di Fulvio Sarzana di S. Ippolito, Avvocato in Roma

Tra gli emendamenti al DDL concorrenza, in esame alla Camera c’è anche il blocco di VPN e DNS esteri contro la pirateria audiovisiva.

Su questo spunto  Cristiano Ghidotti, su Punto Informatico, ha previsto una stretta sulle VPN con il pretesto della guerra ibrida.

Ha aggiunto che non servirà a nulla: la Russia ci ha già provato.

E in Italia, la punta di lancia per questi tipi di iniziative è sempre il diritto d’autore.

Cosa c’è già nella legge

La legge 93/2023 ha dato ad AGCOM il potere di ordinare in 30 minuti il blocco di domini e indirizzi IP che diffondono eventi live. Il decreto Omnibus del 2024 ha esteso gli ordini ai fornitori di VPN e di DNS pubblici “ovunque residenti e ovunque localizzati”.

AGCOM ha poi chiamato questi fornitori ad accreditarsi su Piracy Shield, e il perimetro è passato dal calcio a film, serie e TV.

Stati Uniti e Spagna: la stessa spinta

A metà settembre il deputato Darrell Issa ha presentato l’American Copyright Protection Act.

I titolari dei diritti otterrebbero da un giudice federale la qualifica di “sito pirata estero”, poi l’ordine di blocco per ISP, DNS e VPN con almeno 100.000 utenti americani. Lo sostengono MPA, RIAA e l’American Bar Association. L’EFF lo definisce un attacco all’infrastruttura di rete.

Un testo concorrente, il DEFEND IP Act di Lofgren e Tillis, esclude le VPN che offrono solo quel servizio.

La soglia dei 100.000 utenti rivela l’effetto: colpisce i grandi servizi, che  generalmentwe si difendono in Tribunale e lascia fuori i piccoli e i gratuiti.

In Spagna, il 17 febbraio il Tribunale commerciale n. 1 di Córdoba ha ordinato a NordVPN e Proton VPN, su richiesta di LaLiga e Telefónica e senza sentirle, di bloccare 16 siti.

A maggio NordVPN ha vinto il contenzioso sulle multe legate a quei blocchi.

A fine settembre LaLiga ha chiesto alla Commissione europea di inserire NordVPN, Proton VPN, ExpressVPN e Surfshark nella Counterfeit and Piracy Watch List 2027.

Nel documento di 14 pagine sostiene che le guide di affiliate marketing sull’aggiramento dei blocchi rendono i fornitori più che intermediari neutrali, senza indicarne una specifica.

La lista non produce effetti giuridici e quella del 2025 non conteneva VPN.

L’effetto è di pressione sull’immagine dei fornitori.

Tre ordinamenti, tre strade: un giudice federale negli Stati Uniti, un giudice commerciale in Spagna, un’autorità amministrativa in Italia, come sempre da 15 anni a questa parte.

Solo in Italia, come sempre, manca il giudice prima dell’ordine.

Dove il sistema non sembra fuinzionare.

La segnalazione parte dal titolare dei diritti, l’ordine arriva dall’Autorità, l’esecuzione è immediata e il contraddittorio viene dopo. Il reclamo spetta al destinatario dell’ordine, cioè al fornitore. L’utente il cui contenuto lecito non è più visibile non ha nessuno a cui rivolgersi.

La Corte di giustizia UE, nel caso UPC Telekabel, ha chiesto blocchi mirati e la possibilità per gli utenti di far valere i propri diritti davanti a un giudice. Con Scarlet Extended ha escluso i filtri generalizzati.

Poi c’è la prova.

Con gli IP condivisi di una CDN, il TAR ha rilevato che Cloudflare non aveva dimostrato l’uso lecito degli indirizzi bloccati.

Chiedere al fornitore la prova di un fatto negativo, mentre il blocco è già eseguito, ribalta l’onere in modo difficilmente sostenibile.

Restano le sanzioni.

L’Omnibus punisce con la reclusione fino a un anno l’omessa segnalazione di condotte penalmente rilevanti.

Gli ISP rispondono di non avere gli strumenti per stabilire quali lo siano.

A gennaio 2025 la Lega ha proposto di esentare le telco, definendo l’impianto sanzionatorio spropositato.

La verità è che il meccanismo penale

si sovrappone a quello amministrativo ed è gestito dalla magistratura, non è quindi utile ad una dissuasione immediata e senza alcun costo.

I costi dei blocchi restano ai fornitori, senza indennizzo.

Chi controlla chi

Nel 2026 il TAR ha annullato la delibera AGCOM sulla verifica dell’età per i siti per adulti, ha dato ragione a Meta sul contributo all’Autorità e ha sospeso una sanzione da 4 milioni sulla vendita di biglietti online.

Russia e Cina: la stessa architettura

In Russia dal 2017 i fornitori di VPN devono bloccare le risorse vietate, altrimenti vengono bloccati loro. In Italia le VPN devono accreditarsi ed eseguire i blocchi ordinati dall’Autorità, con sanzioni se non lo fanno.

Roskomnadzor ha bloccato 469 servizi VPN a fine febbraio 2026, contro i 258 di ottobre 2025. A giugno una legge ha vietato agli hosting russi di ospitarli. A febbraio Google è stata multata per 22 milioni di rubli e Apple ha tolto dall’App Store russo più di 20 applicazioni VPN. La pubblicità delle VPN è vietata, l’uso resta formalmente lecito. Per il filtraggio del traffico sono previsti quasi 60 miliardi di rubli in tre anni.

In Cina dal 2017 il MIIT richiede un’autorizzazione governativa ai fornitori di VPN, anche per i servizi transfrontalieri. Il Great Firewall fa il resto.

Le differenze esistono e vanno dette. In Italia c’è un organo amministrativo che risponde ovviamente a princìpi di legalità formale e sostanziale ( anche se non un Giudice) ,  l’architettura di massima però sembra coincidere: un organo amministrativo compila le liste, gli intermediari le eseguono ovunque si trovino, chi non collabora è sanzionato.

L’Italia ha già allargato l’elenco, dall’evento sportivo al catalogo audiovisivo. Una volta costruita l’infrastruttura, estenderla è un atto regolamentare.

L’efficacia, che non c’è

In Russia i download di VPN hanno superato i 9 milioni nel solo marzo 2026.

Secondo bne IntelliNews la stretta ha messo in difficoltà banche, marketplace e servizi pubblici. Roskomnadzor punta a un’efficacia di blocco del 92% entro il 2030, e intanto gli sviluppatori adattano i protocolli.

In Italia, come negli Stati Uniti, l’obbligo colpisce chi risponde all’autorità e si accredita. I servizi che ignorano gli ordini restano raggiungibili, magari con protocolli più opachi. Il costo lo pagano i fornitori seri e gli utenti che usano la VPN per lavoro, per sicurezza aziendale, per proteggersi su reti pubbliche.

Il principio

Una misura che incide sugli strumenti di riservatezza usati da milioni di persone richiede una base legale precisa, un giudice prima dell’esecuzione, blocchi mirati con possibilità di difesa per l’utente e la pubblicità delle liste.

Senza queste garanzie il diritto d’autore viene tutelato sacrificando la libertà di comunicazione di chi non ha commesso alcun illecito.