Quando un operatore di geolocalizzazione usa un algoritmo per decidere quali segnalazioni degli utenti mostrare e in quale ordine, smette di essere un semplice intermediario tecnico. Diventa qualcosa di più: un soggetto che esercita controllo attivo sull’informazione che distribuisce, con tutto ciò che questo comporta sul piano della responsabilità giuridica. È uno dei principi che la Corte di Giustizia dell’Unione Europea ha fissato il 16 giugno 2026, con la sentenza nelle cause riunite C-188/24 e C-190/24, rispondendo a due questioni che il Consiglio di Stato francese aveva portato a Lussemburgo.
Il principio del paese di origine e i suoi limiti
Due casi distinti, un filo comune. Nel primo, le società ceche WebGroup Czech Republic e NKL Associates contestavano l’obbligo imposto dalla Francia ai gestori di siti pornografici di adottare sistemi tecnici per impedire l’accesso dei minori, anche quando quei gestori operano da un altro Stato membro. Nel secondo, la società francese Coyote System impugnava il decreto che le vietava di ridiffondere ai propri utenti informazioni su certi controlli delle forze dell’ordine sul territorio francese. In entrambi i casi, il cuore del problema era il cosiddetto principio del paese di origine, sancito dalla Direttiva 2000/31/CE sul commercio elettronico: secondo quella norma, un servizio digitale è soggetto esclusivamente alla legge del Paese in cui il provider è stabilito, non a quella degli Stati in cui opera.
La Corte ha confermato che le misure adottate dalla Francia rientrano nel campo coordinato della Direttiva, che copre qualsiasi requisito relativo all’accesso o all’esercizio di un servizio della società dell’informazione. Rientrano quindi, in via di principio, nella competenza esclusiva dello Stato di stabilimento del provider. Tuttavia, la stessa Direttiva prevede una deroga: uno Stato membro può intervenire su provider stabiliti altrove, a condizione di rispettare criteri ben precisi. Le misure devono essere giustificate da motivi di ordine pubblico, sicurezza o tutela dei minori. Devono essere proporzionate all’obiettivo perseguito. Devono riguardare servizi specifici, identificati singolarmente, e assumere la forma di decisioni individuali. E, salvo casi di urgenza, prima di agire lo Stato deve chiedere allo Stato di stabilimento del provider di intervenire in proprio, e poi notificare le proprie intenzioni alla Commissione europea.
La Corte ha ritenuto che le misure francesi, almeno in astratto, soddisfino queste condizioni: la protezione dei minori rientra nell’ordine pubblico, il divieto di segnalare certi controlli stradali attiene alla sicurezza, e le misure si applicano a soggetti specifici tramite provvedimenti individuali. Se i decreti francesi rispettino in concreto tutti questi requisiti è una valutazione che spetta al Consiglio di Stato francese, in qualità di giudice del rinvio.
Algoritmi e responsabilità: la fine del porto sicuro per chi filtra i contenuti
La seconda questione affrontata dalla sentenza è quella che produce effetti più ampi sull’intero ecosistema dei servizi digitali europei. La Direttiva e-commerce prevede che un hosting provider, ovvero un soggetto che si limita a memorizzare contenuti forniti da terzi senza conoscerli né controllarli, possa beneficiare di un’esenzione da responsabilità per quei contenuti. Si tratta del cosiddetto safe harbour, un meccanismo che per oltre vent’anni ha permesso alle piattaforme di sostenere di essere intermediari neutrali, estranei al merito di ciò che ospitano. La Corte ha ora stabilito che questo beneficio viene meno quando il provider, servendosi di un algoritmo, determina le condizioni, le modalità e l’ordine di priorità con cui le informazioni vengono distribuite agli utenti: in quel momento esercita un controllo attivo sull’informazione e ne risponde. Nel caso Coyote, il sistema di geolocalizzazione della società non si limitava a trasmettere le segnalazioni degli utenti così come arrivavano, ma le elaborava algoritmicamente per produrre un nuovo livello informativo, selezionando cosa mostrare, a chi e quando. Un’attività che la Corte considera incompatibile con lo status di mero intermediario passivo.
Questo passaggio della sentenza va letto in un contesto più ampio. Il Regolamento sui servizi digitali (DSA), entrato pienamente in vigore per le grandi piattaforme, ha già introdotto obblighi specifici per i sistemi di raccomandazione algoritmica. La sentenza della CGUE consolida sul piano interpretativo una direzione che il legislatore europeo aveva già imboccato sul piano normativo: chi usa un algoritmo per filtrare, ordinare o amplificare contenuti non è un passivo condotto di trasmissione.
Le implicazioni per il caso italiano
La sentenza arriva in un momento delicato per il quadro normativo italiano sulla tutela dei minori online. La delibera dell’AGCOM sulla verifica dell’età per l’accesso ai contenuti pornografici, costruita sul decreto Caivano del 2023, era stata parzialmente annullata dal TAR del Lazio ad aprile 2026 su ricorso di Aylo, la società che gestisce Pornhub, YouPorn e RedTube. Il tribunale aveva rilevato criticità proprio sul fronte della compatibilità con il principio del paese di origine: l’obbligo imposto dall’AGCOM a provider stabiliti in altri Stati membri sollevava dubbi sul rispetto delle procedure previste dalla Direttiva e-commerce, in particolare sull’assenza della previa notifica alla Commissione e allo Stato di stabilimento del provider.
La sentenza della CGUE chiarisce ora quella cornice, indicando con precisione quali condizioni devono essere soddisfatte perché una misura nazionale nei confronti di provider stranieri sia compatibile con il diritto europeo. L’AGCOM dispone di uno strumento interpretativo più solido per riformulare la propria delibera, questa volta rispettando la procedura di notifica e il requisito di proporzionalità. Restano aperti i tempi e le modalità di questo eventuale intervento, che dipenderanno anche dalle scelte del legislatore nazionale e dall’esito delle procedure pendenti davanti al giudice amministrativo.
Sul mercato europeo, nel frattempo, la pressione regolatoria sui siti di contenuti per adulti si è intensificata su più fronti: la Commissione europea ha avviato nel maggio 2025 procedimenti nei confronti di alcune grandi piattaforme per adulti nell’ambito del DSA, contestando l’assenza di misure adeguate a proteggere i minori.
