Meta Pixel e Google Analytics sul sito sanitario: quali dati sulla salute escono

Il 29 ottobre è scaduto il termine per adeguare le newsletter alle linee guida del Garante sui pixel nelle email. Sul sito valgono le regole del 2021 su cookie e strumenti di tracciamento, più il GDPR, e per un ospedale o una clinica il rischio è più alto: sono le pagine stesse a parlare di salute.

È una guida per il responsabile della protezione dei dati (DPO) e per il marketing; per le email leggi l'articolo sui pixel nelle newsletter.

Cosa vede un tag su una pagina come «prenota visita oncologica»

Secondo la documentazione di Meta, il pixel riceve indirizzo IP, browser, indirizzo della pagina e pagina di provenienza; i pulsanti cliccati con il loro testo; i nomi dei campi dei moduli e, se li configuri, valori aggiuntivi come il tipo di pagina. Google Analytics 4 con la misurazione avanzata registra l'indirizzo della pagina e quello di provenienza, le parole cercate nel sito, il nome e la destinazione dei moduli inviati.

Una persona cerca «mammografia» nel sito, clicca «Prenota visita oncologica» e arriva su una conferma con «oncologia» nell'indirizzo: ogni passaggio parla della sua salute ed è legato a un indirizzo IP e a un cookie. Nel 2022 la testata statunitense The Markup ha trovato il pixel di Meta sui siti di 33 dei 100 migliori ospedali americani secondo Newsweek: a ogni clic per prenotare, Facebook riceveva il testo del pulsante, il nome del medico e le parole cercate.

Perché sono dati sulla salute

Per il GDPR sono dati relativi alla salute quelli «attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute» (articolo 4). L'articolo 9 ne vieta il trattamento salvo eccezioni, la prima delle quali è il consenso esplicito.

Per la Corte di giustizia UE, chi consulta siti che possono rivelare dati sensibili, ci scrive o ne clicca i pulsanti non rende manifestamente pubblici quei dati (causa C-252/21). E chi mette nel sito un pulsante di Facebook può essere responsabile insieme a Facebook della raccolta e della trasmissione dei dati dei visitatori (causa C-40/17). Se il pixel manda a Meta la pagina della visita oncologica, della raccolta e della trasmissione di quei dati risponde anche la struttura.

Il consenso del banner basta?

Le linee guida del Garante del 10 giugno 2021 chiedono il consenso preventivo per tutto ciò che non è tecnico, pixel pubblicitari compresi. Gli strumenti di analisi ne fanno a meno solo se equiparabili ai tecnici: statistiche aggregate per un solo sito, parte dell'indirizzo IP mascherata, nessuna combinazione con altri dati, nessun passaggio a terzi. Per Google Analytics, strumento di terze parti, verifica le condizioni una per una sulla configurazione e sul contratto: nel dubbio, chiedi il consenso.

Ma se da un indirizzo o da un evento si capisce che una persona ha prenotato una visita oncologica, il dato rientra nell'articolo 9, ed è difficile sostenere che un clic su «Accetta» valga come consenso esplicito a mandarlo a una piattaforma pubblicitaria: valutalo con il DPO. Le Condizioni per gli strumenti business di Meta, in vigore dal 3 novembre 2025, vietano di condividere dati che «includono o si basano, direttamente o in altro modo, su informazioni su salute», e i nomi di eventi, conversioni e pubblici non devono richiamarle. Google vieta di mandare ad Analytics dati che identificano una persona, anche negli indirizzi delle pagine.

E il trasferimento dei dati negli Stati Uniti?

Nel giugno 2022 il Garante ha dichiarato illecito l'uso di Google Analytics da parte di un sito italiano, perché i dati finivano negli Stati Uniti senza garanzie adeguate. Dal 10 luglio 2023 la decisione di adeguatezza sul Data Privacy Framework permette i trasferimenti verso le società certificate, tra cui Google. Il 3 settembre 2025 il Tribunale dell'Unione europea ha respinto il ricorso per annullarla (causa T-553/23), e l'appello è pendente davanti alla Corte di giustizia (causa C-703/25 P). Oggi il trasferimento ha una base, che potrebbe cambiare; ma la domanda più importante resta quali dati mandi.

Cosa fare, in pratica

• Fai l'inventario. Elenca in Google Tag Manager, o nel codice, ogni tag con pagine, consenso e dati inviati, poi verifica con gli strumenti per sviluppatori del browser cosa parte davvero prima e dopo la scelta sul banner.
• Togli i pixel pubblicitari dalle pagine sensibili: specialità, patologie, prenotazione, conferma, area riservata, ricerca interna.
• Eventi senza informazioni sulla salute. «prenotazione_completata», non «prenotazione_oncologia». Nessun valore dei moduli nei parametri, nessun reparto nell'indirizzo della conferma.
• Consent mode in versione base. Con la modalità di consenso di Google in versione base i tag aspettano la scelta della persona; in quella avanzata partono subito e, senza consenso, inviano misurazioni senza cookie. In sanità la base è più prudente.
• Server-side solo se serve. Con il tracciamento lato server i dati passano da un server tuo, che può togliere parametri prima di inoltrarli. Ma costa, va gestito e non elimina il consenso: per il Comitato europeo per la protezione dei dati anche gli identificatori raccolti con script nel browser sono un accesso al dispositivo.
• Valuta la DPIA. L'articolo 35 del GDPR chiede una valutazione d'impatto per i trattamenti a rischio elevato, e l'elenco del Garante include la profilazione online legata alla salute: decidi con il DPO se farla.

Checklist

1. Elenco dei tag con pagine, finalità e consenso.
2. Nessun tag pubblicitario prima del consenso né sulle pagine sensibili.
3. Indirizzi, titoli, eventi, moduli e ricerca interna senza riferimenti a patologie o reparti.
4. Modalità di consenso provata sul sito pubblicato.
5. Informativa e cookie policy fedeli a ciò che il sito fa.
6. Decisione sulla DPIA messa per iscritto.

Per le campagne, leggi cosa permettono Google Ads e Meta Ads alle strutture sanitarie. Per mettere in ordine i tag del tuo sito, guarda come lavoriamo sui siti web oppure scrivici.

Fonti: Garante, Linee guida cookie e altri strumenti di tracciamento (provvedimento n. 231 del 10 giugno 2021), linee guida sui tracking pixel nelle email (n. 284 del 17 aprile 2026), provvedimento su Google Analytics (n. 224 del 9 giugno 2022) ed elenco dei trattamenti soggetti a valutazione d'impatto (n. 467 dell'11 ottobre 2018); Regolamento (UE) 2016/679; Corte di giustizia, causa C-252/21 (4 luglio 2023) e causa C-40/17 (29 luglio 2019); Decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023; Tribunale UE, causa T-553/23 (3 settembre 2025); EDPB, orientamenti 2/2023 (7 ottobre 2024); Condizioni per gli strumenti business di Meta; guida al Meta Pixel; Google, misurazione avanzata, dati personali in Analytics e consent mode; The Markup, 16 giugno 2022.

Aggiornato al 2 novembre 2026. Articolo preparato con il supporto di strumenti di intelligenza artificiale e verificato sulle fonti indicate. Non sostituisce il parere del tuo consulente privacy.