Quali Paesi obbligano le VPN a bloccare siti web? Ogni ordine e disegno di legge, con le date

Nel giro di dieci giorni, nel settembre 2026, il Congresso degli Stati Uniti ha ricevuto due disegni di legge che ordinano entrambi alle aziende di internet di bloccare i siti pirata, e sono in disaccordo esattamente su un solo tipo di azienda. L’American Copyright Protection Act, presentato il 14 settembre, indica le reti private virtuali tra i soggetti tenuti al blocco. Il DEFEND IP Act, presentato il 24 settembre, le esclude a chiare lettere. Comunque decida il Congresso, sceglierà tra due modelli che esistono già: in Europa, tribunali e autorità di regolazione in esattamente tre Paesi hanno inserito i provider VPN nella catena del blocco, e ovunque altrove l’obbligo si ferma un livello più in basso.

Questa pagina è il registro. Ogni strumento che abbiamo potuto verificare che impone, o imporrebbe, a un provider VPN il dovere di bloccare siti web: Paese per Paese, con le date, con la base giuridica, con i nomi dei soggetti coinvolti e con lo stato di ogni contenzioso. Viene aggiornata man mano che arrivano nuovi ordini.

Una definizione prima della tabella, perché la distinzione regge l’intero argomento: un ordine di blocco siti rivolto a una VPN dice a un’azienda di filtrare le destinazioni; non crea un reato per la persona che usa la VPN, e nessun ordine o disegno di legge di questo registro sanziona l’uso della VPN in sé.

Quali Paesi hanno ordinato ai provider VPN di bloccare siti web?

Tre righe con un sì in tutta la tabella, e anche quelle tre sono arrivate in modi diversi: la Francia con ripetuti ordini giudiziari in contraddittorio, la Spagna con una misura cautelare concessa senza sentire i provider, l’Italia per via regolamentare, senza finora alcun ordine contro una VPN nominata nei registri pubblici. Il resto di questa pagina esamina le righe una alla volta.

Cosa hanno ordinato i tribunali francesi alle VPN, e in base a quale legge?

La Francia è il fascicolo più corposo, e quello che seguiamo dal primo ordine. L’articolo L.333-10 del codice dello sport consente ai titolari dei diritti di chiedere al Tribunale giudiziario di Parigi di ordinare “qualsiasi misura” contro “qualsiasi persona” in grado di contribuire a rimediare alla pirateria dello sport in diretta. Nel maggio 2025 il tribunale ha letto quell’ampiezza alla lettera e ha ordinato a cinque provider VPN, NordVPN, CyberGhost, Surfshark, ExpressVPN e Proton VPN, di bloccare 203 domini per Canal+ e la LFP. Nel luglio 2025 ha emesso ulteriori ordini e rifiutato di rinviare la questione alla Corte di giustizia dell’UE. Entro marzo 2026 il modello si era allargato oltre ISP e VPN, fino ai resolver DNS e ai servizi CDN, in un’unica tornata di ordini per beIN.

Gli ordini della stagione in corso sono arrivati in due ondate di luglio. L’8 e il 9 luglio 2026 la LFP ha ottenuto le sue sentenze per il 2026/27, un blocco di decisioni che nel complesso raggiunge ISP, provider VPN, resolver DNS e motori di ricerca, anche se l’ordine principale per gli ISP (n. 26/07709) nomina solo nove fornitori di accesso. Il 17 luglio sono arrivate quattordici pronunce per Canal+: sette per la Champions League con 26 domini e sette per la Premier League con 47, valide fino a fine maggio e inizio giugno 2027, e questa volta con Proton VPN, CyberGhost ed ExpressVPN tra i convenuti. Pochi giorni dopo, il 21 luglio, il legislatore ha adottato una legge sullo sport il cui articolo 10 riscrive il L.333-10 attorno al blocco automatizzato in tempo reale: nuovi domini trasmessi agli intermediari durante la stessa diretta, con ARCOM che verifica a posteriori invece di approvare prima.

La Francia gestisce anche un secondo registro di blocchi del tutto separato, per i siti per adulti che non applicano la verifica dell’età, e i meccanismi si somigliano. Teniamo un registro dedicato e datato dei blocchi di siti web in Francia, quindi questo registro mantiene le righe francesi in forma compressa.

Cosa è successo in Spagna con LaLiga, NordVPN e Proton VPN?

La voce spagnola è un solo tribunale, un solo ricorrente e un dettaglio procedurale che ha attirato più critiche del blocco stesso. Nel febbraio 2026, il Tribunale commerciale n. 1 di Cordova ha concesso a LaLiga e al ramo audiovisivo di Telefonica misure cautelari che ordinano a NordVPN e Proton VPN di bloccare 16 siti, e lo ha fatto inaudita parte, senza sentire prima i provider. L’ordine si è aggiunto ai blocchi a livello IP che LaLiga già applicava tramite gli ISP spagnoli, la campagna che ha trasformato i fine settimana di calcio spagnoli in un caso di scuola di danni collaterali, di cui parliamo nel nostro approfondimento sulla Spagna.

Il seguito è andato nella direzione opposta. Il 19 maggio 2026 lo stesso tribunale ha respinto la richiesta di LaLiga di multe coercitive contro NordVPN, rifiutando di punire il provider mentre le misure sono contestate. L’ordine di blocco resta; il tentativo di rendere costoso il mancato adempimento no. Per dare la scala di ciò che lo circonda: lo studio di misurazione di OONI sui primi cinque mesi del 2026 ha contato 554.507 domini, il 5,8 per cento di tutto ciò che ha testato, colpiti dai blocchi IP di LaLiga, perché bloccare un indirizzo IP condiviso abbatte ogni sito che ci sta dietro.

Il Piracy Shield italiano si applica alle VPN?

Sulla carta, pienamente. L’Italia è l’unico Paese ad avere posto i provider VPN sotto un obbligo regolamentare permanente invece che sotto ordini caso per caso: la piattaforma Piracy Shield di AGCOM trasmette le segnalazioni dei titolari dei diritti agli intermediari registrati, che devono bloccare entro 30 minuti, e una modifica del febbraio 2025 ha esteso l’obbligo di registrazione ai provider VPN e DNS pubblici. Una conseguenza è arrivata prima di qualsiasi provvedimento contro una VPN nominata: AirVPN ha smesso di accettare residenti italiani, definendo gli obblighi incompatibili con il suo servizio.

Il banco di prova dell’applicazione è Cloudflare. AGCOM l’ha multata per 14.247.698,56 euro, con decisione del 29 dicembre 2025 annunciata l’8 gennaio 2026, per non avere collegato il suo resolver pubblico 1.1.1.1 al Piracy Shield. Cloudflare ha presentato ricorso al Tribunale Amministrativo Regionale del Lazio a marzo, e al momento di questo aggiornamento non risultava pubblicata alcuna decisione. L’esito di quel ricorso dirà a ogni provider VPN registrato in Italia quanto valgono davvero quelle regole.

L’Italia fornisce anche i migliori dati sugli errori di questo registro. Un gruppo dell’Università di Twente, in uno studio sottoposto a revisione paritaria presentato a IEEE CNSM 2025, ha verificato a mano almeno 510 siti web leciti, estranei allo streaming, bloccati dal Piracy Shield su 7.114 domini interessati, con blocchi erronei durati in media circa 320 giorni, e gli autori definiscono quei numeri una stima prudente per difetto.

Una legge USA obbligherebbe le VPN a bloccare siti? ACPA e DEFEND IP a confronto

Qui i due modelli si incontrano. Entrambi i disegni di legge giacciono nelle commissioni giustizia di Camera e Senato, nessuno dei due ha un’audizione in calendario, e sono stati scritti da persone che hanno chiaramente letto le stesse notizie europee traendone conclusioni opposte. Il confronto, dai testi dei disegni di legge:

Due dettagli nelle pieghe dei testi meritano più attenzione di quella ricevuta. Primo, una correzione a qualcosa di ampiamente ripetuto: l’ACPA non contiene alcuna regola di “blocco entro 24 ore” per le dirette. La cifra delle 24 ore nel testo fa parte della definizione di evento sensibile al tempo; ciò che il disegno di legge concede davvero è la discrezionalità del giudice di comprimere i termini. Secondo, una sparizione che nessuno sembra avere segnalato: il predecessore del DEFEND IP Act, il FADPA, vietava qualsiasi ordine che “impedisse a un utente … di usare una rete privata virtuale.” Il DEFEND IP elimina quella clausola. Definisce ancora il termine, poi non lo usa più al di fuori dell’esclusione. I provider VPN sono fuori dalla sua catena di blocco; la tutela esplicita per gli utenti delle VPN è uscita di scena con la riscrittura.

È ancora legale usare una VPN in questi Paesi?

Sì, in ogni Paese di questo registro. Il punto merita di essere enunciato in modo meccanico: gli ordini francesi vincolano cinque aziende, l’ordine spagnolo ne vincola due, le regole italiane vincolano gli intermediari registrati, ed entrambi i disegni di legge americani definiscono obblighi per fornitori di servizi sopra una soglia dimensionale. Una persona che si connette tramite VPN non compare in nessuno di essi come titolare di un obbligo.

L’unico Paese che ci è andato vicino è la Danimarca, e il tentativo è morto due volte. Una bozza del dicembre 2025 del suo pacchetto antipirateria avrebbe multato gli utenti che raggiungevano contenuti bloccati o geo-limitati tramite VPN; entro due settimane dall’apertura della consultazione, il ministro della cultura Jakob Engel-Schmidt ha annunciato la rimozione della sezione sulle VPN, e il disegno di legge è poi decaduto del tutto quando la Danimarca ha convocato le elezioni del marzo 2026 prima che fosse presentato. Da ricordare se dovesse tornare: la clausola operativa della bozza era scritta in modo tecnologicamente neutro, attorno a qualsiasi “soluzione tecnica” usata per ottenere accessi non autorizzati, quindi una versione riproposta non avrebbe bisogno delle lettere VPN per coprirne una. Dove l’uso stesso della VPN è limitato nel mondo di oggi, lo strumento è una legge di censura, non una legge sul copyright, e la nostra guida Paese per Paese alla legalità delle VPN mappa quel territorio separato.

Un ordine di blocco significa che una VPN deve registrare i suoi utenti?

No, e confondere le due cose non aiuta nessuno. Un ordine di blocco è un dovere di filtraggio: impedire le connessioni alle destinazioni di questo elenco. Un obbligo di registrazione sarebbe un dovere di sorveglianza: annotare cosa hanno fatto gli utenti. Nulla negli ordini dei tribunali francesi, nelle misure spagnole, nelle regole italiane o in uno dei due disegni di legge USA chiede a un provider di tracciare quale utente abbia tentato di raggiungere quale sito, e l’ACPA arriva a vietare ai tribunali di prescrivere qualsiasi misura tecnica specifica, lasciando il metodo al provider. Le critiche oneste agli ordini di blocco riguardano l’eccesso e l’errore, i 510 siti italiani leciti e il mezzo milione di domini spagnoli di cui sopra, non una sorveglianza segreta.

Cosa tenere d'occhio adesso?

Quattro procedimenti ridisegneranno questa tabella. La decisione del TAR Lazio sulla multa a Cloudflare stabilirà se il modello regolamentare italiano sopravvive al confronto con un convenuto dotato di risorse. Gli appelli francesi, compreso quello di NordVPN contro l’ordine LFP del dicembre 2025, metteranno alla prova se “qualsiasi misura contro qualsiasi persona” abbia un tetto. Un eventuale esame in commissione dell’ACPA o del DEFEND IP mostrerà quale modello USA ha sostegno, e il trattamento della definizione di VPN sarà l’indizio; con la Camera ferma fino alle votazioni del 9 novembre, lì non si muove nulla prima di metà novembre. E ogni nuova stagione calcistica europea porta ormai regolarmente una nuova tornata di ordini, più ampia della precedente.

Aggiorniamo questo registro man mano che ciascuno di quegli eventi si concretizza. Per la questione più ampia di dove le VPN stesse siano legali, regolamentate o limitate, si parte dalla guida alla legalità; per ciò che rende una VPN qualcosa che vale la pena difendere, la nostra panoramica su legalità e usi legittimi delle VPN copre il terreno.