Audizione del Presidente del Garante per la protezione dei dati personali, Pasquale Stanzione - Proposta di Regolamento del Parlamento europeo e del Consiglio - EU KIDS ACT – L'Ue per spazi digitali responsabili e affidabili in Internet (COM (2026) 681 final) 

Camera dei deputati - Commissione XIV 
(28 ottobre 2026)

Ringrazio, anzitutto, la Commissione, per aver inteso acquisire anche il punto di vista del Garante nell’ambito dell’esame di questa proposta di regolamento. I profili di protezione dei dati toccati dalle norme proposte sono, infatti, assai rilevanti. E questo, non tanto in ordine al rispetto del principio di sussidiarietà che- pur in assenza di valutazione d’impatto come per molte proposte del nuovo ciclo istituzionale- pare fondato sull’esigenza di garantire uniformità tra gli Stati membri nell’approccio a temi essenziali quali, appunto, l’age assurance, la progettazione delle piattaforme, l’efficacia degli strumenti di controllo parentale e i rischi connessi alle nuove forme d’ interazione fondate sull’intelligenza artificiale.

Le norme vigenti sugli adempimenti cui le piattaforme sono tenute a tutela dei minori (art. 28 del DSA, in particolare), i divieti dell’Ai Act sui sistemi d’i.a. che ne sfruttino le vulnerabilità e lo stesso art. 8 del Gdpr sul consenso digitale del minore non hanno, infatti, impedito lo sviluppo di una tendenza, a livello nazionale, alla frammentazione che, certamente, non contribuisce all’efficacia della regolazione e suggerisce un approccio unitario a fenomeni dalla dimensione marcatamente transfrontaliera. In questa prospettiva, un’iniziativa legislativa ad hoc – comprensiva peraltro di strumenti di autoregolazione come i codici di condotta - è certamente opportuna, sebbene l’esigenza di superare la frammentazione normativa suggerisca un migliore coordinamento legislativo con la regolazione di settore, al momento non del tutto puntuale. In tal senso, potrebbe essere utile acquisire, rispetto agli atti delegati previsti dalla proposta, il parere del Comitato e del Garante europei per la protezione dei dati, così da assicurare il migliore coordinamento dei due plessi normativi, anche considerando la clausola di salvaguardia, prevista dal Kids Act, in favore della disciplina sul consenso digitale del minore sancita dal Gdpr.  

L’incidenza delle norme proposte sulla protezione dei dati è, del resto, suscettibile di rilevare ai fini della valutazione del rispetto del canone di proporzionalità, a partire dal complessivo bilanciamento – sotteso alle disposizioni sull’age assurance di cui all’art. 28, in particolare – tra esigenze di controllo dell’età dell’utente e riservatezza, oltre che dall’esigenza di promuovere una reale autodeterminazione del minore rispetto all’esperienza digitale, conforme e proporzionale alla sua effettiva capacità di discernimento.  Come sottolineato anche rispetto alle iniziative legislative interne, infatti, si può e si deve coniugare il controllo non solo dei contenuti, ma anche delle modalità di progettazione delle piattaforme (perché non inducano dipendenza) con la protezione dei dati personali, la libertà di espressione e informazione dei ragazzi. La tecnologia, in questo, può essere un ausilio se sappiamo scegliere, tra le varie, possibili, soluzioni, quella capace di realizzare al meglio quest’equilibrio.

In questa prospettiva, sulla scorta anche dell’impegno conferito alla Commissione dal Parlamento europeo con risoluzione del 26 novembre 2025 e dell’impegno contenuto nella dichiarazione di Jutland, adottata su iniziativa della presidenza danese del Consiglio UE e sottoscritta anche dall’Italia, la proposta delinea un sistema articolato di garanzie nell’accesso alle piattaforme e nella fruizione delle stesse, con la previsione di obblighi di sicurezza e divieti di progettazioni che creino dipendenza (anche per chatbot conversazionali) o, per i giochi, ludopatia, nonché limiti rispetto alle possibili interazioni.

Si prevedono, in particolare: diversificazione dei limiti di età per l’accesso ai social network con sistemi di verifica crittografica o  “zero knowledge proof” per minimizzare il trattamento dei dati (in linea con le indicazioni della dichiarazione 17/5 del Comitato europeo per la protezione dei dati); rafforzamento dei dispositivi di parental control; inversione - a carico delle piattaforme - dell’onere della prova dell’adozione di misure di safety by design; divieto per i fornitori di servizi social, di condivisione video, videogiochi on line, chatbot companion rivolti a minorenni, dell’uso di funzionalità manipolative come dark patterns e sistemi di raccomandazione fondati sulla profilazione, dei sistemi d’incentivazione per la condivisione di contenuti, di esposizione a sistemi di ricompensa variabili oltre che dello scrolling infinito, delle dirette streaming attive per impostazione predefinita  e delle notifiche notturne o in orario scolastico; blocco “anonimo” per i contatti indesiderati da parte di estranei e divieto di aggiunta a gruppi non espressamente consentiti; disattivazione, per impostazione predefinita e derogabile solo da utenti ultra15enni, di dispositivi di geolocalizzazione, accesso al microfono e alla videocamera. Ad atti delegati di carattere integrativo è, poi, demandata la disciplina delle modalità di verifica della responsabilità genitoriale esercitata rispetto agli account per infra15enni, controllati dai tutori: su tale aspetto – come pure sull’individuazione delle soluzioni ammesse di age assurance - sarà dirimente l’interlocuzione con il Garante e il Comitato europei per la protezione dei dati, così da assicurare che le misure di monitoraggio non comportino trattamenti di dati personali eccedenti le effettive esigenze di verifica.

In particolare, l’articolazione del regime di accesso in tre diverse fasce di età, benché complessa è tuttavia più corretta sotto il profilo dell’adeguatezza e proporzionalità delle misure. In relazione alle iniziative legislative interne, il Garante aveva del resto avuto modo di auspicare gradualità nell’accostamento autonomo alla rete da parte dei ragazzi, proporzionale alla loro capacità di autodeterminazione, anche con soglie di età differenziate in ragione dei rischi potenzialmente connessi ad alcune attività on line e la supervisione genitoriale in una prima fase e per determinati contesti.

Importante anche il divieto di limitazione sproporzionata della privacy del minore, imposto per la progettazione e il funzionamento dell’accesso controllato dal tutore, così come l’obiettivo di “sostenere”, mediante questi dispositivi, “l’autonomia e la capacità di autodeterminazione” del minore, “in funzione dell’evoluzione delle sue capacità”, considerandone preminente l’interesse superiore anche in relazione al controllo dei contenuti visualizzati o raccomandati. Rilevanti anche le misure funzionali alla responsabilizzazione e alla promozione dell’autodeterminazione del minore, inclusi canali di segnalazione di contenuti, funzionalità o gruppi ritenuti, dagli stessi minorenni, pregiudizievoli

Si tratta di misure complessivamente condivisibili, in quanto volte a contrastare le maggiori criticità emerse nella fruizione delle piattaforme e dell’i.a., segnatamente da parte dei minori, ovvero la progettazione funzionale a creare dipendenza, l’esposizione a contenuti nocivi o, comunque, inadeguati per l’età, le possibilità tendenzialmente illimitate di interazione autonoma. Particolarmente rilevante il limite, per i chatbot, all’uso di funzionalità simulative di relazioni interpersonali che creino dipendenze emotive, come l’effetto Eliza. Il loop dell’empatia infinita (dovuta al tono lusinghiero di questi chatbot) rischia, infatti ,di generare una dipendenza tale da svalutare, per converso, i rapporti umani (che appaiono troppo complessi e poco satisfattivi), inducendo così all’isolamento. E’ un problema antropologico e sociale che non può lasciarci indifferenti e sul quale abbiamo sollecitato l’attenzione, anche del legislatore, più di un anno fa.

L’EU Kids Act riconosce così che il  “superiore interesse” del minore ben può legittimare limiti anche incisivi all’iniziativa economica, con un effetto conformativo che, grazie al Bxl effect , potrà superare – come è stato già per il Gdpr – i confini europei. Non a caso, le piattaforme sono state definite da Tim Wu “mercanti di attenzione”, per la loro capacità di colonizzazione del pensiero in un’epoca in cui la rete promette apparentemente, soprattutto ai più fragili, identità e reputazione.

La proposta coglie, dunque, l’esigenza – già più volte segnalata dal Garante - di adeguare la dimensione virtuale - in cui è ormai inscritta la parte prevalente della vita degli adolescenti- alle vulnerabilità di personalità in via di sviluppo come le loro. Si deve impedire che la rete divenga uno spazio, anziché di promozione, di violazione della dignità e garantire un equilibrio democraticamente sostenibile tra dignità della persona, innovazione e libertà di iniziativa economica, sulla scorta di quel bilanciamento già noto all’art. 41 della nostra Costituzione.

Al contempo, la proposta tenta di coniugare tutela dei minori da contenuti inappropriati e promozione di una loro sia pur parziale autonomia. Che non vuol dire, ovviamente, “solitudine digitale”, ma consapevolezza e autodeterminazione. Nessun divieto, infatti, potrà mai sostituire la necessità di una “paideia digitale” che consenta al minore di fruire della tecnologia in maniera responsabile, con un’autodeterminazione da promuovere a scuola, in famiglia, nelle relazioni, grazie a  un’alleanza istituzionale che il Garante sostiene da tempo e ancor più sosterrà in futuro.