Dati sulla salute nelle app fitness: GDPR, AI e come proteggerti

Secondo i criteri dei Garanti europei, molti dati che un'app di allenamento raccoglie sono dati sulla salute: dolore e infortuni, sonno, peso e girovita seguiti nel tempo, e le conclusioni che l'app ne trae^[2]. Il GDPR li mette tra le categorie particolari: si possono trattare solo con un'eccezione prevista dall'articolo 9, e per un'app la via tipica è il tuo consenso esplicito per finalità specificate^[1]. Se l'app usa l'intelligenza artificiale, dal 2 agosto 2026 deve anche dirti che stai parlando con un'AI, salvo che sia evidente^[4]. Per proteggerti controlla chi tratta i tuoi dati, a cosa acconsenti, dove finiscono e se puoi esportarli e cancellarli.

Quali dati di un'app di allenamento sono dati sulla salute?

Il riferimento è un documento del febbraio 2015 del Gruppo di lavoro Articolo 29, che riuniva i Garanti europei, allegato a una lettera alla Commissione europea e dedicato proprio ai dati sulla salute in app e dispositivi^[2]. È stato scritto quando valeva la direttiva precedente al GDPR, ma resta l'interpretazione di riferimento. Secondo il documento, un dato personale è un dato sulla salute in tre casi:

1. È un dato medico in sé.
2. È un dato grezzo di un sensore che, da solo o insieme ad altri, permette di trarre conclusioni sullo stato di salute o sul rischio di una persona.
3. È una conclusione sullo stato di salute o sul rischio di una persona, indipendentemente dal fatto che sia corretta o sbagliata.

Il documento cita esplicitamente il peso misurato nel tempo, soprattutto insieme a età e sesso, come dato che può rivelare aspetti della salute. Tra i casi in cui se ne ricavano dati sulla salute mette le app che tracciano alimentazione ed esercizio per perdere peso, il misuratore di grasso corporeo e la bilancia^[2].

Applicato a un'app di allenamento, il quadro è questo:

Nel dubbio, la scelta prudente per un'app è trattare tutto lo storico di allenamento come dato sulla salute.

Cosa chiede il GDPR per trattare i dati sulla salute?

L'articolo 9 del GDPR vieta il trattamento dei dati relativi alla salute, salvo eccezioni. La prima è il consenso esplicito della persona per una o più finalità specificate^[1]. Per te significa due cose: il consenso deve essere un sì chiaro, non dedotto, e deve dirti a cosa servono i dati.

Il GDPR ti dà anche strumenti concreti^[1]:

• Revoca. Puoi ritirare il consenso con la stessa facilità con cui l'hai dato. La revoca vale da quel momento: non rende illecito il trattamento fatto prima.
• Diritti. Puoi chiedere di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento e riceverli in un formato leggibile da una macchina, la cosiddetta portabilità. Se un trattamento si basa sul legittimo interesse dell'azienda e non sul tuo consenso, puoi anche opporti.
• Reclamo. Se pensi che i tuoi dati siano trattati in modo illecito, puoi presentare reclamo a un'autorità di controllo: in Italia è il Garante per la protezione dei dati personali.

Chi gestisce l'app ha poi obblighi che tu non vedi. Il Garante italiano richiede in genere una valutazione d'impatto sulla protezione dei dati quando un trattamento soddisfa almeno 2 dei criteri su cui si basa il suo elenco, tra cui il trattamento di dati sensibili e l'uso innovativo di nuove soluzioni tecnologiche; l'elenco non è esaustivo^[3]. Un coach AI che legge sonno e dolore, con ogni probabilità, li soddisfa entrambi.

Cosa cambia se l'app usa l'intelligenza artificiale?

L'AI Act, il regolamento europeo sull'intelligenza artificiale, classifica i sistemi per livello di rischio. Un chatbot che ti segue in palestra sta nel livello della trasparenza. L'articolo 50 obbliga chi lo fornisce a fare in modo che tu sappia di interagire con un'AI, salvo che sia evidente a una persona ragionevolmente informata, attenta e avveduta, e a dirtelo al più tardi alla prima interazione^[4].

L'obbligo vale dal 2 agosto 2026. Il Digital Omnibus, la modifica dell'AI Act in vigore dal 27 luglio 2026, ha spostato altre scadenze ma ha lasciato questa invariata^[5]. Lo stesso articolo 50 chiede anche di marcare in modo leggibile dalle macchine i contenuti sintetici, come audio, immagini, video e testi generati^[4]; per i sistemi già sul mercato prima del 2 agosto 2026 c'è tempo fino al 2 dicembre 2026^[5].

Due precisazioni. In pratica un coach di allenamento diventa un sistema ad alto rischio solo se è esso stesso un dispositivo medico, o un suo componente di sicurezza, che deve passare una valutazione di conformità da parte di un ente terzo^[4]; dopo l'Omnibus questa regola si applica dal 2 agosto 2028^[5]. E l'AI Act non sostituisce il GDPR: le regole sui dati personali restano tutte valide^[4].

Quando un'app di allenamento diventa un dispositivo medico?

La guida europea sulla qualificazione del software medicale, MDCG 2019-11, nella revisione pubblicata a giugno 2025, è netta sul principio: il software destinato solo a scopi non medici, come le app di benessere e fitness, non è un dispositivo medico. Conta la destinazione d'uso dichiarata^[6].

La stessa guida, però, porta un esempio che riguarda da vicino chi si allena con un dolore. È software medicale quello che usa i dati di un paziente con una patologia muscoloscheletrica, come radiografie, ampiezza di movimento, peso ed età, per alleviare il dolore raccomandando esercizi di riabilitazione personalizzati. Per la regola 11, poi, un software che fornisce informazioni usate per decisioni a scopo diagnostico o terapeutico è almeno in classe IIa^[6]: un software come quello dell'esempio ricadrebbe con ogni probabilità in questa classe, che richiede la valutazione di un organismo notificato.

La lezione per te è pratica: la linea la traccia ciò che l'app dichiara di fare. Un'app di allenamento che usa il dolore che segnali solo per alleggerire o cambiare un esercizio, e ti invita a farti valutare, di norma resta nel campo del fitness. Se invece promette di curare una tendinite o ti prescrive un programma di riabilitazione, si sta muovendo nel campo dei dispositivi medici: chiedi se lo è.

Cosa succede ai tuoi dati se l'AI è di un'azienda americana?

Molte app usano modelli di aziende statunitensi. Per trasferire dati personali fuori dall'Unione europea serve una decisione di adeguatezza della Commissione o garanzie adeguate, come le clausole contrattuali standard approvate dalla Commissione^[1]. Per gli Stati Uniti la decisione di adeguatezza esiste: con il Data Privacy Framework, adottato il 10 luglio 2023, i dati possono andare liberamente verso le aziende statunitensi certificate^[7]. Verso le altre servono le garanzie.

Poi conta che cosa fa il fornitore con i dati che riceve, e le condizioni cambiano molto:

• Anthropic, che sviluppa Claude, nelle condizioni commerciali si impegna a non addestrare i modelli sui contenuti che i clienti commerciali inviano ai suoi servizi^[8].
• OpenAI per impostazione predefinita non usa per l'addestramento i dati inviati tramite API e conserva i log per il controllo degli abusi fino a 30 giorni. Ha una regione europea, ma solo con accordi specifici approvati^[11].
• Google, nell'API di Gemini, usa i contenuti inviati con il livello gratuito per migliorare i propri prodotti^[12].

Le regole, quindi, possono cambiare anche tra i livelli di servizio dello stesso fornitore. Chiedi all'app quale fornitore usa, con quale contratto, e se quel fornitore può addestrare i modelli sui tuoi dati. E ricorda che se incolli i tuoi allenamenti in un chatbot generico, quei dati escono dall'app e seguono le condizioni del chatbot.

Cosa controllare prima di affidare i tuoi dati a un'app?

Quasi tutto quello che serve sta nell'informativa privacy dell'app. Sull'App Store, inoltre, Apple chiede alle app un consenso esplicito prima di condividere dati personali con un'AI di terzi e vieta di usare i dati sanitari per la pubblicità^[13].

E qualche abitudine che riduce i rischi:

• Collega solo ciò che serve. In Apple Salute e Health Connect autorizza solo i tipi di dato che l'app usa davvero. Quanto valgono per l'allenamento i dati di anelli e smartwatch lo spiega la guida su HRV e smartwatch.
• Scrivi il necessario. Nelle note libere metti ciò che serve all'allenamento, non diagnosi, farmaci o dati di altre persone.
• Revoca ciò che non usi. Se non usi le funzioni AI, ritira quel consenso.
• Esporta ogni tanto. I tuoi dati ti servono anche se un giorno cambi app.

Per valutare un'app anche su registrazione a voce, attrezzatura e prove di efficacia, leggi come scegliere un'app con coach AI. Per capire cosa un coach AI può o non può fare, c'è la guida su coach AI e personal trainer.

Come tratta i tuoi dati OltreFit?

Cosa non è ancora chiaro?

Le regole di base sono stabili, alcuni dettagli no:

• Marcatura dei testi. Come si applichi a un chatbot l'obbligo dell'articolo 50 di marcare i contenuti generati non è ancora chiaro.
• Trasferimenti verso gli USA. Il Data Privacy Framework è stato contestato in tribunale; lo stato dei ricorsi non l'abbiamo verificato.
• Conservazione presso i fornitori. Anche le pagine dello stesso fornitore possono non coincidere. Due pagine di Anthropic descrivono in modo diverso la conservazione predefinita dei dati inviati tramite API: una dice che non sono conservati per impostazione predefinita^[9], l'altra che sono cancellati entro 30 giorni^[10]. Quando un dettaglio conta, vale il contratto.

Questa guida spiega le regole generali e non è una consulenza legale. Per un caso specifico, rivolgiti al titolare del trattamento dell'app o a un professionista.