La clausola VPN dell'Utah è bloccata, per ora: cosa cambia con l'ingiunzione Aylo e cosa no

Aggiornamento, 6 ottobre 2026: la decisione che questo articolo aspettava è arrivata, con un mese di anticipo. Il 24 settembre il giudice David Barlow della US District Court for the District of Utah ha accolto la mozione di Aylo per un’ingiunzione preliminare contro la clausola della localizzazione presunta, la parte della SB 73 che contava un utente VPN fisicamente nell’Utah come visitatore dell’Utah qualunque fosse l’indirizzo IP visto dal sito. Il suo ragionamento sta in due frasi sue: l’emendamento «richiede a entità come Aylo di geolocalizzare gli utenti del proprio sito con perfezione per evitare la responsabilità», e «è pacifico che la perfezione nella geolocalizzazione non è attualmente possibile».

L’ingiunzione è più circoscritta di quanto suggerisca la maggior parte dei resoconti, e le date che contavano a settembre non contano più nulla. Questo articolo è stato aggiornato da cima a fondo: cosa ha bloccato il giudice, cosa ha rifiutato di bloccare, cosa resta in vigore nell’Utah oggi e cosa il regolamento statale sul rilevamento al 95% avrebbe chiesto ai siti web.

Quando questo pezzo è uscito la prima volta, il 3 settembre, la notizia era una data che valeva meno di quanto i titoli sostenessero. Gizmodo e altri riferivano che la prima legge statunitense contro l’uso delle VPN sarebbe entrata in vigore quel giorno. In realtà la SB 73 era in vigore dal 6 maggio 2026, e il 3 settembre era solo la scadenza di una tregua giudiziaria: la promessa dell’Utah di non applicare la clausola VPN contro una sola società, Aylo, l’operatore di Pornhub, mentre il giudice valutava il ricorso dell’azienda. Quella tregua è stata prorogata il 27 agosto ed è finita nel momento in cui è arrivata la decisione.

Ecco cosa dice la legge, chi vincola, cosa ha deciso il tribunale e cosa significa tutto questo per chi usa una VPN.

La legge dell'Utah sulle VPN è entrata in vigore il 3 settembre?

No. La confusione nasce dal sovrapporre due documenti.

Il primo è la legge stessa. La SB 73, gli Online Age Verification Amendments, è stata promossa dal senatore Calvin Musselman e dal deputato Steve Eliason e firmata dal governatore Spencer Cox il 19 marzo 2026. La Sezione 22 del testo definitivo ne fissa la data di entrata in vigore: 6 maggio 2026, con una manciata di disposizioni fiscali a seguire il 1° ottobre. Il linguaggio sulle VPN si trova nella Sezione 14, che modifica lo Utah Code 78B-3-1002, e porta la data del 6 maggio come tutto il resto.

Il secondo documento è una dichiarazione congiunta depositata in tribunale federale il 27 aprile 2026, cinque giorni dopo la causa di Aylo. In essa la Division of Consumer Protection e il Department of Commerce dell’Utah hanno accettato di astenersi dall’applicare la «Deemed-Location Provision» contro Aylo e le sue affiliate «fino al 3 settembre 2026, ossia 120 giorni dopo la data in cui la disposizione sarebbe altrimenti entrata in vigore». Aylo, da parte sua, ha accettato di non modificare il proprio attuale geofencing nell’Utah, il che significa che Pornhub e i siti gemelli sarebbero rimasti bloccati per gli indirizzi IP dell’Utah, come lo sono dal 2023.

Ecco da dove viene la data del 3 settembre. Non è mai stata una data di entrata in vigore. Era la scadenza di una promessa di non applicazione fatta a una sola parte in causa. E secondo il fascicolo del tribunale, il 27 agosto le parti hanno depositato un’ulteriore «Joint Stipulation for Extension of Non-Enforcement», di cui il tribunale ha preso atto il giorno successivo. Come ha riportato XBIZ il 28 agosto, la proroga arriva al 22 ottobre 2026, o fino a quando il tribunale deciderà sulla mozione di Aylo per un’ingiunzione preliminare, a seconda di quale evento arrivi prima. La dichiarazione inquadra il tempo aggiuntivo intorno a un procedimento regolamentare dell’Utah: «questo Periodo di Astensione Continuata consente ai Ricorrenti di partecipare a tale procedimento regolamentare senza la minaccia di responsabilità nel frattempo».

Quindi la frase corretta era più lunga di quanto un titolo consenta. La clausola VPN è diventata legge a maggio, si applicava sulla carta a ogni sito coperto tranne Aylo e non è mai stata, per quanto risulta dagli atti pubblici, applicata contro nessuno per traffico VPN. Dal 24 settembre è sospesa in via preliminare. L’ordinanza concede l’ingiunzione sulla disposizione in sé, senza limitarne i termini ai ricorrenti, e la Electronic Frontier Foundation la legge nel senso che la clausola è fuori gioco finché l’ingiunzione resta in piedi.

Cosa richiede davvero la SB 73, e a chi?

L’Utah impone la verifica dell’età sui siti per adulti dal 2023. La SB 73 ricostruisce quel regime: aggiunge l’applicazione pubblica da parte della Division of Consumer Protection accanto al diritto già esistente dei privati di fare causa, aggiunge multe, crea un’accisa sui siti coperti e aggiunge due paragrafi sulle VPN. Quei due paragrafi, nel testo definitivo, recitano quanto segue.

La regola della localizzazione presunta, nuovo comma (3) del 78B-3-1002: «Un individuo è considerato accedere al sito web da questo Stato se l’individuo si trova effettivamente nello Stato, indipendentemente dal fatto che l’individuo utilizzi una rete privata virtuale, un server proxy o altri mezzi per mascherare o falsare la propria posizione geografica in modo da far apparire che l’individuo acceda a un sito web da una località al di fuori di questo Stato».

Il divieto di facilitazione, nuovo comma (4): un sito coperto «non può facilitare o incoraggiare l’uso di una rete privata virtuale, di un server proxy o di altri mezzi per aggirare i requisiti di verifica dell’età», anche fornendo «istruzioni su come usare una rete privata virtuale o un server proxy per accedere al sito web» o «mezzi affinché individui in questo Stato aggirino il geofencing o il blocco».

Entrambe le regole si rivolgono a una «entità commerciale che gestisce un sito web contenente una porzione sostanziale di materiale dannoso per i minori». Porzione sostanziale ha un numero: più del 33 1/3 per cento del materiale totale presente sul sito. Un sito che si presenta come prevalentemente per adulti, o che usa un dominio a tema adulto, si presume superi quella linea.

Le sanzioni sono rivolte alla stessa entità. In base alla nuova sezione 78B-3-1004, il direttore della Division può imporre una multa amministrativa fino a 2.500 dollari per ogni violazione, e un tribunale può aggiungere una sanzione civile fino a 2.500 dollari per violazione, la restituzione dei profitti, ingiunzioni e il risarcimento dei danni effettivi, più fino a 5.000 dollari per violazione per chi ignora un’ordinanza. La sezione 78B-3-1002(6) esenta provider di servizi internet, motori di ricerca e provider cloud per il semplice trasporto del traffico, e il comma (5) esenta i contenuti giornalistici e di interesse pubblico in buona fede.

Nota cosa manca. Non c’è alcuna definizione di «utente VPN», nessun obbligo imposto a un provider VPN, e nessuna multa, reato o responsabilità civile per un individuo che si connette tramite VPN. La versione da citare: la SB 73 dell’Utah non regola gli utenti VPN; regola i siti web, stabilendo che un visitatore fisicamente nell’Utah conta come visitatore dell’Utah qualunque sia l’indirizzo IP che il sito vede.

Adesso è illegale usare una VPN nell'Utah?

No, e non lo era neanche il 6 maggio. Ogni clausola operativa della SB 73 indica un’entità commerciale come la parte gravata dall’obbligo. Un residente di Salt Lake City che accende una VPN per usare il Wi-Fi dell’hotel, raggiungere la rete aziendale, impedire al proprio ISP di profilare la sua navigazione o guardare un abbonamento di casa mentre è in viaggio non ha fatto nulla di cui la legge si occupi.

Ciò che la legge cambia è l’esposizione del sito web. Prima della SB 73, un sito coperto poteva sostenere che un visitatore proveniente da un indirizzo IP olandese o canadese si trovasse, ai suoi fini, nei Paesi Bassi o in Canada. Ora l’Utah dice che il sito ne risponde se quel visitatore era in realtà nell’Utah. Se il sito possa saperlo è la domanda successiva, ed è l’intero caso.

Come dovrebbe fare un sito a sapere che sei nell'Utah se usi una VPN?

In larga parte non può, ed è per questo che le critiche alla SB 73 arrivano da angolazioni molto diverse.

La Electronic Frontier Foundation ha definito il blocco degli indirizzi VPN «un gioco tecnico di acchiappa la talpa che probabilmente nessuna azienda può vincere», osservando che i provider VPN aggiungono indirizzi in continuazione e che non esiste alcuna blocklist completa. Citata da KUER a maggio, Lia Holland di Fight for the Future è stata più diretta: determinare da dove naviga un utente di una VPN affidabile è «letteralmente impossibile per come è progettata». NordVPN, interpellata da Gizmodo, ha descritto la norma come una «trappola di responsabilità» in cui «le piattaforme affrontano un’esposizione finanziaria reale per il fallimento in un compito tecnico che nessuno attualmente sa svolgere in modo affidabile».

Le ragioni tecniche non sono controverse. La geolocalizzazione IP è un’inferenza commerciale ricavata da dati di routing e registri di registrazione, non una misurazione di dove si trova un dispositivo, ed è regolarmente sbagliata a livello di Stato anche per le connessioni ordinarie. Il rilevamento di VPN e proxy si basa su liste di indirizzi di uscita noti che restano indietro rispetto alla realtà. E gli stessi segnali che segnalano una VPN consumer segnalano anche reti aziendali, reti universitarie, operatori mobili che instradano il traffico attraverso gateway fuori dallo Stato e funzioni per la privacy integrate nei browser più diffusi. Un sito che blocca tutto ciò che assomiglia a una VPN blocca una quota rilevante di visitatori legittimi, nell’Utah e ovunque.

L’argomento di Aylo in una frase: l’unico modo per essere certi di rispettare la legge nell’Utah è verificare l’età di tutti, ovunque, il che secondo quanto l’azienda ha detto al tribunale farebbe fuggire fino all’80 per cento dei suoi clienti, oppure bloccare chiunque possa plausibilmente trovarsi nell’Utah. La risposta del senatore Musselman, citata da KUER, è che «la SB 73 riguarda la responsabilità», e che i siti possono verificare l’età o confermare la posizione «preservando comunque le opzioni di cifratura per gli utenti».

La corte ha ora messo nero su bianco fino a che punto arriva davvero quella disputa, e cioè: non lontano. Dall’ordinanza: «La legge richiede la perfezione nella geolocalizzazione, ma le parti concordano che gli attuali progressi tecnologici non consentono a un’entità di (1) rilevare perfettamente gli utenti VPN/proxy, né di (2) geolocalizzare perfettamente da dove tutti quegli utenti VPN/proxy accedono al sito». L’Utah e Aylo si sono scontrati su tutto il resto in questo caso. Non su questo.

La risposta dell’Utah stava arrivando per via regolamentare, e ora il testo è pubblico. Il regolamento proposto dalla Division, R152-78B, pubblicato nello Utah State Bulletin il 1° settembre, definisce l’«offuscamento della geolocalizzazione» come una VPN, un server proxy o un’altra tecnologia che maschera la posizione di un dispositivo, e precisa cosa significhi un rilevamento «commercialmente ragionevole»: un sistema calcolato per stabilire con almeno il 95% di accuratezza se un visitatore si trova nell’Utah, accanto a un distinto standard del 95% per capire se un visitatore è minorenne. I siti possono analizzare «segnali latenti», e il regolamento ne nomina due: la latenza della connessione e il fuso orario impostato sul dispositivo o nel browser. Un visitatore segnalato come «offuscante» riceve un menu a tre opzioni: condividere la posizione del dispositivo per confermare di non essere nell’Utah, disattivare l’offuscamento e verificare la propria età se lo è, oppure semplicemente verificare la propria età. Le stime di costo della stessa Division vanno da 0,01 a 0,12 dollari per verifica dell’età e circa un centesimo per visitatore per lo screening della posizione.

Letto accanto alla decisione, il tempismo diventa la storia. La norma, così com’è scritta, pretendeva la perfezione; il regolamento che doveva ammorbidire la perfezione in un obiettivo del 95% è arrivato in tribunale troppo tardi. La nota 73 dell’ordinanza lo dice senza giri di parole: poiché il regolamento proposto è arrivato dopo le memorie e la discussione orale, «la corte non lo considera in questa sede». Il periodo dei commenti si è chiuso il 1° ottobre, con la EFF che ha depositato un parere contrario. Il bollettino indica l’8 ottobre come la prima data in cui il regolamento può diventare efficace, al momento di questo aggiornamento non era apparso alcun avviso che lo rendesse tale, e le sue disposizioni sulla localizzazione attuano ora una clausola che un tribunale federale ha sospeso.

Cosa ha deciso il giudice Barlow il 24 settembre?

Aylo Freesites e Aylo Group hanno presentato ricorso il 22 aprile 2026 presso la US District Court for the District of Utah, causa 2:26-cv-00340, contro la Division of Consumer Protection, la sua direttrice Katie Hass, il Department of Commerce e la sua direttrice esecutiva Margaret Busse. Il caso è affidato al giudice David Barlow. Il ricorso prende di mira specificamente la disposizione sulla localizzazione presunta e sostiene, secondo Deseret News, che la clausola «trasforma quella che è nominalmente una norma dell’Utah in un mandato globale de facto», in violazione dei limiti costituzionali alla regolamentazione statale del commercio interstatale ed estero.

Aylo non contesta la verifica dell’età in quanto tale. La Corte Suprema ha chiuso quella questione nel giugno 2025 in Free Speech Coalition v. Paxton, confermando la legge texana sulla verifica dell’età. La pretesa di Aylo è più circoscritta: uno Stato può richiedere controlli sull’età per i propri residenti, ma non può rendere una società straniera responsabile per visitatori che non ha alcun modo affidabile di collocare dentro lo Stato.

Il 24 settembre 2026 quella pretesa più circoscritta ha vinto, su una delle sue due teorie. In una memorandum decision di 40 pagine, il giudice Barlow ha ritenuto che la clausola della localizzazione presunta violi probabilmente la dormant Commerce Clause, il limite costituzionale agli Stati che regolano il commercio oltre i propri confini, sia come regolazione diretta di condotte fuori dallo Stato secondo la linea ACLU v. Johnson del Decimo Circuito, sia in base al test di bilanciamento Pike. L’esempio della corte è quello da ricordare: Aylo ha circa 28 milioni di visitatori statunitensi al mese e, poiché la norma pretende una certezza che nessuno strumento può fornire, l’unica strada sicura sarebbe verificarli tutti, che si trovino a Salt Lake City o a Honolulu. Una legge dell’Utah che costringe un’azienda a trattare ogni americano come un possibile abitante dell’Utah, ha concluso la corte, sta regolando la nazione.

Il procuratore generale dell’Utah aveva sostenuto che lo Stato avrebbe sempre e solo preteso sforzi ragionevoli di geolocalizzazione, non perfetti. La corte lo ha preso come sincero e giuridicamente irrilevante: la norma non contiene alcun criterio di ragionevolezza, leggercelo dentro richiederebbe «una riscrittura, non una semplice reinterpretazione», e la corte deve giudicare il testo approvato dal legislatore, non la politica di applicazione proposta dal procuratore generale. Aylo, dal canto suo, ha detto alla corte che se la legge fosse scritta nel modo in cui il procuratore generale la difende, «non saremmo qui». Quello scambio è la mappa più chiara di ciò che succederà: una correzione legislativa di una sola parola, una qualche forma di «ragionevole», chiuderebbe probabilmente la partita.

La decisione non è una vittoria su tutta la linea, e la maggior parte della copertura ha appiattito questo punto. Il giudice Barlow ha respinto la distinta pretesa di Aylo secondo cui la clausola sarebbe una legislazione extraterritoriale inammissibile, ha evitato di pronunciarsi sulla Foreign Commerce Clause e ha rifiutato la richiesta di Aylo di sospendere anche l’obbligo generale di verifica dell’età per i visitatori che sembrano trovarsi fuori dall’Utah: «Questo rimedio non può essere concesso». L’ingiunzione è preliminare, non una sentenza definitiva, e copre un solo comma di una sola legge.

Un altro passaggio merita di essere citato, perché i tribunali federali raramente lo dicono così chiaramente. Nella sua sezione introduttiva, l’ordinanza osserva che le VPN e gli strumenti per la riservatezza della posizione hanno «scopi del tutto legittimi», e li elenca: proteggere le comunicazioni sulle reti pubbliche, impedire ai siti web di raccogliere dati personali e aggirare la censura di governi oppressivi. Quella frase ora fa parte degli atti pubblici del primo caso statunitense su una legge che nomina le VPN.

La cronologia, dal fascicolo e dagli atti delle parti:

Cosa è davvero in vigore nell'Utah oggi?

Questa è la domanda a cui i titoli rispondono peggio, quindi eccola disposizione per disposizione, alla data di questo aggiornamento:

Da quella tabella seguono due cose. Per chi usa una VPN, la decisione non cambia nulla, perché nulla nella legge si è mai applicato a lui. Per i siti coperti, gli obblighi applicabili oggi sono gli stessi doveri di verifica dell’età che esistono in circa metà del Paese, meno l’unica clausola che rendeva l’Utah unico. Se Aylo toglierà ora il suo blocco volontario dell’Utah, in piedi dal 2023, è una decisione commerciale che l’azienda non ha annunciato; la dichiarazione che ne congelava il geofencing è finita con la decisione.

Quali altri Stati stanno copiando l'approccio dell'Utah?

La verifica dell’età sui siti per adulti è ormai la norma negli Stati Uniti. La Age Verification Providers Association contava almeno 25 Stati che avevano approvato leggi di questo tipo a febbraio 2026, e i tracker aggiornati nel corso dell’estate collocano il numero ancora più in alto. L’Utah è stato il secondo Stato a muoversi, con una legge entrata in vigore il 3 maggio 2023 che ha spinto Pornhub a bloccare l’intero Stato due giorni prima. Google Trends mostrava le ricerche di VPN nell’Utah salire al picco di popolarità nelle prime ore del 2 maggio 2023, come riportava Newsweek all’epoca. Quell’episodio, più di ogni altra cosa, spiega perché la legge del 2026 menzioni le VPN.

Copiare la clausola VPN è un altro discorso, e la decisione del 24 settembre l’ha appena resa più difficile da raccomandare. Nel 2025 alcuni legislatori del Michigan hanno proposto di andare molto oltre con un disegno di legge che avrebbe obbligato gli ISP a bloccare del tutto il traffico VPN; si è arenato in commissione. Il disegno di legge del Wisconsin sulla verifica dell’età conteneva inizialmente un linguaggio sulle VPN, eliminato a febbraio 2026 prima che il governatore ponesse il veto sul testo ad aprile. Il ricorso di Aylo afferma che nessuno Stato aveva mai approvato prima una clausola di localizzazione presunta, e noi non abbiamo trovato nessun’altra legge statunitense in vigore che nomini le VPN. Le assemblee legislative che seguivano il caso ora hanno la loro risposta: la prima clausola di localizzazione presunta non è sopravvissuta alla sua prima mozione. L’ordinanza abbozza perfino cosa sopravvivrebbe: una norma che chiede sforzi ragionevoli di geolocalizzazione invece che perfetti. Aspettati che la prossima tornata di testi, nella sessione 2027 dell’Utah e altrove, usi quella parola. La California, intanto, aggira il problema dall’altro lato: il suo Digital Age Assurance Act, efficace da gennaio 2027, fa passare dal sistema operativo alle app una fascia d’età dichiarata dai genitori, un approccio che non richiede alcuna geolocalizzazione IP e non menziona le VPN.

Cosa dovrebbe fare chi vive nell'Utah con la propria VPN?

Niente, nel senso che nessun obbligo è ricaduto su di te e nessuno è in proposta. Qualche nota pratica, però, perché gli effetti di secondo ordine di leggi come questa li sentono gli utenti comuni più che i siti a cui sono rivolte.

1. Tieni la VPN accesa per ciò a cui serve. La cifratura sul Wi-Fi pubblico, un IP stabile per gli accessi bancari e di lavoro e una barriera tra la tua navigazione e il tuo ISP restano tutti intatti. Se vuoi un’uscita vicina, Le VPN gestisce un server a Salt Lake City accanto alle altre sedi statunitensi, così una connessione dall’Utah può restare nell’Utah.
2. Aspettati che più siti contestino il traffico VPN, ovunque. La risposta razionale a una regola di responsabilità senza rilevamento affidabile è il blocco eccessivo. Se un sito che non ha nulla a che fare con l’Utah inizia a rifiutare la tua connessione VPN, è il riflesso della conformità che si diffonde, non un segno che la tua VPN stia facendo qualcosa di sbagliato. Cambiare server di solito basta.
3. Non prendere la legge come un rompicapo da risolvere. La SB 73 vieta ai siti coperti di insegnare ai visitatori come aggirare i controlli sull’età, e questo articolo non lo farà al posto loro. La verifica dell’età per i contenuti per adulti è costituzionale ed è destinata a restare; la questione aperta nell’Utah è solo chi porta il peso quando gli strumenti non riescono a dire dove si trova una persona.
4. Guarda alla finestra d’appello e alla sessione 2027, non al 22 ottobre. Le date che questo articolo ti diceva un tempo di tenere d’occhio sono spente: la decisione è arrivata il 24 settembre e ha svuotato la scadenza della tregua del 22 ottobre. Ciò che resta aperto è se l’Utah farà appello al Decimo Circuito prima che la sua finestra di circa 30 giorni si chiuda intorno al 26 ottobre, se la Division finalizzerà il regolamento R152-78B ora che la sua metà sulla localizzazione attua una clausola bloccata, e se il legislatore riscriverà la norma con un criterio di ragionevolezza quando si riunirà a fine gennaio.

Se vuoi la mappa più ampia di dove le VPN sono limitate e dove sono semplicemente regolamentate, la nostra guida Paese per Paese alla legalità delle VPN nel 2026 la copre, e la nostra pagina sugli Stati Uniti elenca le sedi dei server statunitensi. Per un parallelo europeo, l’anno scorso l’autorità di regolamentazione francese ha attraversato uno scontro molto simile sui controlli dell’età per i siti per adulti; abbiamo raccontato come è andata, inclusa la stessa dinamica di blocco eccessivo che l’Utah sta ora importando.

La versione breve da girare a chiunque ti mandi il titolo: la clausola VPN dell’Utah regolava i siti web e non le persone, un giudice federale l’ha ora bloccata perché pretendeva una perfezione che nessuna tecnologia può garantire, il resto della legge resta in piedi, e le prossime mosse spettano all’Utah, in una corte d’appello o nel legislatore del prossimo anno.