A partire da ottobre 2025, tutte le aziende che vendono online prodotti vietati ai minori, ovvero alcolici e tabacco, o che gestiscono piattaforme di giochi d’azzardo e di contenuti per adulti, dovranno adeguarsi a un nuovo sistema europeo di verifica digitale dell’età degli utenti.
Non sarà più sufficiente dichiarare di essere maggiorenni, ma sarà invece obbligatorio adottare strumenti di identificazione in grado di accertare in maniera più efficace e puntuale l’età effettiva della persona che richiede l’accesso. Questa novità arriva con il nuovo provvedimento AGCOM, diventato ufficiale l’8 aprile, che recepisce le più severe linee guida dell’Unione Europea in materia di tutela dei minori, ma anche di protezione dei dati.
Indice degli argomenti
Il sistema age assurance e il rapporto con la privacy degli utenti
Ma cosa cambia?
Il principio alla base della nuova normativa si chiama Age Assurance, un sistema che mira a verificare in modo affidabile, e in accordo con il diritto di privacy degli utenti, se chi sta accedendo a un determinato contenuto ha davvero l’età necessaria per farlo.
Non serve sapere chi è l’utente, dove vive o quali siano le sue abitudini online, basta avere la certezza che abbia almeno l’età minima prevista per il contenuto richiesto.
Ed è proprio qui che entra in gioco la tecnologia, che permette oggi di separare il dato dall’identità, di garantire l’accesso senza sacrificare la riservatezza. Un aspetto che risulta essenziale per chi naviga in Internet, infatti secondo il Cisco Consumer Privacy Survey 2024, il 69% degli italiani dichiara di essere a conoscenza delle norme sulla privacy e l’89% afferma di sentirsi più tranquillo quando sa che i propri dati sono protetti in modo adeguato, tuttavia, il 56% teme che l’intelligenza artificiale e altri strumenti automatici possano fare un uso scorretto delle informazioni personali.
Dal Gdpr ai nuovi standard di protezione dei dati
Questo timore è reale e molto diffuso, e il nuovo regolamento cerca di affrontarlo in modo diretto e concreto. Una delle novità più importanti introdotte dal nuovo quadro normativo è proprio il forte collegamento con i principi del GDPR.
Le tecnologie più recenti, infatti, devono rispettare il principio della “privacy by design and by default”. In parole semplici, significa che i dati devono essere raccolti solo quando sono davvero necessari, e devono essere protetti fin dal momento in cui si inizia a progettare un sistema o un servizio, non dopo. Non si tratta solo di una regola da seguire, ma di una risposta concreta a un’esigenza sempre più sentita dalle persone: sapere come vengono trattati i propri dati e poter avere maggiore controllo su di essi.
Sfiducia digitale e responsabilità delle aziende
Infatti oggi i dati personali sono una risorsa molto preziosa, tanto per le aziende quanto per le piattaforme digitali. Ma questo ha fatto nascere, nel tempo, una certa sfiducia da parte degli utenti che hanno la sensazione di non avere più il controllo delle informazioni che li riguardano, spesso senza sapere chi raccoglie quei dati, per quale motivo, o dove vengono conservati. Il nuovo regolamento cerca di ristabilire un equilibrio, dando a chi crea e gestisce sistemi tecnologici maggiori responsabilità, soprattutto nel caso di tecnologie avanzate come l’intelligenza artificiale o i sistemi che analizzano i comportamenti delle persone.
L’importanza di integrare la privacy nella progettazione tecnologica
Quando si parla di “privacy by design”, si intende che ogni nuovo prodotto tecnologico deve essere pensato fin dall’inizio con la protezione dei dati come parte fondamentale del progetto. Non è qualcosa da aggiungere alla fine, quando tutto è già pronto, ma un elemento che deve essere presente in ogni fase: dalla prima idea fino alla realizzazione finale. Allo stesso modo, “privacy by default” vuol dire che le impostazioni predefinite dei sistemi devono sempre garantire il massimo rispetto della privacy, senza che l’utente debba fare modifiche o attivare funzioni per proteggersi.
La fiducia digitale come valore competitivo
Tutto questo porta con sé un cambiamento di mentalità. Le aziende non sono più semplici gestori di dati: devono diventare soggetti affidabili, capaci di garantire che i dati delle persone siano trattati con cura e responsabilità. Dimostrare attenzione verso la privacy non è solo un obbligo, ma anche un modo per creare fiducia, per costruire un rapporto più solido con chi utilizza quei servizi. In fondo, il regolamento non vuole bloccare l’innovazione, ma guidarla verso una direzione più sicura e rispettosa dei diritti delle persone, mettendo al centro la trasparenza, il rispetto e la libertà di scelta.
Tecnologie per la verifica dell’età: strumenti e applicazioni
Nel caso specifico del riconoscimento della maggiore età, il processo di identificazione si articola in due fasi precise: prima si procede all’identificazione dell’utente, attraverso strumenti ufficiali di identità digitale, il conto bancario, il passaporto o in futuro — credenziali europee contenute nel Wallet digitale introdotto da eIDAS 2; successivamente si genera una prova dell’età anonimizzata, un’informazione limitata e mirata, che viene condivisa unicamente con il fornitore del servizio o del contenuto per il quale si richiede la verifica dell’età. Questo significa che l’azienda non riceve né conserva altri dati personali: non conosce il nome, il cognome o la data di nascita dell’utente, ma solo il fatto che abbia l’età richiesta per l’accesso.
Spid non è adatto alla verifica dell’età
Agcom ha specificato che SPID non è adatto alla verifica dell’età.
Per molti motivi.
Non fornisce anonimato completo: quando usi SPID, il fornitore di identità digitale può conoscere l’identità reale dell’utente, mentre AGCOM richiede che il certificatore non sappia nulla del sito o servizio di accesso. Con SPID, invece, esiste tracciabilità tra identità e servizio.
SPID nasce per accedere ai servizi della PA, non per dimostrare in modo anonimo la maggiore età ogni volta che un utente visita un sito per adulti. L’obiettivo di AGCOM è una prova dell’età riutilizzabile ma isolata dall’identità reale.
SPID può essere rilasciato anche ai minorenni (dai 5 anni), con limitazioni e solo per servizi scolastici, ma ciò non equivale alla conferma dell’età ≥ 18. AGCOM richiede che il certificatore accerti precisamente la soglia dei 18 anni.
La verifica dell’età prevista da AGCOM non è dunque solo una barriera tecnica, ma un’occasione per costruire un ambiente digitale più sicuro. I siti che propongono servizi vietati ai minori o offrono contenuti riservati agli adulti hanno il dovere di proteggere i più giovani, ma al tempo stesso devono farlo senza compromettere la libertà e la dignità degli utenti. Per questo motivo, il sistema si basa su un equilibrio: identificare senza esporre, controllare senza sorvegliare.
Dal punto di vista tecnologico, si sta lavorando allo sviluppo di soluzioni scalabili e modulari, che si integreranno facilmente nei sistemi aziendali esistenti. Queste piattaforme non richiederanno grandi investimenti iniziali e funzioneranno tramite API sicure, adattandosi a contesti diversi, dall’e-commerce alle piattaforme di contenuti web, fino ai siti di gioco online. Alcune permetteranno anche l’uso del riconoscimento facciale, ma sempre in modo opzionale, conforme alle leggi, e gestito da fornitori certificati. In futuro poi il Wallet digitale europeo, attualmente in fase di sviluppo, permetterà di conservare sul proprio dispositivo certificazioni persistenti e riutilizzabili. In altre parole, sarà possibile dimostrare la propria maggiore età con un clic, senza dover ripetere il processo ogni volta e senza rivelare più del necessario. Questo renderà l’esperienza utente più semplice e fluida, senza abbassare il livello di sicurezza.
Verso una cultura digitale più sicura e consapevole
È evidente che il percorso verso una cultura digitale più responsabile è ancora lungo, e le imprese devono assumersi per prime il compito di garantire ambienti sicuri e trasparenti. Gli utenti, dal canto loro, devono poter comprendere in modo chiaro come vengono trattati i loro dati e quali strumenti hanno a disposizione per proteggerli.
