Utah SB 73: la prima legge statunitense che prende di mira gli utenti VPN entra in vigore il 6 maggio 2026

Oggi, 6 maggio 2026, lo Utah diventa il primo stato degli Stati Uniti a mettere gli utenti VPN nel mirino legale di una legge sulla verifica dell'eta. Il Senate Bill 73, formalmente intitolato Online Age Verification Amendments e firmato dal Governatore Spencer Cox il 19 marzo 2026, entra in vigore oggi, e la sua Sezione 14 cambia radicalmente il rapporto tra i residenti dello Utah, i fornitori di VPN e i siti web che quei residenti visitano.

Se sei un residente dello Utah che sta leggendo questo articolo, la legge non rende illegale la tua VPN. Ma segna il momento in cui i legislatori degli Stati Uniti hanno iniziato a trattare le VPN commerciali non come lo strumento standard di privacy che sono state per due decenni, usato quotidianamente da aziende, giornalisti, studenti su Wi-Fi pubblico e chiunque si colleghi a un'app bancaria da un bar, ma come una scappatoia normativa da chiudere.

Ecco cosa fa effettivamente la SB 73, perche i sostenitori dei diritti digitali, dalla Electronic Frontier Foundation a NordVPN, la definiscono una "trappola di responsabilita", perche quasi certamente non raggiungera l'obiettivo dichiarato e cosa significa per la tua privacy nel 2026.

Cosa fa effettivamente la Utah SB 73

La maggior parte della SB 73 riguarda una tassa del 2% sui ricavi dei contenuti per adulti online (efficace da ottobre 2026). Le disposizioni che entrano in vigore oggi sono diverse: modificano la Sezione 78B-3-1002 dell'attuale legge dello Utah sulla verifica dell'eta online e prendono esplicitamente di mira l'uso delle VPN in due modi:

1. La posizione segue il corpo, non l'IP. In base alla nuova legge, una persona e considerata accedere a un sito web dallo Utah se si trova fisicamente nello Utah, indipendentemente dal fatto che utilizzi una VPN, un server proxy o qualsiasi altro strumento per mascherare la propria posizione geografica. In altre parole, anche se il tuo IP ti mostra in Wyoming, la legge ti considera un utente dello Utah nel momento in cui il tuo telefono si trova a Salt Lake City.
2. I siti web sono imbavagliati sulle informazioni relative alle VPN. Le entita commerciali che ospitano "una porzione sostanziale di materiale dannoso per i minori" hanno ora il divieto di facilitare o incoraggiare l'uso di una VPN per aggirare i controlli sull'eta. Cio include la pubblicazione di istruzioni su come usare una VPN, un linguaggio cosi ampio che la EFF lo segnala come un problema di First Amendment.

La legge si ferma prima di vietare esplicitamente l'uso della VPN in se. Non ci sono multe per i singoli residenti dello Utah che si collegano tramite una VPN commerciale. La pressione legale e diretta squarciamente ai siti web, ed e li che iniziano i guai.

La "trappola di responsabilita" che preoccupa i difensori della privacy

La principale obiezione dei gruppi per i diritti digitali e quella che la EFF chiama trappola di responsabilita: in base alla SB 73, un sito web e responsabile della verifica dell'eta di ogni utente fisicamente situato nello Utah, anche degli utenti che al sito web sembrano trovarsi altrove. Poiche nessun sito commerciale puo rilevare in modo affidabile la vera geolocalizzazione di ogni utente VPN, restano due opzioni poco attraenti:

• Bloccare ogni IP di uscita VPN noto. Mantenere una blocklist in continua crescita, accettare il danno collaterale dei falsi positivi (clienti legittimi che usano la VPN e vengono bloccati) e sperare di stare al passo con i nuovi range di IP man mano che i provider li ruotano.
• Pretendere la verifica dell'eta da ogni visitatore a livello globale. Trattare ogni utente come se potesse essere un residente dello Utah su una VPN e richiedere una prova dell'eta di livello documento d'identita governativo a tutti, inclusi i milioni di persone che non vivono nello Utah e non sono soggette alla legge.

Il team politico di NordVPN l'ha definita esattamente cosi, "una trappola di responsabilita", in commenti a TechRadar. Entrambe le opzioni espandono il raggio d'azione di una legge a livello statale in un regime globale di verifica dell'identita, ed entrambe impongono costi reali a giornalisti, sopravvissuti ad abusi, viaggiatori d'affari e utenti comuni attenti alla privacy che si affidano alle VPN commerciali per la legittima sicurezza dei dati.

Il problema del First Amendment

La seconda disposizione, il bavaglio sui siti web che condividono informazioni sulle VPN, e la parte che con maggiore probabilita affrontera una sfida costituzionale. La SB 73 non chiede solo alle piattaforme coperte di applicare i controlli sull'eta; vieta loro di parlare ai propri utenti di un software perfettamente lecito che esiste nel mondo.

La EFF, il Cato Institute e i sostenitori della liberta di espressione osservano che cio limita un discorso veritiero e non ingannevole su uno strumento legale di privacy. Come ha affermato il Cato Institute: "Quando una politica internet puo essere aggirata da una tecnologia relativamente comune che spesso offre significativi vantaggi in termini di privacy e sicurezza, forse il problema e la politica stessa."

La SB 73 funzionera davvero? La realta tecnica

La risposta breve e no. La risposta piu lunga e che anche un successo parziale richiederebbe un livello di fingerprinting a livello di rete che nessuno stato puo imporre e nessun operatore di siti web puo fornire. Ecco cosa faranno gli utenti motivati, entro poche ore dall'entrata in vigore della legge, non mesi:

• Migrare ai proxy residenziali. I proxy residenziali instradano attraverso veri IP di ISP consumer indistinguibili dal normale traffico domestico. Esistono da anni per casi d'uso legittimi di web scraping, verifica pubblicitaria e protezione del marchio, e bypassano banalmente le blocklist delle VPN commerciali perche non sono in quelle blocklist.
• Avviare tunnel cloud privati. Un VPS da 5 dollari al mese su AWS, DigitalOcean o Hetzner che esegue WireGuard offre a un utente esperto un IP di uscita VPN personale che nessuna blocklist intercettera mai, perche e un singolo IP che non esisteva ieri e non apparira mai in un range di VPN commerciale.
• Usare Tor o Shadowsocks/V2Ray self-hosted. Gli strumenti di offuscamento open source sviluppati per i residenti di paesi con severi controlli su internet gia sconfiggono rilevamenti molto piu sofisticati di qualsiasi cosa contemplata dalla legge dello Utah.

Il danno collaterale ricade sul normale residente dello Utah che vuole solo che il proprio traffico bancario sia crittografato sul Wi-Fi dell'hotel, non sul minore tecnologicamente motivato dal quale la legge avrebbe dovuto proteggerlo. Come ha osservato la EFF, "queste disposizioni non fermeranno un adolescente esperto di tecnologia, ma avranno certamente un impatto sulla privacy di ogni normale residente dello Utah che vuole semplicemente tenere i propri dati lontani da broker o attori malintenzionati."

Lo Utah non e solo: il quadro globale nel 2026

La SB 73 e il punto piu alto degli Stati Uniti, ma fa parte di un modello globale di governi che reagiscono all'aumento dell'uso delle VPN che segue ogni mandato di verifica dell'eta. La storia si e svolta allo stesso modo in oltre una dozzina di giurisdizioni negli ultimi tre anni:

• Stati USA con leggi sulla verifica dell'eta che hanno fatto impennare l'uso delle VPN: Florida, Missouri, Texas, Utah (dal 2023), Louisiana, Mississippi, Virginia, Tennessee, North Carolina, Idaho e altri; lo Utah e ora il primo a reagire all'aumento dell'uso delle VPN prendendo di mira lo strumento stesso.
• Wisconsin: ha proposto un linguaggio simile mirato alle VPN; i sostenitori sono riusciti a farlo rimuovere per preoccupazioni costituzionali e tecniche. Lo Utah ha proseguito nonostante le stesse obiezioni.
• Regno Unito (UK): il Children's Commissioner ha pubblicamente descritto le VPN come "una scappatoia che deve essere chiusa" dopo che l'Online Safety Act ha provocato una massiccia ondata di adozione delle VPN.
• Francia (France): il Ministro Delegato per l'Intelligenza Artificiale e gli Affari Digitali ha indicato le VPN come "prossimo argomento" nell'agenda regolatoria dopo che il paese ha emanato un divieto sui social media per i minori di 15 anni.
• Australia, Indonesia: entrambe hanno implementato leggi sulla verifica dell'eta che hanno fatto aumentare l'uso delle VPN, con un seguito normativo in attiva discussione.

Lo schema e coerente: la politica crea la domanda per lo strumento, poi la politica si rivolge contro lo strumento. Se la SB 73 reggera alle sfide legali o verra silenziosamente ritirata come la versione del Wisconsin e una delle storie piu importanti di politica internet degli Stati Uniti del 2026.

Cosa significa per i residenti dello Utah

Se vivi nello Utah e usi oggi una VPN per le stesse ragioni per cui la usano la maggior parte delle persone, banking su Wi-Fi pubblico, lavoro a distanza dai bar, separazione di account lavorativi e personali, protezione dal doxing o semplicemente non volere che il tuo ISP registri ogni sito che visiti, nulla del tuo uso quotidiano della VPN e illegale ai sensi della SB 73. La legge prende di mira i siti web, non gli utenti.

Cio che cambia e l'esperienza di usare una VPN per visitare determinati siti:

• Alcuni siti per adulti potrebbero ora bloccare tutto il traffico VPN. Se un sito decide che il percorso di compliance piu sicuro e vietare ogni IP VPN che riesce a identificare, vedrai muri CAPTCHA o blocchi totali anche se vivi nello Utah e usi la VPN per motivi legittimi.
• Alcuni siti potrebbero richiedere la verifica dell'eta a livello globale. Se invece scelgono il percorso "verifica tutti", vedrai richieste di verifica dell'eta di livello documento d'identita governativo che non esistevano una settimana fa, anche da siti che chiaramente non sono contenuti per adulti.
• Vedrai meno informazioni sulle VPN sulle piattaforme coperte. La disposizione del bavaglio significa che tutorial, raccomandazioni e persino spiegazioni di base sulle VPN potrebbero scomparire dai siti che operano sotto l'ombrello di compliance della SB 73.

Come proteggere la tua privacy nel 2026 (legalmente)

Qualunque sia la tua opinione sulla politica di verifica dell'eta, la domanda tecnica, "come mantengo privato e sicuro il mio normale traffico internet nel 2026", ha la stessa risposta che aveva una settimana fa. Scegli una VPN commerciale affidabile con queste qualita:

• Politica no-log verificata con report di audit indipendenti che puoi leggere.
• Supporto del protocollo WireGuard (bassa latenza, crittografia moderna).
• Server offuscati in modo che lo stesso traffico VPN non venga fingerprintato.
• Kill switch per impedire che il tuo IP reale trapeli se il tunnel cade.
• Giurisdizione al di fuori dell'alleanza di condivisione di intelligence 14 Eyes: Panama, le Isole Vergini Britanniche e la Svizzera sono comuni.

Per gli utenti che vogliono andare oltre i range di VPN del pool commerciale, in particolare i residenti dello Utah che prevedono di rimanere intrappolati nelle blocklist di VPN commerciali sui siti che adottano la compliance piu rigida della SB 73, un piano Dedicated Residential IP di un provider come CometVPN ti offre un IP di uscita fisso di un vero ISP che sembra una normale connessione domestica e non apparira nelle blocklist di VPN commerciali. CometVPN funziona su WireGuard, include un kill switch, offre server offuscati, ha sede a Panama e parte da 1,89 dollari al mese sul piano biennale con il Dedicated Residential IP disponibile come componente aggiuntivo.

Gli utenti esperti che hanno bisogno di un controllo piu granulare, ad esempio per automazione di browsing, flussi di lavoro multi-account o scraping, possono anche usare proxy residenziali di MarsProxies o IPRoyal, che forniscono un'origine IP di vero ISP simile a un livello VPN Dedicated Residential ma espongono il routing per applicazione.

Il quadro piu ampio

Le VPN sono, nel loro nucleo, gli strumenti che rendono possibile la moderna internet attenta alla privacy. Attaccarle, sia attraverso la trappola di responsabilita del bavaglio dello Utah, sia con l'inquadramento da "scappatoia" del UK, sia con l'agenda "prossimo argomento" della France, e fondamentalmente un attacco all'architettura che protegge giornalisti, viaggiatori d'affari, sopravvissuti ad abusi e utenti comuni che semplicemente non vogliono che i loro dati siano venduti al miglior offerente.

La SB 73 e la prima legge statale degli Stati Uniti a fare quel passo. Probabilmente non sara l'ultima. La domanda regolatoria per il resto del 2026 e se le sfide legali, le soluzioni tecniche alternative e la reazione pubblica saranno sufficienti a rallentare quella tendenza, o se il prossimo giro di disegni di legge statali sulla verifica dell'eta copiera il manuale dello Utah parola per parola.

Per ora, il 6 maggio 2026 e iscritto come il giorno in cui gli Stati Uniti hanno superato una linea. Continueremo a osservare cosa accadra dopo.

Fonti: Electronic Frontier Foundation, testo della SB 73 della Utah Legislature, TechRadar / NordVPN, Tom's Hardware, CyberInsider, Cato Institute.