Il 17 settembre 2026 la Commissione europea ha presentato una bozza di regolamento nota come EU Kids Act. Si tratta di una proposta legislativa che, se approvata dal Parlamento europeo e dal Consiglio sostituirà l’attuale mosaico di norme nazionali in materia di protezione dei minorenni online. L’obiettivo dichiarato è creare un quadro comune che vada oltre il semplice divieto di accesso, intervenendo direttamente sulla progettazione dei servizi digitali.
Fasce d’età e tipologie di account previste dal provvedimento
La bozza individua tre soglie fondamentali. Per gli utenti più giovani, cioè i minori di 13 anni è proibito possedere un account personale su piattaforme social e di video-sharing soggette alla normativa. L’unica eccezione riguarda i servizi video specificamente creati per bambini, i quali potranno essere fruiti tramite l’account del genitore, con feed non personalizzati e restrizioni sul tempo di utilizzo.
Account limitati per i tredicenni e i quattordicenni
Tra i 13 e i 14 anni è consentito creare un profilo “limitato”. Il genitore deve attivare i controlli parentali, impostare un tetto giornaliero di un’ora e approvare tutti i contatti. Da 15 anni in poi i giovani possono aprire un account autonomo, ma le piattaforme rimangono obbligate a garantire un ambiente progettato per la sicurezza fino al compimento dei 18 anni.
Design “by-design” e limitazioni funzionali
Il nucleo innovativo del EU Kids Act è il requisito di security-by-design. Le piattaforme dovranno eliminare meccanismi che favoriscono l’uso compulsivo, come lo scrolling infinito, l’autoplay continuo, le notifiche persuasorie e le “streak” che premiano la continuità quotidiana. Inoltre, saranno obbligate a inserire strumenti per il tracking del tempo di utilizzo, con particolare attenzione a sonno e orari scolastici.
Verifica dell’età, privacy e collegamenti con il GDPR
La normativa non si ferma alla soglia anagrafica. L’autodichiarazione non sarà più sufficiente: le piattaforme dovranno adottare sistemi di age assurance affidabili, possibilmente basati su tecnologie di zero-knowledge proof o su fornitori indipendenti europei. Questa verifica dovrà riguardare sia i nuovi account sia quelli già attivi, senza trasformare il processo in una forma di identificazione completa.
Coerenza con l’articolo 8 del GDPR
Il Regolamento generale sulla protezione dei dati prevede, all’articolo 8, che il consenso dei minori sia valido a partire da 16 anni, con possibilità di abbassare la soglia a 13 anni a livello nazionale. L’EU Kids Act, invece, regola l’accesso autonomo ai servizi digitali, fissando il limite a 15 anni per un account personale. Le due norme possono quindi coesistere senza conflitto: una gestisce il consenso al trattamento dei dati, l’altra l’ammissibilità all’uso di una piattaforma.
Obblighi per le piattaforme di grandi dimensioni e sanzioni previste
Le cosiddette Very Large Online Platforms (più di 45 milioni di utenti attivi mensili) saranno soggette a un regime di “compliance by design”. Prima di lanciare nuove funzionalità rivolte ai minori, dovranno redigere un piano di conformità e sottoporlo a un audit indipendente. La verifica dovrà avvenire entro 30 giorni; solo in caso di esito positivo le novità potranno essere messe in produzione.
Le sanzioni, in linea con il Digital Services Act e l’AI Act possono arrivare fino al 6 % del fatturato annuo mondiale dell’impresa. Inoltre, le autorità nazionali dei singoli Stati membri saranno coinvolte nella supervisione quotidiana, mentre le indagini più gravi dovranno concludersi in 90 giorni sotto la supervisione europea.
