GDPR e dati fitness: dove finiscono i tuoi dati

I dati del tuo smartwatch — frequenza cardiaca, sonno, ciclo mestruale, peso, attività — non sono dati come gli altri. Il GDPR li categorizza come 'dati relativi alla salute' (art. 4, n. 15) e li sottopone a regole più severe rispetto a indirizzo email o cronologia di acquisto. Questo articolo spiega cosa significa in pratica per te se vivi in Europa, e come comportarsi nei confronti dei produttori.

Cosa conta come 'dato sanitario' secondo GDPR

Categoria 'speciale' (art. 9) — il trattamento è in principio vietato salvo eccezioni esplicite. Le eccezioni rilevanti per smartwatch sono due: consenso esplicito (art. 9.2.a) e finalità di assistenza/medicina del lavoro/sanità pubblica (9.2.h-i). Praticamente tutti i produttori consumer si basano sul consenso esplicito che dai accettando i ToS al primo avvio.

• •Frequenza cardiaca: dato sanitario.
• •Ciclo mestruale (Cycle Tracking di Apple Watch, Cycle Withings, etc.): dato sanitario sensibile.
• •Sonno per fasi (REM, Deep, Light, Awake): dato sanitario.
• •ECG: dato sanitario medicale.
• •SpO₂: dato sanitario.
• •Passi giornalieri: borderline — alcuni Garanti li classificano come sanitari se collegati a una persona identificabile, altri come dati personali standard.
• •GPS track allenamenti: dati personali (non sanitari di per sé), ma profilo localizzato che può rivelare residenza/luogo di lavoro/abitudini.

Dove finiscono fisicamente i tuoi dati

La privacy policy di ogni brand dichiara in che paesi sono ospitati i server. Riepilogo basato sulle policy pubbliche al 2026:

I tuoi diritti, in pratica

Diritto di accesso (art. 15)

Puoi chiedere a qualsiasi titolare una copia di tutti i dati che ha su di te. Hanno 30 giorni (estendibili a 90 in casi complessi). Gratis. Il dataset deve essere intelligibile (no dump binari indecifrabili).

• •Apple: tramite privacy.apple.com (anche per dati Health iCloud).
• •Google/Fitbit: tramite takeout.google.com.
• •Samsung: tramite privacy.samsung.com/it/privacy-rights.
• •Garmin: tramite dashboard account → Privacy → 'Export data'.
• •Polar: tramite flow.polar.com → impostazioni profilo.
• •Withings: tramite account.withings.com → privacy.
• •Oura: tramite cloud.ouraring.com → settings → export.
• •Xiaomi: tramite privacy.mi.com.
• •Per ogni altro: email a privacy@[brand].com — sono tenuti a fornire un canale.

Diritto alla portabilità (art. 20)

Specifico per i dati che hai fornito (volontariamente o tramite uso del servizio). I dati derivati o aggregati dal titolare possono non essere inclusi. In formato 'strutturato, di uso comune e leggibile da dispositivo automatico' — di solito CSV o JSON. Questa è la base legale che rende possibile cambiare ecosistema senza perdere lo storico.

Diritto alla cancellazione (art. 17)

Chiudendo l'account, i dati devono essere cancellati. Quasi tutti i brand mantengono backup operativi per 30–180 giorni dopo cancellazione (devono dichiararlo). Per dati anonimizzati e aggregati per ricerca/improvement la cancellazione può non essere obbligatoria.

Diritto di opposizione (art. 21)

Per trattamenti basati su legittimo interesse (profilazione marketing, analytics aggregati non essenziali), puoi opporti in qualsiasi momento. Il titolare deve fermare il trattamento o dimostrare un interesse prevalente. Quasi sempre è la base legale dei programmi 'condividi dati anonimi per migliorare il servizio'.

Bandiere rosse nelle privacy policy

Quando leggi la privacy policy di un brand wearable prima di acquistare, cerca queste parole-chiave. Sono indicatori di pratiche più o meno aggressive.

• •'Condividiamo dati con partner di ricerca' → consenso opt-in granulare? Sì = ok. Bundled in 'accetta tutto' = rosso.
• •'Dati aggregati e anonimizzati' → l'anonimizzazione è reversibile in dataset multipli. Se possibile, opt-out.
• •'Per migliorare i nostri servizi e quelli dei partner' → 'partner' è genericità sospetta.
• •'Personalizzazione pubblicitaria' → per dati salute è proibito (Apple, Google/Fitbit dichiarano espressamente di non farlo grazie a impegni regolatori). Se trovi questa clausola in dati salute, cambia brand.
• •Server in Cina senza menzione GDPR → per uso in Europa è quasi sempre un problema legale.