Verifica dell’età online: le nuove regole in vigore

Dal Ottobre 2025 è entrata ufficialmente in vigore la nuova disciplina Agcom sulla verifica dell’età online (Age Assurance).
I siti che vendono alcolici o tabacco, ospitano contenuti per adulti o offrono gioco online non possono più limitarsi a chiedere all’utente di dichiarare “Ho più di 18 anni”: oggi è obbligatorio adottare sistemi realmente efficaci e conformi al GDPR.

Chi non si è ancora adeguato rischia sanzioni pesanti, oltre a un serio danno reputazionale.

Perché le regole sono cambiate

Il vecchio modello basato sull’autodichiarazione non garantiva né la protezione dei minori, né la tutela della privacy degli adulti.
Con il nuovo approccio di Age Assurance, i siti ricevono soltanto un’informazione binaria (“≥18 anni: sì/no”), senza mai entrare in possesso di dati identificativi come nome, cognome o data di nascita.

Cosa prevede la normativa

Le aziende devono ora adottare soluzioni che rispettino i principi fondamentali del GDPR:

• Minimizzazione dei dati: nessun trattamento superfluo, solo la prova dell’età.
• Privacy by design & by default: protezione integrata e predefinita.
• Sicurezza: cifratura, log, audit trail, controlli d’accesso.
• Trasparenza: informative chiare, comprensibili anche per i minori.

Un punto critico: SPID non è utilizzabile. Nato per l’identificazione completa del cittadino, non garantisce la separazione fra età e identità e può essere rilasciato anche a minorenni.

Per i siti web: cosa significa concretamente

Se gestisci un sito che rientra nelle categorie regolamentate, dovresti già avere implementato:

• un sistema di Age Assurance integrato via API o SDK, che blocchi l’accesso ai contenuti riservati prima della loro visualizzazione;
• informative privacy aggiornate e coerenti con il nuovo trattamento;
• un’eventuale DPIA (Valutazione d’Impatto) se i rischi lo richiedono;
• log e controlli essenziali che registrino solo l’esito e il timestamp della verifica, senza profilazione.

Se non lo hai ancora fatto, ogni giorno che passa aumenta l’esposizione al rischio di sanzioni e contestazioni.

Cosa cambia per gli utenti

Gli utenti maggiorenni possono ora accedere ai contenuti riservati dimostrando l’età senza dover condividere la propria identità.
In prospettiva, con il Wallet europeo di eIDAS 2, le prove d’età potranno essere gestite direttamente dal dispositivo dell’utente e riutilizzate con un clic, rendendo l’esperienza ancora più semplice.

Come adeguarsi subito: roadmap operativa

Se non sei ancora conforme, ecco le priorità:

1. Mappa i servizi soggetti a limiti d’età sul tuo sito.
2. Scegli un fornitore certificato di Age Assurance che separi identità ed età.
3. Aggiorna i contratti (art. 28 GDPR) e verifica la localizzazione dei dati.
4. Integra tecnicamente il sistema di verifica in anticipo rispetto all’accesso o al checkout.
5. Aggiorna privacy policy e registro dei trattamenti.

Forma i team interni (IT, legale, marketing, customer care) sui nuovi obblighi.

Area Privacy Meleam