Chi guarda quando aprite il sito di un ospedale?

Il 2 settembre 2026 abbiamo aperto 40 siti di ospedali, cliniche e gruppi ospedalieri svizzeri, una volta sola, come fa qualsiasi visitatrice, registrando quali collegamenti il browser stabilisce nel farlo. Nessun clic, nessuna conferma, nessun banner chiuso. Solo la pagina aperta.

32 siti erano raggiungibili. Su 25 di essi la semplice apertura ha generato almeno un collegamento verso Google o Meta. Su due siti tutto è rimasto in casa.

L'apertura di un reparto di maternità, nella trasmissione, si presentava così:

Empfänger:   region1.analytics.google.com
Adresse:     https://www.[spital].ch/geburt
Seitentitel: «Ihre Begleitung bei Schwangerschaft und Geburt»
Einwilligung: keine

A ciò si aggiunge l'indirizzo IP, che accompagna necessariamente ogni collegamento in internet. Google apprende così: questa connessione ha aperto in questo momento questa pagina di questo ospedale.

Non nominiamo le strutture esaminate. Non si tratta di singole mancanze: lo schema è generalizzato e, in quasi tutti i casi, è probabile che nessuno all'interno della struttura ne sia consapevole.

Che cosa abbiamo misurato

Constatazione	Numero
Siti nel campione (32 raggiungibili)	40
Collegamento a Google o Meta alla semplice apertura	25 di 32
Verificati in dettaglio: punti di misurazione prima di ogni consenso	13 di 15
Di cui pixel di Meta senza consenso	6
Del tutto privi di collegamenti a terzi	2
Nessuno strumento di consenso riconoscibile	17 di 32

Gli strumenti impiegati si ripartivano fra OneTrust (5), Cookiebot (3), CookieYes (2), Usercentrics (2) nonché Klaro, Complianz e Iubenda una volta ciascuno.

Un dettaglio merita particolare attenzione. Presso un gruppo di cliniche, nella chiamata al server pubblicitario di Google figurava il parametro gcs=G111. È la comunicazione che è stato dato il consenso all'analisi e alla pubblicità. Nessuno aveva cliccato. Lo strumento di consenso era installato, visibile, funzionante, e comunicava un'approvazione prima che qualcuno approvasse.

È esattamente di questo che parla questo testo. Il banner non è il problema. E non è nemmeno la soluzione.

Perché un ospedale non è un negozio di mobili

Su un sito di mobili da giardino un tracciatore è una questione di protezione dei dati. Su un sito ospedaliero è forse qualcosa d'altro.

L'IFPDT (Incaricato federale della protezione dei dati e della trasparenza) non si è mai espresso sul tracciamento nei siti sanitari. Sulla questione strutturalmente identica, invece, sì. Nel suo promemoria sui formulari per i pazienti del 30 settembre 2025 si legge (tradotto dall'originale tedesco):

«Nel contesto della salute, già la semplice esistenza di una relazione con una terapeuta o un terapeuta può consentire di trarre conclusioni sullo stato di salute di una persona; ciò vale in particolare per la comunicazione con le specialiste e gli specialisti (un appuntamento presso un'oncologa, per esempio, lascia supporre che questa venga consultata a causa di una potenziale malattia oncologica). Di conseguenza, anche lo scambio puramente amministrativo (p. es. la fissazione di appuntamenti) va classificato come degno di particolare protezione.»

Il passo mentale dall'appuntamento presso l'oncologa all'apertura della pagina /kliniken/onkologie è breve. L'IFPDT non lo ha compiuto, e anche questo fa parte dell'onestà.

Altri lo hanno compiuto. L'autorità norvegese per la protezione dei dati ha deciso il 10 giugno 2025 su un portale sanitario dotato di pixel di Meta, stabilendo che la visita al sito può bastare di per sé a costituire una categoria particolare di dati personali. Non è necessario che i dati siano collegati direttamente a uno stato di salute né che il gestore li unisca ad altri dati.

La Corte di giustizia dell'Unione europea ha posto la soglia in basso nella sentenza Lindenapotheke del 4 ottobre 2024: è sufficiente che dai dati «mediante combinazione mentale o deduzione si possa risalire allo stato di salute della persona interessata». Se la deduzione sia corretta e se il gestore la persegua è irrilevante.

L'autorità di controllo olandese lo aveva già esplicitato nel 2016 per gli ospedali, dopo aver esaminato tutti gli 85 ospedali olandesi: non si tratta soltanto della pagina iniziale, bensì delle pagine sottostanti dedicate a determinate malattie e ai reparti specialistici.

La controprova, per correttezza: nessun tribunale svizzero si è mai pronunciato in materia. In tutta Europa non esiste a oggi una sola decisione di un'autorità di controllo contro un ospedale per Google Analytics o il pixel di Meta. E l'autorità belga ha respinto nel 2022 una censura comparabile proprio perché il collegamento con la pagina visitata non era tecnicamente dimostrato. Nel caso dell'ospedale che trasmette da sé l'indirizzo completo, però, questa prova esiste, e si può fornire in due minuti in qualsiasi browser.

La conseguenza giuridica, se si compie il passo

Chi classifica i dati di visita come degni di particolare protezione approda a una regola chiara. L'IFPDT scrive nella sua guida sui cookie (cifra 3.10.1), tradotto dall'originale tedesco:

«Per l'impiego di cookie non necessari nel contesto di trattamenti ad elevata intensità di ingerenza, il titolare non può invocare né la preponderanza del proprio interesse privato né una configurazione facoltativa del trattamento. Deve piuttosto ottenere, prima di effettuarlo, il consenso esplicito delle persone interessate.»

Nel radar dei rischi della guida, «dati personali degni di particolare protezione: sì» riceve il valore massimo 3, e a partire da 2,5 vale la regola: opt-in obbligatorio. L'articolo 6 capoverso 7 lettera a della nLPD (nuova legge federale sulla protezione dei dati) esige comunque il consenso esplicito, e l'articolo 30 capoverso 2 lettera c LPD definisce espressamente lesione della personalità la comunicazione a terzi di dati personali degni di particolare protezione.

A ciò si aggiunge uno strato che nel settore sanitario viene spesso trascurato. Il segreto professionale (art. 321 CP) tutela, secondo l'interpretazione di SAMW (Accademia svizzera delle scienze mediche) e FMH, non solo le diagnosi, bensì anche «l'identità della paziente o del paziente e il fatto che essa o egli si trovi in cura medica». È violato non appena dei segreti giungono a conoscenza di persone non autorizzate, «indipendentemente dal modo in cui ciò avviene».

L'Incaricata della protezione dei dati del Cantone di Zurigo è molto esplicita nel suo promemoria sui prodotti cloud statunitensi del febbraio 2026 (tradotto dall'originale tedesco):

«Per le informazioni e i dati personali soggetti a un obbligo di segretezza particolare, la possibilità fattuale di un accesso da parte delle autorità statunitensi comporta una violazione del corrispondente obbligo di segretezza.»

E ancora: «I collaboratori di imprese statunitensi [non sono considerati] ausiliari, a causa della struttura di gruppo e dell'interconnessione internazionale dei loro datori di lavoro.» Anche i dati marginali sarebbero da proteggere.

Se l'installazione di un tracciatore costituisca penalmente una «rivelazione» non è mai stato deciso da un tribunale. L'articolo 321 CP richiede il dolo. È un ostacolo serio, ma non uno su cui dovrebbe fare affidamento chi prende la decisione oggi.

Da dove vengono i fornitori, e perché è la domanda sbagliata

Resiste tenacemente l'idea che i grandi fornitori di soluzioni di consenso siano tutti extraeuropei. Non è così. Abbiamo verificato i soggetti giuridici sulla base di note legali, registri di commercio e contratti di trattamento su incarico:

Fornitore	Soggetto giuridico	Sede	Proprietà
Cookiebot	Usercentrics A/S	Copenaghen, DK	Parte del gruppo Usercentrics (fusione con Cybot A/S, 2021)
Usercentrics	Usercentrics GmbH	Monaco di Baviera, DE	Detenuta privatamente, fra gli investitori Full In Partners (New York)
CookieYes	CookieYes Limited	Milton Keynes, UK	Due persone private; prodotto del gruppo Mozilor, Kochi (India)
OneTrust	OT Technology, Inc.	Atlanta, USA	Privata, fra gli investitori Insight Partners, TCV, SoftBank

Due dei quattro hanno dunque sede nell'UE. Chi argomenta con «tanto non sono in Europa» argomenta male.

La domanda più istruttiva è un'altra: quale percorso prendono i dati dei visitatori? Ed è qui che la cosa si fa interessante, perché la risposta si trova nella documentazione dei fornitori stessi.

Cookiebot scrive nella propria documentazione di supporto (originale in inglese):

«Cookiebot uses Akamai, a US based company, as our CDN sub service provider. […] However, the way the Internet works, it cannot be avoided that Akamai will receive and log certain information about the Internet connection, including end user IP addresses.»

In sostanza: Cookiebot impiega come subfornitore per la rete di distribuzione dei contenuti l'azienda statunitense Akamai e riconosce che, per il modo in cui funziona internet, non si può evitare che Akamai riceva e registri determinate informazioni sulla connessione, inclusi gli indirizzi IP degli utenti finali.

Per questo esiste una variante puramente europea, che però va attivata di proposito, sostituendo nel tag dello script consent.cookiebot.com con consent.cookiebot.eu. Cookiebot descrive la scelta con notevole franchezza come «a conscious choice on your part of compliance over performance», ossia una scelta consapevole a favore della conformità anziché della prestazione. Il percorso predefinito passa dagli Stati Uniti. Lo abbiamo verificato con una misurazione: consent.cookiebot.com si risolve attraverso Akamai, consent.cookiebot.eu attraverso un nodo a Zurigo.

Per gli altri la situazione è questa:

• CookieYes indica nel proprio elenco dei responsabili subincaricati Cloudflare con sede negli USA e le categorie di dati «IP address, User agent, Hostname». La documentazione propria parla di un indirizzo IP mascherato; come avvenga il mascheramento non risulta da alcuna fonte reperibile. Il supporto passa da Mozilor Technologies in India. L'India non figura nell'elenco degli Stati del Consiglio federale (allegato 1 dell'OPDa), per cui una comunicazione in quella direzione richiede necessariamente garanzie supplementari secondo l'articolo 16 capoverso 2 LPD.
• Usercentrics mantiene europea la catena per la gestione del consenso (hosting su Google Cloud a Dublino, rete di distribuzione dalla Slovenia), ma ammette nella propria informativa sulla protezione dei dati di non poter escludere che dei dati finiscano negli Stati Uniti e vi siano soggetti all'accesso delle autorità secondo FISA 702.
• OneTrust è l'unico con società madre statunitense e al tempo stesso l'unico con un centro di calcolo Azure selezionabile a Zurigo e una certificazione attiva secondo lo Swiss-US Data Privacy Framework. Se l'indirizzo IP del visitatore venga memorizzato, abbreviato o sottoposto a hash nel registro del consenso, OneTrust non lo dice in alcuna fonte pubblica.

Detto altrimenti: il fornitore danese invia nel caso standard indirizzi IP attraverso un gruppo statunitense, e il fornitore americano può ospitare a Zurigo. La sede della società non è un criterio di verifica. Il percorso dei dati lo è.

Va chiarito qui un equivoco diffuso: si sente talvolta dire che Cookiebot sarebbe stato vietato dalle autorità. Il Tribunale amministrativo di Wiesbaden ha effettivamente proibito nel 2021 a una scuola universitaria di integrarlo. La Corte amministrativa dell'Assia (Hessischer Verwaltungsgerichtshof) ha però annullato quella decisione nel gennaio 2022, per motivi procedurali. Non risulta alcun procedimento di merito al riguardo. L'affermazione «vietato» è falsa.

Gli ospedali pubblici si trovano in una posizione diversa, più severa

Ecco un punto che nelle discussioni sfugge quasi sempre. Per gli ospedali pubblici non vale la LPD federale, bensì il diritto cantonale in materia di protezione dei dati. L'IFPDT lo precisa esso stesso: gli ospedali cantonali non sono «direttamente interessati» dai suoi promemoria federali.

E i Cantoni sono in parte nettamente più severi. L'Incaricata della protezione dei dati del Cantone di Zurigo scrive nel suo promemoria sulle informative sulla protezione dei dati nei siti degli organi pubblici (ottobre 2025), tradotto dall'originale tedesco:

«Gli organi pubblici configurano la propria presenza in internet in modo conforme alla protezione dei dati e rinunciano a valutazioni del comportamento degli utenti riferite a persone. Pertanto informative sulla protezione dei dati, banner, pop-up e altri meccanismi non sono necessari.»

Ed espressamente: «Non vanno impiegati meccanismi che simulino agli utenti un consenso fittizio.»

La logica sottostante è stringente: nel diritto pubblico della protezione dei dati il consenso non è un motivo giustificativo generale. Determinanti sono il compito legale e la necessità. Un ospedale cantonale che impiega un comune banner di consenso commette così due errori in una volta: traccia senza necessità e chiede un consenso che sul piano giuridico non può nemmeno ricevere. Come alternativa ammissibile l'autorità menziona espressamente strumenti anonimizzanti come Matomo o AWStats.

Per cliniche private, studi medici e gruppi ospedalieri privati tutto ciò non vale. Essi sottostanno alla LPD e quindi alla via del consenso esplicito.

Che cosa dovrebbe verificare concretamente una struttura

1. Misurare da sé. Tasto destro, «Ispeziona», scheda «Rete», ricaricare la pagina, e questo prima di ogni clic sul banner. Ciò che già ora parte verso google-analytics.com, facebook.net o doubleclick.net parte senza consenso. Ci vogliono due minuti e nessun budget.
2. Prima le sottopagine delicate. Oncologia, psichiatria, medicina della fertilità, medicina delle dipendenze, ostetricia. Lì il percorso della pagina è già di per sé l'informazione.
3. Esigere l'elenco dei responsabili subincaricati. Non la sede della società. L'elenco, con i luoghi di trattamento. Per Cookiebot chiarire inoltre se la variante europea è attiva. Per impostazione predefinita non lo è.
4. Verificare se lo strumento blocca davvero. Un banner che sblocca gli script solo dopo il consenso è cosa completamente diversa da uno che si limita a chiedere e lascia correre tutto.
5. Considerare il segreto professionale. È uno strato giuridico autonomo, non una nota a piè di pagina del diritto della protezione dei dati, e l'articolo 9 capoverso 1 lettera b LPD vieta espressamente l'esternalizzazione laddove vi si opponga un obbligo di segretezza.

Il metro di misura esiste già

Per i contenuti della cartella informatizzata del paziente il legislatore ha stabilito una regola inequivocabile. Articolo 12 capoverso 5 dell'ordinanza sulla cartella informatizzata del paziente (tradotto dall'originale tedesco):

«Le memorie di dati devono trovarsi in Svizzera ed essere sottoposte al diritto svizzero.»

Per i dati di visita della stessa istituzione sul suo proprio sito questa frase non vale. È diritto vigente e non una lacuna da liquidare a parole. Ma è un metro di valutazione che il legislatore stesso ha posto. Chi conosce l'indirizzo della pagina di oncologia di un ospedale sa forse sul visitatore più di quanto riveli più di una voce nella cartella.

---

Aiara è un fornitore svizzero di banner per i cookie e di testi legali. La nostra applicazione gira su server a San Gallo; lo script del banner si carica esclusivamente da aiara.ch e non contatta terzi. Nel registro del consenso non memorizziamo l'indirizzo IP in chiaro, bensì soltanto un valore hash SHA-256 con salt. Il fatto che affrontiamo questo tema ha a che vedere con la nostra attività. I valori misurati qui sopra restano comunque verificabili da chiunque in due minuti, ed è esattamente a questo che vorremmo invitare.

Metodologia: siti aperti il 2 settembre 2026 dalla Svizzera, una visualizzazione di pagina per sito con un profilo di browser nuovo, senza interazione con il banner di consenso, Chromium 148, lingua de-CH. Sono state rilevate tutte le richieste di rete in uscita. Come «punto di misurazione» sono state considerate esclusivamente le chiamate a endpoint noti di misurazione e pubblicità, non il semplice caricamento di una libreria. Cinque indirizzi non erano risolvibili, tre non hanno risposto entro 30 secondi.