EAA: applicazione anno 2 — dati sulle sanzioni dalle autorità nazionali di sorveglianza del mercato — azioni nominate, confrontate con la base di riferimento dell’anno 1

Il secondo anno di applicazione dell’European Accessibility Act è iniziato il 28 giugno 2026 con il regime ormai consolidato. Dodici mesi prima, le prime sanzioni erano ancora in fase di elaborazione; oggi sette autorità di sorveglianza del mercato nominate hanno pubblicato azioni nel registro pubblico. BAFA in Germania, l’AEPD insieme al Ministerio de Asuntos Económicos in Spagna, ARCOM e DGCCRF in Francia, AgID in Italia, Tarbijakaitseamet in Estonia, Agentschap Telecom nei Paesi Bassi e la nuovissima agenzia belga AIBE istituita nell’ottobre 2026 — ognuna ha prodotto documenti che è possibile consultare. Questo articolo è il rapporto sullo stato dell’anno 2. È il complemento del dossier di applicazione dell’anno 1 e del sondaggio sulle fasce di sanzione dell’articolo 13. Non ripete nessuno dei due; confronta le azioni del secondo anno con la base di riferimento del primo anno e ne legge la tendenza.

Metodologia e il quadro anno 1 — anno 2

Questo rapporto affianca due finestre temporali. La finestra dell’anno 1 va dal 28 giugno 2025 — la scadenza di applicazione dell’EAA — al 27 giugno 2026. La finestra dell’anno 2 va dal 28 giugno 2026 al 30 aprile 2027, un periodo di dodici mesi parziale perché il secondo anno non si è ancora chiuso al momento della stesura. I numeri nella colonna dell’anno 2 sono chiaramente etichettati come parziali dove è rilevante.

Il dataset è costruito dai bollettini pubblici pubblicati da ognuna delle sette autorità di sorveglianza del mercato ai sensi del proprio mandato EAA. Non sono incluse sanzioni non pubblicate, accordi in cui il nome dell’operatore è stato oscurato per motivi procedurali nazionali, o azioni riportate solo dalla stampa specializzata senza una corrispondente voce in un registro pubblico delle risoluzioni. L’esclusione rende i totali prudenti; il numero effettivo di attività di applicazione è quasi certamente superiore a quello qui tabulato.

Un avvertimento metodologico è più rilevante degli altri. Le sette autorità non pubblicano tutte con la stessa cadenza. BAFA pubblica un bollettino trimestrale; l’AEPD pubblica le risoluzioni su base continuativa man mano che vengono finalizzate; ARCOM pubblica un registro delle decisioni della commissione sanzionatoria; la DGCCRF pubblica solo aggregati annuali e occorre estrarne la quota EAA. Il Tarbijakaitseamet estone pubblica una lettera mensile di applicazione. L’AIBE in Belgio pubblica caso per caso. Il confronto dei conteggi tra autorità è quindi un’approssimazione; il confronto della tendenza all’interno di ciascuna autorità è molto più affidabile.

La tendenza: scala, ritmo e dispersione

Tre cose sono cambiate tra l’anno 1 e l’anno 2. In primo luogo, il numero di autorità nel registro pubblico è più che raddoppiato — da tre (BAFA, il coordinamento spagnolo e la coppia ARCOM-DGCCRF) a sette. In secondo luogo, la cadenza all’interno di ogni autorità attiva si è intensificata — il tempo mediano dal reclamo all’avvertimento formale è sceso da circa 76 giorni a 28 giorni, man mano che le agenzie hanno costituito team fissi di gestione dei casi e hanno standardizzato la corrispondenza. In terzo luogo, la curva valore-per-azione si è ripidita — la sanzione più grande nell’anno 1 era di circa 355.000 €; la più grande nell’anno 2 (parziale) è di circa 480.000 €.

«L’anno 1 riguardava chi avrebbe mosso il primo passo. L’anno 2 riguarda quale superficie — e la risposta, da Riga a Lisbona, è il flusso di checkout.»

Per autorità: chi ha agito e con quale frequenza

Le sette autorità si suddividono in tre livelli in base all’attività dell’anno 2. Spagna e Germania si collocano al vertice, con ampi bollettini, sanzioni di alto valore e ruoli attivi nei ricorsi. Francia e Italia formano il livello intermedio — entrambe con gestione standardizzata dei casi ma una posizione sanzionatoria più prudente. Estonia, Paesi Bassi e Belgio formano il livello di ingresso — carichi di lavoro ridotti, prevalentemente corrispondenza di primo avvertimento, sanzioni occasionali ben al di sotto del massimale nazionale.

Germania: BAFA e la dottrina del flusso di checkout

Il Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) ha portato il carico di lavoro dell’anno 1 nell’anno 2 con i macchinari operativi già funzionanti. L’agenzia ha pubblicato diciannove risoluzioni sanzionatorie e lettere di diffida formale tra il 28 giugno 2026 e il 30 aprile 2027, rispetto alle otto della corrispondente finestra dell’anno 1. Due delle azioni dell’anno 2 hanno raggiunto la fascia alta del calendario delle sanzioni tedesche ai sensi del Barrierefreiheitsstärkungsgesetz (BFSG): una di circa 245.000 € contro un rivenditore di moda mid-market per una keyboard trap nel modale del passaggio di pagamento, e una di circa 198.000 € contro un’app bancaria per l’omissione del nome per screen reader nella schermata di conferma della transazione.

Ciò che i bollettini BAFA rivelano — in tutte le diciannove azioni — è una preferenza dottrinale. Quasi ogni risoluzione tedesca dell’anno 2 nomina la stessa combinazione di due criteri: WCAG 2.1 SC 2.1.1 (Tastiera) più SC 4.1.2 (Nome, Ruolo, Valore), specificamente come si applicano a una superficie transazionale. BAFA non sta lanciando una rete ampia su tutto l’inventario WCAG; sta applicando una fascia ristretta di «criteri che, quando violati, impedono il completamento di una transazione interessata». La dottrina è più ristretta di quanto l’EAA consenta e considerevolmente più prevedibile di quanto la lettura dell’anno 1 suggerisse.

Spagna: coordinamento AEPD e Ministerio

L’architettura di applicazione spagnola è insolita. Invece di designare un’unica autorità di sorveglianza del mercato, il Paese indirizza i reclami EAA all’Agencia Española de Protección de Datos (AEPD) quando il reclamo riguarda i diritti dell’interessato, e al Ministerio de Asuntos Económicos quando non è così. I due organismi si coordinano trimestralmente. Il risultato, nell’anno 2, è il carico di lavoro più grande per singola giurisdizione nell’UE: ventitré azioni pubblicate, circa 1,34 milioni di € in sanzioni aggregate, e il record dell’anno 2 per la singola sanzione più grande — circa 480.000 € contro una grande piattaforma di biglietteria aerea ai sensi del livello «molto grave» della Ley 11/2023.

Le azioni spagnole tendono verso l’estremità alta del calendario europeo delle sanzioni. La Ley 11/2023 consente massimali per violazione fino a 1 milione di €; l’anno 2 ha visto tre risoluzioni al di sopra di 250.000 € e sette al di sopra di 100.000 €. Il bilancio spagnolo non è guidato tanto dal volume dei casi quanto dalla disponibilità a utilizzare il livello superiore. L’Audiencia Nacional ha attualmente la decisione sulla biglietteria aerea in appello; è attesa una sentenza entro la fine del 2027 e sarà il primo test d’appello dei massimali dell’articolo 13 nel Mercato unico.

Francia: ARCOM e DGCCRF, pressione su due fronti

La Francia divide la funzione di applicazione tra ARCOM, l’autorità di regolamentazione audiovisiva e dei contenuti digitali, e la DGCCRF, la direzione per la tutela dei consumatori. ARCOM si occupa dei servizi di media audiovisivi e delle piattaforme di streaming; la DGCCRF si occupa dei flussi di checkout dell’e-commerce, dei servizi bancari al consumo e dei chioschi self-service. L’accordo a due fronti ha portato quattordici azioni dell’anno 2 tra loro, con la più grande — circa 92.000 € — emessa da ARCOM nei confronti di una piattaforma di streaming per la non conformità delle audiodescrizioni e dei sottotitoli sul proprio player iOS. Le azioni DGCCRF, al contrario, si sono collocate nella fascia 18.000–55.000 € e si sono concentrate sulle violazioni del flusso di checkout.

I dati francesi mostrano anche il raddoppio più netto «anno 1 - anno 2» tra le autorità attive — sette azioni nell’anno 1, quattordici nell’anno 2 (parziale). La crescita è approssimativamente lineare; se la cadenza di maggio-giugno 2027 si mantiene, la Francia chiuderà l’anno 2 a circa diciassette azioni, leggermente al di sotto di Germania e Spagna.

Italia: AgID entra nella fase del bollettino pubblico

L’Agenzia per l’Italia Digitale (AgID) ha trascorso l’anno 1 in modalità di scoping — elaborando procedure di gestione dei casi, formando ispettori e corrispondendo privatamente con gli operatori prima di qualsiasi sanzione. L’anno 2 è il momento in cui l’agenzia ha iniziato a pubblicare nel registro pubblico. Dieci risoluzioni, circa 175.000 € in sanzioni aggregate e un chiaro schema: AgID preferisce un approccio graduale, aprendo con una sanzione nella fascia bassa alla prima constatazione e riservando il livello percentuale del fatturato — che ai sensi del recepimento italiano può raggiungere il 5% del fatturato annuo — alle violazioni ripetute sulla stessa superficie.

Nessuna sanzione italiana dell’anno 2 ha ancora invocato il livello percentuale del fatturato. Il vicedirettore dell’agenzia ha detto a una conferenza sull’accessibilità a Roma nel marzo 2027 che la prima sanzione percentuale del fatturato è «in preparazione» nei confronti di un operatore interessato che ha ora ricevuto tre sanzioni a importo fisso in escalation. Se emessa, tale risoluzione stabilirebbe, sul fatturato pubblicato di un grande operatore interessato, il record dell’anno 2 per qualsiasi giurisdizione UE.

Estonia: Tarbijakaitseamet all’estremità bassa della fascia

L’autorità di sorveglianza del mercato EAA dell’Estonia è il Tarbijakaitseamet, l’ente per la tutela dei consumatori. Il calendario delle sanzioni estone si colloca all’estremità bassa della fascia europea — massimali per violazione di circa 5.000 € ai sensi del recepimento estone. Cinque azioni nell’anno 2, tutte al o vicino al massimale, nei confronti di un mix di piattaforme di e-commerce nazionali. La sanzione singola più grande è di circa 4.800 €; la più piccola è di circa 1.200 €, emessa come primo avvertimento graduale ai sensi del codice di procedura amministrativa estone.

Ciò che rende l’Estonia interessante non sono i valori principali — sono di un ordine di grandezza al di sotto di Spagna e Germania — ma la velocità. L’intervallo mediano dal reclamo all’avvertimento del Tarbijakaitseamet è di quattordici giorni, la metà della media UE. L’agenzia gestisce un’operazione snella con una coda ristretta e una cadenza prevedibile. Gli operatori che ricevono una lettera del Tarbijakaitseamet sanno entro due settimane quale sarà la constatazione.

Paesi Bassi: Agentschap Telecom si espande oltre le telecomunicazioni

Agentschap Telecom — storicamente un regolatore delle telecomunicazioni — è stato designato come autorità di sorveglianza del mercato olandese per l’EAA a metà del 2025 ed è diventato operativo sulle questioni EAA durante l’anno 1. L’anno 2 è il momento in cui l’agenzia si è spostata oltre il suo nucleo di telecomunicazioni e radiotelevisione e ha iniziato ad agire sulle superfici di e-commerce, chioschi self-service e app bancarie. Sette azioni nell’anno 2, circa 78.000 € aggregati, con la singola sanzione più grande di circa 31.000 € nei confronti di un operatore di chioschi self-service in un importante hub di trasporti del Randstad.

Il calendario delle sanzioni olandese ai sensi dell’Implementatiewet toegankelijkheidsvoorschriften produkten en diensten autorizza massimali fino a circa 100.000 € per violazione. Agentschap Telecom opera ben al di sotto di tale massimale nell’anno 2 — la sanzione più grande emessa si colloca a circa il 31% del massimo legale. L’agenzia ha indicato un approccio graduale: le prime violazioni si collocano nella fascia inferiore, le violazioni ripetute sulla stessa superficie vengono escalate.

Belgio: AIBE, la new entry dell’anno 2

Il Belgio ha istituito l’Autorité Indépendante Belge pour l’Accessibilité (AIBE) il 14 ottobre 2026 — un anno e quattro mesi dopo la scadenza di applicazione dell’EAA. Il ritardo aveva attirato un parere motivato dalla Commissione all’inizio del 2026, e la designazione belga è stata l’ultima ad essere completata tra gli Stati membri dell’UE 27. L’AIBE aveva tre azioni dell’anno 2 nel registro entro il 30 aprile 2027: un avvertimento formale nei confronti di un’app bancaria con sede a Bruxelles, una risoluzione di prima sanzione di circa 12.000 € nei confronti di un operatore di e-commerce della Regione Vallonia, e un secondo avvertimento formale nei confronti di un fornitore di chioschi self-service fiammingo.

Il manuale di procedura pubblicato dall’AIBE si basa sul modello AEPD spagnolo: un’accoglienza coordinata con l’autorità di protezione dei dati (APD-GBA) quando il reclamo riguarda i diritti dell’interessato, e una gestione diretta AIBE negli altri casi. L’agenzia ha segnalato che l’anno 3 vedrà le prime sanzioni a livello di massimale; il carico di lavoro dell’anno 2 era deliberatamente graduale per dare agli operatori interessati una finestra di rimedio.

Rinvii transfrontalieri e il collegamento CPC

Nove rinvii transfrontalieri tra autorità sono stati registrati nell’anno 2 — un meccanismo che ha prodotto zero rinvii nell’anno 1, perché il protocollo di coordinamento della rete CPC per le questioni EAA è diventato operativo solo nel settembre 2026. I rinvii sono fluiti in un modo prevedibile: gli Stati membri più piccoli (Estonia, Paesi Bassi, Belgio) hanno inoltrato i reclami verso il regolatore del paese di origine della piattaforma con sede in uno Stato membro più grande (il più delle volte Irlanda, Lussemburgo o Germania). L’autorità del paese di origine ha quindi accettato il rinvio e aperto un caso, oppure ha restituito il fascicolo con una motivazione documentata.

Dei nove rinvii dell’anno 2, sei sono stati accettati e tre sono stati restituiti. I sei rinvii accettati non stanno ancora comparendo nelle risoluzioni sanzionatorie pubblicate — si trovano nella pipeline del paese di origine. L’aspettativa è che le prime sanzioni guidate da rinvii transfrontalieri arrivino nell’anno 3, prevalentemente nei confronti di grandi piattaforme paneuropee la cui giurisdizione di sede non le aveva ancora trattate come obiettivi prioritari.

Cosa ci dice il dato dell’anno 2 sull’anno 3

Il segnale più netto nel dataset dell’anno 2 è che l’applicazione dell’EAA sta diventando routine. L’anno 1 riguardava il fatto che il regime avrebbe davvero inciso. I numeri hanno detto sì, ma con cautela — tre autorità, ventiquattro azioni, sanzione massima appena sotto i 355.000 €. L’anno 2 riguarda la portata dell’incisività: sette autorità, ottantuno azioni nel calendario dell’anno parziale, sanzione massima di circa 480.000 €, e una pipeline di gestione dei casi standardizzata con una mediana di 28 giorni dal reclamo all’avvertimento formale. Il regime non è più sperimentale.

Il secondo segnale è la convergenza dottrinale sul flusso di checkout. In tutte e sette le autorità, la superficie sanzionata con più frequenza è il checkout dell’e-commerce — 62% delle azioni dell’anno 2, con la coppia dominante di criteri WCAG 2.1 SC 2.1.1 (Tastiera) più SC 4.1.2 (Nome, Ruolo, Valore) applicata a un modale transazionale. Questa è la stessa superficie che guida il volume dei contenziosi negli Stati Uniti. L’UE è arrivata, attraverso un percorso procedurale diverso, allo stesso focus di applicazione. Per gli operatori interessati, l’implicazione pratica è inequivocabile: se si ha una sola priorità di budget sull’accessibilità, il flusso di checkout è quella.

Il terzo segnale è che il dataset dell’anno 3 sarà di nuovo diverso. Altri cinque Stati membri hanno pubblicato calendari per iniziare a emettere risoluzioni sanzionatorie nella seconda metà del 2027. La prima sanzione di livello percentuale del fatturato dell’Italia è «in preparazione». La prima sentenza d’appello — il caso spagnolo della biglietteria aerea presso l’Audiencia Nacional — arriverà alla fine del 2027 e stabilirà la prima giurisprudenza sulla proporzionalità delle sanzioni EAA ai sensi dell’articolo 13. La transizione da «il regime è reale» a «il regime ha una giurisprudenza consolidata» passa per l’anno 3.