In Italia e in Europa esiste già un quadro normativo tra i più avanzati al mondo per la tutela dei minori sui social. GDPR, DSA, AI Act, DMA e AVMS fissano obblighi chiari: dalla protezione dei dati e della privacy, alla limitazione della pubblicità profilata, fino alla prevenzione di abusi e manipolazioni algoritmiche.
Il problema non sono le norme, ma la loro applicazione. L’enforcement è frammentato, lento e spesso inefficace, incapace di competere con la velocità e la scala globale delle big tech.
I numeri che smontano l’illusione della deterrenza
Dal 2018, le sanzioni GDPR hanno superato 7,1 miliardi di euro; con DSA e DMA, il totale raggiunge oltre 10 miliardi. Tuttavia, il tasso di riscossione effettiva è appena 0,6%. La sola DPC irlandese, che gestisce la maggior parte dei colossi, ha riscosso solo 20 milioni su 4,04 miliardi comminati.
Le sanzioni specifiche per la tutela dei minori includono:
- Instagram: 405 milioni per accesso ai dati di utenti 13-17 anni;
- TikTok: 345 milioni nel 2023 e 530 milioni nel 2025 per trasferimento dati;
- DSA: procedimenti contro TikTok, Meta e piattaforme pornografiche per mancata protezione dei minori.
Numeri imponenti sulla carta, ma irrilevanti come deterrente rispetto alla liquidità giornaliera delle piattaforme: Alphabet, Microsoft, Meta e Amazon generano insieme 650 milioni di dollari al giorno.
Il problema dell’enforcement frammentato
Il “one-stop shop” del GDPR concentra nelle mani della DPC irlandese la maggior parte dei procedimenti, creando squilibri strutturali: un’unica autorità affronta aziende con fatturati superiori al PIL di molti Stati membri, mentre la cooperazione tra autorità nazionali resta lenta e complessa.
La stratificazione normativa europea — GDPR, DSA, AI Act, AVMS — produce competenze disperse, lacune e sovrapposizioni che le piattaforme sfruttano a proprio vantaggio. Anche gli interventi del Garante italiano hanno dimostrato che l’azione rapida è possibile, ma solo a livello nazionale e su scala limitata: blocchi cautelari di TikTok, Replika e ChatGPT hanno modificato comportamenti in settimane, mentre i grandi sistemi attuali richiedono un approccio europeo integrato.
Perché serve un’autorità unica europea
Non servono nuove leggi: serve un’autorità di enforcement europea forte, capace di intervenire direttamente su GDPR, DSA, AI Act e AVMS, con poteri immediati, velocità operativa e autorevolezza proporzionata alle dimensioni globali delle piattaforme.
Due possibili modelli:
- Potenziare l’EDPB con competenze trasversali e poteri diretti, sul modello del DMA per i gatekeeper.
- Creare un organismo nuovo, indipendente dal paese di sede delle aziende, con mandato unico per la tutela dei minori.
Solo così le norme esistenti potranno tradursi in protezione reale e tempestiva per milioni di minori europei, senza attendere anni di procedimenti nazionali o europei.
Conclusione
La tutela dei minori sui social non dipende da nuove leggi, ma da efficacia, coordinamento e autorità. Senza un organismo europeo con poteri reali, anche le normative più avanzate rimangono lettera morta, e il rischio di danni agli utenti più giovani aumenta ogni giorno.
Le opinioni espresse sono personali e non rappresentano la posizione istituzionale del Garante.