L’app europea per la verifica dell’età: anonima per decreto, vulnerabile nella realtà

L’Europa vuole proteggere i minori online e per farlo ha scelto un’app. Il 15 aprile 2026, la Commissione europea ha presentato con una certa fanfara la sua soluzione di verifica dell’età digitale, descritta dalla presidente come “completamente anonima”. Peccato che nel giro di pochi giorni esperti indipendenti di cybersicurezza e protezione dei dati avessero già trovato falle significative nell’applicazione, sollevando dubbi concreti sulla tenuta delle garanzie annunciate.

L’idea di fondo è ambiziosa e, in linea di principio, condivisibile: consentire ai minori di dimostrare di aver raggiunto la soglia d’età richiesta per accedere a determinati contenuti online , piattaforme per adulti, social media, servizi con restrizioni d’età , senza dover rivelare la propria identità al servizio che accede. Sul piano tecnico, il sistema si baserebbe su tecniche crittografiche che permettono di attestare il superamento di una soglia anagrafica senza trasmettere dati identificativi. Un approccio cosiddetto “privacy by design”, allineato al GDPR e alle indicazioni del Comitato europeo per la protezione dei dati.

Il problema è che tra la promessa e l’implementazione il divario si è rivelato subito evidente. Secondo quanto denunciato in due interrogazioni parlamentari , firmate rispettivamente da Friedrich Pürner e Fabio De Masi, entrambi del gruppo Non Iscritti , esperti di sicurezza informatica hanno dimostrato che l’applicazione presentava vulnerabilità tecniche concrete, potenzialmente sfruttabili per compromettere la protezione dei dati degli utenti.

Le domande poste alla Commissione erano precise e scomode. Come si garantisce che le autorità di emissione nazionali non effettuino log che consentano di identificare gli utenti? Quali obblighi vincolanti impediscono la raccolta di metadati come indirizzi IP, identificativi del dispositivo o timestamp? Come si evita che la funzione di verifica dell’età venga collegata ad altri sistemi , statali o privati , abilitando profilazione successiva?

La “risposta furba” della Commissione: “Era solo un prototipo”.

La vicepresidente esecutiva Henna Virkkunen ha risposto con la solita retorica collaudata: ridefinire il problema. L’applicazione presentata ad aprile, ha spiegato, era “un’implementazione di riferimento preliminare”, rilasciata “apertamente per consentirne l’esame critico prima del dispiegamento pubblico”. In altre parole: non era l’app finale, era un test. E i bug trovati? “Alcune delle criticità sollevate dagli esperti indipendenti erano fondate e sono state corrette dal consorzio di sviluppo”, ha dichiarato l’esponente della Commissione europea.

Nessun rinvio dei tempi, assicura la Commissione, perché l’effettivo dispiegamento nei singoli Stati membri sarà subordinato al completamento di verifiche indipendenti di terze parti, come raccomandato dalla stessa Commissione il 29 aprile 2026. In pratica: ogni Paese potrà adottare l’app solo dopo aver superato una serie di controlli di sicurezza e conformità al GDPR.

Nella risposta alla seconda interrogazione, la Commissione ha ammesso un limite tecnico non secondario, con una franchezza che suona quasi come una confessione: “Non è tecnicamente possibile mantenere completamente privati gli indirizzi IP, gli identificativi del dispositivo o i timestamp”. La garanzia offerta è di secondo livello: queste informazioni non potranno essere collegate all’identità dell’utente. Una distinzione importante sul piano giuridico, ma che per molti esperti non è sufficiente a escludere rischi concreti di re-identificazione, soprattutto in presenza di sistemi avanzati di analisi del traffico.

I fornitori di soluzioni di verifica dell’età sono qualificati come prestatori di servizi fiduciari ai sensi del regolamento eIDAS, con obblighi di gestione del rischio e notifica delle violazioni alla Commissione. Le loro attività sono soggette alla supervisione delle autorità nazionali competenti. Un sistema di controllo stratificato che sulla carta appare robusto, ma che nella pratica , come dimostra la vicenda del lancio , non ha impedito che una versione già esposta al pubblico presentasse falle note.

Il dibattito attorno all’app europea tocca quindi un nervo scoperto nel rapporto tra sicurezza digitale e libertà civili. Qualsiasi sistema di verifica dell’età implica, per definizione, una forma di controllo dell’accesso a contenuti online , un territorio storicamente sensibile, dove il confine tra protezione e sorveglianza è sottile. L’approccio “zero-knowledge”, invocato da De Masi nella sua interrogazione, rappresenta la soluzione tecnicamente più rispettosa della privacy: consente di dimostrare un fatto (ho più di 18 anni) senza rivelare alcun dato aggiuntivo. La Commissione assicura che questo approccio è già “un elemento costitutivo del design” del sistema. Ma se lo è davvero, come mai la versione presentata ad aprile presentava vulnerabilità tali da richiedere correzioni urgenti?

L’app europea per la verifica dell’età è ancora in cantiere, e forse è giusto che sia così. Il problema è che il lancio pubblico, con tanto di dichiarazioni presidenziali sull’anonimato totale , è avvenuto prima che il prodotto fosse all’altezza delle promesse. Un errore di comunicazione, quando va bene. Un errore di metodo, quando va meno bene.

foto EC – Audiovisual Service Cooperators Producer : CE – Service audiovisuel Photographer : Christophe Licoppe Copyright European Union , 2026