L’Autorità Garante per le Comunicazioni (AGCOM) ha approvato il 24 settembre lo schema di regolamento che disciplina le modalità tecniche e di processo per l’accertamento della maggiore età degli utenti (age assurance, ovvero “garanzia dell’età”, talvolta indicato come “age verification”), in attuazione della legge 13 novembre 2023 nmota come “Decreto Caivano”.
Il provvedimento è il risultato di una consultazione pubblica alla quale hanno partecipato 13 soggetti tra i quali altre istituzioni, associazioni di categoria e di consumatori, piattaforme di condivisione video, previa acquisizione del parere favorevole del Garante per la protezione dei dati personali. Lo schema di regolamento è stato notificato alla Commissione europea per l’ultimo vaglio.
La normativa richiama l’esigenza di meccanismi di age verification, stabilendo che i minori hanno diritto a un livello più elevato di protezione dai contenuti che potrebbero nuocere al loro sviluppo fisico, mentale o morale, prevedendo misure più rigorose nei confronti di vari servizi della società dell’informazione.
La Commissione europea sostiene e promuove l’attuazione di norme mirate alla tutela dei minori online e l’articolo 28 del DSA (Digital Services Act) richiede che tutti i fornitori di piattaforme online adottino misure adeguate e proporzionate per garantire un elevato livello di tutela della vita privata, di sicurezza e di protezione dei minori, anzitutto mediante l’attivazione dei meccanismi di verifica dell’età.
i fornitori di piattaforme online di dimensioni “molto grandi” e di motori di ricerca online di dimensioni “molto grandi” devono adottare misure di attenuazione dei rischi sistemici, tra cui “misure mirate per tutelare i diritti dei minori, compresi strumenti di verifica dell’età e di controllo parentale, o strumenti volti ad aiutare i minori a segnalare abusi o ottenere sostegno, a seconda dei casi”.
Al quadro europeo si aggiungono i poteri specificamente assegnati all’Autorità dal Testo Unico sui Servizi Media Audiovisivi (TUSMA) a tutela dei minori, articoli 41 e 42, rispetto a contenuti che possano nuocere al loro sviluppo fisico, mentale o morale.
In tale contesto normativo, le specifiche dell’Autorità prevedono un sistema di verifica dell’età che utilizzi il modello del “doppio anonimato”, in cui non si deve consentire ai fornitori di prova della maggiore età di sapere per quale servizio viene eseguita la verifica dell’età, che due prove di maggiore età provengono dalla stessa fonte di prova dell’età, che un utente ha già utilizzato il sistema di verifica.
In funzione di tali rquisiti, il sistema proposto dall’Autorità prevede l’intervento, per la fornitura della prova della maggiore età, di soggetti terzi indipendenti certificati, attraverso un processo di verifica dell’età che prevede due passaggi separati: identificazione e autenticazione della persona identificata, per ciascuna sessione di utilizzo del servizio regolamentato (cioè, la fornitura di contenuti per adulti tramite sito o piattaforma web).
Nel caso di sistemi di verifica dell’età non basati su applicativi installati nel terminale utente, un processo di verifica dell’età deve essere diviso in tre fasi distinte:
- L’emissione, ad esempio mediante accesso a un sito web tramite browser, di una “prova dell’età”, a seguito della identificazione, rilasciata da diversi soggetti, indipendenti dal fornitore di contenuti, che conoscono l’utente di Internet, siano essi fornitori di servizi specializzati nella fornitura di identità digitale, o un’organizzazione o soggetto che ha identificato l’utente di Internet in un altro contesto. Il soggetto che fornisce la “prova dell’età” non è conoscenza dell’utilizzo che l’utente ne farà e deve essere certificato da un’apposita Autorità al fine di avere garanzie sul sistema di identificazione usato.
- La comunicazione della prova dell’età solo all’utente che poi la presenterà al sito o piattaforma visitata. La “prova dell’età” può essere, ad esempio, scaricata direttamente dall’utente attraverso il sito web del soggetto certificatore e poi inviata, sempre dall’utente via web, al sito o piattaforma visitata.
- Il sito o la piattaforma visitata dall’utente analizza la prova dell’età presentata e fornisce o meno l’accesso al contenuto richiesto (autenticazione).
Nel caso di sistemi di age assurance basati sull’uso di applicativi installati sul dispositivo, il soggetto terzo che fornisce la prova dell’età mette a disposizione dell’utente una app per la certificazione e la generazione della “prova dell’età” (es. app del portafoglio di identità digitale, oppure app per la gestione dell’identità digitale, etc.).
L’utente può quindi effettuare l’autenticazione e fornire la prova dell’età al sito web o piattaforma visitata, direttamente utilizzando l’app installata sul proprio dispositivo e il servizio presente nella piattaforma/sito web deputato a tale scopo.
Per quanto riguarda l’istituzione di un quadro per un’identità digitale europea”, le piattaforme online di dimensioni molto grandi, come definite dal DSA (Digital Services Act), che impongono agli utenti di autenticarsi per accedere ai servizi online, dovranno accettare anche l’uso dei portafogli europei di identità digitale, anche per quanto riguarda gli attributi minimi necessari per lo specifico servizio online per il quale è richiesta l’autenticazione, come la prova dell’età.
Per la realizzazione delle suddette specifiche, l’Autorità garante affemra di avere adottato “un approccio tecnologicamente neutrale”, “che lascia ai soggetti tenuti alla realizzazione dei processi di age assurance, ossia i soggetti regolamentati, una ragionevole libertà di valutazione e scelta, stabilendo tuttavia i principi e i requisiti che devono essere soddisfatti dai sistemi introdotti”.
L’AGCOM evidenzia la ricerca del giusto equilibrio tra i mezzi utilizzati per la verifica dell’età e il suo impatto sulla limitazione dei diritti delle persone, la necessità di proteggere i dati personali in conformità alle norme e ai principi di protezione dei dati (non sono consentiti, ad esempio, i di garanzia dell’età che comportano il trattamento e la gestione di dati personali come, ad esempio, i dati riportati sui documenti di identità, l’immagine fotografica o video dell’utente, le informazioni del titolare della carta di credito, la profilazione degli utenti e, in generale, la raccolta di altre informazioni di carattere personale degli utenti).
Il sistema di age assurance deve tener conto di possibili attacchi informatici rispetto ai quali deve prevedere misure di sicurezza sufficienti a mitigare i rischi, e deve essere efficace in termini di contenimento dell’errore nella determinazione dell’età.
Sui siti per adulti la validità di una verifica dell’età deve cessare nel momento in cui l’utente esce dal servizio, ovvero quando termina la sessione, quando l’utente esce dal browser o quando il sistema operativo entra in stand-by e, comunque, dopo un periodo di 45 minuti di effettiva inattività.
Sono previste specifiche relative all’accessibilità (i sistemi di garanzia dell’età devono essere facili da usare e basati sulle capacità e caratteristiche dei minori), inclusività e non discriminazione e trasparenza nei confronti degli utenti per quanto riguarda i sistemi e i dati trattati e le finalità, “mediante spiegazioni semplici, chiare e complete oltre che per maggiorenni anche per i minorenni”.
Per quanto concerne la gestione dei reclami: il fornitore dei servizi di age assurance deve prevedere almeno un canale per acquisire e gestire, tempestivamente, i reclami in caso di errate decisioni sull’età.
L’Autorità ha riferito che avvieraà un Tavolo tecnico di monitoraggio e analisi delle evoluzioni tecniche, normative e regolamentari in materia di sistemi di age assurance.
