Delibera AGCOM 96/25/CONS: nuove regole per la verifica dell’età online

Con la Delibera 96/25/CONS, l’AGCOM introduce un nuovo sistema per accertare la maggiore età degli utenti che accedono a contenuti pornografici online.

Questa misura attua il cosiddetto Decreto Caivano (d.l. 123/2023), che all’articolo 13-bis vieta l’accesso dei minori a contenuti a carattere pornografico. L’obbligo riguarda tutte le piattaforme e i siti che diffondono video e immagini pornografiche accessibili dall’Italia, a prescindere dalla loro sede legale. L’obiettivo è chiaro: impedire l’accesso ai minori e garantire che solo gli adulti possano fruire di questo tipo di contenuti digitali.

Sistemi di Age Assurance: come funzionano

Il fulcro della regolamentazione è l’introduzione dei cosiddetti sistemi di “Age Assurance”, meccanismi tecnologici che permettono di dimostrare che l’utente ha raggiunto una determinata età. Questo può avvenire secondo due modalità principali: con o senza l’utilizzo di applicazioni dedicate.

Sistemi di verifica dell’età non basati su applicazioni installate nello smartphone dell’utente

Nel primo caso, l’utente ottiene una certificazione dell’età (tecnicamente definita “prova dell’età”) da un soggetto terzo, come una banca, un operatore telefonico o un altro ente qualificato, che ha già identificato l’utente per la fornitura di altri servizi.

Questa prova dell’età viene crittografata o anonimizzata: il certificatore non conosce il sito a cui sarà destinata e il sito che la riceve non sa chi ha emesso la certificazione (il principio del cosiddetto “doppio anonimato”).

Una volta ottenuta, la prova dell’età è sotto il controllo dell’utente, che la conserva e la utilizza ogni volta che desidera accedere a contenuti per i quali è richiesta la verifica dell’età. In questo modo, il sito riceve solo la conferma che l’utente ha superato la soglia d’età richiesta, senza ottenere alcun dato identificativo dell’utente.

Di seguito, un’immagine esemplificativa del processo suddetto:

Sistemi di age assurance basati sull’uso di applicazioni installate nello smartphone dell’utente

In alternativa, la verifica dell’età può avvenire direttamente tramite un’applicazione installata sullo smartphone dell’utente. Quando si tenta di accedere a un sito con contenuti soggetti a restrizione, il sito genera un codice (spesso un QR code) che l’utente inquadra con la fotocamera del telefono. Questo passaggio attiva l’applicazione dedicata, che elabora la prova dell’età direttamente sul dispositivo dell’utente e la trasmette al sito, senza bisogno di passaggi esterni.

Per garantire che l’applicazione non conosca il sito a cui sta inviando la verifica dell’età – elemento fondamentale per rispettare il principio del doppio anonimato – il codice generato dal sito contiene solo le informazioni strettamente necessarie per la verifica, senza rivelare l’identità o l’URL del sito.

La comunicazione avviene tramite canali cifrati e protetti, che possono includere server proxy o meccanismi di routing anonimizzati, impedendo così all’applicazione di identificare il sito destinatario.

Inoltre, protocolli crittografici avanzati, come le zero-knowledge proofs, permettono di confermare la maggiore età senza condividere dati personali o informazioni sull’utente o sul sito (I termini tecnici come server proxy, routing anonimo e zero-knowledge proofs  indicano strumenti e meccanismi crittografici utilizzati per proteggere la privacy dell’utente durante la verifica dell’età. Per chi volesse approfondire, in fondo all’articolo è disponibile un breve glossario esplicativo).

Tutto avviene all’interno del dispositivo dell’utente: né l’identità dell’utente né il sito visitato vengono condivisi con terze parti, nel rispetto del principio del doppio anonimato. Il risultato è un sistema semplice e sicuro, che mette al centro la privacy dell’utente senza complicare l’accesso ai contenuti.

È essenziale che il soggetto incaricato di fornire la prova dell’età sia del tutto indipendente dal sito web che offre i contenuti protetti e sia riconosciuto come ente qualificato da un’autorità competente. Solo così la certificazione risulterà valida e affidabile, garantendo la tutela dei dati personali attraverso una netta separazione tra utente, fornitore del contenuto ed ente certificatore.

Tra le soluzioni al vaglio rientra anche l’uso delle applicazioni dei portafogli di identità digitale pubblici. Il Garante per la protezione dei dati personali ha espresso parere favorevole al loro utilizzo, a condizione che sia pienamente garantito il cosiddetto doppio anonimato: deve essere garantita l’impossibilità di registrare o tracciare gli accessi dell’utente ai siti, sia da parte degli Identity provider che degli enti pubblici.

Alcuni sistemi noti, come ad esempio lo SPID, secondo l’AGCOM non risultano pienamente compatibili con questo principio, poiché possono rivelare all’Identity Provider il nome del sito visitato. Tuttavia, la rete degli Identity provider certificati, sottoposti alla vigilanza dell’Agenzia per l’Italia Digitale (AGID), rappresenta una base solida per realizzare soluzioni affidabili, in grado di garantire la riservatezza senza compromettere l’efficacia della verifica dell’età.

Doppio anonimato e protezione dei dati

Uno degli aspetti più innovativi e rilevanti introdotti dalla delibera è il principio del doppio anonimato.

Il sistema è progettato per impedire qualsiasi scambio incrociato di dati tra i soggetti coinvolti: il certificatore conosce l’identità dell’utente, ma non il sito per il quale la prova dell’età è stata richiesta; il sito riceve la conferma dell’età, ma non conosce chi ha fornito la prova dell’età e né chi è l’utente.

Questo meccanismo assicura una protezione dei dati personali avanzata, pienamente conforme ai principi del GDPR e al diritto alla riservatezza digitale.

Controlli e sanzioni: l’AGCOM vigilerà sull’applicazione delle nuove regole

I gestori dei siti interessati avranno sei mesi di tempo dalla pubblicazione della delibera – avvenuta il 12 maggio 2025 – per adeguarsi alle nuove prescrizioni. Alla scadenza, l’AGCOM interverrà per verificarne l’attuazione: in caso di mancato adeguamento, l’Autorità potrà contestare la violazione, imporre sanzioni amministrative (comprese tra 10.329 e 258.228 euro) e diffidare il gestore a mettersi in regola entro 20 giorni. Se la diffida non sarà rispettata, l’Autorità potrà disporre il blocco dell’accesso al sito fino all’effettivo adeguamento.

Si tratta di misure forti, pensate per assicurare che la protezione dei minori e la riservatezza degli utenti non restino solo principi teorici, ma si traducano in azioni concrete.

Sistemi di Age Assurance: un nuovo standard per il web

Sebbene l’intervento dell’AGCOM sia nato per regolamentare l’accesso ai contenuti pornografici, il sistema di Age assurance descritto nella delibera possiede tutte le caratteristiche per diventare uno standard trasversale per la verifica dell’età online. Una delle applicazioni più significative riguarda la possibilità di accertare se un utente ha compiuto almeno 14 anni d’età, soglia fissata dalla legge italiana per esprimere il consenso al trattamento dei dati personali e accedere legalmente ai social network o ad altri servizi digitali.

In definitiva, la delibera 96/25/CONS dell’AGCOM rappresenta un passo importante verso un ecosistema digitale più sicuro, in cui la tutela dei minori non è lasciata al caso e i diritti fondamentali degli adulti – come la riservatezza, la libertà di circolazione online e il diritto all’autodeterminazione digitale – sono pienamente garantiti. Le tecnologie per raggiungere questi obiettivi esistono già, sono affidabili e conformi alle migliori pratiche europee. Ora la vera sfida è trasformarle in soluzioni diffuse, semplici da usare e realmente efficaci. Un compito che coinvolge istituzioni, imprese e fornitori di servizi digitali: solo lavorando insieme potremo costruire un ecosistema digitale davvero sicuro e rispettoso di tutti.

GLOSSARIO:

• Server proxy:
  È un “intermediario” tra il tuo dispositivo (ad esempio il telefono) e il sito web a cui ti colleghi. Quando usi un proxy, la tua richiesta passa prima da questo server che fa da “filtro”, nascondendo il tuo indirizzo IP o altre informazioni. Così il sito finale non vede direttamente chi sei.
  
  
• Meccanismi di routing anonimi:
  Sono sistemi che instradano la comunicazione su più server diversi (a volte in modo casuale), rendendo molto difficile risalire all’origine o alla destinazione reale del traffico. In pratica, è come se il messaggio facesse tanti “giri” nascosti prima di arrivare a destinazione, proteggendo la privacy.
  
  
• Zero-knowledge proofs (dimostrazioni a conoscenza zero):
  Sono tecniche crittografiche che permettono a una persona o un sistema di dimostrare di conoscere o possedere una certa informazione (ad esempio: “sono maggiorenne”) senza doverla rivelare. È come dimostrare di aver superato un test senza mostrare le risposte o i dettagli personali.