PlayStation Chiede il Tuo Volto

PSN E ACCESSO BIOMETRICO

Cos’è l’Accesso Biometrico PSN

Con accesso biometrico si intende qualsiasi sistema che usa caratteristiche fisiche uniche dell’individuo (geometria del volto, impronta digitale, pattern dell’iride) per verificarne l’identità o un attributo demografico. Nel contesto del PSN e accesso biometrico, la biometria non serve ad autenticare un account già creato: serve a verificare un dato anagrafico, l’età. Il principio operativo è lo stesso (il corpo come credenziale), ma la funzione è diversa. Non stai dimostrando di essere tu. Stai dimostrando di essere abbastanza grande per accedere a determinate funzioni della piattaforma.

Questo distinguo è rilevante per due ragioni precise. La prima è tecnica: la stima dell’età facciale è una forma di classificazione probabilistica, non di identificazione. Il sistema non sa chi sei; stima quanti anni potresti avere, con un margine di errore che varia significativamente per fascia demografica, etnia e qualità dell’immagine acquisita. La seconda è giuridica: i dati biometrici rientrano tra le categorie speciali di dati personali ai sensi dell’articolo 9 del GDPR, soggetti a un regime di protezione rafforzata. Qualsiasi trattamento non conforme (conservazione eccessiva, trasmissione a terzi non dichiarata, consenso invalido) non è una violazione ordinaria. È una violazione aggravata, con sanzioni proporzionalmente più severe.

PSN e accesso biometrico ai varchi della comunicazione online: il volto come prerequisito di accesso su PlayStation Network. © FTA / Archivio

Come Funziona l’Accesso Biometrico di PSN

Sony si è affidata a Yoti, società londinese fondata nel 2014 che si posiziona come il più grande fornitore mondiale di verifica dell’identità digitale: oltre 800 milioni di verifiche completate in più di 200 paesi, con clienti che includono Meta, TikTok, OnlyFans, Epic Games e ora PlayStation. Il PSN e l’accesso biometrico si integrano attraverso tre metodi distinti. Il primo è la verifica tramite numero di telefono: Yoti interroga l’operatore per confermare che il numero sia associato a un adulto. Il secondo è la scansione biometrica del volto (facial age estimation) tramite un selfie: la tecnologia AI analizza la geometria del viso per stimare l’età, senza richiedere un documento, ma trattando immagini potenzialmente riconoscibili come dati biometrici. Il terzo è il caricamento di un documento d’identità ufficiale (passaporto, carta d’identità o patente) confrontato con un selfie live.

Sony afferma che la procedura richiede “solo pochi minuti” e deve essere completata una sola volta. Yoti dichiara che i dati biometrici vengono cancellati immediatamente dopo la verifica, seguendo un approccio “privacy by design” certificato da standard internazionali come ISO 27001 e SOC 2. Alla luce di quanto documentato da ricercatori indipendenti e da un’autorità di protezione dei dati europea, questa rassicurazione merita un esame critico.

Il Dossier Accademico su PSN e accesso boimetrico: Sorveglianza Mascherata da Age Gate

Il 20 maggio 2026, al 47° IEEE Symposium on Security and Privacy di San Francisco, un team di ricercatori del Georgia Institute of Technology e dell’Università della California, Irvine, ha presentato uno studio destinato a fare discutere: “Papers Please: A First Look at Age Verification on the Web”. Gli autori (il dottorando Shreyas Minocha, l’undergraduate Isaac Sheridan e i professori Michael A. Specter e Paul Pearce) hanno condotto una reverse engineering approfondita di Yoti, che secondo la loro analisi copre oltre il 60% dei siti web che richiedono verifica dell’età.

I risultati sono precisi e preoccupanti. Il processo di verifica trasmette informazioni personali (incluse foto del volto e fingerprint del dispositivo) a terze e quarte parti esterne al rapporto utente-Yoti: provider di geolocalizzazione IP, processori di pagamento e sistemi di validazione documenti. La verifica tramite carta di credito espone il sito web visitato al sistema di pagamento Stripe, rivelando la piattaforma su cui si sta effettuando il check. I dati del dispositivo raccolti durante la verifica sono sufficientemente specifici da poter essere usati come device fingerprint per identificare univocamente il dispositivo nel tempo. La compliance alle leggi sulla verifica dell’età rimane sorprendentemente bassa: negli stati americani con obblighi normativi, solo il 13,7% in Georgia e il 14,8% in Texas dei siti a contenuto adulto implementa un sistema di verifica effettivo. La protezione funziona soprattutto dove è meno necessaria.

Il Caso Spagna: 950.000 Euro di Sanzione GDPR

Ancora più rilevante per il contesto europeo è quanto accaduto in Spagna a inizio 2026. L’AEPD (Agencia Española de Protección de Datos) ha inflitto a Yoti una sanzione di 950.000 euro per una serie di violazioni del GDPR che colpiscono esattamente le rassicurazioni che Sony fornisce ai propri utenti. Secondo il regolatore spagnolo, Yoti si era resa colpevole di trattamento illecito di dati biometrici: la generazione di modelli biometrici da selfie per il confronto con documenti d’identità implica una fase di archiviazione temporanea che Yoti aveva omesso di dichiarare correttamente. I dati di geolocalizzazione erano conservati per cinque anni, ben oltre quanto necessario. I video di rilevamento della vivacità per 30 giorni. Le impronte biometriche per il recupero degli account per un periodo giudicato “sproporzionato”. I meccanismi di consenso erano pre-spuntati, con formulazioni insufficienti per i requisiti GDPR.

Il Parlamento Europeo ha formalizzato il caso con un’interrogazione parlamentare (E-001251/2026), chiedendo alla Commissione di valutare se Yoti possa continuare a operare come fornitore per piattaforme che trattano dati di milioni di cittadini europei. Yoti ha respinto la decisione dell’AEPD e ha presentato ricorso all’Alta Corte spagnola. Il caso resta aperto. La domanda diretta è: Sony sta affidando i dati biometrici di decine di milioni di giocatori europei a un’azienda sotto procedura giudiziaria per violazioni GDPR?

PSN e accesso biometrico — verifica tramite selfie e documento: il punto di convergenza tra corpo e credenziale digitale. © FTA / Archivio

Il Quadro Normativo che ha Spinto PSN e Accesso Biometrico

La mossa di Sony non è nata dal nulla. È il risultato diretto di un sistema normativo che ha raggiunto il punto di non ritorno nel corso del 2025. L’Online Safety Act 2023 britannico è entrato nella sua fase più cogente il 25 luglio 2025, quando sono diventati esecutivi gli obblighi di protezione dei minori per le piattaforme con contenuti generati dagli utenti. La legge, supervisionata da Ofcom, impone a tutte le piattaforme “probabilmente accessibili da bambini” di implementare misure di verifica dell’età “altamente efficaci”. Le piattaforme inadempienti rischiano multe fino a £18 milioni o il 10% del fatturato globale. La semplice autodichiarazione (il vecchio “dichiaro di avere 18 anni”) non è più sufficiente. PlayStation, con le sue funzioni di chat vocale e messaggistica utente-utente, rientra perfettamente nello scope della legge.

Sul fronte europeo, il Digital Services Act impone alle piattaforme di gaming obblighi analoghi. L’articolo 28 vieta la pubblicità basata sulla profilazione verso utenti identificati come minori e richiede misure proporzionate per impedirne l’accesso a contenuti inappropriati. Il 14 luglio 2025 la Commissione Europea ha pubblicato linee guida vincolanti sulla protezione dei minori e un blueprint tecnico per la verifica dell’età, basato sulle specifiche del futuro EUDI Wallet, portafoglio europeo di identità digitale atteso entro fine 2026. L’approccio europeo punta su un sistema decentralizzato e crittograficamente anonimo: l’utente dimostra di avere più di 18 anni senza rivelare altri dati personali. Un modello diametralmente opposto a quello di Yoti, che raccoglie documenti, selfie e metadati. Il wallet europeo arriverà. Ma nel frattempo i dati di milioni di giocatori percorrono strade meno sicure.

PSN e Accesso Biometrico: L’Industria del Gaming si Adegua

PlayStation non è né la prima né l’unica. Xbox ha avviato la verifica dell’età nel luglio 2025, anticipando Sony di circa un anno con un approccio strutturalmente simile: funzioni comunicative bloccate per chi non si verifica, giochi e store accessibili a tutti. Roblox, la piattaforma usata da oltre 151 milioni di utenti giornalieri (molti dei quali bambini) ha fatto il passo più drastico: dal gennaio 2026, tutti gli utenti che vogliono accedere alla chat devono completare una verifica tramite scansione del volto o documento d’identità. La decisione è arrivata dopo una cascata di cause legali negli USA che accusavano la piattaforma di aver creato un ambiente sfruttato da predatori, con casi documentati di grooming, sextortion e almeno un caso legato al suicidio di una minore.

Discord ha vissuto un percorso più travagliato. Nel settembre 2025 ha subito una violazione dei dati in cui 70.000 fotografie di documenti d’identità degli utenti sono state potenzialmente compromesse. Il sistema di verifica dell’età, lanciato per UK e Australia, è stato sospeso a livello globale. La ripresa è prevista per il secondo semestre 2026. Il pattern è chiaro: pressione legale e normativa da un lato; crisi reputazionali e incidenti di sicurezza dall’altro. Le piattaforme vengono spinte verso sistemi di identificazione sempre più robusti e sempre più pervasivi. Il caso Discord è anche un avvertimento: ogni sistema di verifica dell’età è, per costruzione, un honeypot di dati sensibili.

Il Paradosso della Protezione: Più Sicuri, Meno Anonimi

Le piattaforme di gaming hanno rappresentato per decenni uno spazio di pseudonimia sociale: ci si costruiva un’identità parallela, si interagiva con sconosciuti in modi che nella vita reale sarebbero stati impossibili, si sperimentava senza conseguenze. Questa caratteristica aveva lati oscuri (cyberbullismo, grooming, esposizione a contenuti inappropriati), ma anche lati positivi: inclusione di persone con difficoltà sociali, sperimentazione dell’identità per adolescenti LGBTQ+, costruzione di comunità. La verifica dell’età non è uno strumento neutro rispetto a questa storia.

Sul piano tecnico, lega un’identità fisica verificata a un profilo digitale che contiene anni di dati comportamentali, preferenze di gioco, abitudini di consumo e interazioni sociali. Il profilo smette di essere pseudonimo e diventa de facto identificabile. Sul piano normativo europeo, l’EDPB ha chiarito nella sua dichiarazione di febbraio 2025 che la tutela dei minori “non legittima soluzioni sproporzionate o eccessivamente invasive” e che qualsiasi sistema di age assurance deve rispettare il principio di minimizzazione dei dati. Il modello Yoti (come dimostrato dalla sanzione spagnola) rischia di essere strutturalmente in conflitto con questo principio. La soluzione tecnicamente corretta esiste: è il zero-knowledge proof, un sistema crittografico che permette di dimostrare un attributo senza rivelare alcun dato sottostante. È esattamente l’approccio su cui la Commissione Europea sta lavorando con il portafoglio EUDI. Ma il wallet sarà operativo, nel migliore dei casi, a fine 2026. Nel frattempo, miliardi di verifiche vengono effettuate con sistemi che raccolgono molto più di quello che serve.

Le domande che ogni giocatore europeo e ogni genitore dovrebbe porsi sono precise. Chi custodisce i dati biometrici (Sony o Yoti) e per quanto tempo? Cosa succede se si rifiuta la verifica: il diritto a giocare online in modalità comunicativa è subordinato alla cessione di dati sensibili, ed è questo conforme al principio GDPR di libertà del consenso? Qual è il piano di risposta in caso di violazione analoga a quella di Discord? E il sistema è davvero efficace, se protegge i minori solo sulle grandi piattaforme mentre li lascia esposti su quelle minori, dove la compliance secondo lo studio Georgia Tech–UC Irvine non supera il 15%?

PSN E ACCESSO BIOMETRICO

La verifica dell’età su PlayStation non è l’inizio di questa storia. È il punto in cui la storia diventa impossibile da ignorare per chi gioca. L’infrastruttura di identificazione biometrica è già nell’ecosistema del gaming (Xbox, Roblox, Discord, presto Sony) e la sua estensione avviene per gradi, in contesti che sembrano tecnici ma hanno conseguenze civili precise. L’obiettivo dichiarato di proteggere i minori è legittimo e urgente. Le statistiche sui rischi online per i bambini sono devastanti. Ma il modo in cui si costruisce la soluzione conta quanto la soluzione stessa.

Un sistema che raccoglie dati biometrici in quantità superiori al necessario, li trasmette a terze parti non identificate, è gestito da un’azienda sotto procedura GDPR aperta in un paese europeo e secondo ricerche indipendenti funziona come surveillance infrastructure: questo non è necessariamente il modo giusto. La Commissione Europea ha indicato una strada diversa; verifica decentralizzata, crittograficamente sicura, costruita sull’identità digitale europea. Arriverà. Ma ci vorrà tempo. E nel frattempo, i dati di milioni di giocatori europei stanno già percorrendo strade meno sicure.

Accept Marketing cookies to load this content

Guarda su YouTube ↗