Per accedere a un sito per adulti in Italia sarà necessario dimostrare di avere l’età legale. È questo quello che ha disposto, ora anche formalmente, l’Autorità per le Garanzie nelle Comunicazioni (AGCOM), dopo le anticipazioni dei mesi scorsi.
La norma, che dovrà trovare attuazione entro sei mesi, si basa sull’attuazione del cosiddetto “Decreto Caivano” (ovvero della Legge 159/2023). È il risultato di un confronto durato a lungo, con l’obiettivo di garantire una protezione efficace dei minori dai pericoli del web, fondandosi su due pilastri: l’autenticazione dell’età di chi richiede l’accesso e l’anonimato dell’utente.
Come funziona il sistema di verifica dell’età
Il sistema prevede l’intervento di soggetti terzi certificati, che forniranno una “prova dell’età” attraverso un processo in due fasi: identificazione e autenticazione.
Ad esempio, l’utente potrà utilizzare un’app installata sul proprio dispositivo per generare e certificare la propria età. Questo meccanismo garantisce un livello adeguato di sicurezza e rispetta la minimizzazione dei dati personali raccolti.
Il metodo principale: l’identità digitale
Il metodo principale consisterà nell’utilizzare la propria identità digitale mediante:
- SPID: il sistema che permette di accedere a vari servizi online con un’unica identità digitale.
- CIE: la Carta d’Identità Elettronica, che può essere usata online tramite l’app CieID e uno smartphone con tecnologia NFC.
Esistono anche aziende autorizzate che offrono servizi di verifica dell’età. Questi provider, accreditati da AGCOM, possono rilasciare una certificazione che attesta la maggiore età, senza rivelare la tua identità al sito che si vuole visitare.
In una fase iniziale transitoria, sarà anche possibile utilizzare una carta di credito o debito per dimostrare la propria età. Tuttavia, questo metodo sarà solo una soluzione temporanea e dovrà comunque rispettare le regole sulla protezione dei dati personali.
I due passaggi
L’accesso si basa su due passaggi distinti ma indispensabili, che vengono attuati ad ogni richiesta. Niente opzione “ricorda il mio accesso”, proprio per impedire che un minore possa sfruttare una sessione autorizzata da un altro utente.
Identificazione
Nel primo passaggio, un servizio esterno — che può essere SPID, la Carta d’Identità Elettronica o un provider accreditato — controlla che chi fa richiesta sia davvero maggiorenne. Questo controllo serve solo a verificare l’età, non a sapere chi si è o che sito si vuole visitare.
Autenticazione (o “prova dell’età”)
Una volta accertato che l’utente ha almeno 18 anni, il sistema genera una sorta di “gettone digitale” che dice semplicemente: “Questa persona è maggiorenne”.
Questo gettone viene poi mostrato al sito a cui si vuole accedere, ma non contiene nessun dato personale. È come mostrare un timbro all’ingresso di un locale su di un biglietto, senza dover dire il proprio nome.
Grazie a questi due passaggi separati, nessuno ha accesso contemporaneamente sia ai dati personali dell’utente sia al sito che sta visitando. Agcom parla di doppio anonimato.
Immagine creata con Microsoft Designer
La garanzia della privacy
Il doppio anonimato preserva la privacy. Nessuno vorrà che la propria visita a un sito per adulti venga tracciata, conservata o, peggio ancora, usata per profilazione pubblicitaria. Per questo Agcom fonda l’intero sistema su questo principio.
Che significa “doppio anonimato”?
Il doppio anomimato è un meccanismo che separa nettamente chi verifica l’età da chi permette di accedere al sito. Funziona così:
- Il sito non conosce l’identità del richiedente. Non riceve nome, cognome, data di nascita o altri dati personali. Ottiene solo la conferma che “questa persona è maggiorenne”.
- Il verificatore non sa dove sta andando. L’ente che controlla l’età (SPID, CIE o provider terzo) non conosce il sito che l’utente visitare. Rilascia solo un “pass” generico.
In pratica, nessuno ha il quadro completo e ciascuno lavora solo sui dati che gli servono per il servizio.
Niente tracciamenti, niente profilazioni
Come accennato, i sistemi devono rispettare tutte le regole europee sulla protezione dei dati (GDPR), e l’AGCOM ha stabilito che:
- I dati non devono essere conservati oltre il necessario.
- Non possono essere usati per pubblicità o scopi commerciali.
- Il processo deve essere trasparente, e l’utente sempre informato su cosa succede.
L’AGCOM ha scelto un approccio tecnologicamente neutrale: ha definito i principi e i requisiti (sicurezza, inclusività, accessibilità, efficacia, proporzionalità), ma non ha imposto una tecnologia unica. Questo lascia spazio a soluzioni innovative, purché rispettose delle regole.
Il trionfo delle VPN (sono legali?)
Con l’arrivo dell’obbligo di verifica dell’età, non è difficile immaginare un boom nell’uso delle VPN. Macitynet ne parla qui e qui vi spiega come usare le VPN su iPhone e iPad. Leggete quegli articoli per sapere tutto delle VPN. In questo contesto vi diciamo solo che si tratta di di servizi che “mascherano” il proprio indirizzo IP facendo sembrare che ci si stia collegando da un altro Paese.
Nel contesto della verifica dell’età, l’idea è semplice: se ci si collega da un server VPN in un Paese dove questi obblighi non esistono, il sito dovrebbe non richiedere la verifica dell’età.
Funziona davvero?
La scorciatoia funziona, ma non è detto che sia così anche in questo caso e sempre. Alcuni siti potrebbero infatti mostrare i contenuti senza controlli se rilevano che l’IP arriva dagli USA o da altri Paesi permissivi. Ma ci sono dei problemi:
- Molti siti riconoscono l’uso di VPN e bloccano o reindirizzano comunque la richiesta verso la versione italiana con le regole italiane.
- I provider di rete italiani potrebbero bloccare il dominio direttamente, impedendo l’accesso anche con una VPN (come succede in Francia).
È legale usare una VPN?
In Italia usare una VPN è perfettamente legale, finché non si usa per scopi illegali. E aggirare un controllo dell’età non è un reato, ma può mettere l’utente in una zona grigia, specialmente se le condizioni d’uso del sito hanno delle norme specifiche.
Peggio potrebbe andare per chi gestisce un sito: se non rispetta le regole AGCOM, può incorrere in sanzioni fino a 100.000 euro o nel blocco del sito.
I prossimi passaggi
ll sistema di verifica dell’età non entrerà in vigore da un giorno all’altro: la legge prevede un percorso preciso, con tappe e scadenze ben definite.
Tutto è cominciato con la pubblicazione ufficiale della delibera AGCOM di ieri, 18 aprile 2025. Ora i siti che offrono contenuti riservati ai maggiorenni hanno sei mesi di tempo per mettersi in regola. Quindi, la scadenza da segnare sul calendario è il 18 ottobre 2025.
In questi mesi i gestori dei siti dovranno scegliere il sistema di verifica da adottare (SPID, CIE o provider accreditati), implementarlo tecnicamente e assicurarsi che tutto rispetti i criteri fissati da AGCOM: sicurezza, anonimato, proporzionalità e trasparenza.
Durante una fase di transizione sarà ancora possibile, in alcuni casi, usare soluzioni temporanee come la verifica con carta di credito, ma solo come misura provvisoria. Dopo, anche quella opzione sparirà.
Una volta superata la scadenza di ottobre, AGCOM inizierà i controlli. Chi non si sarà adeguato rischia multe fino a 100.000 euro e sanzioni come il blocco del sito da parte dei provider di rete italiani.
In parallelo, l’Italia dovrà anche coordinarsi con l’Unione Europea. Entro la fine del 2025, infatti, è atteso un orientamento comune da parte della Commissione europea, nell’ambito del Digital Services Act. Se necessario, il sistema italiano potrà essere aggiornato o armonizzato con quello degli altri Paesi membri.
