VPN e pirateria sportiva: da strumento di privacy a intermediario da bloccare

Un capitolo a parte dello stesso studio

Ho già raccontato lo studio commissionato dalla commissione Affari Giuridici del Parlamento europeo che a giugno ha proposto di trasformare il Piracy Shield italiano in un regolamento valido in tutta l'Unione. Lo studio porta la firma del professor Giovanni Maria Riccio, Università di Salerno. Contiene però un passaggio che merita un discorso a sé: quello dedicato alle VPN.

Secondo il documento, tra il 20 settembre 2025 e il 18 gennaio 2026 alcuni indirizzi IP e nomi a dominio già bloccati dal Piracy Shield restavano comunque raggiungibili attraverso servizi come NordVPN ed ExpressVPN. Un dato che basta da solo a mostrare il limite tecnico di qualsiasi blocco fondato su IP o DNS: chi cambia strada, aggira l'ostacolo. La risposta proposta dallo studio non è però tecnica. È giuridica.

Da strumento di privacy a intermediario tecnico

Secondo il rapporto le VPN andrebbero considerate intermediari funzionali nella catena di accesso ai flussi illeciti in diretta, non più strumenti di privacy neutrali e immuni da obblighi. A sostegno di questa tesi viene citato un precedente preciso: il 15 maggio 2025 il tribunale giudiziario di Parigi ha ordinato a NordVPN, ExpressVPN, Surfshark, CyberGhost e Proton di bloccare l'accesso a 203 domini usati per trasmettere illegalmente partite di Champions League, Premier League e Top 14.

Mai prima d'ora un tribunale europeo aveva trattato un fornitore VPN come un intermediario tecnico paragonabile a un provider di accesso a internet, anziché come uno strumento di sicurezza estraneo al contenuto raggiunto dall'utente. E non si tratta di un episodio isolato. Casi analoghi sono comparsi anche in Spagna, dove un tribunale di Cordoba ha imposto a NordVPN e ProtonVPN un blocco dinamico degli indirizzi IP segnalati da LaLiga.

Il contesto italiano

Nel frattempo lo scudo italiano ha continuato a macinare numeri. Secondo i dati diffusi dalla stessa AGCOM in occasione della sanzione da oltre 14 milioni di euro a Cloudflare, Piracy Shield ha oscurato dall'avvio oltre 65mila nomi a dominio e circa 14mila indirizzi IP. E il TAR del Lazio ha di recente confermato che l'Autorità può colpire anche fornitori stabiliti fuori dai confini nazionali, purché gli effetti dell'illecito si producano in Italia.

Lo studio JURI vuole portare lo stesso perimetro e la stessa logica territoriale a tutta l'Unione: CDN, server dedicati, resolver DNS e, appunto, le VPN tra i soggetti obbligati.

Non tutte le corti europee la pensano allo stesso modo

C'è un dato che complica il quadro e che lo studio JURI non cita perché uscito dopo. Il 9 luglio 2026 la Corte di Giustizia dell'Unione europea si è pronunciata nella causa C-788/24, quella sui manoscritti di Anna Frank pubblicati online. Domanda diversa da quella della pirateria sportiva: un editore che applica un geoblocco efficace risponde di violazione del diritto d'autore solo perché un utente lo aggira con una VPN?

No, ha risposto la Corte. Un geoblocco tecnicamente aggiornato resta valido anche se qualcuno riesce a superarlo. Questo non fa scattare, da solo, una responsabilità per chi ha pubblicato il contenuto. Non è la stessa questione giuridica delle ingiunzioni contro i fornitori VPN discusse sopra, quindi sarebbe scorretto leggerla come una smentita dello studio Riccio: riguarda la responsabilità di chi pubblica, non gli obblighi imposti direttamente al fornitore. Resta però un fatto interessante. Quando la massima corte europea si è trovata a ragionare sul rapporto tra VPN e aggiramento di un blocco, ha scelto un approccio più cauto delle corti nazionali francesi e spagnole. Il quadro giurisprudenziale europeo, insomma, è tutt'altro che uniforme.

Per come la vedo, tuttavia

Per come la vedo, tuttavia, questo espone a un rischio che merita di essere scritto nero su bianco. La logica secondo cui una VPN diventa un intermediario funzionale ogni volta che permette di raggiungere un contenuto che qualcuno vuole rendere irraggiungibile non si lascia richiudere facilmente entro i confini della pirateria sportiva. È coerente con la direzione già intrapresa dal Digital Services Act sulla responsabilità degli intermediari. Proprio per questo è la conseguenza più naturale che se ne possa trarre, non la più eccentrica.

Accettata come categoria generale, però, la stessa argomentazione diventa riutilizzabile per qualunque altro contenuto che un legislatore, domani, decida di voler rendere irraggiungibile: pirateria, disinformazione, materiale ritenuto inadatto ai minori. Tema di cui ho già scritto parlando di Utah e di Chat Control. Il problema non è la pirateria sportiva in sé, che resta un danno economico reale e ben documentato. Il problema è tecnico, prima ancora che giuridico: le VPN senza registri di log non possono distinguere gli utenti per nazionalità né filtrare in modo selettivo i contenuti, non senza smontare il modello su cui poggia la loro stessa funzione di sicurezza. Un obbligo di blocco imposto a un servizio che non conserva log rischia di restare ineseguibile sul piano tecnico. Oppure eseguibile solo al prezzo di abbandonare il principio che ne giustifica l'esistenza commerciale.

Serve quindi che qualunque estensione di questo tipo, se diventasse davvero un regolamento europeo, resti ancorata a un perimetro preciso, a una durata limitata all'evento da proteggere e a garanzie procedurali che permettano di contestare un blocco prima che produca danni difficili da rimediare. Sono gli stessi correttivi proposti dallo studio Riccio, già segnalati parlando del Piracy Shield europeo. Il punto non è se l'idea abbia una sua coerenza logica: ce l'ha. Il punto è se il diritto europeo saprà fermarla al perimetro per cui è nata. Per ora, a questa domanda, nessuno ha risposto.