Privacy in Italia: verifica dell'età AGCOM, Piracy Shield e Wi-Fi pubblico

Negli ultimi due anni l’Italia è diventata uno dei Paesi europei con la regolamentazione più attiva su cosa si può raggiungere dalla rete e su come si verifica chi sei.

Due provvedimenti in particolare hanno effetti concreti sulla navigazione di tutti: il sistema di verifica dell’età introdotto da AGCOM e la piattaforma Piracy Shield. Entrambi vengono raccontati male, spesso con toni allarmistici o con scorciatoie sbagliate.

Questa pagina li spiega per come funzionano, con le date e i numeri verificabili. Non spiega come aggirarli: è una scelta editoriale, non una cautela. I blocchi disposti dall’autorità sono atti legittimi e il nostro obiettivo è farli capire, non eluderli.

La verifica dell’età: cosa prevede la delibera AGCOM

Il quadro nasce dal Decreto Caivano e dal Digital Services Act europeo, e si concretizza nella delibera AGCOM 96/25/CONS, entrata in vigore il 12 novembre 2025.

L’obbligo riguarda i siti e le piattaforme che offrono contenuti per adulti, gioco d’azzardo e vendita di alcol e tabacco. Il calendario di adeguamento prevede due scadenze distinte:

• 1° febbraio 2026 per i fornitori di piattaforme con sede all’estero;
• 12 maggio 2026 per gli operatori italiani.

Come funziona: il doppio anonimato

Qui c’è il malinteso più diffuso, quindi conviene essere espliciti.

No, non serve lo SPID. Questa è stata la lettura iniziale di molte testate, poi smentita. Il meccanismo adottato si basa su un principio chiamato doppio anonimato e funziona in tre passaggi:

1. Un fornitore terzo certificato verifica la tua identità tramite uno strumento ufficiale: carta d’identità elettronica, passaporto elettronico o altro documento digitale riconosciuto.
2. Quel fornitore genera una prova di maggiore età anonima, scollegata dalla tua identità.
3. Il sito riceve soltanto quella prova. Non sa chi sei; il fornitore dell’identità non sa quale sito stai visitando.

La funzione viene resa disponibile attraverso l’app IO, e nel corso del 2026 dovrebbe affiancarsi all’IT Wallet, il portafoglio digitale previsto dal PNRR.

Cosa significa in pratica per la tua privacy

Il disegno è migliore di quanto si fosse temuto all’inizio: nessun elenco centralizzato di chi visita quali siti, nessuna associazione diretta tra documento e navigazione.

I punti di attenzione che restano, e che vale la pena conoscere:

• il modello dipende dall’affidabilità del fornitore terzo: la garanzia di anonimato è un vincolo tecnico e contrattuale, non una legge fisica;
• i siti non conformi possono essere oggetto di blocchi, e chi si trova fuori dall’Italia può incontrare comportamenti diversi a seconda della giurisdizione;
• l’adeguamento degli operatori esteri è, prevedibilmente, più lento di quello degli italiani.

Piracy Shield: come funziona e perché ha fatto discutere

Piracy Shield è la piattaforma nazionale gestita da AGCOM, operativa dall’inizio del 2024. È nata per contrastare la diffusione illegale di eventi sportivi in diretta, il fenomeno comunemente chiamato “pezzotto”.

Il funzionamento è centralizzato e molto rapido:

1. I titolari dei diritti segnalano in tempo reale una fonte che sta trasmettendo illegalmente un evento.
2. Verificata la segnalazione, la piattaforma invia un ordine di blocco a tutti i provider internet italiani.
3. I provider devono eseguire il blocco entro 30 minuti.

Il blocco agisce su tre livelli: DNS, cioè il nome del dominio non viene più risolto; IP, cioè viene impedito l’accesso diretto al server; FQDN, cioè anche i sottodomini specifici vengono disattivati.

Il problema dell’overblocking

La critica principale al sistema non riguarda il suo scopo ma la sua precisione. Il fenomeno si chiama overblocking: quando si blocca un indirizzo IP, si blocca tutto ciò che su quell’indirizzo è ospitato, compresi servizi del tutto legittimi.

Il caso più citato risale a marzo 2024, quando un ordine di blocco ha reso Google Drive inaccessibile a migliaia di utenti italiani per diverse ore. Non era un errore di valutazione sulla natura del contenuto: era la conseguenza strutturale di bloccare per indirizzo IP in un’infrastruttura dove un singolo IP serve migliaia di domini diversi.

Questo è il punto che riguarda l’utente comune: anche chi non ha mai cercato contenuti illegali può trovarsi un servizio inaccessibile per effetto collaterale di un blocco destinato ad altro.

L’estensione ai DNS pubblici

Nel 2025 il perimetro si è allargato. I blocchi hanno iniziato a interessare anche i resolver DNS pubblici come quelli di Google e di altri operatori internazionali, che hanno aderito al sistema applicando la risoluzione filtrata per gli utenti in Italia.

Per l’utente questo significa che cambiare i DNS del proprio router non ha più l’effetto che aveva un tempo. Google, per la sua parte, dichiara un approccio no-log sul servizio di risoluzione.

Il tema è rilevante per chiunque si interessi di architettura di rete, e vale la pena seguirne l’evoluzione: la questione aperta è quanto si possa spingere un filtro infrastrutturale senza danneggiare servizi estranei.

Wi-Fi pubblico: i rischi reali, senza esagerazioni

Il Wi-Fi dell’aeroporto, dell’hotel, del bar. Qui circola molta pubblicità travestita da informazione, quindi proviamo a essere precisi.

Cosa è cambiato rispetto a dieci anni fa

Oggi la larga maggioranza del traffico web è cifrata con HTTPS. Questo significa che chi intercetta la tua connessione su una rete aperta non legge il contenuto di quello che fai: non vede la tua password della banca, non legge i messaggi, non vede i numeri di carta.

Molti articoli sul tema descrivono uno scenario pre-2015. Va detto.

Cosa resta effettivamente a rischio

Tre cose restano vere e misurabili.

I metadati sono in chiaro. Chi osserva la rete vede quali siti contatti, quando e per quanto tempo, anche se non vede cosa ci fai. Per molte persone questo è già un’informazione sensibile.

L’evil twin. Un attaccante crea un access point con lo stesso nome di quello legittimo — Hotel_Guest, Aeroporto_Free_WiFi — e aspetta che i dispositivi vi si connettano automaticamente. A quel punto controlla l’instradamento e può reindirizzare verso pagine di accesso contraffatte. Questo è il rischio più concreto e più sottovalutato: non richiede competenze particolari.

Il captive portal e il phishing. Le pagine di accesso delle reti pubbliche sono un terreno ideale per imitazioni credibili, perché l’utente si aspetta di dover inserire qualcosa.

Dove la VPN aiuta davvero

Una VPN cifra tutto il traffico tra il dispositivo e il server del provider, metadati compresi. Su una rete non fidata questo chiude due dei tre problemi: nasconde quali siti visiti a chi è sulla stessa rete, e rende inutile un evil twin che volesse osservare il traffico.

Non protegge invece dal phishing: se inserisci le credenziali in una pagina falsa, la VPN le trasmette cifrate a un truffatore. Nessuno strumento tecnico sostituisce l’attenzione.

Buone pratiche che valgono comunque: disattiva la connessione automatica alle reti aperte, non usare reti pubbliche per operazioni bancarie se puoi usare la connessione dati, e verifica il nome della rete con il personale della struttura.

VPN no-log: come si verifica, senza fidarsi degli slogan

Tutti i provider dichiarano di non conservare log. La dichiarazione, da sola, non vale nulla: è autocertificata.

Gli elementi che rendono una politica no-log verificabile sono tre.

L’audit indipendente. Una società di revisione esterna esamina l’infrastruttura e pubblica un rapporto. Quello che conta è: chi l’ha fatto, quando, e se il rapporto è consultabile. Un audit del 2020 non dice molto sull’infrastruttura del 2026.

La giurisdizione. Il Paese in cui ha sede la società determina a quali obblighi di conservazione dei dati è soggetta. Alcune giurisdizioni impongono la data retention, altre no.

I server RAM-only. Se i server non hanno dischi persistenti, ogni riavvio azzera lo stato. È una garanzia architetturale che non dipende dalle buone intenzioni.

Un quarto elemento, più raro e più significativo: i casi in cui il provider ha ricevuto una richiesta giudiziaria e ha potuto dimostrare di non avere nulla da consegnare.

È legale usare una VPN in Italia?

Sì. Usare una VPN in Italia è perfettamente legale, non richiede autorizzazioni e non costituisce di per sé alcun illecito. Le VPN sono strumenti standard del lavoro aziendale: ogni azienda che consente il lavoro da remoto ne usa una.

Il GDPR gioca a favore dell’utente: proteggere i propri dati personali in transito è coerente con lo spirito del regolamento, non in conflitto.

Resta ovvio, ma lo scriviamo: la legalità dello strumento non rende legale qualunque uso. Accedere a contenuti protetti senza averne titolo, aggirare misure disposte dall’autorità, commettere reati — tutto questo resta illecito con o senza VPN, e il fatto che il traffico sia cifrato non cambia la qualificazione giuridica del fatto.

VPN, proxy e Tor: quale strumento per quale scopo

Tre strumenti che vengono confusi sistematicamente.

	Cifratura	Copertura	Velocità	Uso tipico
VPN	Sì, tutto il traffico	Tutto il dispositivo	Alta	Uso quotidiano, reti pubbliche, streaming
Proxy	Spesso no	Solo l’app configurata	Alta	Instradamento semplice, nessuna protezione
Tor	Sì, a più livelli	Solo il browser Tor	Bassa	Anonimato forte, giornalismo, ricerca

Per l’uso di cui parliamo su questo sito — proteggere la connessione su reti non fidate e usare i propri abbonamenti dall’estero — lo strumento adatto è la VPN. Tor non è pensato per lo streaming e non lo sostituisce; un proxy senza cifratura non offre protezione.

Cosa vede il tuo provider internet quando usi una VPN

Risposta onesta: il tuo provider vede che esiste una connessione cifrata verso un determinato indirizzo, il volume di dati scambiato e la durata. Non vede quali siti visiti né il contenuto.

Vede quindi che usi una VPN, non cosa ci fai. Per chi si chiede se questo sia un problema: no, non lo è, per le ragioni spiegate nel paragrafo sulla legalità.

Il nostro approccio

Le VPN sono strumenti utili e legittimi, con un perimetro di efficacia preciso. Fuori da quel perimetro, raccontarle come soluzioni universali è disinformazione commerciale.

Noi usiamo NordVPN come servizio di riferimento su questo sito per ragioni che riguardano proprio questo capitolo: audit indipendenti pubblicati e ripetuti nel tempo, infrastruttura con server RAM-only, e una giurisdizione senza obblighi di conservazione dei dati. Sui piani biennali il prezzo parte da circa 3,49 €/mese, con garanzia di rimborso a 30 giorni.

Per il resto del sito: qui trovi le guide su come usare i servizi italiani dall’estero, su quale dispositivo accetta cosa e sul confronto tra piani e prezzi reali.