Il Decreto Sicurezza impone agli operatori e-commerce nuovi obblighi di verifica dell’età per la vendita di prodotti sensibili online, ma non definisce standard tecnici condivisi né strumenti di identità digitale certificati. Chi assiste piattaforme di vendita o marketplace deve già oggi valutare l’esposizione al rischio sanzionatorio, dato che gli obblighi formali esistono ma i mezzi per adempiervi restano ambigui. Fino a quando non arriveranno linee guida attuative, la consulenza preventiva è l’unico presidio concreto.
Punti chiave
- Il Decreto Sicurezza introduce obblighi di age verification per la vendita online di prodotti sensibili.
- Mancano standard tecnici condivisi: i gestori di piattaforme rischiano sanzioni pur in buona fede.
- Il coordinamento con il regolamento DSA europeo è ancora irrisolto e genera sovrapposizioni normative.
Se assisti marketplace, operatori e-commerce o fornitori di servizi digitali, il Decreto Sicurezza ti riguarda adesso, non quando arriveranno le circolari attuative. La norma scarica sugli operatori l’obbligo di verificare l’età dell’acquirente per categorie di prodotti sensibili — armi, alcolici, articoli per adulti — ma non individua né certifica gli strumenti tecnici da usare. Questo crea già oggi un profilo di responsabilità difficile da gestire in assenza di standard precisi.
Il Decreto Sicurezza (d.l. n. 48/2025, in corso di conversione) affronta il problema della verifica dell’età negli acquisti online introducendo obblighi a carico dei gestori di piattaforme, ma — come segnala Agenda Digitale — lascia aperti nodi operativi decisivi: assenza di standard condivisi, mancata integrazione con l’identità digitale e nessun coordinamento con il quadro europeo.
Il contesto normativo
Il quadro si sovrappone a più livelli. Sul piano europeo, il Digital Services Act (Regolamento UE 2022/2065, art. 28) già obbliga i fornitori di piattaforme ad adottare misure ragionevoli per tutelare i minori, inclusa la limitazione dell’accesso a contenuti o prodotti inappropriati. Sul piano nazionale, il d.lgs. n. 206/2005 (Codice del Consumo, art. 57 e ss.) disciplina i contratti a distanza e include tutele specifiche per i consumatori vulnerabili. Il Decreto Sicurezza si inserisce in questo doppio binario senza risolvere il conflitto potenziale tra norma interna e obblighi comunitari già vigenti, esponendo gli operatori a un rischio di doppia non conformità.
Sul versante della responsabilità civile, chi vende online a un minore senza adeguata verifica può rispondere ex art. 2043 c.c. per fatto illecito, oltre che per le sanzioni amministrative previste dal decreto stesso. La Cassazione ha già chiarito — in contesti analoghi di vendita a distanza — che la diligenza professionale dell’operatore commerciale si misura in relazione agli strumenti tecnici disponibili sul mercato (v. Cass. Civ. n. 14061/2021).
Cosa cambia per lo studio
- Due diligence per i clienti e-commerce: se segui operatori che vendono prodotti sensibili online, verifica subito se hanno implementato un sistema di age verification, anche basico. L’assenza totale è già un’esposizione sanzionatoria.
- Revisione dei termini e condizioni: le T&C dei marketplace devono includere clausole esplicite sull’obbligo di dichiarazione dell’età da parte dell’acquirente e sull’esclusione della responsabilità dell’operatore in caso di dichiarazioni false.
- Doppia verifica DSA/norma interna: le piattaforme qualificabili come Very Large Online Platform (VLOP) ai sensi del DSA hanno già obblighi più stringenti ex art. 34 Reg. UE 2022/2065 — il decreto nazionale non li assorbe né li sostituisce.
- Mappatura dei prodotti sensibili: il decreto non elenca tassativamente le categorie soggette all’obbligo. Consigliabile redigere con il cliente un elenco basato sulle normative di settore (d.lgs. n. 73/2010 per gli alcolici, legge n. 110/1975 per le armi) e aggiornarlo periodicamente.
- Coordinamento con il Garante Privacy: qualsiasi sistema di verifica dell’età che tratti dati personali o biometrici richiede una valutazione d’impatto (DPIA) ai sensi dell’art. 35 GDPR prima dell’implementazione.
Attenzione a
Il rischio principale è la compliance di facciata. Molti operatori inseriranno un semplice checkbox «dichiaro di avere almeno 18 anni» e riterranno di aver adempiuto. Questo approccio non regge a un controllo dell’Autorità, perché il decreto — letto in combinato con il DSA — richiede misure «ragionevoli ed efficaci», non meramente formali. Un tuo cliente che si affida al checkbox rischia sanzioni anche avendo implementato qualcosa.
Secondo rischio: l’assenza di standard certificati crea un vuoto che le autorità potrebbero colmare con provvedimenti d’urgenza. Tieni monitorato l’AGCOM, che ha già competenza sui sistemi di age verification per i contenuti audiovisivi (delibera n. 203/24/CONS) e potrebbe estendere il proprio perimetro. Una notifica di avvio di procedimento non lascia molto tempo per adeguarsi.
Domande frequenti
Il Decreto Sicurezza obbliga tutti gli e-commerce a verificare l’età o solo alcune categorie?
Il decreto si concentra sui prodotti sensibili — alcolici, armi, materiale per adulti — senza un elenco tassativo definitivo. L’obbligo si ricava in combinato con le normative di settore (d.lgs. n. 73/2010 per alcolici, legge n. 110/1975 per armi). Un marketplace generalista che venda anche solo una di queste categorie è già soggetto alla norma.
Un semplice checkbox di dichiarazione dell’età è sufficiente per adempiere agli obblighi del Decreto Sicurezza?
No. Sia il Decreto Sicurezza che il DSA (art. 28, Reg. UE 2022/2065) richiedono misure ragionevoli ed efficaci, non meramente formali. Un checkbox è facilmente aggirabile e non costituisce verifica effettiva. In caso di controllo, l’operatore che si affida solo a questo strumento rischia comunque la sanzione.
Verificare l’età degli utenti online è compatibile con il GDPR?
Dipende dal sistema usato. Qualsiasi trattamento di dati personali o biometrici a fini di age verification richiede base giuridica idonea e, nella maggior parte dei casi, una DPIA preventiva ex art. 35 GDPR. Sistemi basati su documenti d’identità o riconoscimento facciale alzano significativamente il profilo di rischio privacy.
Fonte di riferimento: AgendaDigitale