Quando tuo figlio scarica un'app per studiare, gioca a un videogioco online o apre un profilo social, dietro a quel semplice tap c'è una domanda giuridica precisa: chi può autorizzare il trattamento dei suoi dati personali? Il rapporto tra GDPR e minori è regolato da un capitolo poco conosciuto del regolamento europeo, eppure è proprio lì che si decide quanta protezione hanno i ragazzi quando sono online. Il punto di partenza è una frase del Garante per la protezione dei dati personali: i minori sono "persone fisiche vulnerabili" che meritano una tutela rafforzata perché, come dice il regolamento, "possono essere meno consapevoli dei rischi" legati ai loro dati.
In questo articolo trovi, spiegate in modo semplice, le tutele specifiche che la legge europea riserva ai minori: a che età un ragazzo può dare il consenso da solo, quando serve l'autorizzazione del genitore, cosa cambia in Italia rispetto al resto d'Europa e quali obblighi ricadono su chi gestisce un servizio digitale. Non è teoria: sono le regole che dovresti pretendere ogni volta che un'app chiede dati su tuo figlio.
GDPR e minori: perché la legge li tratta in modo speciale
Il GDPR dedica ai minori una protezione specifica perché riconosce che un ragazzo di tredici anni non valuta i rischi del trattamento dei dati come un adulto. Lo dice in modo esplicito il Considerando 38 del regolamento: "I minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate".
Questa frase non è retorica: è il fondamento giuridico di tutte le regole che seguono. Secondo il testo del Considerando 38, la tutela rafforzata vale soprattutto in due casi: quando i dati del minore vengono usati per marketing, profilazione o creazione di profili utente, e quando vengono raccolti tramite servizi offerti direttamente a un bambino. Tradotto per te: ogni volta che un'app mostra pubblicità personalizzata o costruisce un profilo dei gusti di tuo figlio, scatta un livello di protezione più alto rispetto a un adulto.
C'è anche un'eccezione che molti genitori non conoscono: il consenso del titolare della responsabilità genitoriale non è necessario nel contesto dei servizi di prevenzione o di consulenza offerti direttamente a un minore. È pensata per le linee di ascolto e i servizi di supporto psicologico, dove chiedere il permesso del genitore vanificherebbe lo scopo stesso del servizio.
L'articolo 8: la regola dei 16 anni (con deroga)
L'articolo 8 del GDPR fissa a 16 anni l'età in cui un minore può dare da solo il consenso al trattamento dei suoi dati per i servizi della società dell'informazione (app, social, piattaforme online). Sotto questa soglia, il trattamento "è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale".
Ma il regolamento lascia un margine agli Stati: secondo il testo dell'articolo 8, ogni Paese può fissare per legge un'età inferiore, "purché non inferiore ai 13 anni". È per questo che in Europa non esiste un'unica età del consenso digitale: si va dai 13 anni di Paesi come Spagna, Belgio e Portogallo ai 16 di Germania e Paesi Bassi. Una stessa app può quindi avere regole diverse a seconda del Paese in cui vive il minore.
Attenzione a un equivoco frequente: l'articolo 8 riguarda solo i trattamenti fondati sul consenso per servizi online. Non tocca la capacità giuridica del minore in generale, né i trattamenti basati su altre basi giuridiche (per esempio l'obbligo di legge della scuola). Riguarda quel preciso momento in cui un'app dice "accetto" e raccoglie i dati di tuo figlio.
In Italia il consenso digitale scatta a 14 anni
In Italia l'età del consenso digitale è fissata a 14 anni dall'articolo 2-quinquies del Codice Privacy (Decreto Legislativo 196/2003), come modificato dal Decreto Legislativo 101/2018 per adeguarsi al GDPR. È un dato preciso e verificabile: lo conferma sia il Garante sia il testo coordinato del Codice Privacy su Normattiva.
Cosa significa in concreto? Un ragazzo che ha compiuto 14 anni può dare da solo, in modo valido, il consenso al trattamento dei suoi dati personali in relazione ai servizi online. Per un minore di 14 anni, invece, quel consenso deve essere prestato o autorizzato da chi esercita la responsabilità genitoriale — cioè da te.
Il numero "14" non è un dettaglio burocratico: è la linea che separa il momento in cui devi essere tu a decidere da quello in cui decide tuo figlio. Se un servizio è rivolto a ragazzi sotto i 14 anni e non prevede alcun meccanismo per coinvolgere il genitore, quel servizio sta probabilmente violando la legge italiana. È una delle prime cose da controllare quando valuti un'app, come spiegato nella nostra guida su come leggere la privacy di un'app per minori.
Verificare l'età e il consenso: l'obbligo del titolare
L'articolo 8 non si limita a fissare un'età: impone a chi gestisce il servizio di compiere "sforzi ragionevoli per verificare che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, tenendo conto delle tecnologie disponibili". In altre parole, non basta una casella "ho più di 14 anni" cliccata a caso: il fornitore deve attivarsi davvero.
Questo è oggi uno dei temi più discussi a livello europeo. Il 12 febbraio 2025 il Comitato europeo per la protezione dei dati (EDPB) ha adottato una dichiarazione con dieci principi sull'age assurance, cioè sui metodi per accertare l'età di un utente. Il principio guida è che la verifica dell'età deve essere efficace ma "il meno intrusiva possibile": un sistema che, per controllare se un ragazzo ha 14 anni, raccogliesse documenti d'identità o dati biometrici rischierebbe di creare un problema di privacy più grande di quello che vuole risolvere.
Per te genitore il messaggio pratico è questo: diffida dei servizi che si accontentano di una data di nascita autodichiarata e poi profilano comunque tuo figlio. Una piattaforma seria spiega come verifica l'età e come ti coinvolge se il minore ha meno di 14 anni.
Profilazione e pubblicità: il limite più rigido
La tutela più forte che il GDPR riserva ai minori riguarda la profilazione e la pubblicità mirata. Il Considerando 38 indica espressamente il marketing e la creazione di profili utente come gli ambiti in cui la protezione del minore deve essere massima, e l'orientamento europeo più recente va nella stessa direzione.
L'EDPB ha chiarito che la pubblicità profilata costruita sui dati di categorie particolari (l'articolo 9 del GDPR: salute, convinzioni, orientamento) riferiti a minori, considerati soggetti vulnerabili, non è ammessa. Il criterio che orienta tutto è il "superiore interesse del minore", principio sancito dall'articolo 3 della Convenzione ONU sui diritti dell'infanzia e dell'adolescenza, che funge da bussola interpretativa anche per il GDPR.
Cosa devi controllare? Se un'app che tuo figlio usa per studiare o socializzare mostra pubblicità personalizzata sulla base del suo comportamento, sei di fronte a una zona grigia che la normativa europea guarda con crescente sospetto. Un servizio progettato bene per i minori non monetizza i loro dati: lo abbiamo raccontato anche parlando di cosa chiedono i genitori italiani su ChatGPT e social.
I diritti che restano sempre tuoi (e di tuo figlio)
Anche quando il trattamento è legittimo, il GDPR garantisce una serie di diritti che valgono per il minore e che, finché non ha 14 anni, eserciti tu in suo nome. Sono gli stessi diritti previsti per gli adulti, ma con un'attenzione in più al linguaggio: l'informativa rivolta a un minore deve essere scritta in modo chiaro e semplice, "tale che un minore possa comprenderla facilmente".
I principali sono il diritto di accesso (sapere quali dati sono trattati), il diritto di rettifica (correggere dati errati), il diritto alla cancellazione e il diritto di opporsi al trattamento. Il Garante segnala anche tutele specifiche contro fenomeni come il cyberbullismo e la diffusione non consensuale di immagini, dove la protezione dei dati si intreccia con la protezione della persona.
Un consiglio operativo: prima di far iscrivere tuo figlio a un servizio, cerca l'informativa privacy e verifica che esista una versione comprensibile, che indichi un contatto del titolare del trattamento e che spieghi per quanto tempo i dati vengono conservati. Se queste informazioni mancano o sono nascoste in pagine illeggibili, è un segnale d'allarme.
Cosa fa la differenza in uno strumento per minori
Le regole sono chiare; il problema è che pochi servizi le rispettano davvero. La differenza tra uno strumento progettato per i minori e uno che li tollera si vede in alcuni dettagli concreti: la quantità di dati raccolti, l'uso o meno della profilazione pubblicitaria, la trasparenza dell'informativa, il coinvolgimento del genitore.
Noi di Metod·IA abbiamo scelto un approccio che parte dal vincolo più radicale possibile: lo studente non fornisce dati personali identificativi. Niente nome reale, niente email, niente scuola: l'identità dello studente è un identificativo anonimo. La logica è quella che il GDPR chiama "minimizzazione dei dati": se un dato non serve, non lo raccogliamo, così non c'è nulla da proteggere e nulla da monetizzare. La pubblicità profilata, semplicemente, non esiste nel nostro modello.
È lo stesso principio che vale per gli strumenti compensativi per i ragazzi con DSA, dove la riservatezza è ancora più delicata: ne abbiamo parlato spiegando perché conta uno strumento che ricorda al posto di tuo figlio. Puoi vedere come gestiamo concretamente i dati nella nostra pagina dedicata alla protezione dei dati.
Domande frequenti
A che età mio figlio può dare il consenso ai dati da solo in Italia?
In Italia l'età del consenso digitale è 14 anni, fissata dall'articolo 2-quinquies del Codice Privacy. Sopra i 14 anni il ragazzo può autorizzare da solo il trattamento dei suoi dati per i servizi online; sotto i 14 anni serve il consenso di chi esercita la responsabilità genitoriale, cioè il genitore.
Perché l'età è diversa nei vari Paesi europei?
Perché il GDPR fissa la soglia generale a 16 anni ma consente a ogni Stato membro di abbassarla fino a un minimo di 13. L'Italia ha scelto 14, la Spagna 13, la Germania 16. Per questo una stessa app può applicare regole diverse a seconda del Paese di residenza del minore.
Un'app può mostrare pubblicità personalizzata a mio figlio?
La pubblicità profilata basata sui dati dei minori è guardata con forte sospetto dalla normativa europea, e quella costruita su categorie particolari di dati (salute, convinzioni) non è ammessa. Un servizio progettato correttamente per i minori non monetizza i loro dati attraverso la profilazione pubblicitaria.
In sintesi
Il GDPR e i minori formano un sistema di tutele preciso: protezione rafforzata per i dati dei più giovani, consenso del genitore sotto una certa età (14 anni in Italia, 16 di default in Europa), divieto sostanziale di profilazione pubblicitaria e diritto a informative comprensibili. Non sono cavilli per avvocati: sono i criteri con cui puoi giudicare se un servizio merita i dati di tuo figlio. La domanda da farti non è "questa app è gratis?" ma "questa app rispetta le regole pensate per proteggere mio figlio?".
Se vuoi capire come uno strumento di studio possa funzionare bene senza raccogliere i dati personali di tuo figlio, scopri come funziona Metod·IA — o leggi la nostra pagina dedicata ai genitori per valutare se è lo strumento giusto per la tua famiglia.
Fonti: Garante per la protezione dei dati personali, scheda "Minori". Regolamento UE 2016/679 (GDPR), articolo 8 e Considerando 38. Codice Privacy, D.Lgs 196/2003 art. 2-quinquies, testo coordinato su Normattiva. European Data Protection Board, dichiarazione su age assurance del 12 febbraio 2025.