App e servizi utilizzati dai bambini

• Regulation (EU) 2016/679 — GDPR, Articles 8 and 27
• Regulation (EU) 2022/2065 — DSA, Article 28
• Regulation (EU) 2024/1689 — AI Act prohibitions
• Directive 2010/13/EU for audiovisual services

Chi deve nominarlo

Fornitori al di fuori dell'Unione i cui servizi sono utilizzati da bambini nell'UE, indipendentemente dal fatto che i bambini siano il pubblico previsto. L'autorità di test applica è se il servizio è probabile che venga accesso dai bambini, non se i termini dicono che è per adulti.

Soglie ed esenzioni

L'età del consenso digitale varia tra 13 e 16 a seconda dello stato membro, quindi una soglia unica non funziona in tutta l'Unione. Sotto di essa, è necessaria l'autorizzazione dei genitori per il trattamento basato sul consenso.

Cosa deve comparire in etichetta

Non fisico. Informazioni sulla privacy scritte in modo che un bambino possa capirle, chiara delimitazione dell'età e identità del rappresentante nella comunicazione.

Campi sui marketplace

I negozi di app applicano valutazioni di età e dichiarazioni di sicurezza dei dati, e il DSA vieta la pubblicità basata su profilazione ai minori sulle piattaforme, il che ha costretto a cambiamenti di design in tutto il settore.

Documentazione da tenere

Registri dell'Articolo 30, designazione dell'Articolo 27, una valutazione d'impatto sulla protezione dei dati che affronta specificamente i bambini, documentazione di verifica dell'età proporzionata al rischio, registri di consenso dei genitori dove richiesto, e documentazione delle impostazioni predefinite che mostra alta privacy per impostazione predefinita.

Norme e prove

I metodi di verifica dell'età devono essere valutati per accuratezza e proporzionalità, e qualsiasi sistema che inferisce l'età dal comportamento o dai biometria solleva questioni proprie ai sensi dell'AI Act.

Requisiti linguistici

Informazioni rivolte ai bambini nella lingua dei bambini interessati e a un livello di lettura appropriato, come richiesto esplicitamente dall'Articolo 12.

Da quando si applica

Prima che il servizio sia disponibile per i bambini nell'Unione. Obblighi dell'Articolo 28 del DSA a partire da febbraio 2024.

Per quanto si conservano i documenti

Minimizzato in tutto, con profili eliminati quando l'account si chiude. Mantenere dati comportamentali sui bambini per future attività di marketing non ha una base difendibile.

Cosa succede se non sei in regola

Fino a €20 milioni o 4% del fatturato, e questo è l'area in cui le autorità hanno imposto alcune delle multe più elevate. Le sanzioni del DSA fino al 6% si applicano separatamente per le piattaforme che non proteggono i minori.

Chi controlla

Autorità per la protezione dei dati, Coordinatori dei servizi digitali e regolatori audiovisivi per i servizi video.

Dove passa il confine

La profilazione dei minori per la pubblicità è vietata sulle piattaforme ai sensi del DSA, e l'inferenza emotiva e il design manipolativo che sfrutta la vulnerabilità legata all'età sono vietati ai sensi dell'AI Act. Le scelte di design che erano semplicemente discutibili sono ora illecite.

Le domande che ci fanno

I nostri termini dicono che gli utenti devono avere 18 anni — è sufficiente?

No. Se il servizio è probabile che venga accesso dai bambini, gli obblighi si applicano indipendentemente dai termini, e le autorità guardano al pubblico effettivo.

Qual è la soglia di età?

Varia a seconda dello stato membro tra 13 e 16 per il trattamento basato sul consenso, quindi un servizio in tutta l'Unione deve gestire la soglia più alta applicabile per paese.