Mentre il Regno Unito impone rigide misure di verifica dell’età per impedire ai minori l’accesso a contenuti per adulti, l’Unione Europea adotta un approccio più graduale, fondato sulla tutela della privacy e sull’interoperabilità, che già entro fine 2025 dovrebbe portare ai primi sistema di verifica dell’età anche in Italia.
Ma le soluzioni tecniche sono davvero efficaci? E fino a che punto è lecito controllare l’identità degli utenti online in nome della protezione dei minori?
Di sicuro sono nodi che stanno venendo al pettine del legislatore in Europa.
La tutela dei minori rispetto all’accesso a contenuti inappropriati o potenzialmente dannosi rappresenta una delle sfide più rilevanti per i legislatori e per le autorità di regolazione, sia a livello nazionale che sovranazionale.
Le nuove tecnologie, se da un lato amplificano le opportunità educative e relazionali, dall’altro espongono i minori a rischi significativi, in particolare se l’accesso a contenuti come la pornografia, l’incitamento all’autolesionismo o al suicidio, o il cyberbullismo non viene adeguatamente regolato.
Indice degli argomenti
In Europa e in Italia: app obbligatoria ma pro privacy
Ecco perché tutti noi europei dovremo, forse già da quest’anno, scaricare un’app di verifica dell’età se vogliamo accedere a siti vietati ai minori; porno, scommesse, con in genere contenuti inadatti a giovane età, quindi anche su alcuni social molto “liberi” come X e Discord.
Lo vuole l’Europa e l’Italia è in prima fila per attuarlo, con un’app che arriverà entro fine estate in via sperimentale, a quanto comunica Agcom (l’autorità di settore). Regno Unito e Francia hanno già attuato filtri simili, ma con molte polemiche.
Per altro di base l’app è tarata sui 18 anni, ma la Commissione europea dice che si può regolare anche su età inferiori, per esempio per impedire ai minori di 13 anni di accedere ai social (che in teoria sarebbero loro vietati).
I dettagli dipenderanno dalle scelte di ciascun Stato, ma sembra che l’esperienza dei minori online sia destinata a cambiare molto nei prossimi mesi; e un po’ anche quella degli adulti, che dovranno dimostrare in certi casi la maggiore età.
Ma come funzionerà in Ue? I dettagli dell’app – un po’ nascosti sul sito della Commissione europea, in una pagina per sviluppatori – ci fanno capire alcuni punti importanti.
L’uso pratico dell’app
- Dopo il download dell’app smartphone, l’utente deve accettare i termini e le condizioni dell’app e le informazioni sulla protezione dei dati. Poi è necessario impostare il pin per accedere all’app; facoltativo, l’accesso biometrico.
- A questo punto, l’utente deve selezionare il tipo di metodologia preferita per la verifica dell’età. È possibile scegliere tra sistemi di identità digitale, un provider di identità, conto corrente bancario e, in futuro, anche la lettura del passaporto.
Attenzione, Agcom ha già specificato che Spid (strumento che abbiamo solo in Italia) non va bene, per molti motivi: non protegge l’anonimato dell’utente e poi non è nemmeno efficace nel filtrare i minorenni.
Dopo la scelta dello strumento di verifica, gli utenti possono poi accedere ai contenuti soggetti ai limiti di età, se li rispettano.
- Da pc, devono condividere le loro credenziali di età scansionando con l’app il codice QR visualizzato sul sito web (o altro sistema scelto dal regolatore nazionale).
- Se l’utente accede a un servizio online sullo smartphone, l’operazione di accesso è diretta, con la condivisione immediata e automatica della “prova d’età”.
In ogni caso, l’app invierà la prova dell’età al gestore del sito web. Nessun’altra informazione personale viene condivisa. Il sito non sa chi siamo o altro di noi, solo che abbiamo diritto a vedere quei contenuti.
I tempi
I tempi in Ue sono incerti. La norma italiana, con l’obbligo per i siti inadatti ai minori di dotarsi di questi strumenti, in teoria scatta a fine anno, ma bisognerà vedere chi sarà pronto davvero per allora. Tutto questo sistema con l’app in sé è provvisorio: sarà sostituito dai wallet europei digitali nel 2026, spiega la Commissione.
Il modello britannico: il sistema delineato dall’Online Safety Act 2023
In questo contesto si inserisce l’iniziativa normativa del Regno Unito, che con il “Online Safety Act 2023” ha introdotto uno dei sistemi di regolazione più stringenti in Europa in materia di verifica dell’età online.
La legge, entrata in vigore nella sua parte sostanziale il 25 luglio 2025, impone l’adozione di sistemi di verifica dell’età ritenuti “highly effective” per l’accesso a contenuti riservati a un pubblico adulto, con particolare riferimento al materiale pornografico e a tutte quelle forme di contenuti giudicati idonei a causare danni psicologici o comportamentali ai minori.
Il quadro normativo delineato dal Regno Unito è strutturato in modo da attribuire ampi poteri regolatori all’Ofcom, l’autorità indipendente per le comunicazioni, chiamata a garantire che le piattaforme digitali e i siti web che offrono contenuti per adulti adottino misure di verifica dell’età che siano effettivamente in grado di impedire l’accesso ai minori. In base al testo normativo, i provider devono mettere in atto sistemi tecnici di controllo che non si limitino alla semplice autocertificazione da parte dell’utente, ma che prevedano meccanismi capaci di determinare con sufficiente certezza l’età anagrafica dell’utilizzatore.
Le modalità tecniche previste includono l’uso di software di riconoscimento facciale basati su intelligenza artificiale, in grado di stimare l’età attraverso l’analisi biometrica del volto, oppure il caricamento di documenti di identità, l’inserimento di dati bancari o altri strumenti di verifica terza (come e-mail aziendali o account verificati da operatori telefonici).
L’inosservanza degli obblighi può comportare sanzioni particolarmente severe, che includono multe fino a 18 milioni di sterline o il 10% del fatturato globale dell’impresa responsabile. In questo modo, il legislatore britannico ha scelto una strada di marcata responsabilizzazione degli intermediari digitali, ritenuti corresponsabili della protezione dei minori.
L’impianto giuridico
Sotto il profilo giuridico, l’impianto normativo si fonda su un principio di responsabilità proattiva degli intermediari, superando in parte l’impostazione classica che li considerava meri hosting provider (ai sensi del regime di esenzione da responsabilità previsto dalla Direttiva 2000/31/CE, non più applicabile nel Regno Unito post-Brexit). Il nuovo modello, simile a quello prospettato dal Digital Services Act europeo, comporta un dovere di diligenza rafforzato, in cui la mancata adozione di misure tecniche idonee può integrare un illecito amministrativo o addirittura una forma di negligenza penalmente rilevante, in caso di gravi conseguenze.
I limiti tecnologici e i casi di elusione: quando la legge incontra il gaming
Nonostante le intenzioni del legislatore, l’applicazione concreta delle misure di verifica dell’età si sta rivelando tutt’altro che impermeabile. Alcuni casi recenti, ampiamente riportati dai media internazionali, hanno messo in luce come sistemi apparentemente sofisticati possano essere aggirati con estrema facilità. Particolarmente emblematico è il caso dell’utilizzo del videogioco “Death Stranding” per superare la verifica dell’età su piattaforme come Reddit e Discord. Alcuni utenti sono riusciti a ingannare i software di riconoscimento facciale puntando la fotocamera del proprio dispositivo su uno schermo che riproduceva il volto del protagonista del gioco, simulando le espressioni richieste per completare il processo di verifica. Il risultato: il sistema, incapace di distinguere un volto digitale da uno reale, ha autorizzato l’accesso.
Questo episodio, al di là della sua dimensione quasi grottesca, pone interrogativi seri sulla robustezza delle tecnologie implementate. Se un minore può aggirare un controllo tramite un espediente così semplice, è lecito dubitare della “high effectiveness” richiesta dalla normativa. A ciò si aggiunge l’uso crescente di VPN da parte degli utenti per simulare la connessione da un Paese non soggetto alla regolazione britannica, eludendo così completamente l’obbligo di verifica. Questo fenomeno, ampiamente documentato, ha determinato un’impennata del traffico verso i servizi VPN nel Regno Unito subito dopo l’entrata in vigore della legge, segno evidente di un aggiramento sistemico.
Tali criticità inducono a interrogarsi sull’effettiva capacità del diritto positivo di inseguire — e regolamentare — l’innovazione tecnologica, in un contesto in cui la creatività degli utenti sembra procedere sempre un passo avanti rispetto al controllo normativo. La riflessione giuridica, pertanto, non può limitarsi all’enunciazione di obblighi e sanzioni, ma deve confrontarsi con l’effettività delle norme, intesa come capacità della legge di incidere realmente sui comportamenti e sugli assetti di potere nel cyberspazio.
Privacy, data protection e principi di proporzionalità
L’introduzione di sistemi di verifica dell’età pone in primo piano le questioni legate alla protezione dei dati personali. I metodi che prevedono la raccolta di immagini del volto, dati biometrici, documenti ufficiali o informazioni bancarie implicano un trattamento di dati altamente sensibili, che richiede una valutazione rigorosa sotto il profilo del rispetto dei principi del GDPR, anche nella versione applicata in ambito britannico (UK GDPR). Tra i principi fondamentali figurano la minimizzazione dei dati, la limitazione delle finalità, la trasparenza e la sicurezza del trattamento.
Nel contesto delineato, la verifica dell’età rischia di trasformarsi in una sorveglianza generalizzata, compromettendo il diritto degli utenti adulti all’anonimato nell’accesso a contenuti pienamente legali. Il diritto alla privacy, tutelato anche dalla giurisprudenza della Corte europea dei diritti dell’uomo, non può essere sacrificato se non in presenza di un interesse pubblico prevalente e in modo proporzionato. Di conseguenza, si pone la necessità di soluzioni tecniche in grado di garantire l’effettività del controllo senza esporre l’utente a indebite intrusioni.
Dal punto di vista giuridico, tale bilanciamento si fonda sull’applicazione dell’art. 5 e dell’art. 25 del GDPR, che impongono il rispetto del principio di privacy by design e by default. La Corte di giustizia dell’Unione europea, inoltre, ha più volte ribadito la necessità che ogni limitazione dei diritti fondamentali degli utenti digitali sia giustificata da un obiettivo legittimo, sia necessaria e proporzionata (si vedano, tra le altre, le sentenze Digital Rights Ireland e Schrems II).
Confronto con il modello europeo: identità digitale, interoperabilità e approccio graduale
A fronte della rigidità e delle problematiche del modello britannico, l’Unione Europea ha adottato un approccio più flessibile e orientato ai principi fondamentali del diritto europeo. Nell’ambito della Digital Strategy, la Commissione ha avviato una riflessione ampia sulla necessità di meccanismi di verifica dell’età che siano compatibili con l’architettura giuridica europea. Tra le soluzioni proposte vi sono l’introduzione di sistemi di identità digitale interoperabili (come l’European Digital Identity Wallet), capaci di attestare solo l’età dell’utente (es. maggiore o minore di 18 anni) senza rivelare la sua identità completa.
Questo approccio appare maggiormente conforme ai principi di necessità e proporzionalità, consentendo l’accesso condizionato ai contenuti senza mettere a rischio la privacy degli utenti. La verifica dell’età viene così intesa non come un controllo identitario, bensì come un atto di autodeterminazione assistita, in cui l’utente può fornire una credenziale verificata da un ente terzo, ma senza che questa comporti una raccolta massiva di dati personali da parte del sito fruito.
Un ulteriore vantaggio di tale impostazione è la sua scalabilità, in quanto consente di sviluppare standard comuni e interoperabili a livello transfrontaliero, superando la frammentazione normativa e tecnologica attualmente esistente. Tuttavia, la mancanza di una disciplina vincolante a livello europeo lascia ampi margini di discrezionalità agli Stati membri, con il rischio di un’applicazione disomogenea e di vuoti di tutela.
Nel 2025, la Commissione ha inoltre avviato progetti pilota per testare sistemi di verifica dell’età interoperabili e privacy-friendly, con il coinvolgimento di autorità garanti per la protezione dei dati e stakeholder del settore. Il successo di tali progetti sarà cruciale per definire una futura proposta legislativa che possa armonizzare la materia in modo più incisivo, magari introducendo obblighi di certificazione tecnica per i sistemi di age verification.
Coniugare esigenze di protezione e tutela dei diritti fondamentali
La verifica dell’età online rappresenta oggi un nodo cruciale nella regolazione dei contenuti digitali, in cui si confrontano esigenze diverse e spesso confliggenti: da un lato la necessità di proteggere i minori da contenuti lesivi del loro sviluppo psicologico, dall’altro il rispetto dei diritti degli utenti adulti alla privacy, all’anonimato e alla libertà di informazione.
Il modello britannico si distingue per un’impostazione securitaria, che tende a privilegiare la tutela ex ante attraverso strumenti rigidi e potenzialmente invasivi. Tuttavia, la sua efficacia appare al momento limitata, alla luce della facilità con cui i sistemi implementati possono essere elusi.
L’approccio europeo, pur ancora in fase di sviluppo, sembra muoversi in una direzione più coerente con i principi dello Stato di diritto e della protezione dei dati personali, valorizzando soluzioni tecniche innovative, decentralizzate e interoperabili.
La sfida nei prossimi anni sarà quella di coniugare efficacia e proporzionalità, evitando derive tecnocratiche e garantendo che la regolazione digitale non si traduca in una sorveglianza di massa mascherata da tutela dei minori. Una sfida che richiede competenze giuridiche, tecniche ed etiche di alto livello, in un’ottica multidisciplinare e profondamente europea.
È auspicabile, in conclusione, che l’Unione Europea riesca a colmare il vuoto normativo attuale con una regolazione armonizzata che preveda criteri tecnici certificabili, garanzie giuridiche effettive e una governance multilivello coinvolgente autorità nazionali, Commissione, industrie e società civile.
Solo così sarà possibile costruire un ecosistema digitale davvero sicuro, inclusivo e rispettoso dei diritti fondamentali di tutti gli utenti, minori e adulti.
