Dall’art. 28 Reg. UE 2022/2065 (DSA) al consenso digitale: che cosa devono fare le piattaforme e che cosa possono pretendere le famiglie
Nota di trasparenza · IA
Articolo elaborato con il supporto di sistemi di intelligenza artificiale e pubblicato dopo la revisione e l’approvazione di un avvocato dello Studio. Responsabilità editoriale: Avv. Antonio Baldari, Studio Legale Baldari & Colella. Il contenuto ha finalità informativa e non costituisce parere legale. Leggi la dichiarazione completa
§1 — SOMMARIO
Un ragazzo di undici anni apre un account su un social network e scrive di averne diciotto. Nessuno glielo chiede una seconda volta. Per anni la verifica dell’età di gran parte del web è stata questa: una casella da spuntare, una data di nascita da digitare. Il diritto europeo ha smesso di considerarla sufficiente.
Il punto di svolta è l’art. 28, par. 1, Reg. UE 2022/2065 (DSA), che impone ai fornitori di piattaforme online accessibili ai minori misure adeguate e proporzionate a garantire un elevato livello di privacy, sicurezza e protezione. Le Linee guida della Commissione del 14 luglio 2025 hanno chiarito che l’autodichiarazione dell’età non basta [§1]. Nel 2026 la linea è passata dalle parole agli atti: una raccomandazione agli Stati membri, due constatazioni preliminari contro Meta, una proposta di regolamento che porta a quindici anni l’età minima per un account sui social.
Anche i giudici hanno detto la loro. Il 16 giugno 2026 la Corte di giustizia ha ammesso che uno Stato imponga la verifica dell’età agli operatori stabiliti altrove, ma solo seguendo una procedura precisa; il TAR Lazio, il 7 aprile 2026, aveva annullato in parte la delibera AGCOM per i siti pornografici proprio perché quella procedura era stata saltata.
L’articolo ricostruisce da dove nascono le soglie di età e perché non coincidono, che cosa esigono l’art. 28 Reg. UE 2022/2065 (DSA) e le Linee guida, come si verifica l’età senza schedare nessuno, che cosa hanno deciso finora giudici e autorità, che cosa è in arrivo e che cosa può fare, oggi, il genitore o l’operatore.
§2 — QUADRO NORMATIVO DI RIFERIMENTO
Il livello europeo
Il Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio, del 19 ottobre 2022 (Digital Services Act, DSA), pienamente applicabile dal 17 febbraio 2024, dedica ai minori una sola disposizione generale, l’art. 28 DSA. Il paragrafo 1 contiene l’obbligo di misure adeguate e proporzionate; il paragrafo 2 vieta la pubblicità basata sulla profilazione quando il destinatario è, con ragionevole certezza, minore; il paragrafo 3 esclude che l’articolo imponga di trattare dati ulteriori per stabilire l’età; il paragrafo 4 abilita la Commissione a emanare linee guida.
Attorno a questo nucleo ruotano altre norme. L’art. 25 DSA vieta interfacce progettate per ingannare o manipolare l’utente. Gli artt. 34 e 35 DSA impongono alle piattaforme di dimensioni molto grandi di valutare e mitigare i rischi sistemici, e l’art. 35, par. 1, lett. j), DSA cita tra le misure gli strumenti di verifica dell’età. Quanto all’ambito, per l’art. 19 DSA l’obbligo dell’art. 28, par. 1, DSA non si applica alle piattaforme che sono micro o piccole imprese, salvo che siano state designate come piattaforme di dimensioni molto grandi; le piattaforme di condivisione di video, però, devono comunque istituire sistemi di verifica dell’età per i contenuti nocivi allo sviluppo dei minori in forza della Dir. 2010/13/UE (direttiva sui servizi di media audiovisivi) [§1].
Sul versante dei dati personali vale l’art. 8, par. 1, Reg. UE 2016/679 (GDPR): nell’offerta diretta di servizi della società dell’informazione il consenso del minore è valido dai sedici anni, salvo che lo Stato membro abbassi la soglia, non oltre i tredici. Per i profili di diritto dei contratti, l’art. 3, par. 4 e 5, Dir. 2000/31/CE (direttiva sul commercio elettronico) fissa il principio del paese d’origine e le condizioni per derogarvi: lo vedremo al § 6.
Il livello italiano
L’Italia ha scelto quattordici anni: lo dice l’art. 2-quinquies, comma 1, D.Lgs. 30 giugno 2003, n. 196 (Codice privacy). Sotto quella età il trattamento fondato sul consenso è lecito solo se lo presta chi esercita la responsabilità genitoriale. Per l’intelligenza artificiale l’art. 4, comma 4, L. 23 settembre 2025, n. 132 ripete la soglia: i minori di quattordici anni accedono ai sistemi di IA solo con il consenso dei genitori.
I contratti dei minori sono regolati dagli artt. 2, 1425 e 1426 c.c.: la maggiore età si acquista a diciotto anni, il contratto concluso dal minore è annullabile, e il minore che ha occultato la propria età con raggiri perde l’azione di annullamento. Sul piano consumeristico, l’art. 20, comma 3, D.Lgs. 6 settembre 2005, n. 206 (Codice del Consumo) tiene conto dei gruppi di consumatori particolarmente vulnerabili in ragione dell’età, e l’art. 21, comma 4, Codice del Consumo considera scorretta la pratica commerciale che, essendo suscettibile di raggiungere bambini e adolescenti, può anche indirettamente minacciarne la sicurezza.
Per i contenuti pornografici l’art. 13-bis D.L. 15 settembre 2023, n. 123, convertito con modificazioni dalla L. 13 novembre 2023, n. 159 (decreto Caivano), impone la verifica della maggiore età, nelle modalità definite dalla delibera AGCOM n. 96/25/CONS.
Chi vigila
Le piattaforme di dimensioni molto grandi rispondono alla Commissione europea. Per le altre vigila il coordinatore dei servizi digitali, che in Italia è l’AGCOM. Il Garante per la protezione dei dati personali controlla il trattamento dei dati, l’AGCM le pratiche commerciali scorrette.
§3 — LE SOGLIE DI ETÀ: QUATTORDICI, TREDICI, QUINDICI, DICIOTTO
Perché i numeri non coincidono
Chi chiede «a che età si può usare un social?» riceve risposte diverse a seconda che si parli di dati, di contratto, di intelligenza artificiale o di contenuti per adulti. Sono tutte vere, perché rispondono a domande diverse.
Quattordici anni è la soglia del consenso al trattamento dei dati. Diciotto è la soglia della capacità di agire. Tredici è l’età minima che molti grandi operatori scrivono nei propri termini di servizio: una scelta contrattuale, non una norma italiana, e infatti la Commissione contesta a Meta di non averla fatta rispettare. Quindici è la soglia della proposta di regolamento KIDS Act, di cui al § 7.
Minori online · schema comparativo
Le soglie di età nel diritto italiano ed europeo
Consenso al trattamento dei dati per servizi della società dell’informazione
art. 8, par. 1, Reg. UE 2016/679 (GDPR); art. 2-quinquies, comma 1, D.Lgs. 30 giugno 2003, n. 196
Accesso ai sistemi di intelligenza artificiale: sotto la soglia serve il consenso di chi esercita la responsabilità genitoriale
art. 4, comma 4, L. 23 settembre 2025, n. 132
Capacità di agire; i contratti del minore sono annullabili, salvo raggiri sull’età
artt. 2, 1425 e 1426 c.c.
Siti e piattaforme con contenuti pornografici: obbligo di verifica della maggiore età
art. 13-bis D.L. 15 settembre 2023, n. 123; delibera AGCOM n. 96/25/CONS
Età minima prevista dai termini di servizio dei principali social; la Commissione ne contesta il mancato rispetto a Meta
Prassi contrattuale; art. 28, par. 1, Reg. UE 2022/2065 (DSA)
Account su social network e piattaforme video con determinate caratteristiche di rischio
Proposta COM(2026) 681 (KIDS Act), 17 settembre 2026
Stato al 12 novembre 2026. Le soglie rispondono a domande diverse (dati, capacità, contenuti, servizi) e non vanno confuse.
Consenso al trattamento e validità del contratto
Il minore di quattordici anni che si iscrive a un social senza il consenso dei genitori produce due difetti distinti. Il primo riguarda i dati: il consenso non è valido, quindi manca la base giuridica per trattarli. Il secondo riguarda il contratto con la piattaforma: il minore non ha capacità di agire e il contratto è annullabile ai sensi dell’art. 1425 c.c. Il GDPR lascia ferma la disciplina nazionale sulla validità dei contratti: i due piani si toccano, ma non coincidono.
Resta il problema dell’età falsa. L’art. 1426 c.c. esclude l’annullamento quando il minore ha occultato la propria età con raggiri, e secondo l’impostazione tradizionale la semplice dichiarazione di maggiore età non integra il raggiro. Se la piattaforma non verifica nulla, difficilmente potrà invocare quella norma: ha costruito un sistema in cui mentire costa un clic.
L’età e l’intelligenza artificiale
L’art. 4, comma 4, L. 132/2025 porta la regola dei quattordici anni ai sistemi di IA, mentre l’art. 5, par. 1, lett. b), Reg. UE 2024/1689 (AI Act) vieta i sistemi che sfruttano le vulnerabilità dovute all’età per distorcere il comportamento in modo dannoso. La proposta KIDS Act estende ai chatbot gli obblighi pensati per i social.
§4 — ART. 28 DSA E LE LINEE GUIDA DEL 14 LUGLIO 2025
Che cosa chiede la Commissione
Le Linee guida del 14 luglio 2025 non sono vincolanti, ma la Commissione dichiara che le userà per valutare il rispetto dell’art. 28, par. 1, DSA [§1]. Per questo, nella pratica, funzionano come una norma. Un primo punto riguarda l’ambito: una piattaforma è «accessibile ai minori» quando i termini di servizio li ammettono, quando il servizio è diretto a loro o da loro prevalentemente usato, o quando il fornitore sa che ne ha tra gli utenti (considerando 71 DSA). Vietare l’accesso ai minori nei termini di servizio non basta, se manca una misura efficace per impedirlo. Il secondo punto, il più netto, riguarda l’età. I metodi di garanzia devono essere accurati, affidabili, robusti, non intrusivi e non discriminatori; l’autodichiarazione non soddisfa il requisito di robustezza e accuratezza e non è una misura adeguata [§1].
Le Linee guida distinguono due strumenti. La verifica dell’età è considerata appropriata per i servizi con rischi elevati non mitigabili diversamente (alcol e tabacco, pornografia, gioco d’azzardo), quando i termini di servizio fissano un’età minima di diciotto anni, e quando una legge dell’Unione o nazionale prescrive un’età minima. La stima dell’età, che deduce l’età probabile da elementi indiretti, è considerata appropriata, se affidata a un terzo indipendente o a sistemi sottoposti a audit, quando l’età minima nei termini di servizio è inferiore a diciotto anni per rischi accertati, oppure quando i rischi sono medi e non attenuabili con misure meno restrittive. Accanto all’età, il documento guarda al disegno del servizio: impostazioni di privacy e sicurezza predefinite, controllo sui contatti, attenzione alle funzioni che spingono a un uso senza pause.
Il limite alla raccolta di dati
Il paragrafo 3 serve a evitare che la tutela dei minori diventi un pretesto per schedare gli adulti. Chi verifica l’età non può usare quel passaggio per raccogliere più dati di quelli necessari, e il Comitato europeo per la protezione dei dati, nella Dichiarazione 1/2025 sulla garanzia dell’età, adottata l’11 febbraio 2025, ha precisato che il processo di verifica non deve consentire ulteriori profilazioni o targeting degli utenti, né a fini commerciali né a fini malevoli, e che a chi non può o non vuole usare un metodo vanno offerte alternative valide per provare la propria età [§3]. Il tema torna al § 5.
L’applicazione concreta: Meta e le altre
La Commissione ha cominciato a usare l’art. 28 DSA contro le piattaforme di dimensioni molto grandi. Il 26 marzo 2026 ha avviato un’indagine su Snapchat e reso note constatazioni preliminari su piattaforme per adulti. Il 29 aprile 2026 ha concluso in via preliminare che Facebook e Instagram non adottano misure adeguate per impedire l’uso ai minori di tredici anni, e che la valutazione del rischio di Meta è incompleta e arbitraria [§4]. Il 10 luglio 2026 ha aggiunto una seconda constatazione preliminare, sul design di Instagram e Facebook ritenuto in grado di creare dipendenza [§5].
Sono atti istruttori, non decisioni: Meta può replicare per iscritto, e solo all’esito la Commissione potrà accertare la violazione e irrogare sanzioni fino al sei per cento del fatturato mondiale annuo. Una piattaforma che si limita a chiedere la data di nascita ha comunque un problema.
§5 — VERIFICARE L’ETÀ SENZA SCHEDARE NESSUNO
Tre tecniche, tre costi
Si può verificare l’età con un documento o un’identità digitale, che dà certezza ma espone dati; con la stima da fotografia o da comportamento, che non identifica ma sbaglia ai margini; con un attestato rilasciato da un terzo, che dice solo «ha più di diciotto anni» e nient’altro. È il modello a cui punta l’Unione.
La Commissione ha presentato il 14 luglio 2025 un prototipo di applicazione europea per la verifica dell’età, basato su software aperto e pensato per dialogare con i portafogli europei di identità digitale [§2]. Il 29 aprile 2026 la Raccomandazione (UE) 2026/1035 della Commissione ha invitato gli Stati membri a adottare il modello europeo e a prepararsi a renderlo operativo entro la fine del 2026 [§6]. Alla data odierna non risulta in funzione in Italia una soluzione nazionale generalizzata: il «mini-portafoglio» del ddl S. 1136 è un progetto.
Il caso dei siti per adulti
Il laboratorio italiano è l’art. 13-bis D.L. 123/2023. La delibera AGCOM n. 96/25/CONS ha fissato i requisiti tecnici in modo neutrale rispetto alla tecnologia, con richiami segnatamente a minimizzazione e sicurezza. Il comma 5 dell’art. 13-bis D.L. 123/2023 prevede che l’AGCOM vigili, contesti la violazione, applichi le sanzioni dell’art. 1, comma 31, L. 31 luglio 1997, n. 249, e diffidi il gestore ad adeguarsi entro venti giorni, adottando in caso di inerzia ogni provvedimento utile per il blocco del sito. Con le delibere AGCOM nn. 73/26/CONS e 74/26/CONS, del 18 marzo 2026, il Consiglio dell’Autorità ha ordinato ai prestatori di servizi di mere conduit di disabilitare entro due giorni dalla notifica, mediante blocco del DNS, l’accesso ai siti www.giochipremium.com e www.hentai-ita.net, riconducibili a una società italiana (Onlab S.r.l.s.), diffidata il 12 febbraio 2026, il cui «controllo» consisteva in clausole d’uso e avvertenze 18+ [§7].
Il problema è sorto per gli operatori stabiliti in altri Stati membri: lì entra in gioco il principio del paese d’origine, e con esso le sentenze di cui si dirà.
§6 — DIRITTO VIVENTE: LA GIURISPRUDENZA CHE CONTA
La Corte di giustizia sul principio del paese d’origine
CGUE, Grande Sezione, 16 giugno 2026, cause riunite C-188/24 e C-190/24, WebGroup Czech Republic a.s. e NKL Associates s.r.o. c. Ministre de la Culture e Premier ministre (C-188/24); Coyote System c. Ministre de l’Intérieur et des Outre-mer e Premier ministre (C-190/24), su rinvio del Conseil d’État francese. La Corte ha stabilito due cose. La prima: l’art. 2, lett. h), Dir. 2000/31/CE e il principio del paese d’origine dell’art. 3 Dir. 2000/31/CE ostano a che uno Stato applichi ai prestatori stabiliti in altri Stati membri un obbligo generale e astratto di diritto penale diretto a impedire l’accesso dei minori ai contenuti pornografici. Non ostano, invece, a provvedimenti che impongano a un determinato servizio stabilito altrove di istituire un sistema di verifica dell’età, nel rispetto delle condizioni dell’art. 3, par. 4, Dir. 2000/31/CE, alla luce degli artt. 1 e 24 della Carta dei diritti fondamentali dell’Unione europea e fatto salvo l’art. 3, par. 5, Dir. 2000/31/CE, se il prestatore non ha adottato le misure adeguate previste dall’art. 28 ter Dir. 2010/13/UE. Le diffide individuali sono provvedimenti adottati nei confronti di un «determinato servizio» e, in assenza di misure adeguate del prestatore, sono proporzionate [§8].
La seconda parte della sentenza interessa le piattaforme in modo diretto. L’operatore che, mediante un algoritmo, determina nel proprio interesse a quali condizioni, in che modo e con quale ordine di priorità le informazioni fornite dagli utenti siano diffuse esercita un controllo su di esse: non è un prestatore di hosting ai sensi dell’art. 14, par. 1, Dir. 2000/31/CE e l’art. 15, par. 1, Dir. 2000/31/CE non gli si applica. Il passaggio riguarda i sistemi di raccomandazione dei social.
Il TAR Lazio sulla delibera AGCOM
TAR Lazio, Roma, Sez. IV, 7 aprile 2026, n. 6280, e TAR Lazio, Roma, Sez. IV, 7 aprile 2026, n. 6282, tra quattro pronunce analoghe depositate nello stesso giorno. Il Tribunale ha respinto le censure di fondo, riconoscendo che la tutela dei minori rientra nell’ordine pubblico e che l’AGCOM ha esercitato una discrezionalità tecnica attuativa della legge. Ha però accolto il motivo sul procedimento europeo e ha annullato la delibera n. 96/25/CONS nella parte in cui si applica a servizi stabiliti in altri Stati membri, perché mancavano la comunicazione preventiva allo Stato di stabilimento e la notifica alla Commissione richieste dall’art. 3, par. 4, lett. b), Dir. 2000/31/CE, o la procedura d’urgenza dell’art. 3, par. 5, Dir. 2000/31/CE [§9].
Il quadro, dunque, è questo: la verifica dell’età per i contenuti per adulti è legittima, ma lo Stato non può estenderla ai fornitori stabiliti altrove saltando un passaggio procedurale. La sentenza della Corte di giustizia, di dieci settimane successiva, indica la stessa via: diffide individuali a un determinato servizio, non obblighi generali e astratti.
Il Garante per la protezione dei dati personali
Garante per la protezione dei dati personali, provvedimento 10 aprile 2025, n. 232 (doc. web n. 10130115), Luka Inc. (Replika). Il Garante ha contestato, tra l’altro, l’assenza di qualsiasi filtro di verifica dell’età, sia alla registrazione sia durante la conversazione con il chatbot, e ha irrogato una sanzione di cinque milioni di euro, accertando la violazione degli artt. 24 e 25, par. 1, GDPR e dell’art. 5, par. 1, lett. c), GDPR quanto al sistema di verifica dell’età.
L’AGCM e il disegno del servizio
AGCM, provvedimento 5 marzo 2024, n. 31124, procedimento PS12543 (TikTok – cicatrice francese), TikTok Technology Limited, TikTok Italy S.r.l. e TikTok Information Technologies UK Limited. L’Autorità ha accertato una pratica commerciale scorretta in violazione degli artt. 20, commi 2 e 3, 21, comma 2, lett. b), 21, comma 4, e 25, comma 1, lett. c), Codice del Consumo: vigilanza inadeguata sui contenuti, come quelli della sfida «French scar», idonei a minacciare la sicurezza psicofisica di bambini e adolescenti, e riproposizione reiterata di quei contenuti attraverso sistemi di raccomandazione basati sulla profilazione, con l’effetto di aumentare il tempo di permanenza e i ricavi. La sanzione è di dieci milioni di euro, in solido, il massimo edittale. L’AGCM ha respinto la difesa fondata sull’esenzione dell’hosting, per il ruolo attivo svolto nella selezione dei video per ciascun utente.
I tribunali ordinari
Trib. Roma, ordinanza 20 luglio 2026, R.G. n. 54892/2024. In un’azione collettiva promossa da genitori e associazioni di consumatori contro Instagram, che chiedeva un sistema effettivo e non eludibile di verifica dell’età, il Tribunale ha negato la giurisdizione italiana, secondo quanto riportato dalla stampa specializzata. Pende invece davanti alla sezione specializzata in materia di impresa del Tribunale di Milano (R.G. n. 29994/2025) l’azione inibitoria collettiva ai sensi dell’art. 840-sexiesdecies c.p.c. promossa dal Moige contro Meta e TikTok.
La giurisprudenza ordinaria italiana sull’obbligo delle piattaforme di verificare l’età non offre, a oggi, un orientamento consolidato: i dati stabili vengono dalle autorità amministrative e dai giudici amministrativi.
Tabella sinottica delle pronunce citate
| Organo | Data | n. | Principio affermato | Esito |
|---|---|---|---|---|
| CGUE, Grande Sezione | 16 giugno 2026 | C-188/24 e C-190/24 | Obbligo generale e astratto di verifica dell’età non applicabile a prestatori stabiliti in altri Stati membri (art. 3 Dir. 2000/31/CE); ammesse diffide a un determinato servizio alle condizioni dell’art. 3, par. 4; chi ordina i contenuti con un algoritmo ne ha il controllo e non è hosting provider | Risposta ai quesiti del Conseil d’État |
| TAR Lazio, Roma, Sez. IV | 7 aprile 2026 | 6280 | Annullata in parte la delibera AGCOM n. 96/25/CONS per i servizi stabiliti in altri Stati membri, per omessa procedura di deroga al paese d’origine; respinte le altre censure | Accoglimento parziale |
| TAR Lazio, Roma, Sez. IV | 7 aprile 2026 | 6282 | Stesso principio, in ricorso di operatore stabilito a Cipro | Accoglimento parziale |
| Garante per la protezione dei dati personali | 10 aprile 2025 | 232 | Assenza di filtri efficaci di verifica dell’età in un servizio di chatbot: violazioni GDPR e sanzione pecuniaria | Sanzione di 5 milioni di euro |
| AGCM | 5 marzo 2024 (adunanza) | 31124 (PS12543) | Pratica commerciale scorretta: vigilanza inadeguata sui contenuti pericolosi per i minori e raccomandazione basata sulla profilazione che aumenta il tempo di permanenza | Sanzione di 10 milioni di euro, in solido |
| Trib. Roma | 20 luglio 2026 | R.G. 54892/2024 | Azione collettiva contro Instagram per la verifica dell’età: difetto di giurisdizione italiana (secondo la stampa) | Azione non proseguibile in Italia |
§7 — CHE COSA STA ARRIVANDO
Il KIDS Act
Il 17 settembre 2026 la Commissione ha pubblicato la proposta di regolamento COM(2026) 681, il cosiddetto KIDS Act, che si applicherebbe direttamente in tutti gli Stati membri. Secondo l’analisi di Jones Day, i fornitori di social network e piattaforme di condivisione video con certe caratteristiche di rischio non potrebbero più consentire un account ai minori di quindici anni; dai tredici ai quattordici sarebbero possibili account gestiti da un genitore verificato, con controlli parentali sempre attivi, uso giornaliero limitato a un’ora e contatti preapprovati [§10].
L’età andrebbe accertata con soluzioni certificate al momento dell’iscrizione e, per gli account esistenti, entro sei mesi. L’ambito si allarga a giochi online, negozi di app, compagni virtuali e chatbot generalisti, con un obbligo limitato per i sistemi operativi di trasmettere i segnali sull’età. Le sanzioni arriverebbero al sei per cento del fatturato mondiale; prime applicazioni non prima del 2028.
Il Digital Fairness Act
L’11 novembre 2026 la Commissione ha presentato la proposta di Digital Fairness Act, che si appoggia al KIDS Act e interviene sulle pratiche commerciali online sleali verso consumatori di ogni età. Il testo è uscito ieri: sul suo impatto sul design che crea dipendenza è presto per un giudizio.
L’Italia e gli altri Stati
Il ddl S. 1136 (Mennuni e altri) è stato presentato nel 2024 ed è in esame all’8a Commissione del Senato; il testo in discussione consente l’attivazione di account sui social solo dopo i quindici anni e affida la verifica a un mini-portafoglio nazionale. In Francia, invece, il Parlamento ha approvato in via definitiva il 21 luglio 2026 il divieto di accesso ai social per i minori di quindici anni.
§8 — CONSIGLI OPERATIVI
Per i genitori
- Verificare con quali dati è stato aperto l’account. Se il figlio ha meno di quattordici anni e non c’è stato consenso di un genitore, il trattamento dei dati è privo di base giuridica: si può chiedere al titolare la cancellazione dei dati (art. 17, par. 1, Reg. UE 2016/679 (GDPR)) e la chiusura dell’account.
- Conservare le prove: schermate della registrazione, data di nascita inserita, messaggi inviati. Servono sia per il reclamo al Garante (art. 77 GDPR) sia per un eventuale giudizio.
- Segnalare alla piattaforma i contenuti dannosi tramite gli strumenti previsti dal Reg. UE 2022/2065 (DSA); se la risposta manca o è inadeguata, rivolgersi al coordinatore dei servizi digitali, cioè all’AGCOM.
- Per pratiche che sfruttano la fragilità dei minori, come le sfide pericolose o i meccanismi che spingono a un uso senza pause, la sede naturale è l’AGCM.
Per gli operatori e i fornitori di servizi
- Eliminare l’autodichiarazione come unica barriera: è la prima cosa che la Commissione contesta.
- Scegliere una tecnica proporzionata al rischio (verifica per i contenuti per adulti, stima negli altri casi) e documentare la scelta.
- Non raccogliere dati ulteriori solo per accertare l’età: l’art. 28, par. 3, DSA e l’art. 5, par. 1, lett. c), GDPR valgono insieme.
- Disattivare per i minori la pubblicità basata su profilazione (art. 28, par. 2, DSA) e rivedere le funzioni che incoraggiano l’uso continuo.
- Per chi serve utenti italiani da un altro Stato membro, tenere conto della sentenza della Corte di giustizia del 16 giugno 2026: l’autorità italiana può agire con provvedimenti individuali, non con obblighi generali, e nel rispetto della procedura dell’art. 3, par. 4, Dir. 2000/31/CE.
§9 — CONSIDERAZIONI CONCLUSIVE
La verifica dell’età online è passata in due anni da obbligo implicito a questione di enforcement. Il DSA ha dato la norma, le Linee guida hanno dato il metro, la Commissione ha cominciato a misurare. In Italia manca la parte nazionale: una legge sull’età minima, un’infrastruttura di verifica a bassa intrusività, un orientamento dei giudici ordinari. Nel frattempo la tutela passa per quattro autorità e per un diritto civile pensato per il minore che compra una bicicletta, non per quello che passa ore su un feed.
Per il genitore i rimedi esistono ma sono dispersi: il Garante per i dati, l’AGCM per le pratiche, l’AGCOM per i servizi, il giudice civile per il contratto e per il risarcimento. Per l’operatore il rischio non è più solo reputazionale: le constatazioni preliminari su Meta mostrano che l’assenza di un sistema credibile di garanzia dell’età è già oggetto di contestazione formale.
Il KIDS Act, il Digital Fairness Act e il ddl italiano cambieranno le soglie e i rimedi. Fino ad allora, il testo che vale è l’art. 28 Reg. UE 2022/2065 (DSA), letto con le Linee guida: chi gestisce una piattaforma accessibile ai minori e non ha ancora riletto le proprie procedure di iscrizione ha, con ogni probabilità, un lavoro da fare.
Note
[§1] Commissione europea, Linee guida sulle misure volte a garantire un elevato livello di privacy, sicurezza e protezione dei minori online ai sensi dell’art. 28, par. 4, Reg. UE 2022/2065, C(2025) 4764 final, 14 luglio 2025, in particolare punti 5-8, 37, 47 e 52.
[§2] Commissione europea, applicazione di verifica dell’età: Linee guida, punti 43-44 e riquadro sull’EU age verification solution; Taylor Wessing, European Commission guidelines on protection of minors under the Digital Services Act, luglio 2025.
[§3] Comitato europeo per la protezione dei dati (EDPB), Dichiarazione 1/2025 sulla garanzia dell’età, adottata l’11 febbraio 2025, punti 16-17.
[§4] Commissione europea, constatazioni preliminari del 29 aprile 2026 nei confronti di Meta (Facebook e Instagram) ai sensi del Reg. UE 2022/2065, in tema di minori di tredici anni.
[§5] Commissione europea, comunicato stampa del 10 luglio 2026, Commission preliminarily finds the addictive design of Instagram and Facebook in breach of the Digital Services Act.
[§6] Raccomandazione (UE) 2026/1035 della Commissione, del 29 aprile 2026, su un quadro comune per le tecnologie di verifica dell’età a livello dell’Unione.
[§7] AGCOM, delibere nn. 73/26/CONS e 74/26/CONS del 18 marzo 2026 (procedimenti nn. 01 e 02/AGEVERIFICATION); F. Di Giorgi, Protection of minors and age verification: AGCOM issues the first orders to block pornographic websites, IRIS 2026-4:1/5, Osservatorio europeo dell’audiovisivo.
[§8] Corte di giustizia dell’Unione europea, sentenza del 16 giugno 2026, C-188/24 e C-190/24, dispositivo e motivazione; comunicato stampa n. 87/26 della stessa data.
[§9] F. Sarzana di S. Ippolito, Il TAR Lazio annulla la Delibera AGCOM sulla verifica dell’età per i siti Hard, Nòva – Il Sole 24 Ore, 7 aprile 2026.
[§10] Jones Day, EU KIDS Act: Minimum Age 15, Safe-by-Default Design and Mandatory Age Verification, novembre 2026.
