Bruxelles prova a mettere ordine nel delicato equilibrio tra tutela dei minori e diritti digitali degli utenti. La nuova app europea per la verifica dell’età, annunciata come “tecnicamente pronta” dalla Commissione Europea, rappresenta uno dei tasselli operativi più concreti del Digital Services Act. L’obiettivo è quello di impedire l’accesso dei minori a contenuti inadatti senza compromettere l’anonimato degli adulti.

Il progetto, sviluppato come applicazione “white label” open source destinata agli Stati membri, dovrebbe consentire agli utenti di dimostrare la propria età senza rivelare la propria identità. Un sistema basato su prove anonime, integrabile nei portafogli digitali nazionali e pensato per funzionare su larga scala in tutta l’Unione Europea. Tuttavia, mentre sette Paesi (tra cui Italia e Francia) si preparano all’implementazione, emergono criticità tecniche che mettono in discussione uno dei pilastri dichiarati del progetto: il rispetto del Regolamento generale sulla protezione dei dati.

Verifica dell’età tra innovazione e rischio privacy

Il funzionamento dell’app si basa su un principio avanzato: fornire ai siti web una semplice conferma dell’età dell’utente senza trasferire dati identificativi. In teoria, si tratta di un sistema costruito secondo i criteri di minimizzazione dei dati e privacy by design. L’utente può ottenere una “prova di età” tramite documenti ufficiali, identità digitali o applicazioni terze, come quelle bancarie, e utilizzarla poi in modo anonimo sui servizi online.

Il problema emerge però nella fase di verifica biometrica. Quando l’utente utilizza un documento fisico, come carta d’identità o passaporto, il sistema richiede un confronto con un selfie o un breve video per confermare la corrispondenza. È proprio qui che un’analisi del codice open source ha individuato una criticità: in alcuni casi, le immagini biometriche utilizzate per il confronto non vengono cancellate correttamente.

Secondo quanto rilevato dal ricercatore di sicurezza Paul Moore, i file temporanei vengono eliminati solo in caso di esito positivo della verifica. Se invece il processo fallisce o viene interrotto, l’immagine può restare salvata nello storage dell’app. Non si tratta di una memorizzazione nel rullino fotografico, ma comunque di una conservazione persistente, sufficiente a sollevare dubbi sulla conformità al GDPR, che impone la cancellazione immediata dei dati non necessari.

La questione non implica automaticamente un rischio di violazione dei dati, ma evidenzia un problema strutturale di progettazione. La normativa europea richiede infatti che i dati biometrici temporanei vengano eliminati subito dopo l’elaborazione, indipendentemente dall’esito del processo. In questo senso, la discrepanza rappresenta un potenziale punto debole in un sistema che punta proprio sulla fiducia degli utenti.

Resta comunque uno spazio di manovra per i governi nazionali. La natura “white label” dell’app consente agli Stati membri di adattare alcune componenti, correggere comportamenti specifici o integrare sistemi alternativi di identificazione, come le identità digitali certificate. Tuttavia, il nucleo tecnico e gli standard di interoperabilità restano definiti a livello europeo.

Il nodo è quindi politico oltre che tecnologico. Se l’Unione europea vuole imporre uno standard comune per la sicurezza online, dovrà garantire che questo sia inattaccabile proprio sul fronte più sensibile: la protezione dei dati personali. In caso contrario, il rischio è di compromettere la credibilità di uno strumento pensato per rafforzare la fiducia nel digitale, ma che potrebbe invece alimentare nuove diffidenze tra cittadini e istituzioni.