Diritti sui dati dei wearable: averne copia completa

Lo storico di frequenza cardiaca, sonno e variabilità della frequenza cardiaca (HRV) rientra tra i dati personali, e in molte parti del mondo la legge permette di chiedere una copia all’azienda che li detiene entro un termine fisso, di solito gratis. Nell’UE la copia deve contenere tutti i dati personali che l’azienda tratta, non un riepilogo. Che cosa conserva un’azienda dopo che smetti di pagare è un’altra questione: lo stabiliscono i suoi termini, e alcune aziende eliminano gli account inutilizzati dopo due o tre anni.

Questa guida illustra che cosa dicono i principali servizi sul destino dei tuoi dati, che cosa ti dà la legge in ogni area, come chiedere una copia e come conservare ciò che ricevi. Abbiamo letto i Termini, l’informativa sulla privacy e le pagine di assistenza di ogni azienda, e i testi di legge, il 22 ottobre 2026. Sono informazioni generali sulla legge, non una consulenza legale. Le citazioni da pagine e documenti in inglese sono tradotte da noi; quelle del GDPR seguono il testo ufficiale italiano.

Chi detiene i dati del tuo dispositivo

I dati passano per un massimo di tre luoghi:

• Il dispositivo. Un anello o un braccialetto conserva le misurazioni finché il telefono non le raccoglie. RingConn dice che il Gen 3 «conserva fino a 10 giorni di dati senza sincronizzazione» (RingConn Support).
• Il telefono. Alcune app tengono i dati lì. L’app Salute di Apple li conserva sull’iPhone e, se usi iCloud, con la crittografia end-to-end, quindi Apple non ha le chiavi (Apple Support, sicurezza dei dati di iCloud).
• I server dell’azienda. Molti servizi caricano le misurazioni e calcolano lì i punteggi. Il centro assistenza di WHOOP lega tutti e tre i passaggi all’abbonamento: «Una volta terminato l’abbonamento, WHOOP non raccoglierà, non caricherà e non analizzerà più i tuoi dati biometrici» (WHOOP Support).

La legge sulla protezione dei dati non stabilisce a chi appartengano questi dati. Ti dà invece dei diritti: vederli e ottenerne una copia (articolo 15 del GDPR), farli cancellare (articolo 17) e portare i dati che hai fornito a un altro servizio (articolo 20). Alcune aziende si si Indice di stress di Baevsky Un valore senza unità di misura, ricavato dall'istogramma degli intervalli tra i battiti. Sale quando il ritmo diventa più regolare e meno variabile, cosa che Baevsky leggeva come tensione nella regolazione dell'organismo. Approfondisci: Indice di stress di Baevsky spingono oltre, con parole proprie. L’informativa sulla privacy di Ultrahuman dice «I dati sono tuoi e controlli l’uso che ne facciamo», e quella statunitense di Samsung dice «Le tue informazioni personali ti appartengono».

Che cosa succede ai tuoi dati quando smetti di pagare

Quando smetti di pagare

Dai documenti di ciascuna azienda, 22 e 24 ottobre 2026

• Sì
• In parte
• ! I documenti dell’azienda non concordano
• No
• ? Non indicato

• WHOOP Abbonamento necessario per usare l’app per intero

  Dati passati, senza pagare

  ! I documenti dell’azienda non concordano. Centro assistenza: sì. Termini: i tuoi contenuti non sono più disponibili «tramite i Servizi», e puoi chiedere una copia.

  Esportazione, senza pagare

  ? Non indicato. WHOOP non dice se l’esportazione nell’app funziona dopo la fine dell’abbonamento.

  Termine di eliminazione

  ? Non indicato. Nessun termine indicato. I Termini consentono a WHOOP di eliminare i tuoi contenuti «dai nostri database attivi» quando l’accordo termina.

  Chiedere una copia

  privacy.whoop.com · privacy@whoop.com

• Oura Abbonamento necessario per usare l’app per intero

  Dati passati, senza pagare

  In parte. Solo i tre punteggi giornalieri: «Prontezza», «Attività» e «Sonno».

  Esportazione, senza pagare

  Sì. CSV dal Membership Hub, «anche senza abbonamento». L’API ne richiede uno.

  Termine di eliminazione

  ? Non indicato. I dati restano finché l’account è attivo; nessun termine per gli account inutilizzati.

  Chiedere una copia

  dataprotection@ouraring.com

• Garmin Connect Abbonamento facoltativo

  Dati passati, senza pagare

  Sì. L’app non richiede un abbonamento. Al lancio di Connect+, Garmin ha detto che tutte le funzioni e i dati esistenti «resteranno gratuiti».

  Esportazione, senza pagare

  Sì. L’intero account in un file ZIP, dall’Account Management Center.

  Termine di eliminazione

  Sì. Eliminato dopo 2 anni senza attività sull’account. Indossare l’orologio non conta.

  Chiedere una copia

  privacy@garmin.com · euprivacy@garmin.com

• Google Health (Fitbit) Abbonamento facoltativo

  Dati passati, senza pagare

  ? Non indicato. Google Health Premium è facoltativo. I dati del coach vengono mantenuti quando termina; Google non dice che cos’altro cambia.

  Esportazione, senza pagare

  Sì. Google Takeout, con Google Health selezionato.

  Termine di eliminazione

  Sì. Account Fitbit non trasferiti a Google: Google ha fissato al 15 luglio 2026 l’inizio delle eliminazioni. Un account Google non usato per 2 anni può essere eliminato.

  Chiedere una copia

  support.google.com/policies/troubleshooter/7575787

• Samsung Health Nessun abbonamento

  Dati passati, senza pagare

  Sì. Nessun abbonamento a Samsung Health.

  Esportazione, senza pagare

  Sì. La voce di Samsung Health per scaricare i dati personali. Samsung non elenca i file.

  Termine di eliminazione

  Sì. Un account Samsung non usato per 24 mesi può essere eliminato con i suoi dati, previo avviso via e-mail.

  Chiedere una copia

  samsung.com/request-desk

• Apple Health Nessun abbonamento

  Dati passati, senza pagare

  Sì. Nessun abbonamento. I dati di Apple Health restano sull’iPhone.

  Esportazione, senza pagare

  Sì. «Export All Health Data», in formato XML, sull’iPhone.

  Termine di eliminazione

  Sì. Un account iCloud inattivo da 1 anno può essere chiuso, con un preavviso di 30 giorni.

  Chiedere una copia

  privacy.apple.com

• Withings Abbonamento facoltativo

  Dati passati, senza pagare

  Sì. Withings+ è facoltativo, e i dispositivi «continuano a funzionare normalmente» anche senza. Withings dice che hai sempre accesso diretto ai tuoi dati, qualunque sia il tuo abbonamento.

  Esportazione, senza pagare

  Sì. Un archivio CSV via e-mail, dall’app.

  Termine di eliminazione

  ! I documenti dell’azienda non concordano. Termini per l’UE: eliminazione dopo 3 anni senza accessi, senza uso del dispositivo e senza clic su un’e-mail di Withings. Termini per gli Stati Uniti: disattivazione possibile dopo 5 anni senza accessi. Informativa sulla privacy: 10 anni.

  Chiedere una copia

  privacy@withings.com

• Welltory Abbonamento facoltativo

  Dati passati, senza pagare

  In parte. Piano gratuito: gli ultimi 30 giorni. I dati più vecchi vengono eliminati se non li esporti prima.

  Esportazione, senza pagare

  Sì. Un archivio dall’app web, con lo stesso login.

  Termine di eliminazione

  Sì. Eliminazione dopo 3 anni di inattività.

  Chiedere una copia

  support@welltory.com

• Polar Flow Abbonamento facoltativo

  Dati passati, senza pagare

  Sì. Polar Flow è gratuito. L’abbonamento Fitness Program aggiunge solo un programma di allenamento.

  Esportazione, senza pagare

  Sì. Download your data, su account.polar.com, senza il sonno e l’attività che Polar ricava con i suoi algoritmi. Sessioni e intervalli RR dal sito di Flow.

  Termine di eliminazione

  ? Non indicato. Conservati finché l’account Flow è attivo; nessun termine per gli account inutilizzati.

  Chiedere una copia

  privacy@polar.com

• Ultrahuman Abbonamento facoltativo

  Dati passati, senza pagare

  Sì. L’anello non richiede un abbonamento: «accesso a vita all’anello e ai tuoi dati». I PowerPlugs e Ultrahuman Max sono facoltativi.

  Esportazione, senza pagare

  In parte. Nessun pulsante di download. Un token API personale legge le tue metriche giornaliere, per programmatori; su iPhone, Apple Salute ne conserva una copia.

  Termine di eliminazione

  ? Non indicato. Nessun termine per gli account inutilizzati. I tuoi dati possono essere eliminati se chiudi l’account.

  Chiedere una copia

  legal@ultrahuman.com

Dieci schede, una per servizio, ciascuna con quattro informazioni: se puoi ancora vedere i dati passati senza pagare, se l’esportazione funziona ancora senza pagare, se l’azienda indica quando viene eliminato un account inutilizzato e dove chiedere una copia. Ogni informazione inizia con la sua risposta a parole.

WHOOP: il centro assistenza e i Termini dicono cose diverse

WHOOP non ha un piano gratuito: i suoi Termini dicono che serve un abbonamento attivo per usare il servizio e, quando l’abbonamento finisce, i dati del braccialetto non vengono più caricati. Sui dati passati i documenti di WHOOP non concordano:

• L’articolo del centro assistenza, datato 22 ottobre 2026, risponde alla domanda «Posso ancora vedere i miei dati passati dopo la disdetta?» con «Sì, potrai vedere i tuoi dati passati, ma dopo la disdetta non verranno registrati nuovi dati».
• I Termini di utilizzo, datati 3 agosto 2026, dicono che quando l’abbonamento finisce i tuoi contenuti «non saranno più disponibili per te tramite i Servizi, ma puoi richiedere una copia dei tuoi dati». Dicono anche che, quando l’accordo termina, WHOOP «può eliminare i Tuoi Contenuti associati dai nostri database attivi» e che «non ha alcun obbligo di conservare i Tuoi Contenuti».

WHOOP non dice se l’esportazione dall’app funzioni dopo la fine dell’abbonamento, quindi esporta prima. La domanda Che cosa succede ai miei dati WHOOP se disdico? spiega i passaggi.

Oura: tre punteggi, ma l’esportazione funziona ancora

Senza abbonamento, dice Oura, «potrai vedere solo i tre punteggi giornalieri di Oura (“Prontezza”, “Attività” e “Sonno”)», oltre a batteria, profilo e impostazioni. I tuoi dati non vengono eliminati quando disdici e «Anche senza abbonamento puoi esportare tutti i tuoi dati Oura in formato CSV dal Membership Hub». L’API richiede un abbonamento (Oura Member Care). Secondo l’informativa sulla privacy, Oura conserva i dati di misurazione «solo finché il tuo account Oura è attivo». Altro nella domanda Che cosa succede ai miei dati Oura se disdico?

Una pagina per ogni servizio

Ognuna di queste pagine spiega che cosa dice un servizio sulla sorte dei tuoi dati quando disdici o smetti di usarlo:

• Che cosa succede ai miei dati WHOOP se disdico?
• Che cosa succede ai miei dati Oura se disdico?
• Che cosa succede ai dati Garmin se smetto di usarlo?
• Che cosa succede ai dati Fitbit se disdico?
• Che cosa succede ai dati Samsung Health se smetto?
• Che cosa succede ai dati Withings se disdico?
• Che cosa succede ai dati Welltory se disdico?
• Che cosa succede ai dati Polar se non uso più Flow?
• Che cosa succede ai dati Ultrahuman se disdico?

I tempi di eliminazione degli account inutilizzati

Diverse aziende eliminano gli account che restano inutilizzati, o si riservano di farlo, e «inutilizzato» può non voler dire ciò che ti aspetti:

• Garmin: «Se non c’è alcuna attività sul tuo account Garmin in tutti i nostri siti e servizi per almeno 2 anni, il tuo account verrà eliminato». Contano come attività gli accessi, i caricamenti da un dispositivo, gli acquisti, l’interazione con le e-mail di marketing di Garmin e le interazioni nella community; Garmin elenca «Uso di un dispositivo» tra ciò che non conta. Un orologio indossato ogni giorno ma mai sincronizzato non mantiene attivo l’account. Garmin manda prima diverse e-mail di avviso e «I dati non possono essere ripristinati dopo l’eliminazione» (Garmin Support).
• Samsung: «Gli account che non sono stati usati per 24 mesi saranno classificati come inattivi». Dopo un’e-mail, l’account «e tutti o alcuni dei dati associati potrebbero essere eliminati» (Samsung Support).
• Welltory: «Dopo tre anni di inattività, i tuoi dati personali verranno eliminati». Con il piano gratuito lo storico è limitato agli ultimi 30 giorni, e i dati più vecchi vengono eliminati se non li esporti prima (Welltory).
• Withings: i suoi documenti indicano tre periodi. I suoi Termini di servizio per l’UE dicono «WITHINGS elimina ogni Account inattivo»: uno senza accessi, senza accessi dai suoi dispositivi e senza clic su un’e-mail di Withings per più di tre anni, dopo un preavviso di 90 giorni. I Termini per gli Stati Uniti dicono «WITHINGS può disattivare un Account se l’Utente non ha effettuato l’accesso per un periodo di cinque (5) anni». La sua informativa sulla privacy conta 10 anni dello stesso tipo di silenzio prima che un account sia considerato inattivo ed eliminato. Tutti e tre i testi erano pubblicati il 24 ottobre 2026; conta sul periodo più breve che potrebbe valere per te.
• Apple: i termini di iCloud permettono ad Apple di chiudere un account inattivo da un anno, dopo 30 giorni di preavviso via e-mail, ed eliminarne i dati «dopo un periodo di tempo» che non indicano.
• Google: Google «si riserva il diritto di eliminare un Account Google inattivo e le sue attività e i suoi dati» dopo almeno due anni senza attività in Google (Google Account Help).

Quando chiude il servizio

Ci sono già state chiusure, con date fisse e poco tempo a disposizione:

• Gli account Fitbit sono passati agli account Google. «Dopo il 19 maggio 2026 non potrai più accedere a Fitbit con il tuo account Fitbit». Per gli account non trasferiti, Google ha fissato il 15 luglio 2026 come giorno in cui avrebbe iniziato a elaborare le eliminazioni dei dati (Google Health Help).
• Microsoft Health Dashboard, il servizio dietro Microsoft Band: «Tutti i dati nel Microsoft Health Dashboard saranno eliminati il 31/5/2019». Chi aveva un Band poteva continuare a usarlo senza le funzioni web (Microsoft Support).
• Suunto Movescount ha chiuso dopo il 10 gennaio 2022. Da allora «non potrai usare Movescount né importarne lo storico degli allenamenti» (Suunto).
• Endomondo è stato ritirato il 31 dicembre 2020. I trasferimenti a MapMyRun erano consentiti fino al 15 febbraio 2021, e i dati non eliminati dal proprietario sarebbero stati eliminati dopo il 31 marzo 2021 (Endomondo Support, archiviato).
• polarpersonaltrainer.com di Polar ha chiuso il 31 dicembre 2019: «Se non hai trasferito i tuoi dati in tempo, purtroppo ora sono stati eliminati e non possono essere ripristinati» (Polar, Privacy FAQ).

Ogni chiusura è arrivata con una data e un periodo per scaricare i dati, dopo il quale i dati sono stati eliminati o non si potevano più trasferire.

I tuoi diritti, per area

UE e SEE: il GDPR

Il GDPR si applica a qualsiasi azienda che offre beni o servizi a persone nell’UE, ovunque abbia sede e che tu paghi o no (articolo 3, paragrafo 2). I dati sulla salute sono una categoria particolare (articolo 9).

• Una copia dei tuoi dati (articolo 15). Puoi ottenere la conferma che l’azienda tratta i tuoi dati, una copia e delle informazioni: le finalità, i destinatari, per quanto tempo saranno conservati e, se non vengono da te, la fonte dei dati. Se chiedi per via elettronica, la copia arriva «in un formato elettronico di uso comune», salvo tua diversa indicazione. Puoi chiedere i nomi dei destinatari, non solo la loro categoria, a meno che non sia possibile identificarli (Corte di giustizia, C-154/21).
• Gratis, senza dover dare un motivo. La prima copia è gratuita, e l’azienda non può chiederti perché la vuoi (Corte di giustizia, C-307/22). Può rifiutare o far pagare solo le richieste «manifestamente infondate o eccessive», cosa che deve dimostrare (articolo 12, paragrafo 5). Anche una prima richiesta può essere eccessiva, ha stabilito la Corte, ma solo in via eccezionale: l’azienda deve provare che è stata presentata con un intento abusivo, per esempio per costruire ad arte una richiesta di risarcimento (C-526/24). Se ha dubbi ragionevoli può chiederti di confermare la tua identità (articolo 12, paragrafo 6).
• Un mese. L’azienda deve rispondere «senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta». Può prorogare di altri due mesi «se necessario, tenuto conto della complessità e del numero delle richieste», ma deve avvisarti entro il primo mese e dirti perché (articolo 12, paragrafo 3).
• La portabilità dei dati (articolo 20). Per i dati che hai fornito, puoi riceverli «in un formato strutturato, di uso comune e leggibile da dispositivo automatico» e farli trasmettere a un altro servizio. Vale quando il trattamento si basa sul tuo consenso o su un contratto ed è automatizzato.
• Un reclamo (articolo 77) all’autorità di controllo del luogo in cui vivi, lavori o in cui si è verificata la presunta violazione. Il Comitato europeo per la protezione dei dati (EDPB) elenca l’autorità di ogni paese.

Regno Unito

Il GDPR britannico (UK GDPR) mantiene gli stessi diritti, e un’organizzazione «deve rispondere senza ingiustificato ritardo, ed entro un mese» (ICO). Il Data (Use and Access) Act 2025 ha cambiato tre cose:

• Hai diritto a ciò che l’azienda trova con «una ricerca ragionevole e proporzionata», una regola considerata in vigore dal 1º gennaio 2024 (sezione 78).
• Dal 5 febbraio 2026, se l’azienda ha ragionevolmente bisogno di altre informazioni per capire che cosa riguarda la tua richiesta e te le chiede, il termine di un mese resta sospeso finché non rispondi (sezione 76, in vigore da quella data in base alle Commencement Regulations 2026). La guida dell’ICO aggiunge: «Non puoi costringere qualcuno a restringere l’ambito della sua richiesta».
• Dal 19 giugno 2026 hai il diritto di presentare reclamo all’azienda stessa, che deve confermare la ricezione del reclamo entro 30 giorni (sezione 103). Puoi comunque presentare reclamo all’ICO, che nella maggior parte dei casi consiglia di rivolgersi prima all’azienda.

California

Il California Consumer Privacy Act riguarda le imprese a scopo di lucro che operano in California e superano una di tre soglie: ricavi annui oltre 25 milioni di dollari (adeguati all’inflazione), acquisto, vendita o condivisione dei dati personali di 100.000 o più consumatori o nuclei familiari, oppure metà o più dei ricavi derivanti dalla vendita o condivisione di tali dati (Civil Code, sezione 1798.140).

• Puoi chiedere «le informazioni personali specifiche» che l’impresa ha raccolto su di te (sezione 1798.110), e anche le inferenze tratte su di te sono informazioni personali (sezione 1798.140(v)).
• L’impresa ha 45 giorni, prorogabili una volta di altri 45 quando è ragionevolmente necessario, se te lo comunica entro i primi 45. La risposta è gratuita e leggibile da dispositivo automatico «nella misura in cui sia tecnicamente fattibile» (sezione 1798.130).
• Per impostazione predefinita copre gli ultimi 12 mesi. Puoi chiedere i dati risalendo fino al 1º gennaio 2022; un’impresa che lo dichiara impossibile o sproporzionato deve spiegarne in dettaglio il motivo (CCPA Regulations, sezione 7024(h)).
• Un’impresa non è tenuta a rispondere più di due volte in 12 mesi (sezione 1798.130(b)).

I reclami vanno alla California Privacy Protection Agency o al Procuratore generale. Altri Stati USA hanno leggi proprie: Garmin, per esempio, dice che i residenti in «qualsiasi stato USA con una legge organica sulla privacy» possono chiedere accesso, correzione, cancellazione o una copia portabile (Garmin).

Brasile, Giappone, Corea del Sud e Russia

Il testo russo è una copia consolidata pubblicata da ConsultantPlus, perché il portale ufficiale non era raggiungibile. In Corea, dal 20 febbraio 2027 il diritto di far trasmettere i dati copre anche le grandi aziende, individuate in base a ricavi e numero di utenti (Decreto di attuazione, art. 42-2).

Nel grafico qui sotto un mese vale 30 giorni, e i giorni lavorativi della Russia sono contati come cinque a settimana, senza i giorni festivi, quindi 10 giorni lavorativi appaiono come 14 giorni di calendario e 15 come 21.

Quanto tempo ha un’azienda per rispondere

Secondo la legge di ciascuna giurisdizione, 22 ottobre 2026

• Tempo per rispondere
• Proroga massima

• UE e SEE (GDPR) 1 mese, fino a 3 se necessario per richieste complesse o numerose

• Regno Unito (UK GDPR) 1 mese, fino a 3 se necessario per richieste complesse o numerose

• California (CCPA) 45 giorni, fino a 90 se ragionevolmente necessario, con avviso

• Brasile (LGPD) 15 giorni per la dichiarazione completa

• Corea del Sud (PIPA) 10 giorni; può essere rinviato indicando il motivo

• Russia (152-FZ) 10 giorni lavorativi, fino a 15 con un avviso motivato

• Giappone (APPI) «Senza indugio»: nessun numero di giorni

0 30 60 90 giorni

Un grafico a barre dei termini di risposta in giorni di calendario, una barra per giurisdizione, da 0 a 90 giorni. UE e SEE (GDPR): 1 mese, fino a 3 se necessario per richieste complesse o numerose. Regno Unito (UK GDPR): 1 mese, fino a 3 se necessario per richieste complesse o numerose. California (CCPA): 45 giorni, fino a 90 se ragionevolmente necessario, con avviso. Brasile (LGPD): 15 giorni per la dichiarazione completa. Corea del Sud (PIPA): 10 giorni; può essere rinviato indicando il motivo. Russia (152-FZ): 10 giorni lavorativi, fino a 15 con un avviso motivato. Giappone (APPI): «Senza indugio»: nessun numero di giorni.

Una copia significa tutti i tuoi dati, non il riepilogo dell’app

Se un’app ti mostra la frequenza cardiaca minuto per minuto, anche per gli anni passati, e la prende dai server dell’azienda, l’azienda detiene e tratta quei dati. A nostro avviso, in base al GDPR la copia che chiedi dovrebbe allora contenerli con quel livello di dettaglio, non come medie giornaliere. Tre fonti sostengono questa interpretazione:

• La Corte di giustizia. Una copia è «la riproduzione o trascrizione fedele di un originale», quindi «una descrizione puramente generale dei dati» non basta. «La copia deve pertanto contenere tutti i dati personali oggetto di trattamento» (C-487/21, punti 21 e 32), e deve «riprodurre tali dati in modo completo e fedele» (punto 39). I dati personali comprendono «tutte le informazioni risultanti dal trattamento» (punto 26); per la stessa logica, vi rientrano i punteggi calcolati dalle tue misurazioni.
• I dati sulla salute in forma di riepilogo. In una causa sulle cartelle cliniche, la Corte ha affermato che dare «un semplice riassunto o una raccolta di tali dati … in forma aggregata» potrebbe creare il rischio che «alcuni dati rilevanti vengano omessi o riprodotti in modo errato» (C-307/22, punto 78).
• Il Comitato europeo per la protezione dei dati. L’accesso «non può essere inteso come la concessione soltanto di un riepilogo dei dati» (Linee guida 01/2022, punto 23). Comprende i dati grezzi dei dispositivi connessi e i «risultati di una valutazione sanitaria» (punto 97). E «l’uso di strumenti self-service non dovrebbe mai limitare l’ambito dei dati personali ricevuti» (punto 138): un pulsante di esportazione non sostituisce una copia completa.

La documentazione per sviluppatori di Oura mostra perché conta. Dice che la frequenza cardiaca media frequenza cardiaca media RR medio Il tempo medio tra i battiti in una registrazione, in millisecondi. La frequenza cardiaca è lo stesso valore capovolto: 60.000 diviso per l'RR medio. Approfondisci: RR medio della notte è «basata su campioni di 30 secondi», mentre «l’app mostra la media dei campioni di frequenza cardiaca aggregati su 5 minuti» (Oura API). L’azienda lavora su dati più dettagliati di quelli che mostra l’app e, secondo questa interpretazione, una copia completa dovrebbe includere ciò che ne conserva ancora. Oura non dice per quanto tempo conserva i dati di 30 secondi.

Dove si trovano i tuoi dati e che cosa li raggiunge

Articoli 15 e 20 del GDPR; un’illustrazione, non in scala

• ✓ Raggiunge
• ~ Dipende
• – Non raggiunge

1. Sul dispositivo indossabile

   • Letture in attesa di sincronizzazione

     Un anello o un braccialetto conserva i dati finché il telefono non li raccoglie: fino a 10 giorni su un RingConn Gen 3. Nessuna azienda li detiene ancora.

     • – Pulsante di esportazione
     • – Copia, art. 15
     • – Portabilità, art. 20

2. Si sincronizza con il telefono

   Sul tuo telefono

   • Dati conservati solo sul telefono

     Apple Health conserva i suoi dati sull’iPhone, e con crittografia end-to-end in iCloud. Esportali dal telefono: un’azienda può copiare solo ciò che detiene.

     • ✓ Pulsante di esportazione
     • ~ Copia, art. 15
     • ~ Portabilità, art. 20

3. Caricati, se l’app li invia

   Sui server dell’azienda

   • Campioni dettagliati

     Ciò con cui lavora l’azienda. L’API di Oura descrive la frequenza cardiaca nel sonno «basata su campioni di 30 secondi».

     • ~ Pulsante di esportazione
     • ✓ Copia, art. 15
     • ✓ Portabilità, art. 20

   • Ciò che mostra l’app

     Valori calcolati a partire dai campioni. Oura dice che la sua app mostra una frequenza cardiaca «aggregata su 5 minuti».

     • ~ Pulsante di esportazione
     • ✓ Copia, art. 15
     • ~ Portabilità, art. 20

   • Punteggi

     Un numero al giorno calcolato dall’azienda: «Prontezza», «Recovery», un punteggio del sonno.

     • ~ Pulsante di esportazione
     • ✓ Copia, art. 15
     • – Portabilità, art. 20

Dipende: un’esportazione contiene ciò che il produttore ha scelto (quella di WHOOP contiene un valore di HRV per ciclo); una richiesta raggiunge i dati sul telefono solo se l’azienda li detiene; i valori calcolati a partire dai tuoi dati possono restare fuori dall’art. 20. Una copia comprende ciò che l’azienda detiene quando la chiedi, non i dati che ha già eliminato.

Tre posti, dall’alto in basso: sul dispositivo indossabile, sul tuo telefono e sui server dell’azienda. I server contengono tre strati, ciascuno disegnato con meno trattini del precedente. Per ogni strato sono indicate tre vie: il pulsante di esportazione, una copia ai sensi dell’art. 15 e la portabilità ai sensi dell’art. 20. Sul dispositivo indossabile, Letture in attesa di sincronizzazione: Un anello o un braccialetto conserva i dati finché il telefono non li raccoglie: fino a 10 giorni su un RingConn Gen 3. Nessuna azienda li detiene ancora. Pulsante di esportazione: Non raggiunge. Copia: Non raggiunge. Portabilità: Non raggiunge. Sul tuo telefono, Dati conservati solo sul telefono: Apple Health conserva i suoi dati sull’iPhone, e con crittografia end-to-end in iCloud. Esportali dal telefono: un’azienda può copiare solo ciò che detiene. Pulsante di esportazione: Raggiunge. Copia: Dipende. Portabilità: Dipende. Sui server dell’azienda, Campioni dettagliati: Ciò con cui lavora l’azienda. L’API di Oura descrive la frequenza cardiaca nel sonno «basata su campioni di 30 secondi». Pulsante di esportazione: Dipende. Copia: Raggiunge. Portabilità: Raggiunge. Sui server dell’azienda, Ciò che mostra l’app: Valori calcolati a partire dai campioni. Oura dice che la sua app mostra una frequenza cardiaca «aggregata su 5 minuti». Pulsante di esportazione: Dipende. Copia: Raggiunge. Portabilità: Dipende. Sui server dell’azienda, Punteggi: Un numero al giorno calcolato dall’azienda: «Prontezza», «Recovery», un punteggio del sonno. Pulsante di esportazione: Dipende. Copia: Raggiunge. Portabilità: Non raggiunge.

Dove si ferma l’argomentazione

• Ancora nessun caso su un dispositivo indossabile. La causa C-487/21 riguardava un’agenzia di informazioni creditizie e la C-307/22 un dentista. Applicarle a un anello o a un orologio è un’argomentazione per analogia, non una sentenza, e un’azienda o un’autorità possono vederla diversamente.
• Solo i dati che l’azienda ha ancora. Un’azienda non è tenuta a fornire dati che non ha più, per esempio dopo il periodo di conservazione. Non deve però eliminare dati per evitare una richiesta (EDPB, punti 37 e 39).
• Solo i dati che l’azienda tratta. Se il dettaglio si trova solo sul tuo telefono, come con l’app Salute di Apple, non c’è nulla da copiare dal lato dell’azienda. Esportalo invece dal telefono.
• Richieste di grandi dimensioni. Quando un’azienda detiene una grande quantità di dati su di te, può chiederti di precisare le informazioni o i trattamenti a cui si riferisce la richiesta prima di procedere (considerando 63 del GDPR). L’EDPB cita le aziende che «raccolgono dati su attività frequenti dell’interessato per un periodo prolungato» (punto 35). Indicare i dati e le date nella richiesta evita questo scambio in più.
• Formato. L’articolo 15 chiede un formato elettronico di uso comune; l’EDPB ammette che per l’accesso può bastare anche un PDF (punto 156). Un file leggibile da dispositivo automatico è un diritto previsto dall’articolo 20, e riguarda i dati che hai fornito, come «il battito cardiaco rilevato da un dispositivo indossabile», ma non i punteggi che l’azienda deduce. Per quei dati, quando nel settore non c’è un formato di uso comune, il Gruppo di lavoro Articolo 29 ha chiesto formati aperti come XML, JSON e CSV «al miglior livello di granularità possibile» (WP242).
• Segreti commerciali. Un’azienda può proteggere il proprio algoritmo, ma «tali considerazioni non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni» (considerando 63 del GDPR).
• Fuori dall’UE. Il Regno Unito limita la ricerca a ciò che è ragionevole e proporzionato. La California copre per impostazione predefinita «le informazioni personali specifiche» di 12 mesi, e un’impresa non è tenuta a rispondere più di due volte in 12 mesi.

Come chiedere una copia

Scrivi all’indirizzo indicato nell’informativa sulla privacy dell’azienda (la figura qui sopra li elenca per dieci servizi), oppure usa il suo modulo per la privacy, e conserva una copia datata di ciò che invii. Lo strumento per scrivere la lettera di richiesta dei dati di questo sito inserisce questi punti in una lettera.

Poi:

1. Annota la scadenza. Un mese nell’UE e nel Regno Unito; 45 giorni in California. Si conta dal giorno in cui l’azienda riceve la richiesta o, nel Regno Unito, dal giorno in cui ha ciò che le serve per confermare la tua identità.
2. Rispondi subito ai controlli d’identità. Un’azienda può chiederti di confermare chi sei, e il termine può restare sospeso nel frattempo.
3. Controlla ciò che arriva rispetto al tuo elenco. Se mancano tipi di dati o date, scrivi di nuovo e indica quali.
4. Se non c’è risposta dopo la scadenza, manda un sollecito che citi la prima richiesta e la sua data. Poi, nell’UE, presenta reclamo all’autorità per la protezione dei dati; nel Regno Unito, all’azienda e poi all’ICO, come consiglia l’ICO; in California, alla California Privacy Protection Agency o al Procuratore generale.

Che cosa ricevi e come aprirlo

La maggior parte delle aziende manda un archivio ZIP, con un link per e-mail o nel proprio portale per la privacy. Scaricalo prima che il link scada: i link di esportazione di WHOOP scadono dopo 7 giorni (WHOOP Support).

• CSV: una tabella che si apre in qualsiasi foglio di calcolo. Controlla le unità di misura: Oura dà le durate in secondi.
• JSON: testo strutturato, leggibile in un editor di testo o in un browser.
• FIT: il formato binario di Garmin per le attività e i file giornalieri sul benessere. Gli strumenti del FIT SDK di Garmin comprendono FitCSVTool, «uno strumento a riga di comando usato per convertire i file FIT binari in file di testo leggibili» (Garmin Developers). Gli strumenti sono distribuiti con la FIT Protocol License di Garmin.
• XML: l’esportazione di Apple Salute. Il file principale, export.xml, può essere molto grande.

La pagina Come esportare i dati HRV da qualsiasi dispositivo spiega che cosa contiene l’esportazione di ogni piattaforma, e il convertitore RR trasforma un file con gli intervalli battito per battito in un semplice elenco nel browser, senza caricarlo.

Come conservare un archivio perché resti utilizzabile

1. Tieni intatto l’originale. Salva l’archivio esattamente come è arrivato, con un nome che indichi data e servizio, come 2026-10-22_whoop_export.zip, e lavora solo su copie.
2. Registra una somma di controllo accanto all’archivio, per esempio con shasum -a 256 2026-10-22_whoop_export.zip > 2026-10-22_whoop_export.zip.sha256, e verificala ogni tanto. Una somma di controllo mostra se un file è cambiato (NDSA, indicazioni sulla fixity).
3. Tieni una copia di lavoro in formati aperti. Decomprimila, converti i file FIT in CSV e conserva CSV, JSON e XML come sono stati consegnati.
4. Usa una cartella con la data per ogni esportazione:

5. Scrivi un README in ogni cartella: il dispositivo e la versione dell’app, le unità di misura, a quale misura di HRV corrispondono i numeri (per WHOOP è il RMSSD RMSSD RMSSD Radice quadrata della media dei quadrati delle differenze successive: misura della HRV, in ms, di quanto ogni intervallo tra battiti differisce dal successivo. Riflette soprattutto l'attività vagale. Approfondisci: RMSSD , per Apple il SDNN SDNN SDNN La deviazione standard di tutti gli intervalli NN di una registrazione, in millisecondi. Misura la variabilità complessiva e il suo valore dipende molto dalla durata della registrazione. Approfondisci: SDNN ) e il fuso orario (WHOOP Support, Apple Salute). Senza questa nota i valori di servizi diversi non si possono confrontare.
6. Fai il backup in tre copie: «Tieni 3 copie di ogni file importante: 1 principale e 2 di backup», su due tipi di supporto, con una copia lontano da casa (US-CERT, Data Backup Options).
7. Cifra i backup. Questi file sono dati sulla salute.
8. Esporta con regolarità, ogni qualche mese, non solo quando te ne vai. I tempi di eliminazione, le chiusure dei servizi e i link che scadono ti lasciano solo le copie che hai già fatto.

Questa pagina offre informazioni generali sulla legge sulla protezione dei dati, non una consulenza legale.