L’EDPB ha recentemente rilasciato una dichiarazione sulla verifica dell’età online, una questione sempre più rilevante per la protezione dei minori. Con l’evoluzione della tecnologia e l’accesso ai servizi online, garantire un ambiente sicuro per i più giovani è diventato essenziale.
Questo aspetto è previsto in diversi regolamenti europei, come il GDPR, il Digital Services Act e la Direttiva sui Servizi di Media Audiovisivi, che pongono particolare attenzione alla protezione dei minori nell’ambiente digitale.
Una delle principali sfide per i fornitori di servizi online è bilanciare il trattamento dei dati necessari per la verifica dell’età con il rispetto dei diritti degli utenti.
Per questo motivo, l’EDPB ribadisce l’importanza di adottare un framework di governance chiaro, che includa politiche precise per il trattamento dei dati. Ciò implica la documentazione, la revisione e l’audit dei sistemi di verifica dell’età, per garantire trasparenza e responsabilità.
Ogni passo del processo deve essere tracciabile e conforme ai principi del GDPR, assicurando che tutte le azioni siano giustificabili e verificate.
Inoltre, il framework deve definire chiaramente le responsabilità degli attori coinvolti, affinché tutti siano consapevoli dei propri obblighi e operino in modo sicuro e corretto.
Indice degli argomenti
L’importanza di un approccio coerente
L’EDPB sottolinea che la verifica dell’età deve rispondere non solo a esigenze tecniche, ma anche alla protezione dei diritti fondamentali, soprattutto dei minori.
Il principio del “superiore interesse del minore”, sancito dalla Convenzione ONU sui Diritti del Fanciullo, deve orientare tutte le decisioni.
La protezione dei dati personali è solo una parte del quadro: altrettanto cruciali sono la salvaguardia del benessere, la sicurezza e il diritto alla partecipazione del minore.
Principi fondamentali del GDPR applicati alla verifica dell’età
La dichiarazione dell’EDPB non introduce nuovi concetti, ma ribadisce l’importanza di applicare correttamente i principi già stabiliti dal GDPR.
Tra questi, la minimizzazione dei dati, privacy by design e la trasparenza.
Minimizzazione dei dati e proporzionalità
Un principio essenziale che emerge dalla dichiarazione è quello della minimizzazione dei dati. L’EDPB sottolinea che qualsiasi misura di verifica dell’età deve raccogliere esclusivamente i dati necessari per verificare l’età, senza richiedere ulteriori informazioni.
Ad esempio, per limitare il trattamento dei dati, una semplice verifica ‘sopra’ o ‘sotto’ una certa età è sufficiente, evitando la raccolta di dati identificativi.
Ad esempio, per contenuti per adulti, il fornitore di servizi deve verificare solo l’età dell’utente, evitando la raccolta di dati aggiuntivi.
Trasparenza e responsabilità
La trasparenza è un principio cardine del GDPR, applicabile soprattutto quando i dati personali vengono trattati per scopi di verifica dell’età.
I fornitori di servizi devono essere chiari riguardo al trattamento dei dati personali, informando gli utenti su come, perché e da chi i loro dati vengono raccolti e trattati.
Questa trasparenza è particolarmente importante quando vengono offerti più metodi di verifica dell’età. Gli utenti devono essere consapevoli dell’impatto che ciascun metodo ha sulla protezione dei loro dati e sulla loro privacy.
Se un fornitore utilizzasse una soluzione di verifica biometrica, dovrebbe chiarire quali dati raccoglie e come li protegge.
La trasparenza si estende anche alla responsabilità. I fornitori di servizi devono dimostrare che la verifica dell’età è conforme al GDPR e che tutte le misure di protezione sono implementate. Questo implica che i fornitori siano pronti a eseguire audit regolari e a rispondere alle richieste delle autorità competenti, garantendo che i processi siano auditabili e monitorabili.
Efficacia della verifica dell’età: accessibilità, affidabilità e robustezza
Oltre a rispettare i principi generali del GDPR, la verifica dell’età deve essere valutata su più aspetti, al fine di garantire che sia veramente efficace nel raggiungere gli obiettivi di protezione dei minori. In particolare, si deve tenere conto di tre criteri fondamentali: accessibilità, affidabilità e robustezza.
- Accessibilità: La verifica dell’età deve essere ampiamente accessibile a tutti gli utenti, indipendentemente dalle loro condizioni socioeconomiche, tecnologiche o fisiche. È importante che il sistema di verifica dell’età non escluda nessun individuo, soprattutto quelli che potrebbero non possedere un documento di identità valido, un dispositivo tecnologico o che abbiano difficoltà legate alla disabilità. In questi casi, devono essere previsti metodi alternativi di verifica, che rispettino comunque i requisiti di privacy e sicurezza. Inoltre, tutte le soluzioni adottate dovrebbero essere conformi alle leggi applicabili in materia di accessibilità, assicurando che ogni individuo possa accedere ai servizi online in modo equo.
- Affidabilità: In linea con il principio di accuratezza previsto dal GDPR, la verifica dell’età deve essere affidabile. Qualsiasi metodo utilizzato per determinare l’età deve essere in grado di fornire una valutazione corretta e coerente, evitando errori che potrebbero avere un impatto significativo sui minori. È fondamentale che siano previsti meccanismi di ricorso per gli utenti, in particolare quando si utilizzano sistemi automatizzati. Questi strumenti devono permettere di contestare eventuali decisioni errate, come nel caso in cui l’età non venga determinata correttamente.
- Robustezza: Il sistema di verifica dell’età deve essere robusto e in grado di resistere a tentativi di elusione o manipolazione. Deve anche essere progettato per affrontare situazioni impreviste, proteggendo così l’integrità del processo. Tuttavia, va sottolineato che la robustezza è meno significativa in contesti in cui si ricorre all’auto-dichiarazione dell’età, in quanto la veridicità delle informazioni dipende dalla volontà dell’utente, e non è garantita.
AI nella verifica dell’età: una soluzione promettente
Con l’evolversi della tecnologia, l’intelligenza artificiale (IA) potrebbe diventare una risorsa fondamentale per migliorare la sicurezza online, in particolare quando si tratta di proteggere i più giovani. La verifica dell’età è uno degli ambiti in cui l’IA potrebbe fare davvero la differenza.
Google, ad esempio, ha annunciato che inizierà a testare un modello basato su machine learning per stimare l’età degli utenti e determinare se sono maggiorenni o minorenni. Questo approccio, secondo l’azienda, permetterebbe di applicare protezioni mirate, rendendo l’esperienza online dei minori più sicura, senza compromettere la loro libertà di esplorare internet.
Anche il CEO di YouTube Neal Mohan sul tema: “Ci concentriamo anche sulla protezione dei nostri utenti più giovani. Ecco perché abbiamo creato YouTube Kids e lanciato gli account supervisionati. Ecco perché abbiamo investito nell’apprendimento e nell’esperienza educativa: migliorando il modo in cui i video vengono mostrati negli strumenti educativi, rendendo facile apprendere di più su argomenti nei video e offrendo ai creatori un modo per produrre corsi. Ecco perché utilizzeremo il machine learning nel 2025 per aiutarci a stimare l’età di un utente – distinguendo tra spettatori più giovani e adulti – per offrire le esperienze e le protezioni più appropriate per l’età. Continueremo a sfruttare responsabilmente la potenza dell’IA per migliorare l’esperienza su YouTube per tutti”.
La sperimentazione di Google sull’uso dell’IA per la verifica dell’età è per il momento limitata agli Stati Uniti, ma si prevede che questa tecnologia si espanda progressivamente anche in altri paesi.
L’IA consente di velocizzare i processi e, se utilizzata correttamente, migliorarne anche l’accuratezza. Tuttavia, la sfida rimane quella di bilanciare l’uso di questa tecnologia avanzata con il rispetto dei diritti degli utenti, offrendo esperienze personalizzate ma sicure.
È qui che entra in gioco il GDPR, che ci ricorda che ogni tecnologia, anche se innovativa, deve rispettare i principi di minimizzazione dei dati e garantire trasparenza nell’uso delle informazioni raccolte.
Valutazione basata sul rischio e misure di sicurezza
Quando sviluppano un sistema di verifica dell’età, i fornitori devono eseguire una valutazione d’impatto sulla protezione dei dati (DPIA). Questa valutazione deve identificare i rischi legati al trattamento dei dati personali, in particolare quando si tratta di minori, e stabilire misure per mitigare tali rischi.
L’adozione di tecnologie che limitano la quantità di dati raccolti e garantiscono la protezione dei dati dall’inizio (privacy by design) è fondamentale. Ad esempio, soluzioni basate su tecnologie di Protezione della Privacy (PETs), come la pseudonimizzazione e la crittografia, sono strumenti potenti per minimizzare i rischi associati alla violazione dei dati.
Valutazione d’Impatto sulla protezione dei dati (DPIA)
Prima di implementare un sistema di verifica dell’età, i fornitori di servizi devono condurre una valutazione d’impatto sulla protezione dei dati (DPIA) per identificare i rischi legati al trattamento dei dati dei minori.
Tale valutazione consente di mettere in atto misure preventive per ridurre i rischi, come l’adozione di soluzioni che limitano al minimo la raccolta di informazioni.
Misure di sicurezza
L’EDPB esorta i fornitori a garantire che i dati personali siano protetti contro accessi non autorizzati mediante l’uso di crittografia e pseudonimizzazione.
La pseudonimizzazione è una tecnica che separa le informazioni identificabili dai dati personali, rendendo più difficile associarli a una persona specifica riducendo il rischio di abusi in caso di violazione.
La crittografia, d’altra parte, garantisce che i dati siano indecifrabili in caso di violazione.
Prevenzione dei rischi: no tracciamento e profilazione
Oltre alla protezione dei dati tramite tecnologie come la crittografia e la pseudonimizzazione, l’EDPB sottolinea l’importanza di garantire che i dati non vengano usati per scopi non giustificati, come il tracciamento o la profilazione.
L’EDPB evidenzia che la verifica dell’età non deve essere utilizzata per scopi di profilazione, localizzazione o tracciamento non giustificato.
I sistemi di verifica devono essere progettati in modo che i dati raccolti non possano essere utilizzati per monitorare o profilare gli utenti in modo dannoso o ingannevole. Ad esempio, l’utilizzo di tecnologie basate su tokenizzazione o su dispositivi locali che non richiedono il trasferimento dei dati verso server remoti contribuisce a minimizzare i rischi associati al trattamento dei dati personali.
Decisioni automatizzate
Una questione importante sollevata dall’EDPB riguarda le decisioni automatizzate. Sebbene la verifica dell’età possa essere automatizzata, le decisioni con effetti giuridici significativi sui minori, come l’accesso a determinati contenuti, non dovrebbero essere completamente automatizzate.
L’EDPB sottolinea la necessità di garantire la possibilità di un intervento umano per evitare danni irreversibili derivanti da decisioni errate.
Un ambiente sicuro e trasparente
La dichiarazione dell’EDPB sottolinea che la protezione dei minori online deve bilanciare la sicurezza dei dati personali con il diritto all’informazione e partecipazione.
I fornitori di servizi online devono adottare un approccio integrato che consideri la protezione dei dati fin dalla progettazione dei sistemi di verifica dell’età, utilizzando tecnologie di protezione avanzate (PETs), garantendo la trasparenza e riducendo i rischi tramite misure di sicurezza come la pseudonimizzazione, la crittografia e la politica di non registrazione.
Un framework di governance robusto consente ai fornitori di creare ambienti sicuri, rispettosi dei diritti dei minori e conformi alle normative europee, assicurando che i processi di verifica dell’età siano efficaci e trasparenti.
La protezione dei minori è una responsabilità collettiva che richiede continuo impegno, attenzione alle soluzioni tecnologiche emergenti e costante aderenza ai principi del GDPR.
Anche se la dichiarazione dell’EDPB non offre esempi concreti, ribadisce l’importanza di un framework robusto che integri i principi giuridici nella progettazione della verifica dell’età.
La protezione dei minori online rimane una priorità europea, fondamentale per garantire un ambiente sicuro e conforme alla legge.
