transmisión de datos personales por parte de las autoridades pertinentes a los prestadores de servicios para los fines del presente Reglamento, incluidas medidas destinadas a garantizar la seguridad de los datos. Los prestadores de servicios deben garantizar que las mismas salvaguardias se aplican a la transmisión de datos personales a las autoridades pertinentes. Solo las personas autorizadas deben tener acceso a información que contenga datos de carácter personal que puedan conseguirse a través de procesos de autenticación.

(16) Los derechos procesales establecidos en las Directivas 2010/64/UE (9), 2012/13/UE (10), 2013/48/UE (11), (UE) 2016/343 (12), (UE) 2016/800 (13) y (UE) 2016/1919 (14) del Parlamento Europeo y del Consejo deben aplicarse, dentro del alcance de dichas Directivas, a los procesos penales incluidos en el ámbito del presente Reglamento en lo que respecta a los Estados miembros vinculados por dichas Directivas. También deben aplicarse las garantías procesales en virtud de la Carta.

(17) A fin de garantizar el pleno respeto de los derechos fundamentales, el valor probatorio de las pruebas obtenidas en aplicación del presente Reglamento debe ser valorado en el juicio por la autoridad judicial competente, de conformidad con el Derecho nacional y respetando, en particular, el derecho a un juez imparcial y el derecho de defensa.

(18) El presente Reglamento establece las normas en virtud de las cuales una autoridad judicial competente de la Unión, en procesos penales, incluidas las investigaciones penales, o a efectos de la ejecución de una pena privativa de libertad o una medida de seguridad privativa de libertad a raíz de un proceso penal de conformidad con el presente Reglamento, puede ordenar a un prestador de servicios que ofrezca servicios en la Unión, por medio de una orden europea de producción o una orden europea de conservación, que entregue o conserve pruebas electrónicas. El presente Reglamento debe ser aplicable en todos los asuntos transfronterizos en que el prestador de servicios tenga su establecimiento designado o su representante legal en otro Estado miembro. El presente Reglamento se entiende sin perjuicio de las competencias de las autoridades nacionales para dirigirse a los prestadores de servicios establecidos o representados en su territorio al objeto de que cumplan medidas nacionales similares.

(19) El presente Reglamento debe regular únicamente la obtención de datos almacenados por un prestador de servicios en el momento en que reciba una orden europea de producción o una orden europea de conservación. No debe establecer una obligación general de retención de datos para los prestadores de servicios ni tener el efecto de dar lugar a una retención generalizada e indiscriminada de datos. El presente Reglamento tampoco debe autorizar la interceptación de datos ni la obtención de datos almacenados tras la recepción de una orden europea de producción o una orden europea de conservación.

(20) La aplicación del presente Reglamento no debe afectar al uso del cifrado por parte de los prestadores de servicios o sus usuarios. Los datos solicitados mediante una orden europea de producción o una orden europea de conservación deben facilitarse o conservarse con independencia de que estén cifrados o no. No obstante, el presente Reglamento no debe establecer ninguna obligación de descifrar los datos para los prestadores de servicios.

(21) En muchos casos, los datos ya no se almacenan, o se tratan de otro modo, en un dispositivo del usuario, sino que están disponibles en una infraestructura en nube que permite acceder a ellos desde cualquier lugar. Para gestionar estos servicios, no es necesario que los prestadores de servicios estén establecidos o tengan servidores en un territorio determinado. Por tanto, la aplicación del presente Reglamento no debe depender de la localización efectiva del establecimiento del prestador de servicios o de la instalación de tratamiento o almacenamiento de datos.

(22) El presente Reglamento se entiende sin perjuicio de las competencias de investigación de las autoridades en procedimientos administrativos o civiles, también cuando dichos procedimientos puedan dar lugar a sanciones.

(23) En la medida en que los procedimientos relativos a la asistencia judicial mutua puedan considerarse procesos penales con arreglo al Derecho nacional aplicable en los Estados miembros, debe aclararse que no ha de emitirse una orden europea de producción ni una orden europea de conservación para facilitar asistencia judicial mutua a otro Estado miembro o a un tercer país. En dichos casos la solicitud de asistencia judicial mutua debe dirigirse al Estado miembro o tercer país que pueda prestar asistencia judicial mutua con arreglo a su Derecho nacional.

(24) En el marco de procesos penales, la orden europea de producción y la orden europea de conservación deben emitirse únicamente a efectos de procesos penales específicos en relación con una infracción penal concreta que ya haya tenido lugar, tras una valoración individual de la necesidad y la proporcionalidad de esas órdenes en cada caso particular, teniendo en cuenta los derechos de la persona sospechosa o acusada.

(25) El presente Reglamento también debe aplicarse a los procedimientos iniciados por una autoridad emisora al objeto de localizar a una persona condenada que haya huido de la justicia, con el fin de ejecutar una pena o una medida de seguridad privativas de libertad a raíz de un proceso penal. Sin embargo, si la pena privativa de libertad o la medida de seguridad privativa de libertad se impuso mediante una resolución dictada en rebeldía, no debe ser posible emitir una orden europea de producción ni una orden europea de conservación, ya que el Derecho nacional de los Estados miembros sobre las resoluciones judiciales dictadas en rebeldía varía considerablemente en toda la Unión.

(26) El presente Reglamento debe aplicarse a los prestadores de servicios que ofrecen servicios en la Unión y solo debe ser posible emitir las órdenes previstas en el presente Reglamento respecto de los datos relativos a servicios ofrecidos en la Unión. Los servicios ofrecidos exclusivamente fuera de la Unión no deben incluirse en el ámbito de aplicación del presente Reglamento, ni siquiera en el caso de que el prestador de servicios esté establecido en la Unión. Por consiguiente, el presente Reglamento no debe permitir el acceso a datos que no sean los relacionados con los servicios ofrecidos al usuario en la Unión por dichos prestadores de servicios.

(27) Los prestadores de servicios más importantes a efectos de obtener pruebas para procesos penales son los proveedores de servicios de comunicaciones electrónicas y los prestadores de servicios de la sociedad de la información específicos que facilitan la interacción entre usuarios. Así pues, el presente Reglamento debe aplicarse a ambos grupos. Los servicios de comunicaciones electrónicas se definen en la Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo (15) e incluyen servicios de comunicaciones interpersonales tales como servicios de voz sobre IP, servicios de mensajería instantánea y servicios de correo electrónico. El presente Reglamento debe aplicarse también a otros prestadores de servicios de la sociedad de la información en el sentido de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo (16) que no puedan calificarse como proveedores de servicios de comunicaciones electrónicas, pero que ofrezcan a sus usuarios la capacidad de comunicarse entre sí o les ofrezcan servicios que puedan utilizar para almacenar o tratar datos de otro modo en su nombre. Ello estaría en consonancia con el Convenio del Consejo de Europa sobre la Ciberdelincuencia (ETS nº 185), hecho en Budapest el 23 de noviembre de 2001 (Convenio de Budapest). El tratamiento de datos debe entenderse en un sentido técnico, como creación o manipulación de datos, es decir, operaciones técnicas destinadas a producir o modificar datos mediante la capacidad de procesamiento de un ordenador. Las categorías de prestadores de servicios a los que se aplica el presente Reglamento han de incluir, por ejemplo, los mercados en línea que proporcionan a los consumidores y las empresas la capacidad de comunicarse entre sí, y otros servicios de alojamiento de datos, también en los casos en que el servicio se presta a través de la computación en nube, así como las plataformas de juegos y de juegos de apuestas en línea. Cuando un prestador de servicios de la sociedad de la información no proporcione a sus usuarios la capacidad de comunicarse entre sí, sino únicamente con el prestador de servicios, o no proporcione la capacidad de almacenar o tratar datos de otro modo, o cuando el almacenamiento de datos no sea un componente definitorio, esto es, una parte esencial, del servicio prestado a los usuarios, como los servicios jurídicos, de arquitectura, de ingeniería y de contabilidad prestados en línea a distancia, no debe entrar dentro del alcance de la definición de «prestador de servicios» establecida en el presente Reglamento, aun cuando los servicios prestados por dicho prestador de servicios sean servicios de la sociedad de la información en el sentido de la Directiva (UE) 2015/1535.

(28) Los prestadores de servicios de infraestructura de internet relacionados con la asignación de nombres y números, como los registradores y los registros de nombres de dominio y los prestadores de servicios de privacidad y representación, o los registros regionales de direcciones de protocolo de internet (direcciones IP), revisten especial importancia en lo que respecta a la identificación de quienes están detrás de las páginas web maliciosas o comprometidas. Estos prestadores disponen de datos que podrían hacer posible la identificación de una persona física o jurídica responsable de un sitio web utilizado en actividades delictivas o la identificación de la víctima de una actividad delictiva.

(29) La determinación de si un prestador de servicios ofrece servicios en la Unión requiere una valoración de si el prestador de servicios permite a las personas físicas o jurídicas que se encuentren en uno o más Estados miembros utilizar sus servicios. No obstante, la mera accesibilidad de una interfaz en línea en la Unión (como, por ejemplo, la accesibilidad de una página web o una dirección de correo electrónico u otros datos de contacto de un prestador de servicios o de un intermediario), tomada aisladamente, debe considerarse insuficiente para determinar que un prestador de servicios ofrece servicios en la Unión en el sentido del presente Reglamento.

(30) Una conexión sustancial con la Unión debe también ser pertinente para determinar si un prestador de servicios ofrece servicios en la Unión. Debe considerarse que existe tal conexión sustancial cuando el prestador de servicios tenga un establecimiento en la Unión. A falta de tal establecimiento, el criterio de la conexión sustancial debe basarse en criterios fácticos específicos como la existencia de un número significativo de usuarios en uno o más Estados miembros, o la orientación de las actividades hacia uno o más Estados miembros. La orientación de las actividades hacia uno o más Estados miembros ha de determinarse en función de todas las circunstancias pertinentes, incluidos factores como el uso de una lengua o una moneda utilizada generalmente en ese Estado miembro, o la posibilidad de encargar productos o servicios. La orientación de las actividades hacia un Estado miembro también puede derivarse de la disponibilidad de una aplicación para móvil en la tienda de aplicaciones nacional correspondiente, de la existencia de publicidad local o publicidad en la lengua comúnmente utilizada en dicho Estado miembro, o de una gestión de las relaciones con los clientes que incluya, por ejemplo, la prestación de servicios a los clientes en la lengua comúnmente utilizada en ese Estado miembro. También debe considerarse que existe una conexión sustancial cuando un prestador de servicios dirige su actividad hacia uno o varios Estados miembros con arreglo a lo establecido en el Reglamento (UE) nº 1215/2012 del Parlamento Europeo y del Consejo (17). Por otro lado, la prestación de un servicio con el fin de un mero cumplimiento de la prohibición de discriminación establecida en el Reglamento (UE) 2018/302 del Parlamento Europeo y del Consejo (18) no debe, sin motivos adicionales, considerarse que dirige u orienta las actividades hacia un territorio determinado de la Unión. Las mismas consideraciones deben aplicarse a la hora de determinar si un prestador de servicios ofrece sus servicios en un Estado miembro.

(31) El presente Reglamento debe cubrir las categorías de datos siguientes: datos de los abonados, datos de tráfico y datos de contenido. Estas categorías son acordes con el Derecho de muchos Estados miembros y con el Derecho de la Unión, como la Directiva 2002/58/CE y la jurisprudencia del Tribunal de Justicia, así como con el Derecho internacional, en particular el Convenio de Budapest.

(32) Las direcciones IP, así como los números de acceso y la información conexa, pueden constituir un punto de partida crucial para las investigaciones penales en las que no se conozca la identidad de un sospechoso. Son normalmente parte de un registro de acontecimientos, también conocido como registro de servidor, que indica el comienzo y el fin de la sesión de acceso de un usuario a un servicio. A menudo es una dirección IP (estática o dinámica) u otro identificador el que señala la interfaz de red utilizada durante la sesión de acceso. Se necesita información conexa sobre el comienzo y el fin de una sesión de acceso de un usuario a un servicio, como los puertos de origen y el sello de tiempo, ya que las direcciones IP suelen compartirse entre usuarios, por ejemplo, cuando se dispone de una traducción de direcciones de redes de alta fiabilidad (CGN) o de equivalentes técnicos. Sin embargo, de conformidad con el acervo de la Unión, las direcciones IP deben considerarse datos personales y gozar de plena protección en virtud del acervo de la Unión en materia de protección de datos. Además, en determinadas circunstancias, las direcciones IP pueden considerarse datos de tráfico. Asimismo, los números de acceso y la información conexa se consideran datos de tráfico en algunos Estados miembros. No obstante, a efectos de una investigación penal específica, las autoridades policiales pueden solicitar una dirección IP, así como números de acceso e información conexa, con el único fin de identificar al usuario antes de que puedan solicitarse al prestador de servicios los datos de los abonados relacionados con ese identificador. En tales casos, procede aplicar el mismo régimen que a los datos de los abonados, tal como se definen en el presente Reglamento.

(33) Cuando las direcciones IP, los números de acceso y la información conexa no se soliciten con el único fin de identificar al usuario en una investigación penal específica, suelen solicitarse para obtener información más intrusiva en la vida privada, como los contactos y el paradero del usuario. Como tales, podrían servir para establecer un perfil completo de una persona afectada, pero al mismo tiempo pueden tratarse y analizarse más fácilmente que los datos de contenido, ya que se presentan en un formato estructurado y normalizado. Por lo tanto, es esencial que, en tales situaciones, las direcciones IP, los números de acceso y la información conexa no solicitada con el único fin de identificar al usuario en una investigación penal específica se traten como datos de tráfico y se soliciten con arreglo al mismo régimen que los datos de contenido, tal como se definen en el presente Reglamento.

(34) Todas las categorías de datos contienen datos personales, y están por tanto cubiertas por las garantías establecidas en el acervo de la Unión sobre protección de datos. Sin embargo, la intensidad del impacto en los derechos fundamentales varía entre las distintas categorías, en particular entre los datos de los abonados y los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, por una parte, y los datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario tal como se definen en el presente Reglamento, y los datos de contenido, por otra. Mientras que los datos de los abonados, así como las direcciones IP, los números de acceso y la información conexa, cuando se soliciten con el único fin de identificar al usuario, podrían ser útiles para obtener unos primeros indicios en una investigación sobre la identidad de un sospechoso, los datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, y los datos de contenido suelen ser más pertinentes como material probatorio. Es por tanto esencial que todas esas categorías de datos estén cubiertas por el presente Reglamento. Dado el diverso grado de injerencia en los derechos fundamentales, han de imponerse salvaguardias y condiciones adecuadas para obtener esos datos.

(35) Las situaciones en las que exista una amenaza inminente para la vida, la integridad física o la seguridad de una persona deben tratarse como casos urgentes y comportan plazos más breves para el prestador de servicios y la autoridad de ejecución. Cuando la perturbación o destrucción de una infraestructura crítica, tal como se define en la Directiva 2008/114/CE del Consejo (19), implique una amenaza de ese tipo, también mediante perjuicios graves al suministro de productos básicos a la población o al ejercicio de las funciones básicas del Estado, esa situación debe tratarse asimismo como un caso urgente, de conformidad con el Derecho de la Unión.

(36) En el proceso de emisión o en el proceso de validación de una orden europea de producción o de una orden europea de conservación siempre debe intervenir una autoridad judicial. Habida cuenta del carácter especialmente sensible de los datos de tráfico, excepto en el caso de los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, y de los datos de contenido, la emisión o validación de una orden europea de producción para obtener esas categorías de datos requiere el control de un juez. Puesto que los datos de los abonados y los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, son de carácter menos sensible, una orden europea de producción para obtener dichos datos también puede ser emitida o validada por un fiscal competente. De conformidad con el derecho a un juez imparcial, tal como queda amparado por la Carta y el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, los fiscales deben ejercer sus responsabilidades de manera objetiva, tomando su decisión en relación con la emisión o validación de una orden europea de producción o de una orden europea de conservación únicamente sobre la base de los elementos fácticos del expediente y teniendo en cuenta todas las pruebas inculpatorias y exculpatorias.

(37) Al objeto de garantizar la plena protección de los derechos fundamentales, la validación de una orden europea de producción o de una orden europea de conservación por parte de una autoridad judicial debe obtenerse, en principio, antes de que se emita la orden en cuestión. Solo deben hacerse excepciones a este principio en casos urgentes debidamente establecidos en los que se solicite la entrega de datos de abonados o datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, o la conservación de los datos, si no es posible obtener la validación previa por parte de la autoridad judicial a tiempo, en particular porque la autoridad validadora no pueda ser contactada para obtener la validación y se trate de una amenaza tan inminente que sea necesario actuar sin demora. No obstante, solo debe recurrirse a tales excepciones cuando la autoridad que emita la orden en cuestión pueda emitir una orden en un asunto nacional similar en virtud del Derecho nacional sin validación previa.

(38) Una orden europea de producción solo debe emitirse si es necesaria, proporcionada, adecuada y aplicable al caso concreto. La autoridad emisora debe tener en cuenta los derechos de la persona sospechosa o acusada en los procesos relacionados con una infracción penal y solo debe emitir una orden europea de producción si dicha orden pudiera haberse emitido en las mismas circunstancias en un asunto nacional similar. La valoración de si debe emitirse una orden europea de producción ha de tener en cuenta si esa orden se limita a lo estrictamente necesario para alcanzar el objetivo legítimo de la obtención de datos pertinentes y necesarios a fin de servir de prueba en un caso concreto.

(39) En los casos en que se emita una orden europea de producción para obtener diferentes categorías de datos, la autoridad emisora debe garantizar que las condiciones y los procedimientos, como la notificación a la autoridad de ejecución, se cumplen para cada una de esas categorías de datos respectivamente.

(40) Habida cuenta del carácter especialmente sensible de los datos de tráfico, excepto en el caso de los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, y de los datos de contenido, ha de hacerse una distinción en lo que se refiere al ámbito de aplicación material del presente Reglamento. Debe ser posible emitir una orden europea de producción para obtener datos de los abonados o para obtener datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, para cualquier infracción penal, mientras que una orden europea de producción para obtener datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, o para obtener datos de contenido, debe estar sujeta a requisitos más estrictos para reflejar el carácter más sensible de estos datos. El presente Reglamento ha de establecer un umbral en relación con su ámbito de aplicación que permita un enfoque proporcionado, junto con varias otras condiciones previas y posteriores y salvaguardias destinadas a garantizar el respeto de la proporcionalidad y los derechos de las personas afectadas. Al mismo tiempo, dicho umbral no debe limitar la eficacia del presente Reglamento ni su uso por los profesionales. Permitir la emisión de órdenes europeas de producción en procesos penales únicamente por infracciones que lleven aparejada una pena máxima privativa de libertad de al menos tres años va a limitar el alcance del presente Reglamento a infracciones más graves, sin afectar excesivamente a las posibilidades de uso por los profesionales. Tal limitación excluiría del ámbito de aplicación del presente Reglamento un gran número de infracciones que los Estados miembros consideran menos graves, tal como se desprende de su pena máxima inferior. Dicha limitación también tendría la ventaja de ser fácilmente aplicable en la práctica.

(41) Existen determinadas infracciones para las que las pruebas estarán normalmente disponibles solo en formato electrónico, que por su naturaleza es especialmente fugaz. Este es el caso de las infracciones relacionadas con el ámbito cibernético, incluso las que no pueden considerarse graves en sí mismas, pero que podrían causar daños extensos o considerables, en particular las infracciones con limitado impacto individual, pero de elevado volumen y perjuicio general. En la mayoría de los casos en que la infracción se haya cometido por medio de un sistema de información, la aplicación del mismo umbral que para otros tipos de infracciones daría lugar en gran medida a impunidad. Esto justifica la aplicación del presente Reglamento a tales infracciones, también cuando lleven aparejada una pena máxima privativa de libertad inferior a tres años. Otras infracciones correspondientes a los delitos relacionados con el terrorismo a que se refiere la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (20), así como a los delitos relacionados con los abusos sexuales y la explotación sexual de los menores a que se refiere la Directiva 2011/93/UE del Parlamento Europeo y del Consejo (21), no deben exigir el umbral de pena máxima privativa de libertad de al menos tres años.

(42) En principio, una orden europea de producción debe dirigirse al prestador de servicios, que actúa como responsable del tratamiento. Sin embargo, en algunas circunstancias, determinar si un prestador de servicios desempeña la función de responsable del tratamiento o de encargado del tratamiento puede resultar especialmente difícil, en particular cuando varios prestadores de servicios participen en el tratamiento de datos o cuando los prestadores de servicios tratan los datos en nombre de una persona física. La distinción entre las funciones del responsable del tratamiento y del encargado del tratamiento en relación con un determinado conjunto de datos no solo requiere conocimientos especializados del contexto jurídico, sino que también podría requerir la interpretación de marcos contractuales a menudo muy complejos que prevean, en un caso específico, la asignación a diversos prestadores de servicios de tareas y funciones diferentes en relación con un determinado conjunto de datos. Cuando los prestadores de servicios tratan datos en nombre de una persona física, puede resultar difícil en algunos casos determinar quién es el responsable del tratamiento, incluso cuando solo intervenga un prestador de servicios. Cuando los datos de que se trate sean almacenados o tratados de otro modo por un prestador de servicios y no esté claro quién es el responsable del tratamiento, a pesar de unos esfuerzos razonables por parte de la autoridad emisora, debe ser posible dirigir una orden europea de producción directamente a dicho prestador de servicios. Además, en algunos casos, dirigirse al responsable del tratamiento podría ser perjudicial para la investigación en el asunto de que se trate, por ejemplo, porque el responsable del tratamiento sea una persona sospechosa, acusada o condenada, o porque existan indicios de que el responsable del tratamiento podría estar actuando en interés de la persona que es objeto de la investigación. Luego, en esos casos, debe ser posible dirigir una orden europea de producción directamente al prestador de servicios que trate los datos en nombre del responsable del tratamiento. Ello no debe afectar al derecho de la autoridad emisora a ordenar al prestador de servicios que conserve los datos.

(43) De conformidad con el Reglamento (UE) 2016/679, el encargado del tratamiento que almacene o trate de otro modo los datos en nombre del responsable del tratamiento debe informarle de la entrega de los datos, a menos que la autoridad emisora haya solicitado al prestador de servicios que se abstenga de informar al responsable del tratamiento, durante el tiempo que estime necesario y proporcionado, a fin de no obstruir el proceso penal pertinente. En tal situación, la autoridad emisora debe indicar en el expediente las razones de la demora en informar al responsable del tratamiento y debe añadirse también una breve justificación en el certificado que lo acompaña transmitido al destinatario.

(44) Cuando los datos se almacenen o traten de otro modo como parte de una infraestructura proporcionada por un prestador de servicios a una autoridad pública, solo debe ser posible emitir una orden europea de producción o una orden europea de conservación cuando la autoridad pública para la que se almacenen o traten los datos se encuentre en el Estado emisor.

(45) En las situaciones en que los datos protegidos por el secreto profesional en virtud del Derecho del Estado emisor sean almacenados o tratados de otro modo por un prestador de servicios como parte de una infraestructura proporcionada a profesionales amparados por el secreto profesional, en su capacidad empresarial, solo debe ser posible emitir una orden europea de producción para obtener datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, o para obtener datos de contenido cuando el profesional amparado por el secreto profesional resida en el Estado emisor, cuando dirigirse al profesional amparado por el secreto profesional pueda perjudicar la investigación, o cuando se haya renunciado a las prerrogativas de secreto profesional de conformidad con el Derecho aplicable.

(46) El principio non bis in idem es un principio fundamental del Derecho de la Unión, como reconoce la Carta y desarrolla la jurisprudencia del Tribunal de Justicia de la Unión Europea. Cuando la autoridad emisora tenga motivos para suponer que un proceso penal paralelo puede estar en curso en otro Estado miembro, debe consultar a las autoridades de dicho Estado miembro de conformidad con la Decisión Marco 2009/948/JAI del Consejo (22). En cualquier caso, no se ha de emitir una orden europea de producción o una orden europea de conservación cuando la autoridad emisora tenga motivos para suponer que ello sería contrario al principio non bis in idem.

(47) Los privilegios e inmunidades, que pueden referirse a determinadas categorías de personas, por ejemplo, diplomáticos, o a relaciones específicamente protegidas, como la prerrogativa de secreto profesional en la relación abogado-cliente o el derecho de los periodistas a no revelar sus fuentes de información, están contemplados en otros instrumentos de reconocimiento mutuo, como la Directiva 2014/41/UE relativa a la OEI. El alcance y los efectos de los privilegios e inmunidades difieren según el Derecho nacional aplicable que deba tenerse en cuenta en el momento de emitir una orden europea de producción o una orden europea de conservación, dado que la autoridad emisora solo debe poder emitirla en caso de que pudiera haberse emitido en las mismas condiciones en un asunto nacional similar. No existe en el Derecho de la Unión una definición común de lo que constituye un privilegio o una inmunidad. Por lo tanto, la definición precisa de estos términos se deja en manos del Derecho nacional y puede incluir protecciones que se aplican, por ejemplo, a las profesiones médicas y jurídicas, incluso cuando en dichas profesiones se utilicen plataformas especializadas. La definición precisa de privilegios e inmunidades también puede incluir normas sobre la determinación y limitación de la responsabilidad penal en relación con la libertad de la prensa y la libertad de expresión en otros medios de comunicación.

(48) Cuando la autoridad emisora trate de obtener datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, o de obtener datos de contenido, mediante la emisión de una orden europea de producción, y tenga motivos razonables para suponer que los datos solicitados están protegidos por inmunidades o privilegios concedidos en virtud del Derecho del Estado de ejecución, o que esos datos están sujetos en dicho Estado a normas sobre determinación y limitación de la responsabilidad penal en relación con la libertad de prensa y la libertad de expresión en otros medios de comunicación, la autoridad emisora debe poder solicitar aclaraciones antes de emitir la orden europea de producción, también consultando a las autoridades competentes del Estado de ejecución, ya sea directamente o a través de Eurojust o de la Red Judicial Europea.

(49) Debe ser posible emitir una orden europea de conservación para cualquier infracción penal. La autoridad emisora debe tener en cuenta los derechos de la persona sospechosa o acusada en los procesos relacionados con una infracción penal y solo debe emitir una orden europea de conservación si dicha orden pudiera haberse emitido en las mismas circunstancias en un asunto nacional similar, y cuando sea necesaria, proporcionada, adecuada y aplicable al caso concreto. La valoración de si debe emitirse una orden europea de conservación ha de tener en cuenta si esa orden se limita a lo estrictamente necesario para alcanzar el objetivo legítimo de impedir la retirada, supresión o alteración de datos pertinentes y necesarios a fin de servir de prueba en un caso concreto en situaciones en las que pudiera llevar más tiempo conseguir la entrega de esos datos.

(50) Las órdenes europeas de producción y las órdenes europeas de conservación deben dirigirse directamente al establecimiento designado o al representante legal designado por el prestador de servicios con arreglo a la Directiva (UE) 2023/1544 del Parlamento Europeo y del Consejo (23). Excepcionalmente, en los casos urgentes tal como se definen en el presente Reglamento, cuando el establecimiento designado o el representante legal de un prestador de servicios no reaccione al certificado que acompaña a la orden europea de producción (EPOC, por sus siglas en inglés de European Production Order Certificate) o al certificado de orden europea de conservación (EPOC-PR, por sus siglas en inglés de European Preservation Order Certificate) en los plazos establecidos o no haya sido designado dentro de los plazos establecidos en la Directiva (UE) 2023/1544, debe ser posible remitir el EPOC o el EPOC-PR a cualquier otro establecimiento o representante legal del prestador de servicios en la Unión, junto con la adopción de medidas de ejecución de la orden inicial o en vez de adoptar dichas medidas, de conformidad con el presente Reglamento. Dadas estas distintas situaciones posibles, en las disposiciones del presente Reglamento se utiliza el término general «destinatario».

(51) Visto el carácter especialmente sensible de una orden europea de producción para obtener datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, o para obtener datos de contenido, procede facilitar un mecanismo de notificación aplicable a las órdenes europeas de producción para la obtención de esas categorías de datos. Ese mecanismo de notificación debe implicar a una autoridad de ejecución y consistir en la transmisión del EPOC a esa autoridad al mismo tiempo que se transmite el EPOC al destinatario. No obstante, cuando se emita una orden europea de producción para obtener pruebas electrónicas en procesos penales con vínculos sustanciales y sólidos con el Estado emisor, no debe exigirse ninguna notificación a la autoridad de ejecución. Tales vínculos deben presumirse cuando, en el momento de emitir la orden europea de producción, la autoridad emisora tenga motivos razonables para suponer que la infracción se ha cometido, se está cometiendo o es probable que se cometa en el Estado emisor, y cuando la persona cuyos datos se solicitan resida en el Estado emisor.

(52) A efectos del presente Reglamento, se debe considerar que una infracción se ha cometido, se está cometiendo o es probable que se cometa en el Estado emisor si así se considera de conformidad con el Derecho nacional del Estado emisor. En algunos casos, especialmente en el ámbito de la ciberdelincuencia, algunos elementos fácticos, como el lugar de residencia de la víctima, suelen ser indicios importantes que deben tenerse en cuenta a la hora de determinar dónde se ha cometido la infracción. Por ejemplo, a menudo puede considerarse que los delitos de secuestro de archivos se han cometido allí donde reside la víctima de dicho delito, incluso cuando el lugar exacto desde el que se ha lanzado el secuestro de archivos sea incierto. Cualquier determinación del lugar en el que se cometió la infracción debe entenderse sin perjuicio de las normas de competencia jurisdiccional sobre las infracciones pertinentes con arreglo al Derecho nacional aplicable.

(53) Corresponde a la autoridad emisora valorar, en el momento de emitir la orden europea de producción para obtener datos de tráfico, excepto en el caso de los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, o para obtener datos de contenido, y sobre la base de los datos de que disponga, si existen motivos razonables para suponer que la persona cuyos datos se solicitan reside en el Estado emisor. A este respecto, pueden ser pertinentes diversas circunstancias objetivas que puedan indicar que la persona de que se trate ha establecido el centro habitual de sus intereses en un Estado miembro determinado o que tiene la intención de hacerlo. De la necesidad de una aplicación uniforme del Derecho de la Unión y del principio de igualdad se desprende que el concepto de «residencia» en este contexto particular debe interpretarse de manera uniforme en toda la Unión. Podrían existir motivos razonables para suponer que una persona reside en un Estado emisor, en particular cuando una persona está registrada como residente en un Estado emisor, como lo indique ser titular de un documento de identidad o de un permiso de residencia, o estar inscrito en un registro oficial de residencia. En ausencia de un registro en el Estado emisor, la residencia podría quedar reflejada en el hecho de que una persona haya manifestado su intención de establecerse en dicho Estado miembro o haya adquirido, tras un período estable de presencia en dicho Estado miembro, determinadas conexiones con dicho Estado que sean de un grado similar a los resultantes del establecimiento de una residencia formal en dicho Estado miembro. Para determinar si, en una situación concreta, existen suficientes conexiones entre la persona de que se trate y el Estado emisor que den lugar a motivos razonables para suponer que la persona en cuestión reside en dicho Estado, podrían tenerse en cuenta diversos factores objetivos que caracterizan la situación de dicha persona, entre los que figuran, en particular, la duración, la naturaleza y las condiciones de su presencia en el Estado emisor o los vínculos familiares o conexiones económicas que dicha persona mantiene con ese Estado miembro. Un vehículo matriculado, una cuenta bancaria, el hecho de que la persona haya permanecido ininterrumpidamente en el Estado emisor u otros factores objetivos podrían ser pertinentes para determinar que existen motivos razonables para suponer que la persona en cuestión reside en el Estado emisor. Una visita breve, una estancia vacacional, también en una casa vacacional, o una estancia similar en el Estado emisor sin ninguna conexión sustancial adicional no será suficiente para establecer una residencia en ese Estado miembro. En los casos en que, en el momento de emitir la orden europea de producción para obtener datos de tráfico, excepto en el caso de los datos solicitados con el único fin de identificar al usuario tal como se definen en el presente Reglamento, o para obtener datos de contenido, la autoridad emisora no tenga motivos razonables para suponer que la persona cuyos datos se solicitan reside en el Estado emisor, la autoridad emisora debe notificarlo a la autoridad de ejecución.

(54) Al objeto de facilitar un procedimiento rápido, el momento pertinente para determinar si es necesario proceder a la notificación a la autoridad de ejecución debe ser el momento en el que se emite la orden europea de producción. Cualquier cambio de residencia posterior no debe afectar al procedimiento. La persona en cuestión debe poder invocar sus derechos, así como las normas sobre la determinación y limitación de la responsabilidad penal en relación con la libertad de prensa y la libertad de expresión en otros medios de comunicación, durante todo el proceso penal, y la autoridad de ejecución debe poder invocar un motivo de denegación cuando, en situaciones excepcionales, existan motivos fundados para suponer, sobre la base de pruebas concretas y objetivas, que la ejecución de la orden conllevaría, en las circunstancias particulares del caso, una vulneración manifiesta de un derecho fundamental relevante establecido en el artículo 6 del TUE y en la Carta. Además, también debe ser posible invocar esos motivos durante el procedimiento de ejecución.

(55) Una orden europea de producción debe transmitirse a través de un EPOC y una orden europea de conservación debe transmitirse a través de un EPOC-PR. En caso necesario, el EPOC o el EPOC-PR se traducirán a una lengua oficial de la Unión aceptada por el destinatario. Cuando el prestador de servicios no haya especificado ninguna lengua, el EPOC o el EPOC-PR se traducirán a una lengua oficial del Estado miembro en el que esté situado el establecimiento designado o el representante legal del prestador de servicios, o a otra lengua oficial que el establecimiento designado o el representante legal del prestador de servicios haya declarado que aceptará. Cuando se requiera una notificación a la autoridad de ejecución en virtud del presente Reglamento, el EPOC que se transmita a dicha autoridad debe traducirse a una lengua oficial del Estado de ejecución o a otra lengua oficial de la Unión aceptada por dicho Estado. A este respecto, debe alentarse a cada Estado miembro a manifestar, en cualquier momento, en una declaración por escrito presentada a la Comisión si y en qué lengua o lenguas oficiales de la Unión, además de la lengua o lenguas oficiales de dicho Estado miembro, aceptarían traducciones de los EPOC y EPOC-PR. La Comisión debe poner esas declaraciones a disposición de todos los Estados miembros y de la Red Judicial Europea.

(56) Cuando se haya emitido un EPOC y no se requiera una notificación a la autoridad de ejecución en virtud del presente Reglamento, el destinatario debe garantizar, una vez recibido el EPOC, que los datos solicitados se transmiten directamente a la autoridad emisora o a las autoridades policiales indicadas en el EPOC a más tardar en el plazo de diez días a partir de la recepción del EPOC. Cuando se requiera una notificación a la autoridad de ejecución en virtud del presente Reglamento, una vez recibido el EPOC, el prestador de servicios debe actuar con prontitud para conservar los datos. Si la autoridad de ejecución no invoca ninguno de los motivos de denegación con arreglo al presente Reglamento en un plazo de diez días a partir de la recepción del EPOC, el destinatario debe garantizar que los datos solicitados sean transmitidos directamente a la autoridad emisora o a las autoridades policiales indicadas en el EPOC al final de ese plazo de diez días. Cuando la autoridad de ejecución, ya antes de que finalice el plazo de diez días, confirme a la autoridad emisora y al destinatario que no va a invocar ninguno de los motivos de denegación, el destinatario debe actuar lo antes posible tras dicha confirmación y, a más tardar, al final de dicho plazo de diez días. El destinatario y, en su caso, la autoridad de ejecución deben respetar los plazos más breves aplicables en casos urgentes, tal como se definen en el presente Reglamento. El destinatario y, en su caso, la autoridad de ejecución, deben ejecutar el EPOC lo antes posible y a más tardar en los plazos establecidos en el presente Reglamento, teniendo plenamente en cuenta, en la medida de lo posible, los plazos procesales y otros plazos indicados por el Estado emisor.

(57) Cuando el destinatario considere, basándose únicamente en la información contenida en el EPOC o en el EPOC-PR, que la ejecución del EPOC o del EPOC-PR podría interferir con las inmunidades o privilegios o con las normas sobre la determinación o limitación de la responsabilidad penal en relación con la libertad de prensa o la libertad de expresión en otros medios de comunicación, en virtud del Derecho del Estado de ejecución, debe informar a la autoridad emisora y a la autoridad de ejecución. En lo que respecta al EPOC, si no se efectuó ninguna notificación a la autoridad de ejecución con arreglo al presente Reglamento, la autoridad emisora debe tener en cuenta la información recibida del destinatario y debe decidir, por propia iniciativa o a petición de la autoridad de ejecución, si retira, adapta o mantiene la orden europea de producción. Si se efectuó una notificación a la autoridad de ejecución con arreglo al presente Reglamento, la autoridad emisora debe tener en cuenta la información recibida del destinatario y decidir si retira, adapta o mantiene la orden europea de producción. La autoridad de ejecución también debe tener la posibilidad de invocar los motivos de denegación establecidos en el presente Reglamento.

(58) Para que el destinatario pueda hacer frente a problemas formales con un EPOC o un EPOC-PR, es necesario establecer un procedimiento para la comunicación entre el destinatario y la autoridad emisora, así como, cuando se haya efectuado una notificación a la autoridad de ejecución con arreglo al presente Reglamento, entre el destinatario y la autoridad de ejecución, en los casos en que el EPOC o el EPOC-PR esté incompleto, contenga errores manifiestos o no contenga información suficiente para ejecutar la orden de que se trate. Además, en caso de que el destinatario no pueda facilitar la información de manera exhaustiva u oportuna por cualquier otro motivo (por ejemplo, porque considere que existe un conflicto con una obligación derivada del Derecho de un tercer país, o porque considere que la orden europea de producción o la orden europea de conservación no se han emitido de conformidad con las condiciones establecidas por el presente Reglamento), debe informar a la autoridad emisora y, si se efectuó una notificación a la autoridad de ejecución, a la autoridad de ejecución, y proporcionar justificaciones por la no ejecución del EPOC o del EPOC-PR en tiempo oportuno. El procedimiento de comunicación debe por tanto permitir la corrección o la revisión de la orden europea de producción o de la orden europea de conservación por la autoridad emisora en un estadio inicial. Para garantizar la disponibilidad de los datos solicitados, el destinatario debe conservar esos datos siempre que pueda identificarlos.

(59) El destinatario no debe estar obligado a cumplir la orden europea de producción o la orden europea de conservación en caso de imposibilidad de hecho debida a circunstancias ajenas a la voluntad del destinatario o, en caso de ser diferente, al prestador de servicios en el momento en que se recibió la orden europea de producción o la orden europea de conservación. Debe asumirse la existencia de una imposibilidad de hecho en caso de que la persona cuyos datos fueron solicitados no sea cliente del prestador de servicios o no sea posible identificar a dicha persona como cliente incluso después de haberse solicitado informaciones complementarias a la autoridad emisora, o si los datos se han suprimido lícitamente antes de que se recibiera la orden en cuestión.

(60) Una vez recibido un EPOC-PR, el destinatario debe conservar los datos solicitados durante un máximo de sesenta días, a menos que la autoridad emisora confirme que se ha emitido una solicitud posterior de entrega, en cuyo caso la conservación debe mantenerse. La autoridad emisora debe poder ampliar el plazo de conservación en treinta días adicionales cuando sea necesario para permitir la emisión de una solicitud posterior de entrega, utilizando el formulario que figura en el presente Reglamento. Si la autoridad emisora confirma durante el plazo de conservación que se ha emitido una solicitud posterior de entrega, el destinatario debe conservar los datos durante el tiempo que sea necesario para entregarlos una vez se haya recibido la solicitud posterior de entrega. Dicha confirmación debe enviarse al destinatario dentro del plazo pertinente, en una lengua oficial del Estado de ejecución o en cualquier otra lengua aceptada por el destinatario, utilizando el formulario que figura en el presente Reglamento. Para evitar el cese de la conservación, debe bastar con que se haya emitido la solicitud posterior de entrega y que la autoridad emisora haya enviado la confirmación. No ha de ser necesario realizar otros trámites exigidos para la transmisión, como la traducción de documentos, en ese momento. Cuando la conservación ya no sea necesaria, la autoridad emisora debe informar a los destinatarios sin demora indebida y la obligación de conservación sobre la base de la orden europea de conservación cesará de inmediato.

(61) Sin perjuicio del principio de confianza mutua, la autoridad de ejecución debe poder invocar motivos de denegación de una orden europea de producción, cuando se haya efectuado una notificación a la autoridad de ejecución en virtud del presente Reglamento, sobre la base de la lista de motivos de denegación prevista en el presente Reglamento. Cuando la notificación a la autoridad de ejecución o la ejecución tenga lugar de conformidad con el presente Reglamento, el Estado de ejecución podría disponer en su Derecho nacional que la ejecución de una orden europea de producción pueda requerir la participación procesal de un órgano jurisdiccional en el Estado de ejecución.

(62) Cuando se notifique a la autoridad de ejecución una orden europea de producción para obtener datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el presente Reglamento, o para obtener datos de contenido, dicha autoridad debe tener derecho a examinar la información recogida en la orden y, en su caso, denegarla cuando, sobre la base de un examen obligatorio y debido de la información contenida en dicha orden y de conformidad con las normas aplicables del Derecho primario de la Unión, en particular la Carta, llegue a la conclusión de que podría invocarse uno o varios de los motivos de denegación previstos en el presente Reglamento. La necesidad de respetar la independencia de las autoridades judiciales exige que se conceda un cierto margen de apreciación a dichas autoridades a la hora de decidir sobre los motivos de denegación.

(63) Cuando reciba una notificación con arreglo al presente Reglamento, la autoridad de ejecución debe poder denegar una orden europea de producción si los datos solicitados están protegidos por inmunidades o privilegios concedidos en virtud del Derecho del Estado de ejecución que impidan la ejecución de la orden europea de producción, o los datos solicitados están cubiertos por normas sobre la determinación o limitación de la responsabilidad penal en relación con la libertad de prensa o la libertad de expresión en otros medios de comunicación que impidan la ejecución de la orden europea de producción.

(64) En situaciones excepcionales, la autoridad de ejecución debe poder denegar una orden si existen motivos fundados para suponer, sobre la base de pruebas concretas y objetivas, que la ejecución de la orden europea de producción conllevaría, en las circunstancias particulares del caso, una vulneración manifiesta de un derecho fundamental pertinente establecido en el artículo 6 del TUE y en la Carta. En particular, al valorar dicho motivo de denegación, cuando la autoridad de ejecución disponga de pruebas o elementos como los expuestos en una propuesta motivada de un tercio de los Estados miembros, del Parlamento Europeo o de la Comisión Europea, adoptada en virtud del artículo 7, apartado 1, del TUE, que indiquen que existe un riesgo claro, en caso de ejecución de la orden, de vulneración grave del derecho fundamental a la tutela judicial efectiva y a un juez imparcial en virtud del artículo 47 de la Carta, debido a deficiencias sistémicas o generalizadas en lo que respecta a la independencia del poder judicial del Estado emisor, la autoridad de ejecución debe determinar de manera específica y precisa si, habida cuenta de la situación personal de la persona de que se trate, así como de la naturaleza de la infracción por la que se desarrolla el proceso penal y del contexto fáctico en el que se basa la orden, y a la luz de la información facilitada por la autoridad emisora, hay motivos fundados para suponer que existe un riesgo de vulneración del derecho de una persona a un juez imparcial.

(65) La autoridad de ejecución debe poder denegar una orden cuando su ejecución sea contraria al principio non bis in idem.

(66) Cuando reciba una notificación con arreglo al presente Reglamento, la autoridad de ejecución debe poder denegar una orden europea de producción si la conducta que dio origen a la emisión de la orden no es constitutiva de infracción con arreglo al Derecho del Estado de ejecución, salvo que se trate de una infracción recogida en las categorías de infracciones que figuran en un anexo del presente Reglamento, conforme a lo indicado por la autoridad emisora en el EPOC, si en el Estado emisor es punible con una pena o una medida de seguridad privativas de libertad de una duración máxima no inferior a tres años.

(67) Puesto que informar a la persona cuyos datos se solicitan es un elemento fundamental por lo que se refiere a los derechos de protección de datos y los derechos de la defensa, ya que permite un control jurisdiccional y un recurso judicial efectivos, de conformidad con el artículo 6 del TUE y la Carta, la autoridad emisora debe informar, sin demora indebida, a la persona cuyos datos se solicitan acerca de la producción de datos en virtud de una orden europea de producción. No obstante, la autoridad emisora debe poder, de conformidad con el Derecho nacional, demorar, restringir u omitir la información a la persona cuyos datos se solicitan, en la medida y mientras que se cumplan las condiciones de la Directiva (UE) 2016/680, en cuyo caso la autoridad emisora debe indicar en el expediente los motivos de la demora, restricción u omisión y añadirá una breve justificación en el EPOC. El destinatario y, en caso de ser diferente, el prestador de servicios debe adoptar las medidas operativas y técnicas más avanzadas necesarias para garantizar la confidencialidad, el secreto y la integridad del EPOC o del EPOC-PR y de los datos entregados o conservados.

(68) Siempre que se contemple esa posibilidad en el Derecho nacional del Estado emisor con respecto a órdenes nacionales en situaciones similares, el prestador de servicios debe poder reclamar al Estado emisor el reembolso de sus gastos por responder a una orden europea de producción o una orden europea de conservación, con arreglo al Derecho nacional de dicho Estado. Los Estados miembros deben informar a la Comisión sobre sus normas nacionales en materia de reembolso y la Comisión ha de publicarlas. El presente Reglamento establece normas específicas aplicables al reembolso de los gastos relacionados con el sistema informático descentralizado.

(69) Sin perjuicio de lo dispuesto en los Derechos nacionales que prevean la imposición de sanciones penales, los Estados miembros deben establecer normas relativas a las sanciones pecuniarias aplicables en caso de incumplimiento de las obligaciones previstas en el presente Reglamento y adoptar todas las medidas necesarias para garantizar su aplicación. Los Estados miembros deben asegurar que las sanciones pecuniarias previstas en su Derecho nacional sean eficaces, proporcionadas y disuasorias. Los Estados miembros deben notificar sin demora a la Comisión dichas normas y medidas, así como cualquier modificación posterior de las mismas.

(70) Al valorar en un caso concreto la sanción pecuniaria adecuada, las autoridades competentes deben tener en cuenta todas las circunstancias pertinentes, como la naturaleza, la gravedad y la duración de la infracción, si se ha cometido intencionadamente o por negligencia, si el prestador de servicios ha sido considerado responsable de infracciones anteriores similares y la solidez financiera del prestador del servicio responsable. En circunstancias excepcionales, esta valoración podría llevar a la autoridad de ejecución a decidir abstenerse de imponer sanciones pecuniarias. A este respecto, se ha de prestar especial atención a las microempresas que no cumplan una orden europea de producción o una orden europea de conservación en un caso urgente por falta de recursos personales fuera del horario normal de oficina, si los datos se transmiten sin demora indebida.

(71) Sin perjuicio de sus obligaciones en materia de protección de datos, los prestadores de servicios no deben considerarse responsables en los Estados miembros por el perjuicio causado a sus usuarios o a terceras partes derivado exclusivamente del cumplimiento de buena fe de un EPOC o un EPOC-PR. La responsabilidad de garantizar la legalidad de la orden de que se trate, en particular su necesidad y proporcionalidad, debe recaer en la autoridad emisora.

(72) Cuando el destinatario no cumpla un EPOC en el plazo establecido o un EPOC-PR sin aportar razones aceptadas por la autoridad emisora y, en su caso, cuando la autoridad de ejecución no haya invocado ninguno de los motivos de denegación previstos en el presente Reglamento, la autoridad emisora debe tener la posibilidad de solicitar a la autoridad de ejecución que ejecute la orden europea de producción o la orden europea de conservación. A tal fin, la autoridad emisora debe transferir a la autoridad de ejecución la orden de que se trate, el formulario pertinente previsto en el presente Reglamento, tal como haya sido cumplimentado por el destinatario, y cualquier documento pertinente. La autoridad emisora debe traducir la orden de que se trate y cualquier documento que deba trasladarse a una de las lenguas aceptadas por el Estado miembro de ejecución, y debe informar al destinatario del traslado. Este Estado debe ejecutar la orden de que se trate de conformidad con su Derecho nacional.

(73) El procedimiento de ejecución debe permitir al destinatario invocar motivos contra la ejecución conforme a una lista de motivos específicos previstos en el presente Reglamento, incluido que la orden de que se trate no haya sido emitida o validada por una autoridad competente con arreglo a lo dispuesto en el presente Reglamento, o que la orden no se refiera a datos almacenados por el prestador de servicios o en su nombre en el momento de la recepción del certificado pertinente. La autoridad de ejecución debe poder negarse a reconocer y ejecutar una orden europea de producción o una orden europea de conservación por esos mismos motivos, y también, en situaciones excepcionales, debido a la vulneración manifiesta de un derecho fundamental pertinente establecido en el artículo 6 del TUE y en la Carta. La autoridad de ejecución debe consultar a la autoridad emisora antes de decidir no reconocer o no ejecutar la orden, sobre la base de esos motivos. Cuando el destinatario no cumpla las obligaciones que le impone una orden europea de producción o una orden europea de conservación reconocidas cuya ejecutoriedad haya sido confirmada por la autoridad de ejecución, dicha autoridad debe imponer una sanción pecuniaria. Esta sanción debe ser proporcionada, en particular a la vista de circunstancias específicas tales como el incumplimiento repetido o sistemático.

(74)El cumplimiento de una orden europea de producción podría entrar en conflicto con una obligación derivada del Derecho aplicable de un tercer país. Para garantizar la cortesía con respecto a los intereses soberanos de terceros países, proteger a la persona de que se trate y hacer frente a obligaciones en conflicto de los prestadores de servicios, el presente Reglamento prevé un mecanismo específico de reexamen judicial cuando el cumplimiento de una orden europea de producción impida a un prestador de servicios cumplir obligaciones jurídicas derivadas del Derecho de un tercer país.

(75) Cuando el destinatario considere que una orden europea de producción en un caso concreto implicaría el incumplimiento de una obligación jurídica derivada del Derecho de un tercer país, debe informar a la autoridad emisora y a la autoridad de ejecución de los motivos para no ejecutar la orden por medio de una objeción motivada, utilizando para ello el formulario previsto en el presente Reglamento. La autoridad emisora debe examinar la orden europea de producción sobre la base de la objeción motivada y de toda contribución aportada por el Estado de ejecución, teniendo en cuenta los mismos criterios que tendría que seguir el órgano jurisdiccional competente del Estado emisor. Cuando la autoridad emisora tenga la intención de mantener la orden, debe solicitar un reexamen por parte del órgano jurisdiccional competente del Estado emisor, según lo notificado por el Estado miembro de que se trate, que debe revisar la orden.

(76) Al determinar la existencia de una obligación en conflicto en las circunstancias específicas del caso concreto, el órgano jurisdiccional competente podría recurrir, cuando sea necesario, a asesoramiento externo adecuado, por ejemplo sobre la interpretación del Derecho del tercer país de que se trate. A tal fin, el órgano jurisdiccional competente podría, por ejemplo, consultar a la autoridad central del tercer país, teniendo en cuenta la Directiva (UE) 2016/680. En particular, el Estado emisor debe solicitar información a la autoridad competente del tercer país cuando el conflicto afecte a derechos fundamentales u otros intereses fundamentales del tercer país relacionados con la seguridad nacional y la defensa.

(77) El asesoramiento especializado sobre la interpretación podría facilitarse también por medio de opiniones de expertos, cuando estén disponibles. La información y la jurisprudencia sobre la interpretación del Derecho de un tercer país y sobre los procedimientos de conflicto de leyes en los Estados miembros deben publicarse en una plataforma central como el proyecto SIRIUS o la Red Judicial Europea, con miras a hacer que sea posible beneficiarse de la experiencia y los conocimientos acumulados sobre cuestiones idénticas o similares. La disponibilidad de dicha información en una plataforma central no debe impedir una nueva consulta del tercer país cuando proceda.

(78) Al examinar si existen obligaciones en conflicto, el órgano jurisdiccional competente debe determinar si es aplicable el Derecho del tercer país y, en caso afirmativo, si el Derecho del tercer país prohíbe la revelación de los datos de que se trate. Si el órgano jurisdiccional determina que el Derecho del tercer país prohíbe la revelación de los datos de que se trate, ese órgano jurisdiccional debe decidir si mantiene o anula la orden europea de producción, ponderando una serie de elementos concebidos para determinar la fuerza de la conexión con uno u otro de los dos territorios afectados, sus intereses respectivos para obtener o impedir la revelación de los datos, y las posibles consecuencias para el destinatario o el prestador de servicios de cumplir la orden. Especial importancia y ponderación debe concederse a la protección de los derechos fundamentales por el Derecho aplicable y otros intereses esenciales del tercer país, como los intereses del tercer país en materia de seguridad nacional, así como el grado de conexión entre la causa penal y uno u otro de los dos territorios cuando se realice el examen. En caso de que el órgano jurisdiccional competente decida anular la orden, debe informar de ello a la autoridad emisora y al destinatario. En caso de que el órgano jurisdiccional competente determine que la orden debe mantenerse, debe informar de ello a la autoridad emisora y al destinatario, y dicho destinatario debe proceder a ejecutar la orden. La autoridad emisora debe informar a la autoridad de ejecución del resultado del procedimiento de reexamen.

(79) Las condiciones establecidas en el presente Reglamento para la ejecución de un EPOC también deben ser aplicables en caso de obligaciones en conflicto derivadas del Derecho de un tercer país. Por lo tanto, en el reexamen judicial, si el cumplimiento de una orden europea de producción impide a los prestadores de servicios cumplir una obligación legal derivada del Derecho de un tercer país, deben conservarse los datos solicitados mediante dicha orden. Si, tras el reexamen judicial, el órgano jurisdiccional competente decide anular una orden europea de producción, debe ser posible emitir una orden europea de conservación para permitir que la autoridad emisora solicite la entrega de los datos a través de otros canales, como la asistencia judicial mutua.

(80) Es esencial que todas las personas cuyos datos se solicitan en investigaciones o procesos penales tengan acceso a una tutela judicial efectiva, de conformidad con el artículo 47 de la Carta. De acuerdo con este requisito y sin perjuicio de otras vías de recurso posibles de conformidad con el Derecho nacional, toda persona cuyos datos hayan sido solicitados mediante una orden europea de producción debe tener derecho a una tutela judicial efectiva contra dicha orden. Si dicha persona es sospechosa o ha sido acusada, debe tener derecho a una tutela judicial efectiva durante el proceso penal en el que se estén empleando los datos como pruebas. El derecho a una tutela judicial efectiva debe ejercerse ante un órgano jurisdiccional en el Estado emisor con arreglo a su Derecho nacional y debe incluir la posibilidad de impugnar la legalidad de la medida, incluida su necesidad y proporcionalidad, sin perjuicio de las garantías de los derechos fundamentales en el Estado de ejecución o de otras vías de recurso de conformidad con el Derecho nacional. El presente Reglamento no debe limitar los posibles motivos para impugnar la legalidad de una orden. El derecho a tutela judicial efectiva previsto en el presente Reglamento debe entenderse sin perjuicio del derecho a tutela judicial en virtud del Reglamento (UE) 2016/679 y de la Directiva (UE) 2016/680. Debe facilitarse a su debido tiempo información sobre las posibilidades de recurso previstas en el Derecho nacional y debe garantizarse su ejercicio efectivo.

 (81) Deben desarrollarse canales adecuados para garantizar que todas las partes puedan cooperar eficazmente por medios digitales, a través de un sistema informático descentralizado que permita el intercambio electrónico transfronterizo rápido, directo, interoperable, sostenible, fiable y seguro de formularios, datos e información relacionados con los asuntos.

(82) A fin de permitir una comunicación escrita eficiente y segura entre las autoridades competentes y los establecimientos designados o los representantes legales de los prestadores de servicios en virtud del presente Reglamento, dichos establecimientos designados o representantes legales deben disponer de medios electrónicos de acceso a los sistemas informáticos nacionales, que forman parte del sistema informático descentralizado, gestionados por los Estados miembros.

(83) El sistema informático descentralizado debe estar compuesto por los sistemas informáticos de los Estados miembros y los órganos y organismos de la Unión, así como de puntos de acceso interoperables a través de los cuales están interconectados dichos sistemas informáticos. Los puntos de acceso del sistema informático descentralizado deben basarse en el sistema e-CODEX, establecido por el Reglamento (UE) 2022/850 del Parlamento Europeo y del Consejo (24).

(84) Los prestadores de servicios que utilicen dichas soluciones informáticas para fines de intercambio de información y datos relacionados con las solicitudes de pruebas electrónicas deben disponer de medios automatizados para acceder a los sistemas informáticos descentralizados mediante una norma común de intercambio de datos.

(85) Por regla general, toda comunicación escrita entre autoridades competentes o entre autoridades competentes y establecimientos designados o representantes legales debe llevarse a cabo a través del sistema informático descentralizado. Solo debe ser posible utilizar medios alternativos cuando el uso del sistema informático descentralizado no sea posible, por ejemplo debido a requisitos forenses específicos, porque el volumen de datos que deba transferirse se vea obstaculizado por limitaciones de capacidad técnica, o porque en un caso urgente haya que dirigirse a otro establecimiento no conectado al sistema informático descentralizado. En tales casos, la transmisión debe efectuarse por los medios alternativos más adecuados, teniendo en cuenta la necesidad de garantizar un intercambio de información rápido, seguro y fiable.

(86) Para garantizar que el sistema informático descentralizado contenga un registro completo de los intercambios escritos al amparo del presente Reglamento, toda transmisión efectuada por medios alternativos debe registrarse sin demora indebida en el sistema informático descentralizado.

(87) Debe considerarse la utilización de mecanismos que garanticen la autenticación, con arreglo a lo establecido en el Reglamento (UE) nº 910/2014 del Parlamento Europeo y del Consejo (25).

(88) Los prestadores de servicios, en particular las pequeñas y medianas empresas, no deben estar expuestos a costes desproporcionados en relación con el establecimiento y el funcionamiento del sistema informático descentralizado. Por consiguiente, como parte de la creación, el mantenimiento y el desarrollo de la aplicación de referencia, la Comisión también debe poner a disposición una interfaz web que permita a los prestadores de servicios comunicarse de forma segura con las autoridades sin tener que establecer su propia infraestructura específica para acceder al sistema informático descentralizado.

(89) Los Estados miembros deben poder utilizar programas informáticos desarrollados por la Comisión, a saber, el programa informático de aplicación de referencia, en lugar de un sistema informático nacional. Dicho programa informático de aplicación de referencia se basará en una configuración modular, lo que significa que el programa informático se empaqueta y se entrega separado de los componentes del sistema e-CODEX necesarios para conectarlo al sistema informático descentralizado. Esta configuración debe permitir a los Estados miembros reutilizar o mejorar su respectiva infraestructura nacional de comunicación judicial para fines de uso transfronterizo.

(90) La Comisión debe ser responsable de la creación, el mantenimiento y el desarrollo del programa informático de aplicación de referencia. La Comisión debe diseñar, desarrollar y mantener el programa informático de aplicación de referencia de conformidad con los requisitos y principios en materia de protección de datos establecidos en el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (26), el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680, en particular los principios de protección de datos desde el diseño y por defecto, así como un nivel elevado de ciberseguridad. Es importante que el programa informático de aplicación de referencia también incluya medidas técnicas adecuadas y permitir la adopción de las medidas organizativas necesarias para garantizar un nivel adecuado de seguridad e interoperabilidad.

(91) A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) nº 182/2011 del Parlamento Europeo y del Consejo (27).

(92) En el caso de los intercambios de datos realizados a través del sistema informático descentralizado o registrados en el sistema informático descentralizado, los Estados miembros deben poder recopilar estadísticas para cumplir sus obligaciones de seguimiento y notificación en virtud del presente Reglamento a través de sus portales nacionales.

(93) A fin de supervisar las realizaciones, los resultados y las repercusiones del presente Reglamento, la Comisión debe publicar un informe anual sobre el año civil anterior, basado en los datos obtenidos de los Estados miembros. A tal fin, los Estados miembros deben recopilar y facilitar a la Comisión estadísticas exhaustivas sobre diferentes aspectos del presente Reglamento, por tipo de datos solicitados, destinatarios y si se trataba de un caso urgente o no.

(94) El uso de formularios pretraducidos y normalizados podrían facilitar la cooperación y el intercambio de información en el marco del presente Reglamento, permitiendo así una comunicación más rápida y más eficaz de forma sencilla. Estos formularios podrían reducir los costes de traducción y contribuir a un alto nivel de calidad de la comunicación. Asimismo, los formularios de respuesta harían posible un intercambio de información normalizado, en particular cuando los prestadores de servicios no estén en condiciones de cumplir porque la cuenta de usuario no existe o porque no se dispone de datos. Los formularios previstos en el presente Reglamento también podrían facilitar la recogida de estadísticas.

(95) A fin de abordar de manera efectiva la posible necesidad de mejoras en cuanto al contenido de los formularios EPOC y EPOC-PR y de los formularios utilizados para facilitar información sobre la imposibilidad de ejecutar un EPOC o un EPOC-PR, para confirmar la emisión de una solicitud de entrega a raíz de una orden europea de conservación y para prorrogar la conservación de pruebas electrónicas, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea (TFUE) por lo que respecta a la modificación de los formularios previstos en el presente Reglamento. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (28). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(96) El presente Reglamento no debe afectar a otros instrumentos jurídicos, acuerdos y pactos de la Unión e internacionales relativos a la obtención de pruebas que entre en el ámbito de aplicación del presente Reglamento. Las autoridades de los Estados miembros deben elegir el instrumento más adaptado al caso concreto. En algunos casos, podrían preferir utilizar instrumentos, acuerdos y pactos de la Unión e internacionales para solicitar un bloque de distintos tipos de medidas de investigación que no se limiten a la entrega de pruebas electrónicas desde otro Estado miembro. Los Estados miembros deben notificar a la Comisión, a más tardar tres años después de la entrada en vigor del presente Reglamento, los instrumentos, acuerdos y pactos existentes a que se refiere el presente Reglamento que seguirán aplicando. Los Estados miembros deben notificar asimismo a la Comisión, en el plazo de tres meses desde su firma, cualquier nuevo acuerdo o pacto a que se refiere el presente Reglamento.

(97) Habida cuenta de la evolución tecnológica, en pocos años pueden prevalecer nuevas formas de instrumentos de comunicación, o podrían surgir lagunas en la aplicación del presente Reglamento. A este respecto, es importante prever una evaluación de su aplicación.

(98) La Comisión debe realizar una evaluación del presente Reglamento basada en los cinco criterios de eficiencia, eficacia, pertinencia, coherencia y valor añadido de la Unión, y dicha evaluación debe servir de base para las evaluaciones de impacto de posibles nuevas medidas. El informe de evaluación debe incluir una evaluación de la aplicación del presente Reglamento y de los resultados obtenidos en relación con sus objetivos, así como una evaluación del impacto del presente Reglamento en los derechos fundamentales. La Comisión debe recabar información periódicamente con el fin de contribuir a la evaluación del presente Reglamento.

(99) Dado que el objetivo del presente Reglamento, a saber, mejorar la seguridad y obtener pruebas electrónicas en un contexto transfronterizo, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a su naturaleza transfronteriza, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del TUE. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.

(100) De conformidad con el artículo 3 del Protocolo nº 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al TUE y al TFUE, Irlanda ha notificado su deseo de participar en la adopción y aplicación del presente Reglamento.

(101) De conformidad con los artículos 1 y 2 del Protocolo nº 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por él ni sujeta a su aplicación.

(102) El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 6 de noviembre de 2019 (29).

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I. OBJETO, ÁMBITO DE APLICACIÓN Y DEFINICIONES

Artículo 1. Objeto

1.   El presente Reglamento establece las normas en virtud de las cuales una autoridad de un Estado miembro, en los procesos penales, podrá emitir una orden europea de producción o una orden europea de conservación y de este modo ordenar a un prestador que ofrezca servicios en la Unión y esté establecido en otro Estado miembro o, si no está establecido, que esté representado por un representante legal en otro Estado miembro, que entregue o que conserve pruebas electrónicas, con independencia de la ubicación de los datos.

El presente Reglamento se entiende sin perjuicio de las competencias de las autoridades nacionales para dirigirse a los prestadores de servicios establecidos o representados en su territorio con el fin de garantizar que acatan las medidas nacionales similares a las mencionadas en el párrafo primero.

2.   La emisión de una orden europea de producción o de una orden europea de conservación podrá asimismo ser solicitada por una persona sospechosa o acusada o por un abogado en nombre de dicha persona, en el marco de los derechos de defensa aplicables de conformidad con el Derecho procesal penal nacional.

3.   El presente Reglamento no podrá tener por efecto modificar la obligación de respetar los derechos fundamentales y los principios jurídicos tal como están asentados en la Carta y en el artículo 6 del TUE, y cualesquiera obligaciones aplicables a las autoridades policiales o autoridades judiciales a este respecto permanecerán inmutables. El presente Reglamento se aplicará sin perjuicio de los principios fundamentales, en particular la libertad de expresión y de información, incluidos la libertad y el pluralismo de los medios de comunicación, el respeto de la vida privada y familiar, la protección de los datos personales y el derecho a la tutela judicial efectiva.

Artículo 2. Ámbito de aplicación

1.   El presente Reglamento se aplicará a los prestadores de servicios que ofrezcan servicios en la Unión.

2.   Una orden europea de producción o una orden europea de conservación solo podrán emitirse en el marco y a efectos de procesos penales y para fines de ejecución de una pena privativa de libertad o de una medida de seguridad privativa de libertad de al menos cuatro meses, tras un proceso penal, impuestas por una resolución que no se haya dictado en rebeldía, en los casos en que la persona condenada haya huido de la justicia. Dichas órdenes también podrán ser emitidas en procesos relativos a infracciones penales por las que una persona jurídica pueda ser considerada responsable o ser castigada en el Estado emisor.

3.   Las órdenes europeas de producción y las órdenes europeas de conservación solo se podrán emitir para datos relativos a los servicios ofrecidos en la Unión a que se refiere el artículo 3, punto 3.

4.   El presente Reglamento no se aplicará a los procesos iniciados con el fin de prestar asistencia judicial mutua a otro Estado miembro o a un tercer país.

Artículo 3. Definiciones

A efectos del presente Reglamento, se entenderá por:

1) «orden europea de producción»: una decisión por la que se ordena la entrega de pruebas electrónicas, emitida o validada por una autoridad judicial de un Estado miembro de conformidad con el artículo 4, apartados 1, 2, 4 y 5, y dirigida a un establecimiento designado o a un representante legal de un prestador de servicios que ofrezca servicios en la Unión, cuando dicho establecimiento designado o representante legal esté situado en otro Estado miembro vinculado por el presente Reglamento;

2) «orden europea de conservación»: una decisión por la que se ordena la conservación de pruebas electrónicas a los efectos de una solicitud posterior de entrega, y que es emitida o validada por una autoridad judicial de un Estado miembro de conformidad con el artículo 4, apartados 3, 4 y 5, y dirigida a un establecimiento designado o a un representante legal de un prestador de servicios que ofrezca servicios en la Unión, cuando dicho establecimiento designado o representante legal esté situado en otro Estado miembro vinculado por el presente Reglamento;

3) «prestador de servicios»: toda persona física o jurídica que presta uno o más de los tipos de servicios siguientes, con excepción de los servicios financieros a que se refiere el artículo 2, apartado 2, letra b), de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo (30):

a) servicios de comunicaciones electrónicas, tal como se definen en el artículo 2, punto 4, de la Directiva (UE) 2018/1972;

b) servicios de nombre de dominio de internet y de direcciones IP, tales como asignación de direcciones IP, registro de nombres de dominio, registrador de nombres de dominio y servicios de privacidad y representación relacionados con nombres de dominio;

c) otros servicios de la sociedad de la información a que se refiere el artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535, que:

 i) permitan a sus usuarios comunicarse entre sí, o

 ii) permitan almacenar o tratar datos de otro modo en nombre de los usuarios a los que se presta el servicio, siempre que el almacenamiento de datos sea un componente esencial del servicio prestado al usuario;

4) «ofrecer servicios en la Unión»:

a) permitir que personas físicas o jurídicas en un Estado miembro utilicen los servicios enumerados en el punto 3, y

b) tener una conexión sustancial, basada en criterios fácticos específicos, con el Estado miembro a que se refiere la letra a); debe considerarse que existe tal conexión sustancial cuando el prestador de servicios disponga de un establecimiento en un Estado miembro o, en ausencia tal establecimiento, cuando exista un número significativo de usuarios en uno o más Estados miembros, o se orienten actividades hacia uno o más Estados miembros;

5) «establecimiento»: una entidad que ejerce efectivamente una actividad económica por tiempo indefinido a través de una infraestructura estable a partir de la cual se lleva a cabo el negocio de prestar de servicios o se gestiona el negocio;

6) «establecimiento designado»: un establecimiento con personalidad jurídica designado por escrito por un prestador de servicios establecido en un Estado miembro que participe en un instrumento jurídico contemplado en el artículo 1, apartado 2, de la Directiva (UE) 2023/1544, a los efectos contemplados en el artículo 1, apartado 1, y en el artículo 3, apartado 1, de dicha Directiva;

7) «representante legal»: una persona física o jurídica designada por escrito por un prestador de servicios no establecido en un Estado miembro que participe en un instrumento jurídico contemplado en el artículo 1, apartado 2, de la Directiva (UE) 2023/1544, a los efectos contemplados en el artículo 1, apartado 1, y en el artículo 3, apartado 1, de dicha Directiva;

8) «pruebas electrónicas»: los datos de los abonados, datos de tráfico o datos de contenido almacenados por un prestador de servicios, o en nombre de un prestador de servicios, en formato electrónico, en el momento de la recepción de un certificado de orden europea de producción (EPOC, por sus siglas en inglés de European Production Order Certificate) o de un certificado de orden europea de conservación (EPOC-PR, por sus siglas en inglés de European Preservation Order Certificate);

9) «datos de los abonados»: cualesquiera datos que obren en poder de un prestador de servicios relativo a la suscripción a sus servicios, en relación con:

a) la identidad del abonado o cliente, como nombre, fecha de nacimiento, dirección postal o geográfica, facturación y pagos, número de teléfono o dirección de correo electrónico;

b) el tipo de servicio y su duración, incluidos los datos técnicos que identifiquen las medidas técnicas correspondientes o las interfaces, utilizadas o facilitadas al abonado o cliente en el momento del registro o activación inicial, y los datos relativos a la validación del uso del servicio, excluyendo las contraseñas u otros medios de autenticación utilizados en lugar de una contraseña que hayan sido facilitados por un usuario o creados a petición de un usuario;

10) «datos solicitados con el único fin de identificar al usuario»: las direcciones IP y, cuando sea necesario, los puertos de origen y el sello de tiempo pertinentes, a saber, la fecha y la hora o equivalentes técnicos de dichos identificadores e información conexa, cuando así lo soliciten las autoridades policiales o las autoridades judiciales con el único fin de identificar al usuario en una investigación penal específica;

11) «datos de tráfico»: los datos relacionados con la prestación de un servicio ofrecido por un prestador de servicios que sirvan para facilitar información contextual o adicional sobre dicho servicio y sean generados o tratados por un sistema de información del prestador de servicios, tales como el origen y destino de un mensaje u otro tipo de interacción, la ubicación del dispositivo, la fecha, la hora, la duración, el tamaño, la ruta, el formato, el protocolo utilizado y el tipo de compresión, y otros metadatos de las comunicaciones electrónicas y los datos, que no sean datos de abonados, relativos al inicio y final de una sesión de acceso del usuario a un servicio, tales como la fecha y hora del acceso, la conexión al servicio y la desconexión del servicio;

12) «datos de contenido»: cualesquiera datos en formato digital, como texto, voz, vídeos, imágenes y sonidos, que no sean datos de abonados o datos de tráfico;

13) «sistema de información»: un sistema de información tal como se define en el artículo 2, letra a), de la Directiva 2013/40/UE del Parlamento Europeo y del Consejo (31);

14) «Estado emisor»: el Estado miembro en el que se emita una orden europea de producción o una orden europea de conservación;

15) «autoridad emisora»: la autoridad competente del Estado emisor que, de conformidad con el artículo 4, puede emitir una orden europea de producción o una orden europea de conservación;

16) «Estado de ejecución»: el Estado miembro en el que tenga su sede el establecimiento designado o en el que resida el representante legal y al que la autoridad emisora transmita una orden europea de producción y un EPOC o una orden europea de conservación y un EPOC-PR a efectos de notificación a la autoridad de ejecución o a efectos de ejecución de conformidad con el presente Reglamento;

17) «autoridad de ejecución»: la autoridad del Estado de ejecución que, de conformidad con el Derecho nacional de dicho Estado, es competente para recibir una orden europea de producción y una orden europea de conservación de pruebas y un EPOC o una orden europea de conservación y un EPOC-PR transmitida por la autoridad emisora a efectos de su notificación o a efectos de su ejecución de conformidad con el presente Reglamento;

18) «caso urgente»: situación en la que exista una amenaza inminente para la vida, la integridad física o la seguridad de una persona o para una infraestructura esencial, tal como se define en el artículo 2, letra a), de la Directiva 2008/114/CE, cuando la perturbación o destrucción de dicha infraestructura esencial pueda dar lugar a una amenaza inminente para la vida, la integridad física o la seguridad de una persona, también mediante perjuicios graves al suministro de productos básicos para la población o para el ejercicio de las funciones esenciales del Estado;

19) «responsable del tratamiento»: el responsable del tratamiento tal como se define en el artículo 4, punto 7, del Reglamento (UE) 2016/679;

20) «encargado del tratamiento» o «encargado»: el encargado del tratamiento tal como se define en el artículo 4, punto 8, del Reglamento (UE) 2016/679;

21) «sistema informático descentralizado»: red de sistemas informáticos y puntos de acceso interoperables que opera bajo la responsabilidad y la gestión individuales de cada Estado miembro, agencia u organismo de la Unión, y permite que el intercambio transfronterizo de información tenga lugar de modo seguro y fiable.

CAPÍTULO II. ORDEN EUROPEA DE PRODUCCIÓN, ORDEN EUROPEA DE CONSERVACIÓN Y CERTIFICADOS

Artículo 4. Autoridad emisora

1.   Una orden europea de producción para obtener datos de los abonados o para obtener datos solicitados con el único fin de identificar al usuario, tal como se definen en el artículo 3, punto 10, solo podrá ser emitida por:

 a) un juez, tribunal, juez de instrucción o fiscal competentes en el asunto de que se trate, o

 b) cualquier otra autoridad competente, según la defina el Estado emisor que, en el asunto de que se trate, actúe en calidad de autoridad de investigación en procesos penales y tenga competencia para ordenar la obtención de pruebas de conformidad con el Derecho nacional; en tal caso, la orden europea de producción será validada, previo examen de su cumplimiento de las condiciones de emisión en virtud del presente Reglamento, por un juez, tribunal, juez de instrucción o fiscal del Estado emisor.

2.   Una orden europea de producción para obtener datos de tráfico, excepto para obtener datos solicitados con el único fin de identificar al usuario con arreglo a la definición del artículo 3, punto 10, o para obtener datos de contenido solo podrá ser emitida por:

 a) un juez, tribunal o juez de instrucción competente en el asunto de que se trate, o

 b) cualquier otra autoridad competente, según la defina el Estado emisor que, en el asunto de que se trate, actúe en calidad de autoridad de investigación en procesos penales y tenga competencia para ordenar la obtención de pruebas de conformidad con el Derecho nacional; en tal caso, la orden europea de producción será validada, previo examen de su cumplimiento de las condiciones de emisión en virtud del presente Reglamento, por un juez, tribunal o juez de instrucción del Estado emisor.

3.   Una orden europea de conservación de datos de cualquier categoría solo podrá ser emitida por:

 a) un juez, tribunal, juez de instrucción o fiscal competentes en el asunto de que se trate, o

 b) cualquier otra autoridad competente, según la defina el Estado emisor que, en el asunto de que se trate, actúe en calidad de autoridad de investigación en procesos penales y tenga competencia para ordenar la obtención de pruebas de conformidad con el Derecho nacional; en tal caso, la orden europea de conservación será validada, previo examen de su conformidad con las condiciones de emisión en virtud del presente Reglamento, por un juez, tribunal, juez de instrucción o fiscal del Estado emisor.

4.   Cuando la orden europea de producción o la orden europea de conservación haya sido validada por una autoridad judicial con arreglo al apartado 1, letra b), el apartado 2, letra b), o el apartado 3, letra b), dicha autoridad también podrá considerarse como una autoridad emisora a efectos de la transmisión del EPOC y del EPOC-PR.

5.   En un caso urgente debidamente establecido, tal como se define en el artículo 3, punto 18, las autoridades competentes a que se refieren el apartado 1, letra b), y el apartado 3, letra b), del presente artículo podrán emitir excepcionalmente una orden europea de producción de datos de los abonados o de datos solicitados con el único fin de identificar al usuario, tal como se definen en el artículo 3, punto 10, o una orden europea de conservación sin validación previa de la orden de que se trate, cuando la validación no pueda obtenerse a tiempo y cuando dichas autoridades puedan emitir una orden en un asunto nacional similar sin validación previa. La autoridad emisora solicitará la validación ex post de la orden de que se trate sin demora indebida, a más tardar en un plazo de 48 horas. En caso de que no se conceda dicha validación ex post de la orden de que se trate, la autoridad emisora retirará la orden inmediatamente y suprimirá cualquier dato obtenido o restringirá de otro modo su uso.

6.   Cada Estado miembro podrá designar una o varias autoridades centrales responsables de la transmisión administrativa de los EPOC y EPOC-PR, de las órdenes europeas de producción y de las órdenes europeas de conservación y de las notificaciones, así como de la recepción de datos y notificaciones, así como de la transmisión de otra correspondencia oficial relativa a dichos certificados u órdenes.

Artículo 5. Condiciones para la emisión de una orden europea de producción

1.   La autoridad emisora solo podrá emitir una orden europea de producción cuando se cumplan las condiciones establecidas en el presente artículo.

2.   La orden europea de producción será necesaria y proporcionada a efectos de los procesos a que se refiere el artículo 2, apartado 3, teniendo en cuenta los derechos de la persona sospechosa o acusada, y solo podrá emitirse si pudiese haberse emitido una orden similar en las mismas condiciones en un asunto nacional similar.

3.   Podrá emitirse una orden europea de producción para obtener datos de los abonados o para obtener datos solicitados con el único fin de identificar al usuario, tal como se define en el artículo 3, punto 10, para todas las infracciones penales y para fines de ejecución de una pena o de una medida de seguridad privativas de libertad de al menos cuatro meses, tras un proceso penal, impuestas por una resolución que no se haya dictado en rebeldía, en los casos en que la persona condenada haya huido de la justicia.

4.   Una orden europea de producción para obtener datos de tráfico, excepto para obtener datos solicitados con el único fin de identificar al usuario tal como se definen en el artículo 3, punto 10, del presente Reglamento, o para obtener datos de contenido solamente podrá ser emitida para:

 a) las infracciones penales punibles en el Estado emisor con una pena máxima privativa de libertad de al menos tres años, o

 b) las siguientes infracciones penales, siempre que hayan sido cometidas total o parcialmente por medio de un sistema de información:

  i) las definidas en los artículos 3 a 8 de la Directiva (UE) 2019/713 del Parlamento Europeo y del Consejo (32),

  ii) las definidas en los artículos 3 a 7 de la Directiva 2011/93/UE,

  iii) las definidas en los artículos 3 a 8 de la Directiva 2013/40/UE;

c) las infracciones penales definidas en los artículos 3 a 12 y 14 de la Directiva (UE) 2017/541;

d) la ejecución de una pena o de una medida de seguridad privativas de libertad de al menos cuatro meses a raíz de un proceso penal, impuestas por una resolución que no se haya dictado en rebeldía, en los casos en que la persona condenada haya huido de la justicia, por infracciones penales a que se refieren las letras a), b) y c) del presente apartado.

5.   Una orden europea de producción incluirá la información siguiente:

 a) la autoridad emisora y, cuando proceda, la autoridad validadora;

 b) el destinatario de la orden europea de producción a que se refiere el artículo 7;

 c) el usuario, excepto cuando la única finalidad de la orden sea identificar al usuario, o cualquier otro identificador único como el nombre de usuario, el identificador de inicio de sesión o el nombre de la cuenta a fin de determinar los datos solicitados;

 d) la categoría de los datos solicitados tal como se definen en el artículo 3, puntos 9 a 12;

 e) en su caso, el período de tiempo que cubren los datos cuya producción se solicita;

 f) las disposiciones de Derecho penal aplicables del Estado emisor;

 g) en casos urgentes tal como se definen en el artículo 3, punto 18, las razones debidamente justificadas de la urgencia;

 h) en los casos en que la orden europea de producción se dirija directamente al prestador de servicios que almacene o trate datos de otro modo en nombre del responsable del tratamiento, una confirmación de que se cumplen las condiciones establecidas en el apartado 6 del presente artículo;

 i) los motivos para determinar que la orden europea de producción cumple las condiciones de necesidad y proporcionalidad establecidas en el apartado 2;

 j) una descripción sucinta del caso.

6.   Las órdenes europeas de producción se dirigirán al prestador de servicios que actúe como responsable del tratamiento de conformidad con el Reglamento (UE) 2016/679.

Como excepción, una orden europea de producción podrá dirigirse directamente al prestador de servicios que almacene o trate de otro modo los datos en nombre del responsable del tratamiento, cuando:

 a) no se pueda identificar al responsable del tratamiento pese a esfuerzos razonables de la autoridad emisora, o

  b) dirigirse al responsable del tratamiento pueda perjudicar la investigación.

7.   De conformidad con el Reglamento (UE) 2016/679, el encargado del tratamiento que almacene o trate de otro modo los datos en nombre del responsable del tratamiento le informará de la entrega de los datos, a menos que la autoridad emisora haya solicitado al prestador de servicios que se abstenga de informar al responsable del tratamiento, durante el tiempo que sea necesario y proporcionado, a fin de no obstruir el proceso penal pertinente. En tal caso, la autoridad emisora indicará en el expediente las razones de la demora en informar al responsable del tratamiento. También se añadirá una breve justificación en el EPOC.

8.   Cuando los datos se almacenen o traten de otro modo como parte de una infraestructura proporcionada por un prestador de servicios a una autoridad pública, solo podrá emitirse una orden europea de producción cuando la autoridad pública para la que se almacenen o traten los datos se encuentre en el Estado emisor.

9.   En los casos en los que los datos protegidos por el secreto profesional en virtud del Derecho del Estado emisor sean almacenados o tratados de otro modo por un prestador de servicios como parte de una infraestructura proporcionada a profesionales amparados por el secreto profesional en su actividad empresarial, solo podrá emitirse una orden europea de producción para obtener datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el artículo 3, punto 10, o para obtener datos de contenido:

 a) cuando el profesional amparado por el secreto profesional resida en el Estado emisor;

 b) cuando dirigirse al profesional amparado por el secreto profesional pueda perjudicar la investigación, o

 c) cuando se haya renunciado a las prerrogativas de secreto profesional de conformidad con el Derecho aplicable.

10.   En caso de que la autoridad emisora tenga motivos para suponer que los datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el artículo 3, punto 10, o los datos de contenido solicitados mediante la orden europea de producción están protegidos por inmunidades o privilegios concedidos en virtud del Derecho del Estado de ejecución, o que dichos datos están sujetos en dicho Estado a normas sobre la determinación y limitación de la responsabilidad penal en relación con la libertad de prensa y la libertad de expresión en otros medios de comunicación, la autoridad emisora podrá pedir aclaraciones antes de emitir la orden europea de producción, también mediante consulta a las autoridades competentes del Estado de ejecución, bien directamente o bien a través de Eurojust o de la Red Judicial Europea.

La autoridad emisora no emitirá una orden europea de producción si considera que los datos de tráfico, excepto los solicitados con el único fin de identificar al usuario, tal como se definen en el artículo 3, punto 10, o los datos de contenido solicitados están protegidos por inmunidades o privilegios concedidos en virtud del Derecho del Estado de ejecución, o que esos datos están sujetos en dicho Estado a normas sobre determinación y limitación de la responsabilidad penal en relación con la libertad de prensa y la libertad de expresión en otros medios de comunicación.

Artículo 6. Condiciones para la emisión de una orden europea de conservación

1.   La autoridad emisora solo podrá emitir una orden europea de conservación cuando se cumplan las condiciones establecidas en el presente artículo. El artículo 5, apartado 8, se aplicará mutatis mutandis.

2.   Una orden europea de conservación será necesaria y proporcionada a efectos de impedir la retirada, supresión o alteración de datos con vistas a emitir una solicitud posterior de entrega de estos datos a través de la asistencia judicial mutua, una orden europea de investigación o una orden europea de producción, teniendo en cuenta los derechos de la persona sospechosa o acusada.

3.   Podrá emitirse una orden europea de conservación para todas las infracciones penales si pudiese haberse emitido en las mismas condiciones en un asunto nacional similar y para fines de ejecución de una pena o de una medida de seguridad privativas de libertad de al menos cuatro meses, tras un proceso penal, impuestas por una resolución que no se haya dictado en rebeldía, en los casos en que la persona condenada haya huido de la justicia.

4.   Una orden europea de conservación incluirá la información siguiente:

 a) la autoridad emisora y, cuando proceda, la autoridad validadora;

 b) el destinatario de la orden europea de conservación a que se refiere el artículo 7;

 c) el usuario, excepto cuando la única finalidad de la orden sea identificar al usuario, o cualquier otro identificador único como el nombre de usuario, el identificador de inicio de sesión o el nombre de la cuenta a fin de determinar los datos cuya conservación se solicita;

 d) la categoría de los datos solicitados tal como se definen en el artículo 3, puntos 9 a 12;

 e) en su caso, el período de tiempo que cubren los datos cuya conservación se solicita;

 f) las disposiciones de Derecho penal aplicables del Estado emisor;

 g) los motivos para determinar que la orden europea de conservación cumple las condiciones de necesidad y proporcionalidad establecidas en el apartado 2 del presente artículo.

Artículo 7

Destinatarios de órdenes europeas de producción y de órdenes europeas de conservación

1.   Las órdenes europeas de producción y las órdenes europeas de conservación se dirigirán directamente al establecimiento designado o a un representante legal del prestador de servicios afectado.

2.   Excepcionalmente, en los casos urgentes definidos en el artículo 3, punto 18, cuando el establecimiento designado o el representante legal de un prestador de servicios no reaccione ante un EPOC o un EPOC-PR en los plazos establecidos, dicho EPOC o EPOC-PR podrá dirigirse a cualquier otro establecimiento o representante legal del prestador de servicios en la Unión.

Artículo 8

Notificación de la autoridad de ejecución

1.   Cuando se emita una orden europea de producción para obtener datos de tráfico, excepto los datos solicitados con el único fin de identificar al usuario, tal como se definen en el artículo 3, punto 10, o para obtener datos de contenido, la autoridad emisora notificará a la autoridad de ejecución mediante la transmisión del EPOC a dicha autoridad al mismo tiempo que transmite el EPOC al destinatario de conformidad con el artículo 9, apartados 1 y 2.

2.   El apartado 1 no se aplicará si, en el momento de emitir la orden, la autoridad emisora tiene motivos razonables para suponer que:

 a) la infracción se ha cometido, se está cometiendo o es probable que se cometa en el Estado emisor, y

 b) la persona cuyos datos se solicitan reside en el Estado emisor.

3.   Cuando transmita el EPOC a que se refiere el apartado 1 del presente artículo a la autoridad de ejecución, la autoridad emisora incluirá, en su caso, cualquier información adicional que pueda ser necesaria para valorar la posibilidad de invocar un motivo de denegación de conformidad con el artículo 12.

4.   La notificación a la autoridad de ejecución a que se refiere el apartado 1 del presente artículo tendrá un efecto suspensivo sobre las obligaciones del destinatario establecidas en el artículo 10, apartado 2, excepto en los casos urgentes tal como se definen en el artículo 3, punto 18.

Artículo 9. Certificado de orden europea de producción (EPOC) y certificado de orden europea de conservación (EPOC-PR)

1.   La orden europea de producción o la orden europea de conservación se transmitirán al destinatario, tal como se define en el artículo 7, a través de un EPOC o de un EPOC-PR.

La autoridad emisora o, en su caso, la autoridad validadora completarán el EPOC establecido en el anexo I o el EPOC-PR establecido en el anexo II, lo firmarán y certificarán que su contenido es exacto y correcto.

2.   Un EPOC contendrá la información mencionada en el artículo 5, apartado 5, letras a) a h), incluida información suficiente que permita al destinatario identificar y ponerse en contacto con la autoridad emisora y con la autoridad de ejecución, cuando sea necesario.

Cuando se requiera una notificación a la autoridad de ejecución con arreglo al artículo 8, el EPOC transmitido a dicha autoridad contendrá la información enumerada en el artículo 5, apartado 5, letras a) a j).

3.   Un EPOC-PR contendrá la información mencionada en el artículo 6, apartado 4, letras a) a f), incluida información suficiente que permita al destinatario identificar y ponerse en contacto con la autoridad emisora.

4.   En caso necesario, el EPOC o el EPCO-PR se traducirán a una lengua oficial de la Unión aceptada por el destinatario tal como establece el artículo 4 de la Directiva 2023/1544. En caso de que el prestador de servicios no haya especificado ninguna lengua, se traducirán a una lengua oficial del Estado miembro en el que esté situado el establecimiento designado o el representante legal del prestador de servicios.

Cuando se requiera una notificación a la autoridad de ejecución con arreglo al artículo 8, el EPOC que se transmita a dicha autoridad se traducirá a una lengua oficial del Estado de ejecución o a otra lengua oficial de la Unión aceptada por dicho Estado.

Artículo 10. Ejecución del EPOC

1.   Una vez recibido un EPOC, el destinatario actuará con prontitud para conservar los datos solicitados.

2.   Cuando se requiera una notificación a la autoridad de ejecución con arreglo al artículo 8 y dicha autoridad no invoque ninguno de los motivos de denegación con arreglo al artículo 12 en los diez días siguientes a la recepción del EPOC, el destinatario velará por que los datos solicitados se transmitan directamente a la autoridad emisora o a las autoridades policiales o judiciales indicadas en el EPOC al final de ese plazo de diez días. Cuando la autoridad de ejecución, ya antes de que finalice dicho plazo de diez días, confirme a la autoridad emisora y al destinatario que no invocará ningún motivo de denegación, el destinatario actuará lo antes posible tras dicha confirmación y, a más tardar, al final de dicho plazo de diez días.

3.   Cuando no se requiera una notificación a la autoridad de ejecución con arreglo al artículo 8, una vez recibido un EPOC, el destinatario garantizará que los datos solicitados se transmitan directamente a la autoridad emisora o a las autoridades policiales y judiciales indicadas en el EPOC a más tardar en un plazo de diez días a partir de la recepción del EPOC.

4.   En casos urgentes, el destinatario transmitirá los datos solicitados sin demora indebida, a más tardar en un plazo de ocho horas tras la recepción del EPOC. Cuando se requiera una notificación a la autoridad de ejecución con arreglo al artículo 8, la autoridad de ejecución, si decide invocar un motivo de denegación de conformidad con el artículo 12, apartado 1, podrá notificar, sin demora y a más tardar en un plazo de 96 horas a partir de la recepción de la notificación, a la autoridad emisora y al destinatario que se opone al uso de los datos o que los datos solo pueden utilizarse en condiciones que especificará. Cuando la autoridad de ejecución invoque un motivo de denegación, si los datos ya han sido transmitidos por el destinatario a la autoridad emisora, la autoridad emisora suprimirá los datos o restringirá su uso de otro modo o, en caso de que la autoridad de ejecución haya especificado condiciones, la autoridad emisora cumplirá dichas condiciones al utilizar los datos.

5.   Cuando el destinatario considere, basándose únicamente en la información contenida en el EPOC, que la ejecución del EPOC podría interferir con las inmunidades o privilegios, o con las normas sobre determinación o limitación de la responsabilidad penal relacionadas con la libertad de prensa o la libertad de expresión en otros medios de comunicación, en virtud del Derecho del Estado de ejecución, informará a la autoridad emisora y a la autoridad de ejecución utilizando el formulario que figura en el anexo III.

Si no se ha efectuado una notificación a la autoridad de ejecución con arreglo al artículo 8, la autoridad emisora tendrá en cuenta la información a que se refiere el párrafo primero del presente apartado y decidirá, por propia iniciativa o a petición de la autoridad de ejecución, si retira, adapta o mantiene la orden europea de producción.

Si se efectuó una notificación a la autoridad de ejecución con arreglo al artículo 8, la autoridad emisora tendrá en cuenta la información a que se refiere el párrafo primero del presente apartado y decidirá si retira, adapta o mantiene la orden europea de producción. La autoridad de ejecución podrá decidir oponer los motivos de denegación establecidos en el artículo 12.

6.   Cuando no pueda cumplir su obligación de entregar los datos solicitados porque el EPOC esté incompleto, contenga errores manifiestos o no contenga información suficiente para ejecutarlo, el destinatario informará, sin demora indebida, a la autoridad emisora y, si se efectuó una notificación a la autoridad de ejecución con arreglo al artículo 8, a la autoridad de ejecución indicada en el EPOC y solicitará aclaraciones utilizando el formulario que figura en el anexo III. Al mismo tiempo, el destinatario informará a la autoridad emisora de si han sido posibles la identificación de los datos solicitados y su conservación, tal como se establece en el apartado 9 del presente artículo.

La autoridad emisora responderá con prontitud y a más tardar en un plazo de cinco días a partir de la recepción del formulario. El destinatario garantizará que está en condiciones de recibir las aclaraciones necesarias o cualquier corrección facilitada por la autoridad emisora para cumplir sus obligaciones contempladas en los apartados 1, 2, 3 y 4. Las obligaciones establecidas en los apartados 1, 2, 3 y 4 no se aplicarán hasta que la autoridad emisora o la autoridad de ejecución hayan facilitado tales aclaraciones o correcciones.

7.   Cuando el destinatario no pueda cumplir sus obligaciones de entregar los datos solicitados por una imposibilidad de hecho debida a circunstancias ajenas a su voluntad, el destinatario, sin demora indebida, informará a la autoridad emisora y, si se efectuó una notificación a la autoridad de ejecución con arreglo al artículo 8, a la autoridad de ejecución citada en el EPOC explicando los motivos de esa imposibilidad de hecho, mediante el formulario que figura en el anexo III. Cuando la autoridad emisora llegue a la conclusión de que existe tal imposibilidad de hecho, informará al destinatario y, en caso de que se haya efectuado una notificación a la autoridad de ejecución con arreglo al artículo 8, a la autoridad de ejecución, de que ya no es necesario ejecutar el EPOC.

8.   En todos los casos en que, por motivos distintos de los referidos en los apartados 5, 6 y 7 del presente artículo, el destinatario no facilite los datos solicitados, no facilite los datos solicitados de forma exhaustiva o no facilite los datos solicitados en el plazo establecido, el destinatario, sin demora indebida, y a más tardar en los plazos establecidos en los apartados 2, 3 y 4 del presente artículo, informará a la autoridad emisora y, cuando se haya efectuado una notificación a la autoridad de ejecución con arreglo al artículo 8, a la autoridad de ejecución a que se refiere el EPOC, de dichos motivos mediante el formulario que figura en el anexo III. La autoridad emisora examinará la orden europea de producción a la luz de la información facilitada por el destinatario y, en caso necesario, fijará un nuevo plazo para que el destinatario entregue los datos.

9.   Los datos se conservarán, en la medida de lo posible, hasta su entrega, independientemente de si la entrega se solicita en última instancia en virtud de una orden europea de producción con sus aclaraciones y del correspondiente EPOC o a través de otros canales, como la asistencia judicial mutua, o hasta que sea retirada la orden europea de producción.

Cuando la entrega y la conservación de los datos ya no sean necesarias, la autoridad emisora y, en su caso, la autoridad de ejecución con arreglo al artículo 16, apartado 8, informarán al destinatario sin demora indebida.

Artículo 11. Ejecución de un EPOC-PR

1.   Una vez recibido un EPOC-PR, el destinatario conservará, sin demora indebida, los datos solicitados. La obligación de conservar los datos cesará transcurridos 60 días, a menos que la autoridad emisora confirme, utilizando el formulario que figura en el anexo V, que se ha emitido una solicitud posterior de entrega. Durante ese período de 60 días, la autoridad emisora podrá, utilizando el formulario que figura en el anexo VI, prorrogar la duración de la obligación de conservar los datos por un período adicional de 30 días, cuando sea necesario para permitir la emisión de una solicitud posterior de entrega.

2.   Cuando, durante el período de conservación establecido en el apartado 1, la autoridad emisora confirme que se ha emitido una solicitud posterior de entrega, el destinatario conservará los datos durante el tiempo necesario para entregarlos una vez que la solicitud posterior de entrega haya sido recibida.

3.   Cuando la conservación ya no sea necesaria, la autoridad emisora informará a los destinatarios sin demora indebida y la obligación de conservación sobre la base de la orden europea de conservación correspondiente cesará de inmediato.

4.   Cuando el destinatario considere, basándose únicamente en la información contenida en el EPOC-PR, que la ejecución del EPOC-PR podría interferir con las inmunidades o privilegios, o con las normas sobre determinación o limitación de la responsabilidad penal relacionadas con la libertad de prensa o la libertad de expresión en otros medios de comunicación en virtud del Derecho del Estado de ejecución, informará a la autoridad emisora y a la autoridad de ejecución utilizando el formulario que figura en el anexo III.

La autoridad emisora tendrá en cuenta la información a que se refiere el párrafo primero y decidirá, por propia iniciativa o a petición de la autoridad de ejecución, si retira, adapta o mantiene la orden europea de conservación.

5.   Cuando no pueda cumplir su obligación de conservar los datos solicitados porque el EPOC-PR esté incompleto, contenga errores manifiestos o no contenga información suficiente para ejecutarlo, el destinatario informará, sin demora indebida, a la autoridad emisora indicada en el EPOC-PR y solicitará aclaraciones utilizando el formulario que figura en el anexo III.

La autoridad emisora responderá con prontitud y, a más tardar, en un plazo de cinco días a partir de la recepción del formulario. El destinatario garantizará que está en condiciones de recibir las aclaraciones necesarias o cualquier corrección facilitada por la autoridad emisora para cumplir sus obligaciones establecidas en los apartados 1, 2 y 3. A falta de reacción de la autoridad emisora en el plazo de cinco días, el prestador de servicios quedará eximido del cumplimiento de las obligaciones establecidas en los apartados 1 y 2.

6.   Cuando el destinatario no pueda cumplir sus obligaciones de conservar los datos solicitados por una imposibilidad de hecho debida a circunstancias ajenas a su voluntad, el destinatario, sin demora indebida, informará a la autoridad emisora indicada en el EPOC-PR explicando los motivos de esa imposibilidad de hecho, mediante el formulario que figura en el anexo III. Cuando la autoridad emisora llegue a la conclusión de que existe tal imposibilidad, informará al destinatario de que ya no es necesario ejecutar el EPOC-PR.

7.   En todos los casos en que, por motivos distintos de los referidos en los apartados 4, 5 y 6, no conserve los datos solicitados, el destinatario comunicará, sin demora indebida, a la autoridad emisora esos motivos, utilizando el formulario que figura en el anexo III. La autoridad emisora examinará la orden europea de conservación a la luz de la justificación proporcionada por el destinatario.

Artículo 12. Motivos para la denegación de una orden europea de producción

1.   Cuando la autoridad emisora haya notificado a la autoridad de ejecución con arreglo al artículo 8, y sin perjuicio de lo dispuesto en el artículo 1, apartado 3, la autoridad de ejecución examinará lo antes posible, y a más tardar en un plazo de diez días a partir de la recepción de la notificación, o, en casos urgentes, a más tardar en un plazo de 96 horas a partir de dicha recepción, la información indicada en la orden y, en su caso, opondrá uno o varios de los siguientes motivos de denegación:

 a) los datos solicitados están protegidos por inmunidades o privilegios concedidos en virtud del Derecho del Estado de ejecución que impidan la ejecución de la orden, o los datos solicitados están cubiertos por normas sobre la determinación o limitación de la responsabilidad penal relacionadas con la libertad de prensa o la libertad de expresión en otros medios de comunicación que impidan la ejecución de la orden;

 b) en situaciones excepcionales, existen motivos fundados para suponer, sobre la base de pruebas concretas y objetivas, que la ejecución de la orden conllevaría, en las circunstancias particulares del caso, una vulneración manifiesta de un derecho fundamental pertinente establecido en el artículo 6 del TUE y en la Carta;

 c) la ejecución de la orden sería contraria al principio non bis in idem;

 d) la conducta que dio origen a la emisión de la orden no es constitutiva de infracción penal con arreglo al Derecho del Estado de ejecución, y no está recogida en las categorías de delitos que figuran en el anexo IV, conforme a lo indicado por la autoridad emisora en el EPOC, si en el Estado emisor es punible con una pena o una medida de seguridad privativas de libertad de una duración máxima no inferior a tres años.

2.   Cuando la autoridad de ejecución invoque un motivo de denegación con arreglo al apartado 1, informará de ello al destinatario y a la autoridad emisora. El destinatario interrumpirá la ejecución de la orden europea de producción y no transferirá los datos, y la autoridad emisora retirará la orden.

3.   Antes de decidir oponer un motivo de denegación, la autoridad de ejecución notificada con arreglo al artículo 8 se pondrá en contacto con la autoridad emisora por cualquier medio adecuado, a fin de discutir sobre las medidas apropiadas que deban adoptarse. Sobre esta base, la autoridad emisora podrá decidir adaptar o retirar la orden europea de producción. Cuando, tras dicha discusión, no se alcance una solución, la autoridad de ejecución notificada con arreglo al artículo 8 podrá decidir invocar los motivos de denegación de la orden europea de producción e informar de ello a la autoridad emisora y al destinatario.

4.   Cuando la autoridad de ejecución decida invocar motivos de denegación con arreglo al apartado 1, podrá indicar si se opone a la transferencia de todos los datos solicitados en la orden europea de producción o si los datos solo pueden transferirse o utilizarse parcialmente en las condiciones especificadas por la autoridad de ejecución.

5.   Cuando la facultad para levantar la inmunidad o el privilegio mencionados en el apartado 1, letra a), del presente artículo competa a una autoridad del Estado de ejecución, la autoridad emisora podrá pedir a la autoridad de ejecución notificada con arreglo al artículo 8 que se ponga en contacto con esa autoridad del Estado de ejecución para solicitarle que ejerza esa competencia sin demora. Cuando la facultad para levantar la inmunidad o el privilegio competa a una autoridad de otro Estado miembro, a un tercer país o a una organización internacional, la autoridad emisora podrá solicitar a la autoridad de que se trate que ejerza dicha facultad.

Artículo 13. Información al usuario y confidencialidad

1.   La autoridad emisora informará sin demora indebida a la persona cuyos datos se solicitan de la entrega de los datos sobre la base de una orden europea de producción.

2.   La autoridad emisora podrá, de conformidad con el Derecho nacional del Estado emisor, demorar o restringir la información u omitir informar a la persona cuyos datos se solicitan, en la medida y mientras que se cumplan las condiciones del artículo 13, apartado 3, de la Directiva (UE) 2016/680, en cuyo caso la autoridad emisora indicará en el expediente los motivos de la demora, la restricción o la omisión. También se añadirá una breve justificación en el EPOC.

3.   Al informar a la persona cuyos datos se solicitan según se indica en el apartado 1 del presente artículo, la autoridad emisora incluirá información sobre las vías de recurso disponibles con arreglo al artículo 18.

4.   El destinatario y, en caso de ser diferente, el prestador de servicios adoptará las medidas operativas y técnicas más avanzadas necesarias para garantizar la confidencialidad, el secreto y la integridad del EPOC o del EPOC-PR y de los datos entregados o conservados.

Artículo 14. Reembolso de gastos

1.   Siempre que se contemple esa posibilidad en el Derecho nacional del Estado emisor con respecto a órdenes nacionales en situaciones similares, el prestador de servicios podrá reclamar el reembolso de sus gastos al Estado emisor de conformidad con el Derecho nacional de dicho Estado. Los Estados miembros informarán a la Comisión sobre sus normas nacionales en materia de reembolso y la Comisión las publicará.

2.   El presente artículo no se aplicará al reembolso de los costes del sistema informático descentralizado a que se refiere el artículo 25.

CAPÍTULO III. SANCIONES Y EJECUCIÓN

Artículo 15. Sanciones

1.   Sin perjuicio de lo dispuesto en los Derechos nacionales que prevean la imposición de sanciones penales, los Estados miembros establecerán el régimen de sanciones pecuniarias aplicables a cualquier infracción de los artículos 10 y 11 y el artículo 13, apartado 4, de conformidad con el artículo 16, apartado 10, y adoptarán todas las medidas necesarias para garantizar su ejecución. Las sanciones pecuniarias serán eficaces, proporcionadas y disuasorias. Los Estados miembros se asegurarán de que se puedan imponer sanciones pecuniarias de hasta el 2 % del total del volumen anual de negocios mundial del ejercicio precedente del prestador de servicios. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, sin demora, y le notificarán sin demora toda modificación posterior.

2.   Sin perjuicio de sus obligaciones en materia de protección de datos, los prestadores de servicios no serán considerados responsables en los Estados miembros por el perjuicio causado a sus usuarios o a terceros derivado exclusivamente del cumplimiento de buena fe de un EPOC o un EPOC-PR.

Artículo 16. Procedimiento de ejecución

1.   Cuando el destinatario no cumpla un EPOC en el plazo establecido o un EPOC-PR sin facilitar los motivos aceptados por la autoridad emisora y, en su caso, cuando la autoridad de ejecución no haya invocado ninguno de los motivos de denegación previstos en el artículo 12, la autoridad emisora podrá solicitar a la autoridad de ejecución que ejecute la orden europea de producción o la orden europea de conservación.

A efectos de la ejecución a que se refiere el párrafo primero, la autoridad emisora trasladará la orden de que se trate, el formulario que figura en el anexo III cumplimentado por el destinatario y cualquier documento pertinente de conformidad con el artículo 19. La autoridad emisora traducirá la orden de que se trate y cualquier documento que deba trasladarse a una de las lenguas aceptadas por el Estado de ejecución, e informará al destinatario del traslado.

2.   Una vez recibida la documentación, la autoridad de ejecución reconocerá sin más trámites, y tomará las medidas necesarias para la ejecución de:

 a) una orden europea de producción, salvo que la autoridad de ejecución considere que es aplicable alguno de los motivos previstos en el apartado 4, o

 b) una orden europea de conservación, salvo que la autoridad de ejecución considere que es aplicable alguno de los motivos previstos en el apartado 5.

La autoridad de ejecución adoptará la decisión de reconocimiento de la orden de que se trate sin demora indebida y, a más tardar, cinco días hábiles después de la recepción de dicha orden.

3.   La autoridad de ejecución requerirá formalmente al destinatario que cumpla sus obligaciones correspondientes e informará al destinatario de lo siguiente:

 a) la posibilidad de oponerse a la ejecución de la orden de que se trate alegando uno o varios de los motivos enumerados en el apartado 4, letras a) a f), o en el apartado 5, letras a) a e);

 b) las sanciones aplicables en caso de incumplimiento, y

 c) el plazo para dar cumplimiento o manifestar la oposición.

4.   Solo se podrá denegar la ejecución de la orden europea de producción por uno o varios de los motivos siguientes:

 a) la orden europea de producción no ha sido emitida o validada por una autoridad emisora con arreglo a lo dispuesto en el artículo 4;

 b) la orden europea de producción no ha sido emitida respecto de una infracción prevista en el artículo 5, apartado 4;

 c) el destinatario no pudo ejecutar el EPOC por una imposibilidad de hecho debida a circunstancias ajenas a su voluntad, o porque el EPOC contiene errores manifiestos;

 d) la orden europea de producción no se refiere a datos almacenados por el prestador de servicios, o en su nombre, en el momento de la recepción del EPOC;

 e) el servicio prestado por el destinatario no entra dentro del ámbito del presente Reglamento;

 f) los datos solicitados están protegidos por inmunidades o privilegios concedidos en virtud del Derecho del Estado de ejecución, o los datos solicitados están cubiertos por normas sobre la determinación o limitación de la responsabilidad penal relacionadas con la libertad de prensa o la libertad de expresión en otros medios de comunicación que impidan la ejecución de la orden europea de producción;

 g) en situaciones excepcionales, basándose únicamente en la información contenida en el EPOC, se desprende que existen motivos fundados para suponer, sobre la base de pruebas concretas y objetivas, que la ejecución de la orden europea de producción conllevaría, en las circunstancias particulares del caso, una vulneración manifiesta de un derecho fundamental pertinente establecido en el artículo 6 del TUE y en la Carta.

5.   Solo se podrá denegar la ejecución de la orden europea de conservación por uno o varios de los motivos siguientes:

 a) la orden europea de conservación no ha sido emitida o validada por una autoridad emisora con arreglo a lo dispuesto en el artículo 4;

 b) el destinatario no pudo ejecutar el EPOC-PR por una imposibilidad de hecho debida a circunstancias ajenas a su voluntad, o porque el EPOC-PR contiene errores manifiestos;

 c) la orden europea de conservación no se refiere a datos almacenados por el prestador de servicios, o en su nombre, en el momento de la recepción del EPOC-PR;

 d) el servicio no entra dentro del ámbito del presente Reglamento;

 e) los datos solicitados están protegidos por inmunidades o privilegios concedidos en virtud del Derecho del Estado de ejecución, o los datos solicitados están cubiertos por normas sobre la determinación o limitación de la responsabilidad penal relacionadas con la libertad de prensa o la libertad de expresión en otros medios de comunicación que impidan la ejecución de la orden europea de conservación;

 f) en situaciones excepcionales, basándose únicamente en la información contenida en el EPOC-PR, se desprende que existen motivos fundados para suponer, sobre la base de pruebas concretas y objetivas, que la ejecución de la orden europea de conservación conllevaría, en las circunstancias particulares del caso, una vulneración manifiesta de un derecho fundamental pertinente establecido en el artículo 6 del TUE y en la Carta.

6.   En caso de una objeción del destinatario mencionada en el apartado 3, letra a), la autoridad de ejecución decidirá si ejecuta o no la orden europea de producción o la orden europea de conservación sobre la base de cualquier información facilitada por el destinatario y, en su caso, de la información obtenida de la autoridad emisora de conformidad con el apartado 7.

7.   Antes de decidir no reconocer o no ejecutar la orden europea de producción o la orden europea de conservación con arreglo a lo dispuesto en los apartados 2 o 6, respectivamente, la autoridad de ejecución consultará a la autoridad emisora por cualquier medio que considere adecuado. En su caso, podrá solicitar información adicional a la autoridad emisora. La autoridad emisora responderá a tal solicitud en un plazo de cinco días hábiles.

8.   La autoridad de ejecución notificará inmediatamente todas sus decisiones a la autoridad emisora, así como al destinatario.

9.   En caso de que la autoridad de ejecución obtenga los datos solicitados mediante una orden europea de producción del destinatario, los transmitirá a la autoridad emisora sin demora indebida.

10.   Cuando el destinatario no cumpla las obligaciones que le incumben en virtud de una orden europea de producción o una orden europea de conservación reconocidas cuya ejecutoriedad haya sido confirmada por la autoridad de ejecución, dicha autoridad impondrá una sanción pecuniaria de conformidad con el artículo 15. Contra la decisión que impone la sanción pecuniaria se dispondrá de un recurso judicial efectivo.

CAPÍTULO IV. CONFLICTOS DE LEYES Y VÍAS DE RECURSO

Artículo 17. Procedimiento de reexamen en caso de obligaciones en conflicto

1.   Cuando un destinatario considere que la ejecución de la orden europea de producción entraría en conflicto con una obligación en virtud del Derecho aplicable de un tercer país, informará a la autoridad emisora y a la autoridad de ejecución de sus motivos para no ejecutar la orden europea de producción, de acuerdo con el procedimiento establecido en el artículo 10, apartados 8 y 9, utilizando el formulario que figura en el anexo III (en lo sucesivo, «objeción motivada»).

2.   La objeción motivada contendrá toda la información pertinente sobre el Derecho del tercer país, su aplicabilidad al caso concreto y la naturaleza de la obligación en conflicto. La objeción motivada no se basará en:

 a) la ausencia, en el Derecho aplicable del tercer país, de disposiciones similares relativas a las condiciones, formalidades y procedimientos de emisión de una orden de producción, o

 b) el mero hecho de que los datos se almacenen en un tercer país.

La objeción motivada se presentará a más tardar diez días después de la fecha en que el destinatario haya recibido el EPOC.

3.   La autoridad emisora examinará la orden europea de producción sobre la base de la objeción motivada y de toda contribución aportada por el Estado de ejecución. Cuando la autoridad emisora pretenda confirmar la orden europea de producción, solicitará un reexamen por el órgano jurisdiccional competente del Estado emisor. La ejecución de la orden europea de producción se suspenderá a la espera de que concluya el procedimiento de reexamen.

4.   El órgano jurisdiccional competente valorará en primer lugar si existe un conflicto de obligaciones, examinando si:

 a) es aplicable el Derecho del tercer país, según las circunstancias específicas del caso concreto, y

 b) el Derecho del tercer país, en caso de aplicarse según lo dispuesto en la letra a), prohíbe la revelación de los datos de que se trate cuando se aplique a las circunstancias específicas del caso concreto.

5.   Cuando el órgano jurisdiccional competente considere que no existe un conflicto de obligaciones en el sentido de los apartados 1 y 4, deberá confirmar la orden europea de producción.

6.   Cuando el órgano jurisdiccional competente compruebe, sobre la base del examen efectuado de conformidad con el apartado 4, letra b), que el Derecho de un tercer país prohíbe la revelación de los datos de que se trate, determinará si confirma o retira la orden europea de producción. Dicho examen se basará en particular en los siguientes elementos, aunque se dará mayor peso a los elementos mencionados en las letras a) y b):

 a) el interés protegido por el Derecho aplicable del tercer país, incluidos los derechos fundamentales y otros intereses fundamentales que impidan la revelación de los datos, en particular los intereses de seguridad nacional del tercer país;

 b) el grado de conexión entre la causa penal para la que se haya emitido la orden europea de producción y uno u otro de los dos territorios, resultante, entre otros:

  i) de la ubicación, la nacionalidad y el lugar de residencia de la persona cuyos datos se solicitan, o de la víctima o víctimas de la infracción de que se trate,

  ii) del lugar en el que se haya cometido la infracción de que se trate;

 c) el grado de conexión entre el prestador de servicios y el tercer país en cuestión; en este contexto, el lugar de almacenamiento de los datos por sí solo no será suficiente a los efectos de establecer un grado sustancial de conexión;

 d) los intereses del Estado investigador en la obtención de las pruebas en cuestión, en función de la gravedad de la infracción y la importancia de la obtención de pruebas con prontitud;

 e) las posibles consecuencias para el destinatario o para el prestador de servicios de cumplir la orden europea de producción, incluidas las posibles sanciones.

7.   El órgano jurisdiccional competente podrá solicitar información a la autoridad competente del tercer país teniendo en cuenta la Directiva (UE) 2016/680, en particular su capítulo V, y en la medida en que dicha solicitud no obstruya el proceso penal pertinente. En particular, el Estado emisor solicitará información a la autoridad competente del tercer país cuando el conflicto de obligaciones afecte a derechos fundamentales u otros intereses fundamentales del tercer país relacionados con la seguridad nacional y la defensa.

8.   En caso de que el órgano jurisdiccional competente decida anular la orden europea de producción, informará de ello a la autoridad emisora y al destinatario. En caso de que el órgano jurisdiccional competente determine que la orden europea de producción debe mantenerse, informará de ello a la autoridad emisora y al destinatario, y este procederá a ejecutar la orden europea de producción.

9.   A efectos de los procedimientos previstos en el presente artículo, los plazos se calcularán de conformidad con el Derecho nacional de la autoridad emisora.

10.   La autoridad emisora informará a la autoridad de ejecución del resultado del procedimiento de reexamen.

Artículo 18. Vías de recurso efectivas

1.   Sin perjuicio de otras vías de recurso posibles de conformidad con el Derecho nacional, toda persona cuyos datos hayan sido solicitados mediante una orden europea de producción tendrá derecho a vías de recurso efectivas contra dicha orden. Cuando dicha persona sea un sospechoso o acusado, esa persona tendrá derecho a vías de recurso efectivas durante el proceso penal en el que se estén utilizando los datos. El derecho a vías de recurso efectivas previsto en el presente apartado se entenderá sin perjuicio del derecho a la tutela judicial efectiva con arreglo al Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680.

2.   El derecho a vías de recurso efectivas se ejercerá ante un órgano jurisdiccional en el Estado emisor de conformidad con su Derecho nacional y deberá incluir la posibilidad de impugnar la legalidad, la necesidad y la proporcionalidad de la medida, sin perjuicio de las garantías de los derechos fundamentales en el Estado de ejecución.

3.   A los efectos del artículo 13, apartado 1, se facilitará información a su debido tiempo sobre las posibilidades de recurso previstas en el Derecho nacional y se garantizará su ejercicio efectivo.

4.   Los mismos plazos u otras condiciones para la interposición de recursos en asuntos nacionales similares se aplicarán a los efectos del presente Reglamento y de modo que se garantice que las personas afectadas puedan ejercer su derecho a esas vías de recurso de forma efectiva.

5.   Sin perjuicio de las normas procesales nacionales, el Estado emisor y cualquier otro Estado miembro al que se hayan transmitido pruebas electrónicas en virtud del presente Reglamento velarán por que se respeten los derechos de defensa y equidad del proceso al valorar las pruebas obtenidas a través de la orden europea de producción.

CAPÍTULO V. SISTEMA INFORMÁTICO DESCENTRALIZADO

Artículo 19. Comunicación digital e intercambio de datos seguros entre autoridades competentes y prestadores de servicios y entre autoridades competentes

1.   La comunicación escrita entre las autoridades competentes y los establecimientos designados o los representantes legales en virtud del presente Reglamento, incluido el intercambio de formularios previsto en el presente Reglamento y de los datos solicitados en virtud de una orden europea de producción o una orden europea de conservación, se llevará a cabo a través de un sistema informático descentralizado seguro y fiable (en lo sucesivo, «sistema informático descentralizado»).

2.   Cada Estado miembro velará por que los establecimientos designados o los representantes legales de los prestadores de servicios situados en dicho Estado miembro tengan acceso al sistema informático descentralizado a través de sus respectivos sistemas informáticos nacionales.

3.   Los prestadores de servicios velarán por que sus establecimientos designados o sus representantes legales puedan utilizar el sistema informático descentralizado a través del sistema informático nacional correspondiente para recibir los EPOC y los EPOC-PR, enviar los datos solicitados a la autoridad emisora y comunicarse de cualquier otro modo con la autoridad emisora y la autoridad de ejecución, tal como se establece en el presente Reglamento.

4.   La comunicación escrita entre las autoridades competentes en virtud del presente Reglamento, incluido el intercambio de formularios previsto en el presente Reglamento, y de los datos solicitados en el marco del procedimiento de ejecución previsto en el artículo 16, así como la comunicación escrita con los órganos u organismos competentes de la Unión, se llevarán a cabo a través del sistema informático descentralizado.

5.   Cuando la comunicación electrónica a través del sistema informático descentralizado de conformidad con los apartados 1 o 4 no sea posible debido, por ejemplo, a la interrupción del sistema informático descentralizado, a la naturaleza del material transmitido, a limitaciones técnicas como el tamaño de los datos, a restricciones jurídicas relativas a la admisibilidad como prueba de los datos solicitados o a requisitos forenses aplicables a los datos solicitados, o a circunstancias excepcionales, la transmisión se realizará por los medios alternativos más adecuados, teniendo en cuenta la necesidad de garantizar un intercambio de información que sea rápido, seguro y fiable, y permita al destinatario establecer su autenticidad.

6.   Cuando una transmisión se efectúe por medios alternativos con arreglo a lo dispuesto en el apartado 5, la persona que origine la transmisión registrará la transmisión, incluidos, en su caso, la fecha y hora de la transmisión, el remitente y el destinatario, el nombre del archivo y su tamaño, en el sistema informático descentralizado, sin demora indebida.

Artículo 20. Efectos jurídicos de los documentos electrónicos

No se denegarán los efectos jurídicos de los documentos transmitidos como parte de la comunicación electrónica ni se considerarán inadmisibles en el contexto de los procesos judiciales transfronterizos contemplados en el presente Reglamento por el mero hecho de estar en formato electrónico.

Artículo 21. Firmas y sellos electrónicos

1.   El marco jurídico general que rige la utilización de los servicios de confianza establecido en el Reglamento (UE) nº 910/2014 será de aplicación a las comunicaciones electrónicas en virtud del presente Reglamento.

2.   Cuando un documento transmitido como parte de la comunicación electrónica con arreglo al artículo 19, apartados 1 o 4, del presente Reglamento requiera un sello o una firma de conformidad con el presente Reglamento, el documento presentará un sello electrónico cualificado o una firma electrónica cualificada, tal como se definen en el Reglamento (UE) nº 910/2014.

Artículo 22. Programa informático de aplicación de referencia

1.   La Comisión se encargará de la creación, el mantenimiento y el desarrollo de un programa informático de aplicación de referencia que los Estados miembros podrán optar por utilizar como su sistema de fondo en lugar de un sistema informático nacional. La creación, el mantenimiento y el desarrollo del programa informático de aplicación de referencia se financiarán con cargo al presupuesto general de la Unión Europea.

2.   La Comisión proporcionará, mantendrá y prestará apoyo al programa informático de aplicación de referencia gratuitamente.

Artículo 23. Gastos del sistema informático descentralizado

1.   Cada Estado miembro correrá con los gastos de instalación, funcionamiento y mantenimiento de los puntos de acceso del sistema informático descentralizado que se encuentren bajo la responsabilidad de dicho Estado miembro.

2.   Cada Estado miembro correrá con los gastos de establecimiento de los sistemas informáticos nacionales pertinentes de modo que sean interoperables con los puntos de acceso, o de adaptación de los ya existentes para que lo sean, y correrá con los gastos de gestión, funcionamiento y mantenimiento de dichos sistemas.

3.   Los órganos y organismos de la Unión correrán con los gastos de instalación, funcionamiento y mantenimiento de los componentes del sistema informático descentralizado que se encuentren bajo su responsabilidad.

4.   Los órganos y organismos de la Unión correrán con los gastos de establecimiento y adaptación de sus sistemas de gestión de casos para hacerlos interoperables con los puntos de acceso, y correrán con los gastos de gestión, funcionamiento y mantenimiento de dichos sistemas.

5.   Los prestadores de servicios correrán con todos los gastos necesarios para integrarse con éxito o interactuar de otro modo con el sistema informático descentralizado.

Artículo 24. Período transitorio

Antes de que sea aplicable la obligación de llevar a cabo la comunicación escrita a través del sistema informático descentralizado a que se refiere el artículo 19 (en lo sucesivo, «período transitorio»), la comunicación escrita entre las autoridades competentes y los establecimientos designados o los representantes legales en virtud del presente Reglamento se realizará por los medios alternativos más adecuados, teniendo en cuenta la necesidad de garantizar un intercambio de información rápido, seguro y fiable. Cuando los prestadores de servicios, los Estados miembros o los órganos u organismos de la Unión hayan establecido plataformas especializadas u otros canales seguros para la tramitación de las solicitudes de datos por las autoridades policiales y judiciales, las autoridades emisoras también podrán optar por transmitir un EPOC o un EPOC-PR a través de dichos canales a los establecimientos designados o los representantes legales durante el período transitorio.

Artículo 25. Actos de ejecución

1.   La Comisión adoptará los actos de ejecución necesarios para el establecimiento y la utilización del sistema informático descentralizado para los fines del presente Reglamento por los que se determine lo siguiente:

 a) las especificaciones técnicas que definan los modos de comunicación por medios electrónicos a los efectos del sistema informático descentralizado;

 b) las especificaciones técnicas de los protocolos de comunicación;

 c) los objetivos en materia de seguridad de la información y las medidas técnicas pertinentes que garanticen las normas mínimas de seguridad de la información y un nivel elevado de ciberseguridad para el tratamiento y la comunicación de información dentro del sistema informático descentralizado;

 d) los objetivos mínimos de disponibilidad y los posibles requisitos técnicos conexos para los servicios prestados por el sistema informático descentralizado.

2.   Los actos de ejecución previstos en el apartado 1 del presente artículo se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 26.

3.   Los actos de ejecución a que se refiere el apartado 1 se adoptarán a más tardar el 18 de agosto de 2025.

Artículo 26. Procedimiento de comité

1.   La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) nº 182/2011.

2.   En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) nº 182/2011.

CAPÍTULO VI. DISPOSICIONES FINALES

Artículo 27. Lenguas

Cada Estado miembro podrá decidir en cualquier momento que aceptará traducciones de los EPOC y los EPOC-PR en una o varias lenguas oficiales de la Unión, además de en su lengua o lenguas oficiales, e indicará dicha decisión en una declaración por escrito presentada a la Comisión. La Comisión pondrá esas declaraciones a disposición de todos los Estados miembros y de la Red Judicial Europea.

Artículo 28. Seguimiento y presentación de informes

1.   A más tardar el 18 de agosto de 2026, la Comisión elaborará un programa detallado para el seguimiento de los resultados y las repercusiones del presente Reglamento. El programa establecerá las modalidades y la periodicidad de recopilación de los datos, y especificará las acciones que hayan de tomar la Comisión y los Estados miembros a la hora de recopilar y analizar los datos.

2.   En cualquier caso, a partir del 18 de agosto de 2026, los Estados miembros recogerán estadísticas exhaustivas facilitadas por las autoridades pertinentes y llevarán un registro de dichas estadísticas. Los datos recogidos para el año civil anterior se enviarán a la Comisión a más tardar el 31 de marzo de cada año, e incluirán:

 a) el número de EPOC y EPOC-PR emitidos, por tipo de datos solicitados, por destinatarios y por situación (desglose entre casos urgentes y no urgentes);

 b) el número de EPOC emitidos en virtud de excepciones en casos urgentes;

 c) el número de EPOC y EPOC-PR cumplidos e incumplidos, por tipo de datos solicitados, por destinatarios y por situación (desglose entre casos urgentes y no urgentes);

 d) el número de notificaciones a las autoridades de ejecución con arreglo al artículo 8 y el número de EPOC que hayan sido denegados por tipo de datos solicitados, por destinatarios, por situación (desglose entre casos urgentes y no urgentes) y por motivo de denegación invocado;

 e) para los EPOC cumplidos, el período de tiempo medio entre el momento en que se emitió el EPOC y el momento en que se obtuvieron los datos solicitados, por tipo de datos solicitados, por destinatarios y por situación (desglose entre casos urgentes y no urgentes);

 f) para los EPOC-PR cumplidos, el período de tiempo medio entre el momento en que se emitió el EPOC-PR y el momento en que se emitió la solicitud posterior de entrega, por tipo de datos solicitados y por destinatarios;

 g) el número de órdenes europeas de producción o de órdenes europeas de conservación transmitidas a un Estado de ejecución y recibidas para su ejecución, por tipo de datos solicitados, por destinatarios y por situación (desglose entre casos urgentes y no urgentes), y el número de dichas órdenes cumplidas;

 h) el número de recursos judiciales interpuestos contra las órdenes europeas de producción en el Estado emisor y en el Estado de ejecución por tipo de datos solicitados;

 i) el número de casos en los que no se concedió la validación ex post de conformidad con el artículo 4, apartado 5;

 j) una visión general de los gastos reclamados por los prestadores de servicios en relación con la ejecución de EPOC o EPOC-PR y los gastos reembolsados por las autoridades emisoras.

3.   A partir del 18 de agosto de 2026, en el caso de los intercambios de datos realizados a través del sistema informático descentralizado con arreglo al artículo 19, apartado 1, las estadísticas a que se refiere el apartado 2 del presente artículo podrán ser recogidas programáticamente por los portales nacionales. Los programas informáticos de aplicación de referencia a que se refiere el artículo 22 estarán técnicamente equipados para proporcionar dicha funcionalidad.

4.   Los prestadores de servicios podrán recoger, llevar un registro y publicar estadísticas de conformidad con los principios vigentes en materia de protección de datos. En caso de que se recojan estadísticas de este tipo para el año civil anterior, podrán enviarse a la Comisión a más tardar el 31 de marzo e incluir, en la medida de lo posible:

 a) el número de EPOC y EPOC-PR recibidos, por tipo de datos solicitados, por Estado emisor y por situación (desglose entre casos urgentes y no urgentes);

 b) el número de EPOC y EPOC-PR cumplidos e incumplidos, por tipo de datos solicitados, por Estado emisor y por situación (desglose entre casos urgentes y no urgentes);

 c) para los EPOC cumplidos, el período de tiempo medio necesario para facilitar los datos solicitados desde el momento en que se recibió el EPOC hasta el momento en que se facilitaron los datos, por tipo de datos solicitados, por Estado emisor y por situación (desglose entre casos urgentes y no urgentes);

 d) para los EPOC-PR cumplidos, el período de tiempo medio entre el momento en que se emitió el EPOC-PR y el momento en que se emitió la solicitud posterior de entrega, por tipo de datos solicitados y por Estado emisor.

5.   A partir del 18 de agosto de 2027, la Comisión publicará, a más tardar el 30 de junio de cada año, un informe que incluya la información mencionada en los apartados 2 y 3, en forma compilada y subdividida por Estados miembros y tipo de prestador de servicios.

Artículo 29. Modificaciones de los certificados y formularios

La Comisión adoptará actos delegados de conformidad con el artículo 30 a fin de modificar los anexos I, II, III, V y VI con objeto de abordar de forma efectiva la posible necesidad de mejoras en lo que concierne al contenido de los formularios de EPOC y de EPOC-PR y de los formularios que deben utilizarse para facilitar información sobre la imposibilidad de ejecutar un EPOC o un EPOC-PR, para confirmar la emisión de una solicitud de entrega a raíz de una orden europea de conservación y para prorrogar la conservación de pruebas electrónicas.

Artículo 30. Ejercicio de la delegación

1.   Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2.   Los poderes para adoptar actos delegados mencionados en el artículo 29 se otorgan a la Comisión por un período de tiempo indefinido a partir del 18 de agosto de 2026.

3.   La delegación de poderes mencionada en el artículo 29 podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4.   Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5.   Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6.   Los actos delegados adoptados en virtud del artículo 29 entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 31. Notificaciones a la Comisión

1.   A más tardar el 18 de agosto de 2025, cada Estado miembro notificará a la Comisión:

 a) la autoridad o autoridades que, con arreglo a su Derecho nacional, son competentes de conformidad con el artículo 4 para emitir, validar o transmitir órdenes europeas de producción y órdenes europeas de conservación o sus notificaciones;

 b) la autoridad o autoridades que son competentes para recibir notificaciones con arreglo al artículo 8 y para ejecutar órdenes europeas de producción y órdenes europeas de conservación en nombre de otro Estado miembro, de conformidad con el artículo 16;

 c) la autoridad o autoridades que son competentes para pronunciarse sobre las objeciones motivadas de los destinatarios de conformidad con el artículo 17;

 d) las lenguas aceptadas para la notificación y la transmisión de un EPOC, de un EPOC-PR, de la orden europea de producción o de la orden europea de conservación en caso de ejecución, de conformidad con el artículo 27.

2.   La Comisión pondrá la información recibida en virtud del presente artículo a disposición del público, bien en un sitio web específico o en el sitio web de la Red Judicial Europea en asuntos penales mencionado en el artículo 9 de la Decisión 2008/976/JAI del Consejo (33).

Artículo 32. Relación con otros instrumentos jurídicos, acuerdos y pactos

1.   El presente Reglamento no afecta a otros instrumentos jurídicos, acuerdos y pactos de la Unión e internacionales relativos a la obtención de pruebas que entre en el ámbito de aplicación del presente Reglamento.

2.   Los Estados miembros notificarán a la Comisión a más tardar el 18 de agosto de 2026, los instrumentos, acuerdos y pactos existentes a que se refiere el apartado 1 que vayan a seguir aplicando. Los Estados miembros notificarán asimismo a la Comisión, en el plazo de tres meses a partir de su firma, cualquier nuevo acuerdo o pacto contemplado en el apartado 1.

Artículo 33. Evaluación

A más tardar el 18 de agosto de 2029, la Comisión evaluará el presente Reglamento. La Comisión transmitirá un informe de evaluación al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea. Ese informe de evaluación incluirá una evaluación de la aplicación del presente Reglamento y de los resultados obtenidos en relación con sus objetivos, así como una evaluación del impacto del presente Reglamento en los derechos fundamentales. La evaluación se efectuará de conformidad con las directrices de la Comisión para la mejora de la legislación. Los Estados miembros facilitarán a la Comisión la información necesaria para la preparación del informe de evaluación.

Artículo 34. Entrada en vigor y aplicación

1.   El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2.   Será aplicable a partir del 18 de agosto de 2026.

No obstante, la obligación de las autoridades competentes y los prestadores de servicios de utilizar el sistema informático descentralizado establecido en el artículo 19 para la comunicación escrita en virtud del presente Reglamento se aplicará a partir de un año después de la adopción de los actos de ejecución a que se refiere el artículo 25.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro de conformidad con los Tratados.

Hecho en Estrasburgo, el 12 de julio de 2023.

Por el Parlamento Europeo, La Presidenta, R. METSOLA

Por el Consejo, El Presidente, P. NAVARRO RÍOS

(1)  DO C 367 de 10.10.2018, p. 88.

(2)  Posición del Parlamento Europeo de 13 de junio de 2023 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 27 de junio de 2023.

(3)  DO C 346 de 27.9.2018, p. 29.

(4)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(5)  Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).

(6)  Directiva 2014/41/UE del Parlamento Europeo y del Consejo, de 3 de abril de 2014, relativa a la orden europea de investigación en materia penal (DO L 130 de 1.5.2014, p. 1).

(7)  Convenio celebrado por el Consejo, de conformidad con el artículo 34 del Tratado de la Unión Europea, relativo a la asistencia judicial en materia penal entre los Estados miembros de la Unión Europea (DO C 197 de 12.7.2000, p. 3).

(8)  Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).

(9)  Directiva 2010/64/UE del Parlamento Europeo y del Consejo, de 20 de octubre de 2010, relativa al derecho a interpretación y a traducción en los procesos penales (DO L 280 de 26.10.2010, p. 1).

(10)  Directiva 2012/13/UE del Parlamento Europeo y del Consejo, de 22 de mayo de 2012, relativa al derecho a la información en los procesos penales (DO L 142 de 1.6.2012, p. 1).

(11)  Directiva 2013/48/UE del Parlamento Europeo y del Consejo, de 22 de octubre de 2013, sobre el derecho a la asistencia de letrado en los procesos penales y en los procedimientos relativos a la orden de detención europea, y sobre el derecho a que se informe a un tercero en el momento de la privación de libertad y a comunicarse con terceros y con autoridades consulares durante la privación de libertad (DO L 294 de 6.11.2013, p. 1).

(12)  Directiva (UE) 2016/343 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, por la que se refuerzan en el proceso penal determinados aspectos de la presunción de inocencia y el derecho a estar presente en el juicio (DO L 65 de 11.3.2016, p. 1).

(13)  Directiva (UE) 2016/800 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativa a las garantías procesales de los menores sospechosos o acusados en los procesos penales (DO L 132 de 21.5.2016, p. 1).

(14)  Directiva (UE) 2016/1919 del Parlamento Europeo y del Consejo, de 26 de octubre de 2016, relativa a la asistencia jurídica gratuita a los sospechosos y acusados en los procesos penales y a las personas buscadas en virtud de un procedimiento de orden europea de detención (DO L 297 de 4.11.2016, p. 1).

(15)  Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, por la que se establece el Código Europeo de las Comunicaciones Electrónicas (DO L 321 de 17.12.2018, p. 36).

(16)  Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo, de 9 de septiembre de 2015, por la que se establece un procedimiento de información en materia de reglamentaciones técnicas y de reglas relativas a los servicios de la sociedad de la información (DO L 241 de 17.9.2015, p. 1).

(17)  Reglamento (UE) nº 1215/2012 del Parlamento Europeo y del Consejo, de 12 de diciembre de 2012, relativo a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil (DO L 351 de 20.12.2012, p. 1).

(18)  Reglamento (UE) 2018/302 del Parlamento Europeo y del Consejo, de 28 de febrero de 2018, sobre medidas destinadas a impedir el bloqueo geográfico injustificado y otras formas de discriminación por razón de la nacionalidad, del lugar de residencia o del lugar de establecimiento de los clientes en el mercado interior y por el que se modifican los Reglamentos (CE) nº 2006/2004 y (UE) 2017/2394 y la Directiva 2009/22/CE (DO L 60 I de 2.3.2018, p. 1).

(19)  Directiva 2008/114/CE del Consejo, de 8 de diciembre de 2008, sobre la identificación y designación de infraestructuras críticas europeas y la evaluación de la necesidad de mejorar su protección (DO L 345 de 23.12.2008, p. 75).

(20)  Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo, de 15 de marzo de 2017, relativa a la lucha contra el terrorismo y por la que se sustituye la Decisión marco 2002/475/JAI del Consejo y se modifica la Decisión 2005/671/JAI del Consejo (DO L 88 de 31.3.2017, p. 6).

(21)  Directiva 2011/93/UE del Parlamento Europeo y del Consejo, de 13 de diciembre de 2011, relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores y la pornografía infantil y por la que se sustituye la Decisión marco 2004/68/JAI del Consejo (DO L 335 de 17.12.2011, p. 1).

(22)  Decisión Marco 2009/948/JAI del Consejo, de 30 de noviembre de 2009, sobre la prevención y resolución de conflictos de ejercicio de jurisdicción en los procesos penales (DO L 328 de 15.12.2009, p. 42).

(23)  Directiva (UE) 2023/1544 del Parlamento Europeo y del Consejo, de 12 de julio de 2023, por la que se establecen normas armonizadas para la designación de establecimientos designados y de representantes legales a efectos de recabar pruebas electrónicas en los procesos penales

(24)  Reglamento (UE) 2022/850 del Parlamento Europeo y del Consejo, de 30 de mayo de 2022, relativo a un sistema informatizado para el intercambio electrónico transfronterizo de datos en el ámbito de la cooperación judicial en materia civil y penal (sistema e-CODEX), y por el que se modifica el Reglamento (UE) 2018/1726 (DO L 150 de 1.6.2022, p. 1).

(25)  Reglamento (UE) nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (DO L 257 de 28.8.2014, p. 73).

(26)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) nº 45/2001 y la Decisión nº 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(27)  Reglamento (UE) nº 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

(28)  DO L 123 de 12.5.2016, p. 1.

(29)  DO C 32 de 31.1.2020, p. 11.

(30)  Directiva 2006/123/CE del Parlamento Europeo y del Consejo, de 12 de diciembre de 2006, relativa a los servicios en el mercado interior (DO L 376 de 27.12.2006, p. 36).

(31)  Directiva 2013/40/UE del Parlamento Europeo y del Consejo, de 12 de agosto de 2013, relativa a los ataques contra los sistemas de información y por la que se sustituye la Decisión Marco 2005/222/JAI del Consejo (DO L 218 de 14.8.2013, p. 8).

(32)  Directiva (UE) 2019/713 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre la lucha contra el fraude y la falsificación de medios de pago distintos del efectivo y por la que se sustituye la Decisión Marco 2001/413/JAI del Consejo (DO L 123 de 10.5.2019, p. 18).

(33)  Decisión 2008/976/JAI del Consejo, de 16 de diciembre de 2008, sobre la Red Judicial Europea (DO L 348 de 24.12.2008, p. 130).

ANEXO I. CERTIFICADO DE ORDEN EUROPEA DE PRODUCCIÓN (EPOC) PARA LA ENTREGA DE PRUEBAS ELECTRÓNICAS

ANEXO II, CERTIFICADO DE ORDEN EUROPEA DE CONSERVACIÓN (EPOC-PR) PARA LA CONSERVACIÓN DE PRUEBAS ELECTRÓNICAS

ANEXO III. INFORMACIÓN SOBRE LA IMPOSIBILIDAD DE EJECUTAR UN EPOC / EPOC-PR

En virtud del Reglamento (UE) 2023/1543 del Parlamento Europeo y del Consejo (1), en caso de que el destinatario no pueda cumplir su obligación de conservar los datos solicitados, de conformidad con un EPOC-PR o de entregarlos, de conformidad con un EPOC, no pueda respetar el plazo especificado o no facilite los datos de forma exhaustiva, dicho destinatario deberá cumplimentar este formulario y devolverlo a la autoridad emisora, así como, si se ha efectuado una notificación y en otros casos cuando proceda, a la autoridad de ejecución a que se refiere el EPOC, sin demora indebida.

Cuando sea posible, el destinatario conservará los datos solicitados incluso cuando sea necesaria información adicional para identificarlos con precisión, a menos que la información contenida en el EPOC / EPOC-PR sea insuficiente a tal efecto. En caso de necesitar aclaraciones de la autoridad emisora, el destinatario las solicitará sin demora indebida por medio del presente formulario.

ANEXO IV. CATEGORÍAS DE DELITOS CONTEMPLADOS EN EL ARTÍCULO 12, APARTADO 1, LETRA D)

ANEXO V. CONFIRMACIÓN DE LA EMISIÓN DE UNA SOLICITUD DE ENTREGA A RAÍZ DE UNA ORDEN EUROPEA DE CONSERVACIÓN

En virtud del Reglamento (UE) 2023/1543 del Parlamento Europeo y del Consejo (1), una vez recibido el certificado de orden europea de conservación (EPOC-PR), el destinatario debe, sin demora indebida, conservar los datos solicitados. La conservación debe cesar transcurridos sesenta días, a menos que la autoridad emisora la amplíe por treinta días más o confirme que se ha emitido una solicitud posterior de entrega, utilizando para ello el formulario que figura en el presente anexo.

Tras la confirmación, el destinatario deberá conservar los datos durante el tiempo que sea necesario para entregarlos una vez se haya recibido la solicitud posterior de entrega.

ANEXO VI. AMPLIACIÓN DE LA CONSERVACIÓN DE PRUEBAS ELECTRÓNICAS

En virtud del Reglamento (UE) 2023/1543 del Parlamento Europeo y del Consejo (1), una vez recibido el presente certificado de orden europea de conservación (EPOC-PR), el destinatario debe, sin demora indebida, conservar los datos solicitados. La conservación debe cesar transcurridos sesenta días, a menos que la autoridad emisora confirme que se ha emitido la solicitud posterior de entrega. Durante estos sesenta días, la autoridad emisora debe poder ampliar el período de conservación por treinta días más, cuando sea necesario, para permitir la emisión de la solicitud posterior de entrega, utilizando el formulario que figura en el presente anexo.