I siti medici australiani ti spiano senza chiedere permesso
L'OAIC sanziona Medmate e Monash IVF per pixel di tracciamento senza consenso. Il 96% dei siti medici australiani traccia i visitatori.
La scansione dell’OAIC su 50 siti sanitari ha rilevato tracciamento nel 96% dei casi, ma solo una minoranza lo dichiara
Cerchi una clinica per la fertilità. Compili un modulo, magari sbagli qualche campo, torni indietro, ci pensi. Non lo sai, ma quella tua esitazione è già diventata un dato. E quel dato, nel giro di poche ore, potrebbe trasformarsi in un annuncio pubblicitario che ti insegue su Facebook. In Australia è successo davvero, e non per un errore di sistema: era il funzionamento previsto. Secondo quanto stabilito dal Privacy Commissioner australiano, i fornitori di servizi sanitari Medmate Australia Pty Ltd e Monash IVF Pty Ltd hanno violato la privacy degli utenti raccogliendo informazioni sensibili tramite pixel di tracciamento di terze parti installati sui loro siti web.
La salute in vetrina: il paradosso del consenso invisibile
Il meccanismo, spiegato dal regolatore, è semplice quanto inquietante: usare pixel di tracciamento per seguire i visitatori di siti web legati alla salute, e poi indirizzare loro pubblicità mirata sui social media, equivale a raccogliere informazioni sensibili. Per farlo, serve il consenso esplicito degli utenti. Medmate e Monash IVF, secondo le due determinazioni separate, non lo avevano ottenuto. Hanno tracciato, raccolto, usato e condiviso con terzi — inclusi probabilmente Facebook e Google, i destinatari tipici di questi pixel — dati che riguardano condizioni riproduttive, terapie, momenti di vulnerabilità estrema. Il paradosso è evidente: chi si rivolge a un servizio sanitario lo fa cercando riservatezza, non un pubblico. Eppure il sito che dovrebbe custodire quella fiducia diventa, di fatto, un canale di sorveglianza commerciale. Non stupisce che, secondo una ricerca sugli atteggiamenti della comunità citata dallo stesso regolatore, 9 australiani su 10 considerino ingiusto ed irragionevole essere presi di mira sulla base dei propri dati sanitari. Ma la domanda che resta aperta è un’altra: Medmate e Monash IVF sono un’anomalia, due mele marce in un settore altrimenti virtuoso, o solo la punta visibile di qualcosa di molto più esteso?
Il 96% dei siti medici ti guarda. E il 77% non te lo dice.
La risposta arriva da un rapporto pubblicato in parallelo alle determinazioni, intitolato Your life, pixelated: how tracking pixels watch your every click, frutto di una scansione condotta dall’OAIC su 50 siti web di fornitori di servizi sanitari già nell’ottobre e novembre 2024. I numeri sono impietosi: il 96% dei siti esaminati utilizzava tecnologie di tracciamento, il 52% impiegava specificamente un pixel di terze parti. E la parte più grave: il 77% delle entità che usavano questi pixel non lo menzionava da nessuna parte nella propria informativa sulla privacy. Non un’omissione marginale, ma la norma. Se il 96% traccia e più di tre entità su quattro lo nascondono, allora Medmate e Monash IVF non sono l’eccezione da correggere: sono il caso che si è fatto scoprire. Di fronte a un quadro così diffuso, la domanda cambia registro. Non più “quanto è grave il singolo caso”, ma “cosa sta facendo davvero il regolatore per invertire una pratica che è ormai la regola del settore, non l’eccezione”.
Multare i sintomi, non la malattia: cosa ci aspetta
Le conseguenze pratiche per i due fornitori sanzionati sono concrete: l’OAIC ha ordinato a Medmate e Monash IVF di cessare l’uso dei pixel di tracciamento fino a quando non saranno predisposti meccanismi di consenso validi, e di distruggere i dati sensibili già depositati nei dashboard dei fornitori terzi di pixel. Un ordine di cancellazione, non solo una multa: un tentativo di far sparire le tracce, non solo di punire chi le ha lasciate. Le determinazioni, secondo gli osservatori legali, rappresentano il seguito concreto dell’orientamento diffuso dall’OAIC già nel novembre 2024 sugli obblighi di privacy legati ai pixel di tracciamento — un avvertimento che, evidentemente, non tutti hanno preso sul serio.
Il problema è che l’Australia arriva buon’ultima a questa festa. Negli Stati Uniti la Federal Trade Commission aveva già colpito duramente pratiche simili: già a febbraio 2023 GoodRx aveva accettato di pagare una sanzione civile di 1,5 milioni di dollari per non aver segnalato la divulgazione non autorizzata dei dati sanitari dei propri utenti a Facebook, Google e altre società; un mese dopo BetterHelp era stata multata per 7,8 milioni di dollari per aver ingannato i consumatori dopo aver promesso di tenere privati dati personali sensibili, salvo poi condividerli. Confrontando le cifre, la sproporzione salta agli occhi: ordini di distruzione dati e divieti temporanei da un lato, multe milionarie dall’altro. Ma in nessuno dei due casi si intacca il modello di business sottostante, quello in cui il tracciamento pubblicitario è integrato di default nell’infrastruttura dei siti sanitari, e la conformità normativa arriva sempre dopo, come toppa su un sistema pensato per raccogliere dati prima ancora di chiedere il permesso.
Resta una domanda scomoda: bastano ordini di distruzione dei dati e sanzioni isolate — per quanto salate, come negli Stati Uniti — a fermare un settore che ha costruito la propria infrastruttura pubblicitaria proprio sui dati sanitari? Mentre Medmate e Monash IVF ripuliscono i loro dashboard, migliaia di altri siti — secondo i dati dello stesso scan dell’OAIC — continuano a far lampeggiare pixel che nessuno ha dichiarato e nessun utente ha davvero autorizzato. La privacy sanitaria non è morta. È solo stata pixelata, un clic alla volta, senza che nessuno chiedesse il permesso.
