Perché lo strumento di verifica dell'età dell'UE non risolve le preoccupazioni sulla privacy - EDRi

Originale (ENG)

Perché lo strumento di verifica dell'età dell'UE non risolve le preoccupazioni sulla privacy

Al Discorso sullo stato dell'Unione (SOTEU) annuale verrà presentata una proposta legislativa UE per un divieto dei social media, ma gli strumenti proposti come "pronti" e "rispettosi della privacy" falliscono su entrambi i fronti. Di seguito, un resoconto tecnico dei difetti.

di EDRi · 7 Settembre 2026

L'UE sta preparando una proposta per vietare i social media

La Commissione UE presenterà una proposta legislativa per un divieto dei social media al Discorso sullo stato dell'Unione (SOTEU), ha dichiarato Ursula von der Leyen a luglio 2026[↗]. Ha aggiunto che la proposta si appoggerà alla stessa applicazione UE di verifica dell'età che lei stessa aveva orgogliosamente annunciato[↗] mesi prima come "tecnicamente pronta e presto disponibile all'uso da parte dei cittadini", ma che era invece stata rapidamente ridicolizzata per entrambe le affermazioni.

La cosa che lascia perplessi è che, invece che un'applicazione, la Commissione allora aveva pubblicato un semplice "progetto", cioè un concetto di prova su cui gli Stati Membri erano stati invitati a costruire la propria applicazione[↗], insieme ad un'applicazione dimostrativa di come dovrebbe apparire il risultato finale. La Commissione l'ha soprannominato "mini-portafoglio" perché raccomandano di basare le sue specifiche tecniche su quelle dell'EUDI Wallet[↗], il Portafoglio Europeo di Identità Digitale che ogni governo dovrà fornire ai propri residenti entro la fine del 2026.

Qui all'EDRi sosteniamo che esistono modi per garantire la sicurezza online senza dover ricorrere ad un'estesa verifica dell'età obbligatoria. Tuttavia, se i legislatori insistono comunque nell'applicare dei blocchi per età, allora è essenziale che ciò sia fatto con strumenti che rispettino i più alti standard di privacy, sicurezza informatica e protezione dei dati e che siano disponibili a tutti senza discriminazioni. La Commissione promette uno strumento che presumibilmente dovrebbe rispettare questi "più alti standard", ma non ha ancora provveduto. Diamo un'occhiata a questa infrastruttura di controllo il cui impiego sta realizzandosi così rapidamente.

Impedire i collegamenti è opzionale: i limiti dell'emissione in serie

Il problema inizia alla base: il mini-portafoglio dipende dall'EUDI Wallet, che ha già gravi vulnerabilità di privacy. Come abbiamo spiegato in precedenza[↗], sembra che la Commissione Europea stia indebolendo le protezioni di privacy richieste dalla legge per il Portafoglio. La legge[↗] dice che il sistema dovrebbe "garantire" che non ci siano collegamenti ove rilevante. In parole povere, questo significa che il Portafoglio non dovrebbe permettere a nessuno di collegare le vostre attività online, regolamentate per età, alla vostra vera identità. Però la Commissione sta cambiando questo requisito in un semplice "intralcio" ai collegamenti, ovvero in modo che sia difficile realizzarli, ma non necessariamente impossibile. Questo non è un punto di partenza molto rassicurante per la nuova misura di verifica dell'età.

I requisiti tecnici dello stesso mini-portafoglio di verifica dell'età non impediscono i collegamenti. Per fornire una verifica dell'età affidabile viene usato un'"ancora di fiducia" (una fonte affidabile), in questo caso il vostro documento d'identità fornito dallo Stato, associato al mini-portafoglio attraverso verifica biometrica. Non un grande inizio per una verifica dell'età anonima: vi porterà ad essere esclusi se non avete documenti d'identità, uno smartphone adeguato o se non volete sottoporvi al riconoscimento facciale. Eppure è davvero possibile dimostrare ad un servizio vietato ai minori che avete più di 18 anni senza rivelare la vostra identità o qualsiasi altro dato presente sul vostro documento d'identità. In particolare questo può essere fatto con un meccanismo crittografico che usa la Dimostrazione a Conoscenza Zero (Zero Knowledge Proofs, ZKPs).

Sebbene le specifiche tecniche pubblicate dalla Commissione suggeriscano l'uso di ZKPs, non la rendono però obbligatoria. Invero, il progetto usa il facoltativo "DOVREBBE" ogni volta che si riferisce alla Dimostrazione a Conoscenza Zero, invece che l'obbligatorio "DEVE":

• Le applicazioni di verifica dell'età "DOVREBBERO implementare il meccanismo di Dimostrazione a Conoscenza Zero specificato".
• Le parti dipendenti (i fornitori di servizi a cui presentiamo le nostre credenziali d'età per ottenerne l'accesso) "DOVREBBERO implementare i meccanismi di verifica a Dimostrazione a Conoscenza Zero".
• Al contrario, i fornitori di attestazione (che emettono le credenziali d'età al portafoglio) semplicemente "DEVONO supportare l'emissione in serie delle attestazioni di Verifica dell'Età" e "DEVONO fissare la marca temporale (timestamp) [...] con una precisione che limiti la possibilità di collegare le informazioni" (enfasi su "limiti").

In altre parole, il sistema non richiede alle parti coinvolte di usare le più robuste tecnologie disponibili a salvaguardia della privacy. Invece, il progetto richiede l'uso della tecnica di "emissione in serie", che non protegge la privacy adeguatamente. Con questa strategia, il fornitore vi dà una "serie" di credenziali differenti ad uso singolo; man mano che fornite credenziali diverse ad ogni servizio regolamentato per età a cui dovete accedere, questi servizi non possono collaborare ed identificare quali dei loro utenti hanno in comune. Ciononostante, queste credenziali contengono comunque diverse informazioni, come salt, hash¹, chiavi pubbliche, firme e marche temporali, che sono unicamente vostre o delle vostre credenziali e che il fornitore può ricollegare a voi. Se ci fosse cooperazione, su base volontaria od obbligatoria, tra i fornitori delle credenziali d'età ed i siti web su cui queste sono usate, queste informazioni vi identificherebbero collegandovi ai diversi servizi che usate. Ecco perché, sebbene l'emissione in serie possa rendere il tracciamento delle persone più difficile, non lo rende impossibile e non dovrebbe, di per sè, essere descritto come una soluzione in grado di salvaguardare la privacy.

Impedire i collegamenti difficilmente può essere garantito: i limiti della Dimostrazione a Conoscenza Zero

Come detto sopra, è problematico che il mini-portafoglio proponga meccanismi ZKPs senza richiederne l'uso: renderli obbligatori sarebbe stato un buon primo passo. Tuttavia, neppure una ZKPs obbligatoria garantirebbe un sistema che salvaguardi la privacy.

Considerate come il progetto raccomanda che "un Fornitore di Attestazione agisca anche come fornitore di una Applicazione di Verifica dell'età a cui emette le attestazioni". Questo accentra nelle stesse mani il controllo sia dell'emissione che della presentazione delle attestazioni d'età, che a sua volta rende molto meno difficile per l'emittente (per esempio, lo Stato) sbirciare ogni qualvolta presentiamo le nostre credenziali d'età ad un servizio regolamentato.

In più, il progetto semplicemente "non richiede al Fornitore di Attestazione di conservare alcuna informazione permanente collegata all'Attestazione di Verifica d'Età." Questa è un'occasione persa in termini di minimizzazione dei dati, perché per prevenire la sorveglianza, la formulazione avrebbe dovuto essere: "il Fornitore di Attestazione NON DEVE conservare alcuna informazione permanente collegata all'Attestazione di Verifica d'Età."

Infine, è anche chiaro che, in base all'effettiva architettura di sistema, si potrebbero comunque fare collegamenti basati sulla gestione delle transazioni back-end dell'applicazione, sulle interazioni a livello di rete o sulla correlazione del flusso emissione/presentazione. Come sottolineato da 438 scienziati e ricercatori nel campo della sicurezza e della privacy[↗], se l'autorità centrale responsabile del sistema è tecnicamente in grado di connettere singoli dati, dei disastri di privacy si svolgeranno silenziosamente ogni volta che essa subirà una violazione, riceverà un mandato o se mai dovesse agire con cattive intenzioni.

Per queste ragioni, semplicemente rendere obbligatoria la ZKPs non sarebbe sufficiente per ottenere una rigorosa impossibilità di collegamenti. Soprattutto per sistemi di verifica dell'età centralizzati, l'intero sistema deve essere verificato in maniera indipendente per assicurare che minimizzi la raccolta di dati, mantenga adeguatamente separati i diversi attori e ruoli, limiti la tenuta di registri e la conservazione dei dati e usi tecnologie di rete protettive della privacy quando necessario. Perciò il problema va ben oltre gli imbarazzanti difetti di sicurezza trovati nell'applicazione dimostrativa della Commissione, dove una valutazione di sicurezza indipendente ha mostrato che l'applicazione appena rivelata aveva gravi, seppur basilari, problemi di sicurezza.

Ventisette -e più- sfumature di applicazioni di verifica dell'età riutilizzabili

Come detto sopra, l'intero sistema deve essere verificato in maniera indipendente se dobbiamo fidarci delle promesse di tecnologia "rispettosa della privacy". Fortunatamente, il Regolamento eIDAS[↗] stabilisce che i governi devono rendere le loro applicazioni EUDI Wallet a sorgente aperta (open source). Ciò significa che, in linea di principio, il pubblico dovrebbe essere in grado di ispezionare il codice e vedere come l'applicazione funziona. Tuttavia, sia la parte di codice aperto client che quella server sono importanti per l'ispezione pubblica, e sfortunatamente il Regolamento aggiunge che, dove giustificato, i governi possono rifiutare questo livello di trasparenza del "codice sorgente per le librerie usate, per i canali di comunicazione o per altri elementi che non sono ospitati sul dispositivo dell'utente." Inoltre, questo requisito si applica solo all'EUDI Wallet nazionale, non alle applicazioni nazionali di verifica dell'età (che potrebbero, oppure no, essere basate su o integrate nell'EUDI Wallet).

Stiamo già assistendo a governi che distribuiscono sistemi di verifica dell'età contenenti codice proprietario. L'applicazione danese[↗] ha persino codice proprietario dalla parte client (dell'utente; NdT), che rende impossibile una qualsiasi valutazione pubblica indipendente che abbia valore. Considerato il rischio che le applicazioni di verifica dell'età e i portafogli digitali possano essere usati per sorvergliare le attività online delle persone, qualsiasi ostacolo alla possibilità di ispezione e valutazione di questi sistemi ostacolerà la fiducia degli utenti.

Oltre a questo, molti governi non intendono seguire[↗] le specifiche tecniche proposte dalla Commissione. Questo significa che potremmo ritrovarci con 27 sfumature di applicazioni di verifica dell'età, una per ogni Stato Membro, con differenti impostazioni, tecnologie e protezioni di privacy. Ognuno di questi sistemi dovrebbe essere sottoposto a controllo indipendente più approfondito possibile, al momento del lancio ma anche durante tutto il suo ciclo di vita. Tutto ciò comporta una notevole quantità di lavoro e, se dovesse essere identificato un problema qualsiasi, non avremmo alcun potere, eccetto la gogna pubblica, sul\i governo\i per garantire del codice migliore.

Oltretutto, una volta che esiste l'infrastruttura, la promessa di una verifica dell'età rispettosa della privacy può essere revocata o resa vuota da un giorno all'altro. Alcuni Stati Membri dell'Unione stanno già prendendo in considerazione sistemi che richiederebbero alle persone di fornire la loro identità legale, non solo l'età, per poter accedere ai social media (Belgio[↗]) o a piattaforme di condivisione video (Austria[↗]).

La verifica dell'età segna la fine del libero accesso ad Internet. Dovremmo rifiutarci di costruirla, che sia a livello nazionale o di UE, fintanto che il rifiuto è ancora un'opzione. La sicurezza online si può raggiungere per altre vie.