Verifica età sui social, scienziati lanciano l’allarme privacy

La richiesta di una regolamentazione stringente per l’accesso alle piattaforme social da parte dei minori si intreccia con un’altra questione tecnica e politica: l’introduzione di controlli di età obbligatori basati su verifiche online. Mentre numerosi governi discutono sistemi per bloccare l’accesso ai social network da parte degli utenti più giovani, un gruppo composto da oltre 370 ricercatori e specialisti di sicurezza e privacy ha diffuso una lettera aperta che solleva dubbi sulla fattibilità e sulle implicazioni di tali verifiche dell’ettà.

La polemica arriva in un momento in cui l’Unione Europea, gli USA e Paesi come Australia, Francia e Polonia stanno esaminando o introducendo norme che richiedono l’accertamento dell’età per l’uso di servizi online, spesso con l’obiettivo dichiarato di proteggere i minori dai contenuti dannosi. Al centro del dibattito vi sono i rischi per la privacy, la sicurezza dei dati personali e l’efficacia tecnica dei meccanismi proposti, in un contesto regolatorio sempre più complesso e variegato.

La lettera aperta degli accademici contro le verifiche d’età

I 371 esperti di sicurezza informatica e protezione dei dati provenienti da circa 30 Paesi hanno chiesto alle istituzioni di sospendere l’adozione di controlli automatici dell’età sui servizi online finché non sia disponibile una valutazione scientifica rigorosa dei benefici e dei rischi.

Secondo gli specialisti, le proposte attuali prevedono tipicamente l’uso di tecnologie invasive, come l’analisi di selfie biometrici o la richiesta di documenti d’identità governativi caricati sulle piattaforme, per stimare o accertare l’età di un utente.

Sono metodi che non solo sollevano preoccupazioni sulla raccolta e sulla conservazione di informazioni sensibili, ma creano anche potenziali punti di vulnerabilità che possono essere sfruttati da attaccanti o abusati da terze parti. Inoltre, senza robuste garanzie di crittografia end-to-end e controllo decentralizzato dei dati, la sicurezza di tali sistemi resta incerta.

Critiche tecniche e gap di sicurezza

I critici sostengono che molte soluzioni di verifica dell’età finora proposte non rispondono agli standard necessari per garantire sia la protezione della privacy sia l’affidabilità operativa. L’uso di biometric bound credentials, ovvero credenziali biometriche vincolate all’identità dell’utente, è stato proposto come un metodo che possa mitigare alcuni rischi legati alla condivisione di dati personali, evitando la memorizzazione di template biometrici in chiaro.

Tuttavia, la realizzazione tecnica di tali sistemi richiede infrastrutture crittografiche complesse e interoperabilità tra provider di servizi diversi, condizioni difficili da soddisfare su scala globale.

Senza queste garanzie, la raccolta e la trasmissione di dati biometrici o di documenti ufficiali può esporre gli utenti a truffe, furti di identità e violazioni di sicurezza se tali informazioni non sono gestite con standard di sicurezza elevati.

Equilibrio tra protezione dei minori e diritti digitali

Uno dei nodi centrali del dibattito riguarda l’equilibrio tra l’obiettivo di proteggere i minori dai rischi digitali e la salvaguardia dei diritti fondamentali degli utenti, come la privacy e la libertà di espressione.

I critici temono che sistemi di verifica dell’età non adeguatamente regolamentati possano normalizzare la sorveglianza digitale, relegare i dati personali a infrastrutture centralizzate e creare barriere di accesso che penalizzino utenti senza documenti ufficiali facilmente verificabili.

Cos’è il “doppio anonimato” nella verifica dell’età

La lettera aperta firmata da centinaia di ricercatori non cita espressamente la soluzione europea di verifica dell’età basata sui portafogli digitali e sugli standard dell’UE come proposta dalla Commissione Europea.

Le eccezioni si concentrano su un principio molto ampio: prima di implementare controlli d’età su larga scala, secondo gli accademici è necessario un consenso scientifico sui benefici e sui rischi di tali tecnologie, senza entrare nel merito di soluzioni particolari.

La proposta della Commissione Europea per una age verification rispettosa della privacy prevede strumenti interoperabili con i futuri European Digital Identity Wallet ed è progettata per minimizzare la condivisione di dati personali.

Il doppio anonimato è un principio tecnico pensato proprio per ridurre al minimo i dati personali scambiati ogni volta che un cittadino verifica la propria età online. Funziona su due fronti:

• Il provider di verifica dell’età non sa per quale servizio o piattaforma si sta effettuando il controllo. In pratica, il sistema non collega il fatto che l’utente abbia dimostrato di essere maggiorenne con un sito specifico a cui sta tentando di accedere.
• Il sito o la piattaforma che riceve la conferma di età non ottiene alcuna informazione identificabile sull’utente oltre al fatto che soddisfa la soglia richiesta (ad esempio “18+”). Il sito non vede nome, data di nascita, indirizzo o altri attributi personali.

In termini tecnici, questo è spesso realizzato tramite credenziali criptografiche e protocolli di presentazione che permettono di condividere solo l’attributo richiesto senza rivelare altri dati. L’obiettivo è assicurare che né il verifier (chi controlla l’età) né il relying party (il sito che richiede la prova) costruiscano profili degli utenti o raccolgano dati aggiuntivi oltre l’età.

Il ruolo dell’app europea di age verification

Age Verification (AV) Android application, pubblicato su GitHub dalla Commissione Europea, è un’implementazione di riferimento per un’app Android che effettua la verifica dell’età:

• L’app non è semplicemente un’app indipendente (anche se funziona come tale, l’abbiamo provata), ma un componente del “toolbox” di soluzioni di verifica dell’età basato sui portafogli digitali dell’UE.
• La sua architettura si basa su standard come OpenID4VP (OpenID for Verifiable Presentations) e OpenID4VCI (OpenID for Verifiable Credential Issuance), che sono specifiche utilizzate per emettere e presentare attestazioni verificabili (in questo caso, un attestato di età) tramite il portafoglio digitale.
• L’app permette all’utente di ottenere, memorizzare e presentare un’attestazione di età con un approccio crittografico sicuro, senza che il server che la riceve possa risalire ai suoi dati personali.
• È prevista l’integrazione con i wallet di identità digitale europei (European Digital Identity Wallets), che sono standardizzati sotto la normativa eIDAS 2.0 e dovrebbero essere disponibili su tutto il territorio UE entro il 2026-2027.

In sostanza, l’app è un esempio concreto di come la Commissione vuole realizzare l’age verification: gli utenti ricevono un’attestazione di età da un issuer fidato, la memorizzano nel proprio wallet digitale e la presentano a qualsiasi relying party che richiede la verifica, sempre nel rispetto dei principi di minimizzazione dei dati e di doppio anonimato.