Art. 28 Reg. (UE) 2022/2065 – Protezione online dei minori

Ambito di applicazione: «accessibili ai minori» non significa «destinate ai minori»

L'articolo 28 del Regolamento (UE) 2022/2065 (DSA) introduce obblighi specifici a tutela dei minori per i fornitori di piattaforme online. La chiave di accesso alla norma è l'espressione «accessibili ai minori»: il legislatore europeo non ha limitato l'obbligo alle piattaforme esplicitamente rivolte a un pubblico di under-18, ma lo ha esteso a qualsiasi piattaforma alla quale i minori possano accedere nella pratica, indipendentemente dalle condizioni d'uso dichiarate dall'operatore.

Questa scelta è deliberata e coerente con l'approccio del DSA di graduare gli obblighi in base all'impatto reale, non alle intenzioni dichiarate del fornitore. Un social network che vieta formalmente l'iscrizione ai minori di 13 anni ma non adotta misure tecniche per verificarlo non può invocare il divieto contrattuale come scudo. Se è ragionevolmente prevedibile che i minori accedano al servizio - come confermano le statistiche di utilizzo - la piattaforma deve rispettare l'articolo 28.

Per le piattaforme di dimensioni molto grandi (VLOP) la tutela dei minori costituisce inoltre uno dei rischi sistemici che devono essere valutati e attenuati ai sensi degli articoli 34-35. Le VLOP devono quindi condurre valutazioni specifiche sull'impatto del loro servizio sui minori - anche in relazione ai sistemi di raccomandazione, all'amplificazione di contenuti potenzialmente dannosi e all'esposizione a contenuti commerciali - e adottare misure proporzionate.

Le misure adeguate e proporzionate del paragrafo 1

Il paragrafo 1 impone misure «adeguate e proporzionate» per garantire un elevato livello di tutela su tre piani: vita privata, sicurezza e protezione dei minori. Il riferimento a tre piani distinti non è ridondante:

La tutela della vita privata riguarda la minimizzazione della raccolta di dati sui minori, le impostazioni di riservatezza predefinite più restrittive (privacy by default), la limitazione dell'esposizione a strumenti di tracking e la trasparenza su ciò che viene raccolto e utilizzato. Il coordinamento con il GDPR è diretto: il Comitato europeo per la protezione dei dati ha elaborato linee guida specifiche sul trattamento dei dati dei minori, e la valutazione di impatto sulla protezione dei dati (DPIA) è spesso obbligatoria.

La sicurezza comprende misure contro il cyberbullismo, le molestie online, il contatto da parte di predatori, l'esposizione a contenuti violenti o perturbanti. Le piattaforme che offrono funzioni di comunicazione diretta tra utenti sono particolarmente esposte a questi rischi.

La protezione in senso lato include la tutela psicologica e dello sviluppo del minore: il divieto di pratiche di design che creino dipendenza, la limitazione dell'esposizione a contenuti commerciali non trasparenti, e la garanzia che i minori abbiano accesso a meccanismi di segnalazione e assistenza appropriati alla loro età.

Il requisito di proporzionalità implica che le misure adottate devono essere calibrate sul tipo di servizio, sull'età del pubblico minorile ragionevolmente raggiungibile e sul rischio concreto. Una piattaforma educativa per minori di 10 anni adotterà misure ben più restrittive rispetto a un forum generale di discussione che ammette anche utenti minorenni.

Il divieto di pubblicità profilata ai minori

Il paragrafo 2 introduce un divieto netto e operativamente significativo: i fornitori di piattaforme online non possono presentare ai minori pubblicità basata sulla profilazione come definita dall'articolo 4, punto 4, del GDPR (trattamento di dati personali per valutare, analizzare o prevedere aspetti del comportamento), «se sono consapevoli, con ragionevole certezza, che il destinatario del servizio è minore».

La soglia della «ragionevole certezza» è deliberatamente più bassa della certezza assoluta: il fornitore non può ignorare segnali evidenti (un profilo che indica la data di nascita con un'età inferiore a 18 anni, la partecipazione a comunità esplicitamente per minori, il comportamento d'uso tipico di un minore) per continuare a profilare l'utente a fini pubblicitari.

Il divieto riguarda la pubblicità basata sulla profilazione: la pubblicità contestuale (collegata al contenuto della pagina visualizzata, senza uso di dati personali dell'utente) non è vietata dall'articolo 28. Questa distinzione è importante per i modelli di business delle piattaforme, che possono continuare a mostrare pubblicità ai minori purché non si basino su loro profili comportamentali.

La violazione di questo divieto espone il fornitore alle sanzioni previste dall'articolo 52 DSA (fino al 6% del fatturato annuo mondiale) e, parallelamente, alle sanzioni per violazione del GDPR, incluse quelle per trattamento illecito dei dati dei minori.

Il paradosso della verifica dell'età: il paragrafo 3

Il paragrafo 3 affronta un nodo irrisolto del diritto digitale: se il fornitore deve sapere se l'utente è un minore per applicare le tutele, deve raccogliere informazioni sull'età - ma raccogliere informazioni sull'età richiede il trattamento di dati personali, spesso sensibili. Il DSA non risolve la tensione, ma circoscrive il rischio regolatorio: l'obbligo di valutare la minore età non obbliga i fornitori a trattare ulteriori dati personali al solo scopo di tale verifica.

In altri termini, il fornitore non è tenuto a introdurre sistemi di verifica dell'età che comportino la raccolta di nuovi dati (come la scansione di documenti di identità o il trattamento di dati biometrici) per soddisfare gli obblighi dell'articolo 28. Se già dispone di indicatori ragionevoli sull'età dell'utente (data di nascita dichiarata, profilo genitoriale, modalità di registrazione), deve usarli. Ma non gli si impone di costruire un sistema di verifica pervasiva che, a sua volta, creerebbe rischi per la privacy di tutti gli utenti, inclusi i minori stessi.

Questa norma non esime però il fornitore dall'applicare le misure del paragrafo 2 quando la minore età sia ragionevolmente rilevabile dai dati già disponibili. Il fatto che non si possano raccogliere nuovi dati non giustifica l'ignorare quelli esistenti.

Coordinamento con GDPR, DMA e orientamenti della Commissione

L'articolo 28 DSA si inserisce in un ecosistema normativo più ampio. Il GDPR (articolo 8) richiede il consenso dei genitori per il trattamento dei dati dei minori di 16 anni (o del limite inferiore eventualmente fissato dagli Stati membri, comunque non inferiore a 13) per i servizi della società dell'informazione. Il DSA aggiunge un livello di protezione specifico sul piano della pubblicità profilata e delle misure di sicurezza, indipendentemente dalla base giuridica del trattamento dei dati.

Il Digital Markets Act (DMA) prevede invece, per i «gatekeeper» (che spesso coincidono con le VLOP), divieti più ampi sul trattamento dei dati dei minori per finalità pubblicitarie. Il DSA e il DMA non si sovrappongono ma si cumulano: un fornitore che sia sia VLOP sia gatekeeper deve rispettare entrambi i regolamenti.

Il paragrafo 4 prevede che la Commissione, previa consultazione del Comitato europeo per i servizi digitali, possa emanare orientamenti per assistere i fornitori nell'applicazione del paragrafo 1. Tali orientamenti non hanno carattere vincolante, ma costituiranno un riferimento importante per la valutazione di conformità da parte dei coordinatori dei servizi digitali e per l'interpretazione da parte dei giudici nazionali.

Profilo sanzionatorio e vigilanza

La violazione degli obblighi dell'articolo 28 rientra nel regime sanzionatorio generale del DSA. Per i fornitori diversi dalle VLOP, la vigilanza è affidata al coordinatore dei servizi digitali dello Stato membro in cui il fornitore è stabilito, che può irrogare sanzioni fino al 6% del fatturato annuo mondiale (articolo 52). Per le VLOP, la Commissione europea è autorità di vigilanza in caso di violazioni sistematiche o quando la VLOP non abbia ottemperato agli obblighi di gestione dei rischi sistemici (articolo 74). In Italia, il coordinatore dei servizi digitali è stato individuato nell'Autorità per le Garanzie nelle Comunicazioni (AGCOM).