Minori sui social: in Italia serve già il consenso dei genitori

L’argomento “minori e social network” è sempre più al centro del dibattito a tutti i livelli. Arriva una pioggia di proposte di legge in Italia, dopo le mega cause americane. Se ne discute nelle Istituzioni Europee, che tentano di arginare le grandi piattaforme e la raccolta che esse fanno dei dati dei minori, come pure la progettazione “addictive” delle interfacce, costruita sulle vulnerabilità e le aspettative degli utenti più giovani.

Ma se dicessimo che, in effetti, in Italia,un minore di diciotto anni per potersi iscrivere ad un social network necessita dell’autorizzazione di chi esercita la responsabilità genitoriale, certo si reagirebbe nella migliore delle ipotesi con scetticismo e, molto spesso, con incredulità.

Eppure le cose stanno così, in Italia. Basta analizzare le leggi. Come si può inquadrare infatti la “sottoscrizione” di un contratto di adesione ad un social network?

Davvero i minori di anni 18 possono stare su una piattaforma social?

I fatti. La disciplina civilistica italiana prevede che per assumere obblighi o esercitare diritti (quindi, tipicamente, per essere parte di un contratto) si debba aver raggiunto la maggiore età. In senso tecnico, si parla di “capacità di agire”. Ora, non si accede a un social network senza sottoscrivere un contratto, tale essendo l’adesione ai termini e condizioni di servizio. E, per la verità, molto spesso si tratta di termini e condizioni la cui lettura e la cui comprensione delle implicazioni appare assai complessa anche per un adulto.

Ovviamente, ci sono delle deroghe all’età fissata per la capacità d’agire. Prescindendo da quelle in materia di prestazioni lavorative, la legge può ben stabilire un’età diversa dal compimento del diciottesimo anno.

Resta fermo che, secondo parte della dottrina, il minore può effettivamente concludere in autonomia contratti necessari a soddisfare le esigenze della vita quotidiana e comunque di modico valore.

Orbene, senza dubbio i dati personali hanno un valore economico, che, nell’economia attuale, riesce assai arduo definire modico. Essi hanno anche un valore reputazionale pro-futuro (quella foto da sbronzi in mutande alla festa della scuola, che potrebbe frustrare future aspirazioni professionali) ed hanno un valore inferenziale: sono materia prima per altri dati estratti con strumenti di intelligenza artificiale. Non solo, i dati hanno valore identificativo: ci sono società come Clearview AI già sanzionate dal Garante per la protezione dei dati personali che dalle foto sui profili social riescono, a certe condizioni, a estrarre modelli biometrici. Gli stessi possono essere usati per deepfake, spesso a enorme impatto emozionale, si pensi ai nudifier. E potrebbero presentarsi molti altri esempi del valore intrinseco, di quello strategico, delle conseguenze collegate a trattamenti massivi su piattaforme sociali.

Insomma, aderire a un social network sembra un gioco. Non lo è.

E allora appare davvero così estremo considerare invalidi i contratti sottoscritti da infra-diciottenni? Forse no.

Minori e social network nella disciplina europea

A livello europeo la normativa che si occupa in modo più specifico e verticale dell’accesso dei minori ai servizi della società dell’informazione è il GDPR con il suo art. 8.

Disclaimer: per una definizione di “società dell’informazione”, si può far riferimento alla direttiva UE 2015/1535 che la individua come “qualsiasi servizio prestato normalmente dietro retribuzione, a distanza, per via elettronica”.

Il nodo della base giuridica

L’art. 8 del GDPR, però, si applica nella sola ipotesi in cui la base giuridica è il consenso al trattamento dei dati personali, ex art. 6.1.a). Ma abbiamo appena detto che la condizione per fruire di un social network, quantomeno del suo servizio minimo, “base”, è sottoscrivere un contratto.

Ne deriva che la fruizione “base” della piattaforma social sta fuori dal perimetro dell’art. 8 GDPR e si regge semmai sulla base giuridica “contratto”, prevista sempre nel GDPR, ma all’art. 6.1.b).

L’art. 8 torna invece utile per tutte quelle possibilità di utilizzo dei dati personali dei minori che vanno al di là di quanto strettamente necessario all’iscrizione alla piattaforma. Molte di queste attività peraltro non sono consentite rispetto ai minori, nella misura in cui costituiscano profilazione a finalità di marketing degli stessi, stante il divieto introdotto dall’art. 28.2 del Digital Services Act (DSA).

Incidentalmente, per i trattamenti aggiuntivi, il ricorso alla base giuridica costituita dal legittimo interesse dei fornitori di social network, sempre molto dubbia, incontra una espressa impraticabilità, proprio per i minori, alla lett. f) dell’art. 6.1 GDPR, per cui occorre procedere sulla base del consenso “privacy” a determinate condizioni poste dall’art. 8 GDPR.

Nello specifico, l’art. 8 del GDPR stabilisce che questi consensi privacy possono essere prestati in autonomia, senza cioè sostituzione genitoriale, solo da chi abbia compiuto almeno 16 anni, pur lasciando ai Paesi Membri la libertà di abbassare tale soglia sino all’età di 13 anni.

L’Italia, ad esempio, ha scelto di fissarla a 14 anni.

Ci troviamo tuttavia dinanzi a un paradosso: per iscriversi alla piattaforma social occorrono diciotto anni, mentre per attivare i trattamenti spesso più invasivi ne bastano quattordici. Il diritto è razionalità, quindi qualcosa non funziona.

Di più: il paradosso si tradurrebbe in una tacita abrogazione, per l’Italia, dell’art. 8 GDPR. Infatti, se i servizi “base” (e quelli basati su termini e condizioni sono molti) richiedono la maggiore età, mentre i trattamenti “aggiuntivi” presuppongono la fruizione “base”, tali trattamenti aggiuntivi riguarderanno sempre e comunque maggiorenni. Come uscirne?

Minori e social network tra consenso e contratto

A ben guardare, quelle che per il privacyista sono due basi giuridiche distinte, ossia:

• consenso al trattamento dei dati personali; e
• consenso a un contratto che implica necessariamente per la sua esecuzione il trattamento di dati personali (così è per la fruizione del servizio “base” social network)

per il civilista sono, ontologicamente, manifestazioni di volontà e, per la precisione, manifestazioni della medesima volontà. Non esistono due volontà, la volontà è sempre una ed è sempre riferibile alla stessa persona. A essere diversi sono gli oggetti su cui la volontà cade: trattamento di dati personali nel primo caso, assetti negoziali nel secondo.

Ma, se la volontà del minore venisse ritenuta dal legislatore valida per acconsentire ai c.d. trattamenti “aggiuntivi”, si dovrebbe ritenere – con ragionamento, crediamo, lineare – lo stesso quando quella medesima volontà riguarda la fruizione, contrattuale, del servizio social “base”, sovente peraltro assai meno invasivo dei trattamenti “aggiuntivi”.

Troveremmo cioè nell’art. 8 GDPR, e nella normativa nazionale italiana di adeguamento o comunque derivata, la fonte che permette di derogare, con abbassamento ai quattordici anni, al generale limite contrattuale dei diciotto fissato alla capacità d’agire nel codice civile.

È un ragionamento seducente, ma talmente ricco di insidie da apparire assai difficilmente percorribile. Ritenere annidata nella base a) (consenso al trattamento) anche la base b) (consenso contrattuale) porrebbe non solo conseguenze tutte attentamente da verificare sull’art. 9 GDPR, ma sull’intero Regolamento. Gli ostacoli sono infatti evidenti: è palese che nel GDPR il legislatore europeo ha voluto distinguere le due basi giuridiche, rendendo peraltro la manifestazione di volontà consistente nel consenso al trattamento sempre revocabile e, comunque, sempre liberamente prestata senza condizionamento alcuno. Inoltre, il consenso al trattamento di dati personali deve essere sempre presentato in maniera distinta rispetto al contesto contrattuale, qualora richiesto per determinati trattamenti, non potendo ritenersi assorbito nell’accettazione di un contratto.

Invero, poi, è lo stesso paragrafo terzo dell’art. 8 GDPR a fare salva la normativa civilistica in materia di capacità d’agire, quando afferma che la sua applicazione “non pregiudica le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l’efficacia di un contratto rispetto a un minore”. E questo inciso spegne sul nascere il sopra descritto “seducente ragionamento” che tenta di giungere alla possibilità, per l’art. 8 del GDPR, di derogare all’art. 2 del Codice civile (che disciplina, appunto, la capacità di agire fissandola alla maggiore età). Medesime considerazioni si applicano alla normativa nazionale costruita sul Regolamento europeo sui dati personali, ossia l’art. 2-quinquies del codice privacy e l’art. 4, ultimo comma della legge 132/2025 in materia di intelligenza artificiale.

In definitiva, il paradosso rimane intatto.

La soglia dei 13 anni per i social

Per farla breve, e non è questa la sede per vertiginosi approfondimenti, non siamo ancora usciti con una soluzione praticabile dal paradosso appena citato, che già entriamo in una nuova impasse.

A ben vedere, infatti, quantomeno per ciò che riguarda il perimetro dei principali social network, la situazione di regola praticata dai grandi fornitori internazionali è una età minima di iscrizione fissata a 13 anni, in conformità con un sistema giuridico altrui, quello statunitense, cfr. Children’s Online Privacy Protection Act del 1998 (COPPA). Vero che permangono per i tredicenni determinate restrizioni per gli account, che si abbassano man mano che la fascia di età si avvicina ai 18 anni, ma resta un conflitto irrisolto sia con la normativa civilistica italiana sia con il Regolamento europeo sui dati personali.

La situazione, quindi, a livello legale, è la seguente:

I punti fermi del quadro normativo

È chiaro quale sia l’età minima (16 anni a livello europeo salvo deroghe che non possono individuare una età inferiore a 13 anni) per acconsentire in autonomia, cioè senza intervento genitoriale, a taluni trattamenti “aggiuntivi” rispetto al servizio “base” sui social media.

È chiaro che occorre la capacità d’agire e quindi 18 anni per iscriversi ad una piattaforma web quando ci si trova a dover accettare i termini di servizio e, pertanto, oggettivamente, a sottoscrivere un contratto.

Ora, esiste un oggettivo interesse a chiarire i presupposti di liceità del trattamento dei dati personali dei minori, non solo per evidenti ragioni di certezza giuridica, ma anche per considerazioni concrete, molto pratiche. Tale chiarimento appare tuttavia al momento irrisolto, ma non prescindibile. La vera domanda, infatti, quella che richiede una risposta concreta, resta la seguente.

Fruire di un social network può arrecare pregiudizio agli interessi di un minore?

Abbiamo in realtà già fornito una prima risposta in apertura. Possiamo aggiungere ulteriori considerazioni, senza nulla togliere agli aspetti positivi, soprattutto relazionali, della fruizione delle piattaforme sociali.

Gli effetti negativi che i social network hanno sui minori sono al centro di moltissimi approfondimenti, confronti e studi più o meno scientifici.

Da ultimo, una investigazione preliminare della Commissione Europea ha riconosciuto la violazione, da parte di un noto social network largamente diffuso tra i giovanissimi, TikTok, del Digital Service Act a causa del design della sua interfaccia che, a parere della Commissione, risulta dannosa per la salute fisica e mentale dei suoi utenti, con particolare riferimento ai minori ed agli adulti vulnerabili. Essa, infatti, appare studiata per indurre dipendenza, dunque va ritenuta in contrasto sia con l’art. 25 GDPR sia con l’art. 25 Digital Services Act – DSA.

In particolare, il secondo (art. 25 del DSA) prevede (tra le altre cose) che fornitori di piattaforme online non possano progettare, organizzare o gestire le loro interfacce online in modo tale da ingannare o manipolare i destinatari dei loro servizi o da materialmente falsare o compromettere altrimenti la capacità dei destinatari dei loro servizi di prendere decisioni libere e informate.

L’attitudine a indurre dipendenza è stata riconosciuta da altri Enti come comune a pressoché tutti i social maggiormente diffusi. Verosimilmente, pertanto, dovremmo cominciare a parificare servizi che creano dipendenza e hanno effetti pregiudizievoli a sostanze come la nicotina.

Due, insomma, gli elementi incontrovertibili: primo, i social network sono diffusi in modo amplissimo tra i minori, anche di età inferiore ai dieci anni; secondo, i social network tendono a creare dipendenza by design e, potenzialmente, sono dannosi per i soggetti più vulnerabili.

In effetti, alla luce di tutto quanto sopra, ci sembra evidente che paragonare la creazione di un profilo social ad una azione che non possa creare potenzialmente pregiudizio agli interessi del minore risulti alquanto arduo.

Inoltre, fa oggettivamente riflettere il fatto che degli strumenti che, a ben vedere, si potrebbero ritenere preclusi ai minori siano in effetti stati studiati quasi esclusivamente per la loro fruizione.

Età dei minori per i social

La discussione degli ultimi giorni si sta concentrando sull’opportunità di seguire l’esempio di altri Paesi (quali l’Australia) che hanno disciplinato per legge l’età minima utile per iscriversi ai social network. Alcuni commentatori hanno applaudito a tali iniziative, altri hanno commentato che in Italia esiste già la normativa utile e sufficiente a disciplinare tale aspetto. Il 26 novembre 2025 il Parlamento europeo ha adottato un rapporto non vincolante in cui si propone l’età di 16 anni come soglia armonizzata a livello europeo per l’accesso ai social media.

Sotto altro profilo, non si può non scorgere un paradosso, uno dei tanti che si sono sovrapposti in questo articolo, nella circostanza che, quando l’età del minore è inferiore a una data soglia, si ritengano risolti i problemi prevedendo la sostituzione genitoriale al consenso del minore, come si legge nell’art. 8 GDPR. Il fenomeno dello sharenting, ossia della diffusione urbi et orbi di dati e immagini di minori da parte proprio dei genitori, indica quanto sia tragicamente malfermo l’assunto di fondo. È la consapevolezza digitale, la digital literacy l’ingrediente segreto senza il quale qualsiasi costruzione giuridica rischia di crollare su sé stessa.