Quanti anni hai davvero? La verifica dell'età online.

Un tema che sembra riguardare solo le grandi piattaforme e che invece tocca ogni giorno docenti, famiglie e dirigenti scolastici.

Il problema, in una scena familiare

Un bambino di nove anni ha un profilo su un social che formalmente ammette solo maggiori di tredici anni. Come ha fatto? Ha spostato l'anno di nascita nel menu a tendina. Nessun documento, nessun controllo, nessun genitore avvisato. Il "cancello dell'età" era una porta senza serratura.

È la situazione più comune nelle nostre classi, e riassume bene il nodo centrale: verificare l'età online è tecnicamente difficile, giuridicamente delicato ed eticamente scivoloso. Non esiste ancora una soluzione che sia allo stesso tempo efficace, rispettosa della privacy e praticabile su larga scala.

Per la scuola questo non è un problema altrui. Ogni istituto è titolare del trattamento dei dati dei propri studenti, sceglie strumenti digitali, chiede consensi alle famiglie e forma cittadini che quei sistemi useranno tutti i giorni. Vale quindi la pena capire come stanno le cose e, soprattutto, cosa si può fare concretamente.

Le regole in tre righe (senza mal di testa)

La soglia del consenso digitale. Il GDPR fissa un'età minima perché un ragazzo possa acconsentire da solo al trattamento dei propri dati per i servizi online, lasciando agli Stati un margine tra i 13 e i 16 anni. L'Italia ha scelto i 14 anni (art. 2-quinquies del Codice privacy). Sotto quella soglia il consenso deve essere prestato — o autorizzato — da chi esercita la responsabilità genitoriale.

L'obbligo di proteggere i minori. Il Digital Services Act europeo impone alle piattaforme accessibili ai minori misure adeguate di tutela. Le linee guida della Commissione europea del 2025 hanno chiarito un punto che ci interessa molto: la semplice autodichiarazione dell'età non è considerata uno strumento idoneo, e scrivere nelle condizioni d'uso "vietato ai minori" non basta a considerare un servizio non accessibile ai minori.

Il caso italiano dei contenuti per adulti. Dal novembre 2025 i siti pornografici raggiungibili dall'Italia devono verificare la maggiore età degli utenti secondo il modello del "doppio anonimato": un soggetto terzo certificato accerta l'età, il sito riceve solo una prova anonima, e il certificatore non sa a quale sito quella prova servirà. È il tentativo più serio finora di conciliare controllo e riservatezza.

Tre livelli diversi, un'unica domanda di fondo: come si dimostra l'età di una persona senza sapere chi è?

Perché è così difficile: sette criticità reali

1. L'autodichiarazione non verifica niente. È il metodo più diffuso perché costa zero e non raccoglie dati. Ma non è una verifica: è una richiesta di collaborazione a chi ha tutto l'interesse a non collaborare.

2. La stima algoritmica sbaglia proprio dove serve. I sistemi di facial age estimation stimano l'età da un selfie con margini d'errore di alcuni anni. Funzionano ragionevolmente per distinguere un bambino da un adulto maturo, molto meno nella fascia critica 13-17, che è esattamente quella che conta. In più mostrano accuratezze diverse a seconda della fisionomia e del colore della pelle: un errore statistico diventa una discriminazione individuale. E trattano dati biometrici, cioè categorie particolari di dati.

3. Il documento d'identità è sproporzionato — e i minori spesso non ce l'hanno. Chiedere un documento risolve l'accuratezza ma crea un archivio di identità reali associate a comportamenti online: un obiettivo appetibile per gli attacchi informatici e una perdita netta di anonimato per gli adulti.

4. Provare che il genitore è davvero il genitore. Qui sta il punto più trascurato. Il consenso genitoriale è realmente informato solo se si dimostra chi lo ha dato, quando, per quale finalità e che era legittimato a darlo. Un'email inserita dal minore, una spunta su una casella, un SMS di conferma: sono passaggi facilmente aggirabili da un tredicenne motivato. Non basta l'approvazione: serve tracciabilità e verificabilità.

5. Il paradosso della privacy. Per proteggere i dati dei minori bisogna raccoglierne di più — e da tutti, adulti compresi. Ogni sistema di verifica è un trattamento nuovo, che va giustificato, minimizzato e messo in sicurezza. Il rimedio può essere peggiore del male se progettato male.

6. L'aggiramento è banale. VPN, account del fratello maggiore, dispositivo condiviso in famiglia, profilo creato "insieme a papà" e poi usato da solo. Nessun controllo tecnico regge contro un ecosistema domestico permeabile.

7. La frammentazione delle soglie. 14 anni in Italia, 13 in altri Paesi, 16 in altri ancora; e in parallelo soglie contrattuali fissate dai singoli servizi (13, 16, 18). Per una famiglia è difficile persino capire quale regola si applichi.

E la scuola? Prima cosa: sfatiamo un equivoco

Un malinteso ricorrente nei collegi docenti: "gli studenti hanno meno di 14 anni, quindi per usare qualsiasi strumento digitale servono i consensi dei genitori".

Non è così. Per le attività didattiche istituzionali la base giuridica non è il consenso, ma l'esecuzione di un compito di interesse pubblico e l'adempimento di obblighi di legge (art. 6, par. 1, lett. c ed e del GDPR). Registro elettronico, piattaforma per la didattica, valutazioni, comunicazioni scuola-famiglia: non si chiede il consenso, si fornisce l'informativa. Chiedere un consenso dove non serve è un errore, perché lascia intendere alle famiglie una libertà di scelta che in realtà non esiste — e che la scuola non potrebbe onorare.

Il consenso serve invece per ciò che è facoltativo o eccedente: pubblicazione di foto e video sul sito o sui canali social dell'istituto, riprese di saggi e recite, partecipazione a concorsi esterni, servizi aggiuntivi non obbligatori, uso di applicazioni non necessarie all'attività curricolare.

Dove la questione dell'età morde davvero è in un altro punto: quando la scuola chiede — o lascia che si chieda — agli studenti di aprire account personali su servizi con limiti d'età. Un'insegnante di terza media che assegna un compito su un'app che richiede 16 anni sta mettendo tredicenni nella condizione di mentire sulla propria età, con un account fuori dal controllo dell'istituto. È qui che il problema della verifica dell'età diventa un problema organizzativo della scuola.

In classe: l'unico "age gate" che funziona davvero è educativo

Nessun filtro tecnico protegge un ragazzo quanto la sua capacità di capire cosa sta facendo. La verifica dell'età è una misura di contenimento; l'educazione è la misura strutturale.

Infanzia e primaria. Nessun account personale, mediazione totale dell'adulto, uso di contenuti selezionati e offline quando possibile. Il lavoro educativo riguarda il corpo, il tempo e le prime nozioni di "cosa è mio": la mia foto, il mio nome, la mia voce. Utile coinvolgere i genitori sul tema dello sharenting, cioè le foto dei figli pubblicate dagli adulti.

Secondaria di primo grado. È l'età di frontiera, quella in cui la soglia dei 14 anni si scontra con la realtà. Funziona bene un lavoro esplicito su perché esistono quei limiti: leggere insieme le condizioni d'uso di un'app nota, scoprire l'età minima dichiarata, discutere cosa succede ai dati raccolti, ragionare sul fatto che dichiarare 18 anni per iscriversi significa essere trattati dall'algoritmo come un adulto — con le pubblicità, i contatti e i contenuti che ne conseguono.

Secondaria di secondo grado. Si può salire di livello: il concetto di base giuridica, il consenso come atto revocabile, il modello del doppio anonimato come esempio di privacy by design, il confronto tra stima e verifica dell'età, i diritti esercitabili (accesso, rettifica, cancellazione). Ottimo terreno per l'educazione civica e per collegamenti con diritto, informatica e statistica (l'errore algoritmico e i bias sono un caso di studio perfetto).

Tre cose da dire ai genitori

1. La soglia dei 14 anni non è una formalità. Sotto quell'età, iscrivere il figlio a un servizio online — o lasciarglielo fare — è una scelta che ricade sull'adulto, non sul ragazzo.

2. L'account "aperto insieme" va accompagnato nel tempo. La configurazione iniziale conta meno dell'abitudine di parlarne. Impostazioni private per default, contatti limitati, notifiche ridotte.

3. Chiedere alla scuola è legittimo. Quali strumenti usa la classe, con quali dati, per quanto tempo conservati, chi è il DPO dell'istituto: sono informazioni che la scuola deve saper fornire.

In conclusione

La verifica dell'età online resta un problema aperto: ogni soluzione compra accuratezza pagando in privacy, o protegge la privacy rinunciando all'efficacia. Il modello del doppio anonimato e i futuri portafogli di identità digitale europei indicano una direzione promettente, ma non sono ancora una risposta completa.

Per la scuola la strada più solida non passa dal controllo, ma dalla progettazione: scegliere strumenti che non obblighino i minori a dichiarare un'età falsa, raccogliere il minimo indispensabile, spiegare con onestà cosa si fa e perché, e formare studenti capaci di riconoscere il valore dei propri dati. Non è solo conformità normativa. È, molto concretamente, una parte del mestiere di educare.

Questo, in concreto, cosa comporta per la scuola

Tradotto dal linguaggio normativo a quello di un consiglio d'istituto, le conseguenze pratiche sono sei.

1. La responsabilità resta all'istituto, non al fornitore né al singolo docente. La scuola è titolare del trattamento: sceglie le finalità e gli strumenti. Se una classe di undicenni usa un'applicazione che ne richiede sedici, il problema non è del produttore dell'app e non si risolve con una liberatoria firmata dai genitori. Risponde l'istituto, anche quando la scelta è nata dall'iniziativa isolata di un insegnante.

2. L'autodichiarazione degli alunni non rende lecito nulla. Se il servizio prevede un'età minima superiore a quella della classe, l'uso didattico non diventa legittimo perché gli studenti "hanno cliccato che hanno diciotto anni". Al contrario: la scuola avrebbe indotto i minori a una dichiarazione falsa.

3. Un consenso raccolto male equivale a un consenso assente. Modulo unico "tutto o niente", firma di un solo genitore, nessuna data, nessuna modalità di revoca, nessuna traccia archiviata: in caso di contestazione il trattamento risulta privo di base giuridica, esattamente come se il consenso non fosse mai stato chiesto.

4. Le conseguenze non sono solo teoriche. Interventi del Garante, obbligo di interrompere il trattamento in corso d'anno, contenziosi con le famiglie, ricadute reputazionali sul territorio. Nella pratica quotidiana il danno più frequente non è la sanzione, ma dover smontare a metà anno un'attività didattica costruita su uno strumento non utilizzabile.

5. La scelta degli strumenti digitali smette di essere una decisione individuale. Diventa una scelta d'istituto, documentata e condivisa, con un elenco di applicazioni autorizzate. Non è burocrazia: è ciò che protegge il docente che quegli strumenti li usa in classe.

6. Serve un ripensamento didattico, non solo amministrativo. Alcune attività vanno riprogettate (il profilo social "di classe", il compito da svolgere su un servizio che richiede registrazione personale), e va costruito un percorso educativo esplicito sul valore dei dati, perché nessun filtro tecnico sostituisce la consapevolezza dello studente.

Quali azioni occorre intraprendere

Subito — dirigenza, DPO, animatore digitale

• Censire gli strumenti digitali realmente in uso: nome del servizio, chi lo usa, per quale attività, età minima prevista dalle condizioni d'uso, dove finiscono i dati. Da questa mappa emergono quasi sempre le sorprese maggiori.

• Individuare gli strumenti fuori soglia rispetto all'età degli alunni e sospenderli o sostituirli.

• Verificare che ogni fornitore sia nominato responsabile del trattamento con atto scritto.

• Controllare che i moduli di consenso in circolazione siano granulari, datati, sottoscritti da entrambi i genitori e revocabili.

Entro l'avvio dell'anno scolastico

• Migrare le attività su ambienti in dominio scolastico, con account nominali creati e amministrati dall'istituto: così il minore non deve registrarsi da solo e il problema dell'age gate individuale non si pone.

• Disattivare nelle console di amministrazione i servizi accessori non necessari alla didattica (chat aperte, store di applicazioni, funzioni social).

• Aggiornare il registro dei trattamenti e valutare la necessità di una DPIA per gli strumenti nuovi, per il monitoraggio e per qualsiasi trattamento di dati biometrici o di profilazione.

• Pubblicare informative su due livelli: una completa per gli adulti, una in linguaggio accessibile per gli studenti, differenziata per ordine di scuola.

• Aggiornare regolamento d'istituto, policy BYOD e patto di corresponsabilità su smartphone, riprese, chat di classe e gruppi delle famiglie.

• Definire le procedure per le violazioni di dati (chi avvisa chi, entro quando) e per le segnalazioni di contenuti o comportamenti dannosi, raccordandole a quelle antibullismo.

A regime, ogni anno

• Applicare sistematicamente il principio di minimizzazione: se basta la classe non serve la data di nascita, se basta il nome non serve il cognome.

• Formare i docenti (almeno un'ora dedicata) e incontrare i genitori (almeno un appuntamento serale): valgono più di dieci circolari.

• Inserire in educazione civica un modulo esplicito sull'età digitale, calibrato per ordine di scuola.

• Rivedere annualmente la mappa degli strumenti: le condizioni d'uso delle piattaforme cambiano spesso, e con esse le età minime.

Riferimenti essenziali: Regolamento (UE) 2016/679 (GDPR), artt. 6 e 8; D.lgs. 196/2003, art. 2-quinquies; Regolamento (UE) 2022/2065 (Digital Services Act), art. 28 e relativi orientamenti della Commissione europea (2025); d.l. 123/2023 conv. l. 159/2023, art. 13-bis; delibera AGCOM 96/25/CONS.