Vietare i social ai minori non basta: il vero nodo è la verifica dell’età

Anche in Italia si discute sempre più spesso di vietare l’uso dei social network al di sotto di una certa età. Tuttavia, alla base del dibattito c’è una questione più profonda: l’incapacità – o la mancanza di volontà – dei fornitori di servizi online di verificare adeguatamente l’età degli utenti, applicando regole che già esistono.

Che cos’è davvero la verifica dell’età

Quando si parla di verifica dell’età (“age verification” o “age assurance”), si fa riferimento a un insieme di strumenti pensati per stabilire o stimare l’età di un utente prima di consentirgli l’accesso a un servizio online. La forma più semplice e diffusa è l’autodichiarazione, ossia l’inserimento della data di nascita in fase di registrazione. È il sistema adottato dalla maggior parte delle piattaforme, ma anche il più fragile perché non prevede controlli ulteriori.

Esistono poi sistemi più strutturati, come il caricamento di un documento di identità (controllato automaticamente o manualmente), il ricorso a fornitori terzi che certificano il superamento di una certa soglia senza comunicare l’età esatta, oppure la stima tramite dati biometrici come l’analisi del volto. Alcuni modelli si basano su dati finanziari – ad esempio l’uso di carte di credito – o su informazioni fornite da operatori telefonici. Insomma, le soluzioni non mancano.

Le leggi ci sono, ma manca l’applicazione

La tutela dei minori online è una delle priorità dichiarate dell’Unione Europea e degli Stati Membri con l’obiettivo di contrastare rischi ben noti, quali l’esposizione a contenuti pornografici o violenti, cyberbullismo, contatti con adulti sconosciuti, profilazione commerciale aggressiva e impatto sulla salute mentale.

Esiste una stratificazione significativa di norme in materia, di cui però manca spesso l’applicazione concreta. A questo si aggiunge un problema di armonizzazione tra principi giuridici diversi. Il risultato è un quadro frammentato, in cui le piattaforme tendono ad adottare soluzioni minime, senza che vi sia un controllo sistematico sull’effettiva efficacia delle misure adottate.

Il Digital Services Act chiede privacy, sicurezza e protezione

Il Digital Services Act (DSA) rappresenta oggi il principale riferimento normativo per gli obblighi delle piattaforme online, in particolare quelle di grandi dimensioni. L’articolo 28 stabilisce che le piattaforme accessibili ai minori devono adottare misure appropriate e proporzionate per garantire un elevato livello di privacy, sicurezza e protezione. Dunque, limitarsi a chiedere una data di nascita difficilmente può essere considerato sufficiente alla luce di tale obbligo.

Eppure, una ricerca pubblicata da Interface ha dimostrato che piattaforme come Discord, Fortnite, Instragram, Roblox, Snapchat, TikTok e Twich si basano principalmente sull’autodichiarazione. In altre parole, il sistema di accesso può essere facilmente aggirato inserendo una data falsa, creando una contraddizione evidenza tra il dettato normativo e la prassi.

Proteggere senza esporre nel rispetto del GDPR

Una seconda tensione riguarda il fatto che verificare l’età comporta inevitabilmente il trattamento di dati personali, e quando si tratta di minori, il GDPR impone tutele rafforzate.

L’articolo 6 richiede che ogni trattamento sia fondato su una base giuridica valida, mentre l’articolo 8 stabilisce condizioni specifiche per il consenso dei minori nei servizi della società dell’informazione. I dati dei minori meritano una protezione particolare perché sono soggetti vulnerabili, meno consapevoli dei rischi e delle conseguenze del trattamento.

Il paradosso è che per proteggere i minori, si chiede alle piattaforme di raccogliere maggiori informazioni, ma questo significa aumentare il pericolo di violazioni, accessi indebiti, usi secondari o profilazione eccessiva.

L’utilizzo di sistemi biometrici, ad esempio, può migliorare l’affidabilità della verifica, ma introduce rischio significativi in termini di minimizzazione dei dati, proporzionalità e sicurezza. Una banca dati di documenti o immagini di volti di minori rappresenta un obiettivo estremamente sensibile per eventuali abusi o attacchi informatici. La difficoltà sta dunque nel trovare un equilibrio tra protezione e rispetto dei diritti fondamentali.

Il limite tra diritto nazionale e dell’UE

Negli ultimi mesi, la Francia è stata al centro del dibattito per aver promosso un sistema più robusto sull’accesso ai social per gli under 15, modello seguito poi dalla Spagna e discusso anche in Germania.

Ma c’è un limite strutturale: il diritto dell’Unione Europea prevale su quello nazionale. Ciò significa che i singoli Stati non possono introdurre maggiori restrizioni se rischiano di frammentare il mercato interno o entrare in conflitto con il DSA. Di conseguenza, la volontà di rafforzare la tutela può essere frenata dall’esigenza di armonizzazione a livello comunitario.

In Italia, il Garante per la protezione dei dati personali richiama da tempo alla prudenza nel trattamento dei dati dei minori e alla necessità di soluzioni proporzionate e rispettose del GDPR. Appare allora chiaro che introdurre nuovi divieti rischia di essere inefficace, nella pratica, la verifica continua a basarsi su una semplice autodichiarazione.

Se vietare non basta a risolvere il problema

È evidente la tensione tra la spinta a introdurre divieti generalizzati e la consapevolezza che le norme già esistenti non sono pienamente applicate. Attualmente è in corso un’indagine formale della Commissione Europea contro quattro siti di contenuti per adulti, proprio per accertarne la conformità al DSA in materia di protezione dei minori, compresa la prevenzione dell’accesso ai servizi.

Altri procedimenti contro Meta (Facebook e Instagram) e TikTok – con una condanna preliminare nei confronti dell’app cinese – riguardano questioni legate alla tutela di bambini e adolescenti, in particolare rispetto a meccanismi di design che favoriscono la dipendenza. Si tratta però di procedure lunghe e complesse che, nel frattempo, lasciano la situazione sostanzialmente invariata.

Infine, la verifica dell’età non può essere l’unico pilastro della protezione dei minori. Se tutto si riduce a dimostrare quanti anni si hanno, si rischia di spostare la responsabilità sui genitori, mentre piattaforme e decisori pubblici vengono in parte deresponsabilizzati. La tutela effettiva è strutturale e richiede “safety by design”, affinché le verifiche non siano semplici formalità aggirabili in pochi clic.