EU Kids Act e minori online: cosa cambia per i trattamenti di dati
Il Garante privacy chiede di tutelare i minori limitando la raccolta di dati. Per le imprese che trattano dati di giovani utenti conviene prepararsi.
I fatti: le posizioni del Garante sull’EU Kids Act
Il Garante per la protezione dei dati personali, Pasquale Stanzione, ha sostenuto che la verifica dell’età dei minori sui social va bene, ma con una raccolta di informazioni limitata allo stretto necessario, nel rispetto di privacy e autonomia dei ragazzi.
L’intervento è avvenuto in audizione alla XIV Commissione della Camera sulla proposta di regolamento europeo EU Kids Act: il Garante ha chiesto un migliore coordinamento con le norme esistenti e maggiori garanzie di riservatezza per i minori.
Secondo Stanzione l’iniziativa europea può superare la frammentazione delle discipline nazionali; sono condivisibili le misure contro le funzionalità delle piattaforme progettate per creare dipendenza, la profilazione e le interazioni dannose, anche nei chatbot che simulano rapporti personali.
Il Garante ha ribadito la richiesta di un accesso autonomo alla rete graduale, con soglie differenziate in funzione dei rischi e una prima fase di supervisione dei genitori, oltre all’attenzione ai rischi di dipendenza emotiva legati ai chatbot capaci di simulare empatia.
Cosa significa per imprese ed enti
Il messaggio del Garante non crea per ora nuovi obblighi, ma indica la direzione: proteggere i minori senza trasformare la tutela in una raccolta eccessiva di dati. Questo richiama principi già vigenti del GDPR, in particolare la minimizzazione, cioè dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità (art. 5, paragrafo 1, lettera c). Una verifica dell’età che raccoglie più informazioni del dovuto rischia di tradursi in un problema di conformità.
Per chi offre servizi digitali, app, piattaforme o canali di assistenza che possono coinvolgere utenti giovani, il tema tocca la base giuridica del trattamento: il GDPR, nel valutare il legittimo interesse, richiede particolare attenzione quando l’interessato è un minore (art. 6, paragrafo 1, lettera f). Il titolare deve inoltre poter dimostrare l’adeguatezza delle misure adottate e riesaminarle quando necessario (art. 24, paragrafo 1), con misure di sicurezza proporzionate al rischio (art. 32, paragrafo 1).
Il riferimento ai chatbot che simulano rapporti personali interessa anche chi usa assistenti virtuali: l’AI Act già prevede che le persone siano informate di interagire con un sistema di IA, salvo il caso in cui sia evidente (art. 50, paragrafo 1). Sul piano organizzativo, la questione va gestita come rischio da presidiare, con ruoli, controlli e tracciabilità delle decisioni.
Cosa fare ora
- Mappare i servizi, i canali e le funzionalità che possono essere utilizzati da minori o che ne trattano i dati.
- Verificare che ogni raccolta di informazioni, compresa quella per la verifica dell’età, sia limitata a quanto strettamente necessario rispetto alla finalità.
- Rivedere le valutazioni sulla base giuridica del trattamento, con particolare cautela quando l’interessato può essere un minore.
- Controllare che chatbot e assistenti virtuali informino chiaramente l’utente di interagire con un sistema di IA e non simulino rapporti personali.
- Documentare misure tecniche e organizzative e prevedere un riesame periodico, per poter dimostrare la conformità in caso di richiesta.
- Seguire l’iter della proposta EU Kids Act e predisporre un piano di adeguamento coordinato con le regole privacy già applicabili.
CGC S.r.l. affianca imprese, enti e pubbliche amministrazioni con i Modelli 231, la privacy e la cybersecurity, anche con la funzione di DPO, la revisione legale e gli adeguati assetti. Per una prima verifica è disponibile il Self-Assessment gratuito su assetti, privacy, NIS2 e whistleblowing: www.cgcsrl.eu.
Fonti
- Eu Kids Act, Stanzione: Tutela dei minori senza sacrificare privacy e… – Garante Privacy — Fonte: Garante per la protezione dei dati personali. Documento letto e rielaborato con citazione e collegamento all’originale; testo non riprodotto.
- Regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati) — EUR-Lex, testo consolidato in lingua italiana consultato il 3 novembre 2026
- Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act), come modificato dal regolamento (UE) 2026/1744 — EUR-Lex, testo consolidato in lingua italiana al 27 luglio 2026, consultato il 3 novembre 2026
