Età minima per i social media per paese (settembre 2026): cosa è davvero in vigore e come viene controllata l'età

Mercoledì 16 settembre Ursula von der Leyen ha detto al Parlamento europeo: «Niente social media sotto i 13 anni. Nessun account personale sotto i 15 anni.» La mattina dopo la Commissione ha adottato la proposta dietro quella frase, il KIDS Act dell’UE. Nel giro di poche ore le solite liste di una dozzina di paesi hanno ripreso a circolare, e diverse dicono ancora che la Francia vieta i social media agli under 15.

La Francia non lo fa. Il suo divieto è stato annullato il 14 agosto. È questo il problema di ogni tracker che abbiamo controllato scrivendo questo articolo: registrano ciò che i governi hanno annunciato, non ciò che una piattaforma è obbligata a fare oggi, e quasi nessuno spiega come una piattaforma dovrebbe conoscere l’età di un utente in primo luogo. Quella seconda colonna decide se la legge chiede un passaporto, un selfie, una data di nascita digitata su un telefono o il luogo da cui proviene la connessione. Decide anche se una VPN c’entra qualcosa.

Ecco quindi la tabella che volevamo e non abbiamo trovato: ogni giurisdizione con un’età minima per i social media, ordinata in base a ciò che è davvero in vigore, con il metodo di verifica, la sanzione e una colonna onesta su se la posizione è un input. Datata 17 settembre 2026. La terremo aggiornata.

Quali limiti di età per i social media sono in vigore oggi?

Quattro leggi nazionali e una manciata di leggi statali americane. Tutto il resto di cui avete letto o aspetta una data di partenza o è ancora una bozza.

Tre dettagli di quella tabella meritano una pausa.

La multa australiana non è sempre stata di A$109 milioni. Il tetto originale era A$49,5 milioni. L’annuncio del Primo Ministro del 28 giugno descriveva un raddoppio a A$99 milioni; la penalty unit federale è poi salita il 1° luglio, quindi 300.000 unità arrivano ora a circa A$109 milioni. Il Parlamento ha approvato il disegno di legge nella settimana del 7 settembre e ha ricevuto la promulgazione l’11 settembre. Lo stesso emendamento estende i poteri di raccolta di informazioni di eSafety ai fornitori di verifica dell’età e agli app store.

Il modello malese è il più severo in vigore ovunque. Il Child Protection Code impone alle piattaforme con licenza di verificare l’età sui registri rilasciati dallo stato, e il Ministero delle Comunicazioni ha confermato ad agosto che è obbligatorio, non facoltativo, con il tetto di RM1 milione più una sanzione giornaliera per la violazione continuata.

La legge brasiliana viene spesso elencata come un «divieto». Non lo è. La Lei 15.211 permette agli under 16 di avere account, ma ciascuno deve essere collegato a quello di un tutore, e le piattaforme non possono affidarsi a una data di nascita autodichiarata per decidere chi è minorenne.

Quali leggi sono state approvate ma non sono ancora partite?

Il testo turco merita uno sguardo più attento perché è quello più spesso descritto come «in vigore». Non lo è, ancora. La Law 7578 è stata pubblicata il 1° maggio 2026 e i suoi articoli sui social media entrano in vigore sei mesi dopo. Il metodo di verifica è la questione aperta: i commentatori danno per scontato il portale di identità e-Devlet, ma la legge dice solo che i fornitori devono verificare. Aggiorneremo la riga quando l’autorità turca pubblicherà il meccanismo.

Cosa ha proposto l'UE il 17 settembre 2026?

Un regolamento, non una raccomandazione, e uno che sostituirebbe le congetture di 17 bozze nazionali separate con un unico corpo di regole. La Commissione lo chiama EU Keeping Internet Digital Spaces Accountable and Trustworthy Act, in breve KIDS Act. La sua stessa scheda esplicativa fissa tre livelli:

• Sotto i 13 anni: nessun account.
• 13 e 14 anni: «un tutore può creare un account limitato e ne manterrà il controllo, con strumenti parentali sempre attivi, un limite di tempo giornaliero di al massimo un'ora e l'approvazione dei contatti da parte dei genitori.» I contenuti sono visibili solo ai contatti accettati; il minore non può essere aggiunto a gruppi senza consenso e non può trasmettere in diretta per impostazione predefinita.
• 15 anni e oltre: «i giovani possono aprire un proprio account su servizi che per legge devono essere sicuri per loro.»

L’ambito è più ampio dei social media: servizi di condivisione video con funzioni rischiose, giochi online, chatbot e compagni basati sull’IA, e app store. L’età verrebbe provata «tramite soluzioni certificate indipendenti dalle piattaforme, tra cui un’app gratuita UE di verifica dell’età e, a tempo debito, il portafoglio europeo di identità digitale», usando prove a conoscenza zero che dicono alla piattaforma solo che un utente è sopra la soglia, e «ogni Stato membro deve offrire almeno un modo gratuito per provare la propria età, anche per chi non ha un’identità digitale.» Gli account esistenti non sfuggono: «entro sei mesi dall’applicazione delle regole, le piattaforme devono verificare se i titolari di account esistenti hanno meno di 15 anni e disattivare gli account di chi lo è, o di chi ha un’età che non può essere accertata.» Le multe «possono raggiungere il 6% del fatturato annuo mondiale totale», e le piattaforme più grandi dovrebbero presentare un piano di sicurezza a revisori indipendenti prima di poter servire i minori.

Due cose che il materiale della Commissione non dice. Non dice se uno Stato membro possa mantenere un’età nazionale più severa, il che conta per Danimarca (15, senza livello supervisionato), Norvegia (16) e Austria (14). E non indica una data. Questo è l’inizio della procedura legislativa ordinaria; Parlamento e Consiglio lo emenderanno ciascuno, e i livelli di età sono l’ovvio campo di battaglia. Finché non si conclude, il KIDS Act non obbliga nessuno.

I social media sono vietati agli under 15 in Francia?

No, e il motivo è una sentenza che la maggior parte dei riassunti in inglese ha saltato.

Il Parlamento ha adottato la «loi visant à protéger les mineurs des risques auxquels les expose l’utilisation des réseaux sociaux» il 21 luglio 2026, con un articolo di punta che vietava i social network agli under 15 dal 1° settembre. Il 14 agosto il Conseil constitutionnel, con la decisione 2026-911 DC, ha dichiarato quell’articolo incostituzionale. Il ragionamento della corte è il documento più utile di tutto questo campo, perché descrive cosa servirebbe a una legge conforme: il divieto si applicava a ogni social network senza distinguere per funzionalità o rischio, compresi servizi «i cui rischi non sono accertati»; nessuna disposizione permetteva a un genitore di revocarlo o adattarlo per il proprio figlio; e imponeva implicitamente a ogni utente, adulti compresi, di provare la propria età senza che la legge fissasse alcuna garanzia per quei dati. Il resto della legge è stato promulgato il 24 agosto senza il suo fulcro.

Il ripiego che molti tracker citano, la legge del 2023 sulla «majorité numérique» che fissa a 15 anni l’età del consenso digitale, non è mai stato applicato. La risposta del governo stesso a un’interrogazione parlamentare spiega perché: la Commissione europea ha rilevato nell’agosto 2023 che la legge era stata adottata in violazione della direttiva sulla notifica ed era in conflitto con il Digital Services Act, quindi i decreti attuativi non sono mai stati emanati.

Il 14 settembre il governo ha notificato a Bruxelles un testo riscritto. Secondo Toute l’Europe e CNews, non vieta più gli account. Prende di mira circa una dozzina di funzioni che creano dipendenza per gli under 15 (autoplay, notifiche notturne, contatori a ricompensa variabile, contatti da account sconosciuti), esclude del tutto gli under 13 e richiede il consenso esplicito dei genitori dai 13 ai 15 anni. È vicino al modello della Commissione, ed è questo il punto: ora la Francia ha bisogno del KIDS Act più di quanto il KIDS Act abbia bisogno della Francia.

Quali paesi sono ancora allo stadio di proposta?

Questa è la lista più lunga e quella che cambia ogni settimana. Situazione al 17 settembre.

L’India resta fuori da questa tabella di proposito: le sue regole sulla Digital Personal Data Protection richiedono il consenso verificabile dei genitori per ogni utente sotto i 18 anni, introdotto per fasi fino a maggio 2027, il che è un regime di consenso e non una soglia di età. La «modalità minori» e le regole sul nome reale della Cina sono ancora un altro sistema e precedono tutto quanto sopra.

Una VPN aggira qualcuna di queste leggi?

Ecco la frase da tenere a mente: una legge sull’età che controlla un documento o un dispositivo non guarda mai dove ti trovi; una legge sull’età che controlla dove ti trovi è l’unico tipo che una VPN possa anche solo sfiorare.

Ordinate le leggi qui sopra in base a ciò che ispezionano e il quadro è semplice.

Controlli di identità. La Malaysia legge una MyKad o un passaporto. Il Brasile legge documenti, biometria o un numero CPF. Il Vietnam lega ogni account a un numero di telefono o a un documento. La Turchia impone la verifica della persona. La proposta UE consegna alla piattaforma un token «over 15» a conoscenza zero da un’app statale. Portogallo, Grecia e Italia prevedono portafogli statali. In tutti questi casi il controllo riguarda chi sei. Da dove arrivano i tuoi pacchetti non fa parte della domanda.

Controlli sul dispositivo. La legge californiana legge una fascia di età che il sistema operativo ha ricavato dalla data di nascita inserita alla configurazione; le leggi sugli app store in Texas, Utah e Louisiana legano l’età all’account Apple o Google. Abbiamo esaminato in dettaglio il meccanismo californiano la settimana scorsa: il segnale viaggia dal sistema operativo all’app attraverso un’interfaccia sul dispositivo. Una VPN sostituisce l’indirizzo IP che un servizio vede e cifra il percorso fino al server VPN. Non raggiunge mai l’account né l’interfaccia.

Obblighi delle piattaforme legati alla posizione. Australia e Florida sono diverse. Le loro leggi obbligano le piattaforme verso gli utenti della giurisdizione, e la piattaforma deve decidere chi sono quegli utenti. Le linee guida di eSafety sono esplicite: indirizzi IP, GPS, impostazioni del dispositivo, numeri di telefono e paese dell’app store sono tutti segnali legittimi, e si aspetta che le piattaforme integrino il rilevamento delle VPN per individuare gli account che dichiarano di trovarsi all’estero. Questo va nella direzione opposta rispetto a quanto la maggior parte dei lettori presume: in Australia una VPN è meno una scappatoia che un segnale d’allarme. Può far scattare un controllo dell’età su un account adulto che altrimenti sarebbe passato inosservato.

Nulla in nessuna di queste leggi penalizza l’utente per l’uso di una VPN. L’autorità australiana dice che non ci sono sanzioni di alcun tipo per minori o genitori. La SB 73 dello Utah, l’unica legge americana che nomina le VPN nel suo testo, si applica ai siti che ospitano materiale dannoso per i minori, non ai social media, e anche lì l’obbligo ricade sul sito. Se una VPN sia legale dove vivi è una questione separata, e la nostra guida alla legalità 2026 copre la manciata di paesi in cui la risposta non è un semplice sì.

Cosa dicono i numeri sull'elusione?

L’Australia è l’unico paese con nove mesi di applicazione e un’autorità che pubblica la propria valutazione, quindi sono le sue cifre a sostenere l’argomento.

Il rapporto a tre mesi di eSafety, «Early days, early insights», pubblicato il 31 luglio 2026, ha reclutato oltre 4.000 minori e un genitore ciascuno in una rilevazione di base a novembre e dicembre 2025 e ne ha reintervistati circa 1.000 a marzo e aprile 2026. La quota di under 16 con un account è scesa dal 52,4% al 42,1%. L’uso delle piattaforme soggette a restrizione, con o senza account, è sceso solo dall’85,9% all’81,5%, perché la navigazione senza accesso non è coperta. Tra i minori che avevano ancora un account, il 50,2% ha detto che la piattaforma non gli aveva mai chiesto di verificare l’età; il 37,1% ha detto che il suo account lo indicava come sedicenne o più grande, il 18,2% ha detto che un controllo dell’età lo aveva erroneamente confermato come sedicenne o più grande, e il 7,4% aveva usato una VPN.

Leggeteli in ordine. La falla principale del sistema australiano sono le piattaforme che non chiedono, poi le date di nascita digitate anni fa, poi la stima dell’età che sbaglia per eccesso. La VPN è al quarto posto, con un minore su quattordici.

Il Regno Unito, che ha messo controlli dell’età sui siti per adulti nel luglio 2025 e li metterà sui social media la prossima primavera, racconta una storia simile dall’altro lato. Il tracker della domanda di Top10VPN ha registrato una domanda di VPN nel Regno Unito fino al 1.987% sopra la sua linea di base il 27 luglio 2025, il più grande dei picchi legati a leggi sull’età nel suo tracker, davanti all’847% dello Utah nel 2023 e al 570% della Francia. Ma il sondaggio di Childnet su 2.018 minori tra gli 8 e i 17 anni, condotto a novembre 2025, ha rilevato che la quota di chi ha iniziato a usare una VPN nei tre mesi successivi alla legge era «solo del 2% superiore al numero di chi aveva iniziato 1 anno fa». Sono stati gli adulti a guidare l’impennata. I minori che hanno superato i controlli ci sono riusciti per lo più, secondo la stessa ricerca del governo, inserendo una data di nascita falsa.

Quello schema, picco della domanda di VPN tra gli adulti, ruolo marginale nell’elusione da parte dei minori, si è ormai ripetuto in Utah (2023), Francia (giugno 2025), Regno Unito e Australia. È la migliore previsione disponibile di ciò che vedrà la Turchia il 1° novembre e il Regno Unito la prossima primavera.

Come leggere un titolo su una nuova legge sull'età per i social media

Cinque domande separano l’annuncio dall’obbligo, e sono le colonne delle tabelle qui sopra.

1. È in vigore, approvata o proposta? UE, Regno Unito, Danimarca e Grecia sono proposte. La Turchia è approvata e in attesa. Solo Australia, Indonesia, Malaysia e Brasile vincolano una piattaforma oggi.
2. Chi porta l'obbligo? In ogni caso, la piattaforma. Nessuna legge in questa tabella multa un minore o un genitore.
3. Cosa viene ispezionato: un documento, un dispositivo o una posizione? È la colonna che decide se la privacy è in gioco e se una VPN è rilevante.
4. Cosa succede agli account esistenti? La Malaysia riverifica entro sei mesi; la proposta UE farebbe lo stesso; le piattaforme australiane hanno rimosso l'accesso a 4,7 milioni di account nella prima metà di dicembre 2025.
5. Un tribunale l'ha esaminata? Quella francese è stata annullata. Quelle di Florida e Texas hanno superato i ricorsi provvisori. Le tre obiezioni del Conseil constitutionnel, ambito generalizzato, nessuna deroga parentale, nessuna garanzia per i dati sull'età degli adulti, sono il test che ogni bozza europea deve ora superare.

Per i genitori, la conseguenza pratica è che l’impostazione che conta è di solito quella sul dispositivo o sul documento, non sulla rete. La nostra guida alla sicurezza online dei bambini copre il lato dispositivo. Per gli adulti, la rassicurazione è che una VPN continua a fare ciò che fa per voi, cifrare il traffico sul Wi-Fi pubblico e tenere il vostro indirizzo IP fuori dai log di ogni piattaforma, e che secondo le leggi oggi in vigore non è qualcosa che un controllo dell’età penalizza. Le VPN copre 10 dispositivi con un solo piano, con una garanzia di rimborso di 30 giorni, e se state leggendo dall’Australia o dal Regno Unito, le pagine paese spiegano come le regole locali interagiscono con un account VPN.

Questa tabella sarà aggiornata quando il KIDS Act arriverà in Parlamento, quando la Turchia indicherà il suo metodo di verifica, quando Grecia e Portogallo voteranno e quando l’Australia pubblicherà la sua valutazione a sei mesi. Se abbiamo sbagliato una riga, segnalatecelo tramite la pagina dei contatti e la correggeremo con una nota datata.