Verifica dell'età digitale: cosa propongono Spagna e UE per proteggere i minori

Il 3 febbraio 2026, Pedro Sánchez ha annunciato che il Governo promuoverebbe misure per vietare l'accesso alle piattaforme digitali ai minori di 16 anni. È stato un annuncio politico, non la conferma che quel divieto fosse già in vigore: la fonte ufficiale registra la proposta e il pacchetto di misure, ma non accredita da sola l'approvazione né la data di applicazione di una legge.

La distinzione conta per famiglie e aziende. Una proposta di età minima può anticipare cambiamenti, ma non deve essere trattata come un obbligo legale già operativo. Al contrario, il Regolamento sui servizi digitali (DSA) stabilisce già obblighi per le piattaforme online accessibili ai minori, e l'articolo 28 richiede misure adeguate e proporzionate per garantire un alto livello di privacy, sicurezza e protezione di questi utenti.

Conviene anche separare questa discussione dall'età per il consenso al trattamento dei dati personali. Il Garante indica che in Spagna un minore può consensire da solo a quel trattamento a partire dai 14 anni; al di sotto di quella soglia, quando il trattamento si basa sul consenso, questo deve essere prestato da chi esercita la potestà genitoriale o la tutela. Non equivale a un'età generale di accesso ai social network né prova che la soglia sia già stata alzata a 16 anni.

Il Garante per la protezione dei dati personali e l'Autorità Garante della Concorrenza e del Mercato (AGCM) hanno pubblicato congiuntamente, il 24 marzo 2026, una spiegazione sull'articolo 28 del DSA e la garanzia dell'età. Il loro approccio non consiste nell'imporre un unico metodo di verifica: le misure devono essere adeguate e proporzionate al servizio e devono proteggere i minori senza smettere di rispettare i diritti degli altri utenti.

La guida collega la protezione dell'infanzia agli obblighi di privacy del GDPR. Tra i criteri che evidenzia figurano evitare il profilaggio e scegliere soluzioni che consentano di attestare una condizione —ad esempio, avere l'età richiesta— senza rivelare più informazioni personali del necessario. La verifica dell'età non deve diventare automaticamente un'identificazione: verificare che qualcuno raggiunga una soglia e sapere chi è sono operazioni distinte.

Per chi gestisce una piattaforma, la decisione pratica è valutare il rischio e lo scopo prima di implementare una barriera. Una misura utile per restringere i contenuti per adulti non è necessariamente adeguata a qualsiasi servizio o gruppo di età. Le informazioni disponibili non stabiliscono una regola universale che obblighi tutte le piattaforme a richiedere documenti d'identità a ogni utente.

Il Garante e l'AGCM menzionano meccanismi di privacy, tra cui i token anonimi e il Portafoglio di Identità Digitale dell'UE. L'idea è che una persona possa dimostrare di raggiungere una soglia senza che il servizio riceva necessariamente la sua identità completa. Questo descrive un approccio favorito dalle linee guida; non significa che tutte le piattaforme lo utilizzino già né che ogni implementazione abbia garanzie identiche.

La Commissione Europea sviluppa anche una soluzione di verifica dell'età. Secondo la sua pagina ufficiale, ha presentato un piano nel luglio 2025 e la soluzione è stata pronta per l'uso il 15 aprile 2026. La descrizione segnala che consente di dimostrare di avere più di 18 anni senza condividere altre informazioni personali. Quel ambito specifico è per i maggiorenni: non basta per affermare che il sistema risolva da solo una verifica della soglia spagnola di 16 anni.

La bozza iniziale faceva riferimento all'autenticazione multifattoriale e a metodi resistenti al phishing, ma le fonti disponibili non supportano che siano tecnologie specificamente valutate o richieste dal Garante per questo scopo. Non corrisponde nemmeno presentare credenziali uniche come mandato generale. La formulazione verificabile è più ristretta: le autorità promuovono opzioni che preservino la privacy ed evitino di profilare gli utenti, mentre la soluzione tecnica dipende dal contesto e dal suo design.

Una verifica dell'età può coinvolgere documenti, immagini o dati biometrici, ma non tutte le soluzioni richiedono di raccogliere o conservare quelle informazioni allo stesso modo. Il dibattito consiste nel limitare l'esposizione dei dati: se una piattaforma riceve un segnale di idoneità invece di una copia del documento, diminuisce le informazioni che può associare direttamente a un account, anche se il risultato dipende da come si costruisce il sistema.

Il Garante e l'AGCM evidenziano meccanismi che preservano la privacy ed evitano il profilaggio. Questa orientazione non dimostra che qualsiasi token o portafoglio sia anonimo in tutti gli scenari: contano l'emissione della credenziale, il modo in cui viene presentata, la possibilità di riutilizzarla e i registri che conserva ciascun partecipante. La protezione dipende dal flusso completo, non solo dal nome di una tecnologia.

Per utenti e famiglie, una domanda utile di fronte a una richiesta di verifica è quale dato viene raccolto, chi lo riceve, per quanto tempo viene conservato e se viene riutilizzato per altri fini. Per un'azienda, quelle stesse domande aiutano a confrontare una verifica puntuale con sistemi che possono collegare identità, attività e account. La minimizzazione riduce l'esposizione, ma non elimina da sola tutti i rischi di sicurezza o di uso improprio.

La verifica dell'età e la protezione dei minori possono influenzare come una piattaforma organizza i suoi account, contenuti e trattamenti di dati. Tuttavia, le fonti non accreditano un cambiamento automatico nel modello pubblicitario né un divieto generale della pubblicità personalizzata come conseguenza diretta della proposta spagnola o delle linee guida sull'età.

L'effetto dipende da decisioni regolatorie successive, dal tipo di servizio e da come si ottiene e utilizza l'informazione. Le linee guida che promuovono di evitare il profilaggio sono rilevanti per progettare sistemi di verifica, ma non equivalgono a una conclusione che tutte le piattaforme debbano rimuovere la segmentazione pubblicitaria o che l'abbiano già fatto.

Per i responsabili della conformità, la misura prudente è distinguere gli obblighi vigenti dai cambiamenti annunciati e documentare la necessità di ogni dato. Per genitori e utenti, conviene non confondere una verifica dell'età con un'autorizzazione generale a tracciare o profilare. La conclusione pratica: verificare il minimo necessario e non trattare una proposta politica come norma già applicata.