Le VPN sono legali in Italia? La legge, e il bilancio di Piracy Shield che ha fatto nascere la domanda

La versione precedente di questa pagina diceva che i provider italiani conservano la cronologia delle ricerche per sei anni, citava un picco pandemico del 112% nell'uso delle VPN e stimava l'adozione italiana all'11% gratuita e al 9% a pagamento. L'affermazione sulla conservazione era sbagliata in un punto importante, ciò che si conserva sono i dati di traffico, non la cronologia delle ricerche, e le cifre sull'uso risalivano a sondaggi che non sono riuscito a verificare. Nessuna di esse sopravvive in questa versione.

Ciò che le persone portano davvero su questa pagina è una domanda in poche forme: le VPN sono legali in Italia, a volte in Italia o in Spagna. La risposta breve è sì, in entrambe. La risposta lunga merita una pagina, perché l'Italia ha costruito la macchina di blocco siti più aggressiva d'Europa, è l'unico paese UE la cui legge nomina i fornitori di VPN come destinatari dei blocchi in un sistema amministrativo permanente, e ha iniziato a multare gli spettatori. Qui sotto ci sono le regole con le loro fonti, e il bilancio completo di ciò che Piracy Shield ha realmente fatto, ogni riga con la sua fonte.

Le VPN sono legali in Italia?

Sì. Usare una VPN è legale in Italia, venderne una è legale, e nessuna norma italiana pone alcun dovere sulla persona che ne usa una. Ho cercato nella legge antipirateria, nelle regole di conservazione del Codice della privacy, nella legge sul diritto d'autore, nelle regole sul gioco d'azzardo e in quelle sulla verifica dell'età. Ogni obbligo ricade su un fornitore, una piattaforma o un contraffattore. Ecco dove si trova davvero ciascuna regola.

Scorrete le dieci righe e lo schema è evidente. Nemmeno una impone qualcosa alla persona che usa una VPN o le fa correre un rischio. Le due regole che raggiungono gli individui, le multe IPTV e i controlli sull'età, riguardano condotta e contenuti e si applicano in modo identico con o senza VPN. Dove l'Italia sta da sola è la seconda riga: usare una VPN è legale in Italia, e ciò che la legge italiana fa, unica in Europa, è arruolare gli stessi fornitori di VPN nel suo sistema di blocco, ponendo doveri sullo strumento anziché sulla persona che lo tiene in mano.

Che cosa ha fatto davvero Piracy Shield dal 2023?

Piracy Shield è la piattaforma automatizzata con cui i titolari di diritti inviano indirizzi IP e domini ad AGCOM, e i fornitori devono bloccarli entro 30 minuti. La cronologia qui sotto è il bilancio che ho potuto documentare, compresi gli errori, perché sono gli errori ad aver spinto gli italiani comuni a chiedersi delle VPN.

Tre cose risaltano da quelle 14 righe. Primo, i due incidenti più grandi sono stati autoinflitti: un indirizzo Cloudflare condiviso nel primo mese della piattaforma e Google Drive per un'intera serata nell'ottobre 2024, entrambi bloccati dentro le reti di accesso italiane mentre chiunque avesse il traffico in uscita dal paese attraverso un tunnel VPN non si è accorto di nulla. Quell'asimmetria, non la pirateria, è ciò che ha spinto la domanda «le VPN sono legali in Italia» nei motori di ricerca. Secondo, l'applicazione che finora è davvero arrivata alle società di infrastruttura riguarda il DNS, Google obbligata a filtrare e Cloudflare multata per 14,2 milioni di euro, mentre al 25 settembre 2026 non ho trovato alcuna misura AGCOM pubblicata contro un fornitore di VPN consumer. L'unica vittima VPN, AirVPN, ha lasciato il mercato italiano per scelta propria. Terzo, l'Italia è l'unico paese europeo sceso lungo la catena fino agli spettatori, con circa 2.282 multe nella primavera 2025 e pretese civili a seguire. Una VPN è legale in Italia, e non è una difesa contro nulla di tutto ciò: la sanzione si aggancia alla visione, comunque instradata.

Lo Stato italiano osserva gli utenti di internet?

Due fascicoli contano qui, conservazione e spyware. Sulla conservazione l'Italia è un'anomalia per durata: la base del Codice della privacy, 24 mesi per il traffico telefonico e 12 per quello internet, è stirata dall'articolo 24 della legge 167/2017 fino a 72 mesi per le indagini sui reati gravi, una finestra di sei anni che lo stesso Garante italiano ha criticato come fuori linea rispetto alla giurisprudenza UE. Poiché i fornitori non possono sapere in anticipo quali indagini arriveranno, conservano tutto per il periodo più lungo. Il contrappeso è arrivato nel 2021, quando il decreto-legge 132/2021 ha richiesto un decreto motivato del giudice prima che i pubblici ministeri possano acquisire i dati, la risposta italiana alla sentenza H.K. della Corte di giustizia UE. In quei dati sta chi si è connesso a cosa, quando e da dove, non il contenuto. Una VPN riduce quel fascicolo a un solo interlocutore visibile, il server VPN; la nostra tabella delle leggi sulla conservazione in 16 giurisdizioni mostra dove stanno 72 mesi sul piano internazionale, cioè vicino alla vetta.

Sullo spyware il quadro è ormai ufficiale. Nel gennaio 2025 WhatsApp notificò a circa 90 utenti, tra cui giornalisti e attivisti italiani, di essere stati presi di mira con Graphite, venduto dall'israeliana Paragon. Citizen Lab ha confermato le infezioni con analisi forensi nel giugno 2025 e ha identificato il giornalista Ciro Pellegrino di Fanpage.it tra le persone prese di mira, mesi dopo che il suo direttore Francesco Cancellato aveva ricevuto la prima notifica. Il 5 giugno 2025 il comitato parlamentare COPASIR ha confermato che i servizi italiani avevano usato Graphite contro attivisti del soccorso in mare, e Paragon ha chiuso il contratto italiano dopo che il governo aveva rifiutato un audit tecnico nel caso del giornalista. Nel marzo 2026 la procura italiana ha confermato l'attacco. Una VPN è lo strumento sbagliato contro uno spyware sul dispositivo, protegge il percorso, non un telefono compromesso, e l'onestà su questo confine conta più di qualsiasi argomento di vendita. Ciò che l'episodio ha cambiato è l'assunto di base con cui gli italiani guardano i propri dispositivi, e per la consapevolezza della privacy ha fatto più di qualsiasi statistica.

Come si confronta l'Italia con Spagna e Francia?

L'Italia ha scritto i suoi fornitori dentro una macchina amministrativa permanente; la Spagna fa passare i blocchi dai tribunali commerciali, e il provvedimento cautelare di un tribunale di Cordova contro due fornitori di VPN resta un caso isolato che lo stesso tribunale ha rifiutato di far rispettare con penali; in Francia i tribunali hanno obbligato dal maggio 2025 cinque fornitori di VPN a bloccare domini di pirateria sportiva. I confronti completi sono nella nostra pagina di riferimento su legalità e blocchi in Spagna e nel registro dei blocchi di siti web in Francia. La differenza pratica per un utente in Italia è che gli incidenti di sovrablocco qui arrivano più veloci e più larghi, perché una pipeline automatizzata da 30 minuti non ha il tempo per i controlli che un'aula di tribunale impone. Per il lato quotidiano, la nostra pagina VPN per l'Italia copre l'uso in patria e all'estero. Le VPN ha una localizzazione server in Italia tra server in oltre 100 località, consente 10 connessioni simultanee e include una garanzia di rimborso di 30 giorni.

Che cosa cambia adesso?

• Il secondo appello di Cloudflare. Dopo che la sentenza del TAR del Lazio del 17 luglio 2026 ha confermato la multa da 14,2 milioni, Cloudflare ha annunciato il ricorso al Consiglio di Stato. Nessuna udienza era pubblica al momento dell'aggiornamento di questa pagina.
• L'applicazione ai fornitori di VPN. Le regole sui destinatari non sono mai state testate contro un fornitore di VPN consumer in una misura pubblicata. Il precedente Cloudflare, se sopravvive all'appello, è il modello che AGCOM userebbe.
• Multe agli spettatori, secondo round. La Guardia di Finanza ha detto che le indagini proseguono oltre i primi 2.282 utenti notificati, e le pretese civili di DAZN corrono in parallelo.
• L'elenco della verifica dell'età. L'elenco iniziale di AGCOM nominava 45 siti per adulti. L'espansione dell'elenco e le prime decisioni per inadempienza sono il fascicolo da seguire fino al 2027.
• La riforma della conservazione. La regola dei 72 mesi è criticata dal 2017 e resta in vigore. Nulla di pendente in Parlamento la accorcerebbe.