Responsabile dello studio: Dott. Stefano Giarratana, Medico Specialista in Anestesia, Rianimazione, Terapia Intensiva e del Dolore, CEO e fondatore di OIDA Labs
Abstract
Il 51,1% dei siti web delle strutture sanitarie private non rispetta almeno uno dei 12 requisiti minimi di consenso, protezione dei dati e funzionamento tecnico che discendono dal Codice privacy, dalle Linee guida del Garante per la protezione dei dati personali, dal Regolamento (UE) 2016/679 e dai criteri di Chrome e di Google.
Secondo l’Istat, il 46% degli utenti di internet di 6 anni e più ha cercato informazioni sulla salute in rete nei tre mesi precedenti la rilevazione. Il sito è uno dei primi luoghi in cui il paziente cerca e valuta una struttura, e la navigazione su un sito sanitario può rivelare informazioni sulla salute di chi lo consulta: le carenze più frequenti riguardano proprio il trattamento di questi dati.
Fra i siti che impiegano strumenti pubblicitari, il 75,2% li attiva prima che l’utente abbia espresso una scelta sui cookie. Fra i siti dotati del pulsante «Rifiuta», il 33,2% continua comunque a trasmettere dati a servizi di statistica o di pubblicità dopo il rifiuto. Fra i siti che raccolgono dati con un modulo o con strumenti di tracciamento, il 21,6% non rende reperibile un’informativa privacy dalla pagina principale.
Il 95,5% delle pagine principali presenta barriere di accessibilità gravi per le persone con disabilità. Sul piano del contatto con la struttura, il 30,6% dei siti non offre né un modulo di contatto né la prenotazione online e il 35,9% non presenta un numero di telefono con collegamento diretto alla chiamata.
Dal punto di vista tecnico, nella misurazione da smartphone, il 24,4% dei siti ricade nella fascia di velocità che Google definisce scarsa. Le carenze di connessione protetta e di accesso dei motori di ricerca sono invece rare: solo il 2,2% delle pagine principali è privo di connessione protetta e l'1,0% è chiuso ai motori di ricerca.
L’analisi riguarda un campione casuale di 428 siti, estratto dai 5.014 censiti in 20 regioni italiane.
Metodo
L’elenco censito da OIDA Labs comprende i siti di poliambulatori, centri medici e strutture specialistiche private che si rivolgono direttamente ai pazienti, con l’esclusione della medicina del lavoro, dei servizi rivolti alle sole aziende e delle strutture clienti di OIDA Labs. Il campione è stato estratto in modo casuale e distribuito in proporzione fra Nord, Centro e Sud, con un intervallo di confidenza al 95% di circa ±5 punti sulle percentuali riferite all’intero campione. La rilevazione si è svolta l'11 e il 12 ottobre 2026 tramite browser Chrome e connessione italiana di tipo professionale.
Per ogni sito sono stati rilevati i dati trasmessi a servizi esterni prima di qualsiasi scelta sui cookie e, nei siti che offrono il pulsante «Rifiuta», i dati trasmessi dopo il rifiuto, a pagina ricaricata. In nessun caso sono stati accettati i cookie o inviati moduli, né sono state aggirate protezioni. Sull’intero elenco sono stati inoltre rilevati i dati di velocità che Google raccoglie dagli utenti di Chrome e gli indirizzi web non funzionanti.
Che cosa si misura
Lo studio misura 12 requisiti minimi, raggruppati in tre categorie, e valuta ogni sito su cinque aree. Ciascun requisito discende da una fonte pubblica di riferimento: l’articolo 122 del Codice privacy, le Linee guida del Garante del 10 giugno 2021 in materia di cookie, il Regolamento (UE) 2016/679, i criteri di sicurezza di Chrome e le indicazioni di Google su indicizzazione e uso da dispositivo mobile.
I requisiti minimi
Consenso e cookie. Cinque requisiti discendono dall’articolo 122 del Codice privacy e dalle Linee guida del Garante del 2021:
- Il sito non deve attivare strumenti pubblicitari o di profilazione prima che l’utente abbia espresso il proprio consenso.
- Il sito che impiega cookie o altri strumenti di tracciamento diversi da quelli tecnici deve mostrare, al primo accesso, un banner che chieda il consenso dell’utente.
- Il banner deve permettere di rifiutare il consenso con un comando visibile già al primo livello, senza obbligare l’utente ad aprire impostazioni o pagine ulteriori.
- Dopo il rifiuto, il sito non deve trasmettere dati a servizi di statistica o di pubblicità.
- L’utente che rifiuta deve poter continuare a consultare il sito, senza essere reindirizzato altrove.
Protezione dei dati. Tre requisiti discendono dal Regolamento (UE) 2016/679 e dalle Linee guida del Garante:
- I moduli di contatto devono trasmettere i dati inseriti dall’utente attraverso una connessione protetta, così che non possano essere intercettati durante l’invio.
- Il sito che raccoglie dati con un modulo o impiega strumenti di tracciamento deve rendere raggiungibile dalla pagina principale l’informativa privacy prevista dal Regolamento.
- Il sito che impiega strumenti di tracciamento deve fornire all’utente le informazioni sui cookie utilizzati.
Requisiti tecnici. Quattro requisiti discendono dai criteri di sicurezza di Chrome e dalle indicazioni di Google:
- La pagina principale deve essere caricata con connessione protetta (HTTPS).
- La pagina principale non deve contenere istruzioni che impediscano ai motori di ricerca di indicizzarla.
- La pagina principale deve essere adattata alla consultazione da smartphone, la versione su cui Google basa l’indicizzazione.
- Il sito deve aprirsi regolarmente nel browser, senza errori di certificato o di hosting.
Le prime due categorie formano insieme i requisiti di privacy. Nei requisiti sul banner e sul rifiuto lo studio considera anche gli strumenti di statistica, perché le condizioni alle quali il Garante li esenta dal consenso non sono verificabili con l’osservazione del sito. Nei risultati riferiti ai siti che usano strumenti pubblicitari e ai siti con il pulsante «Rifiuta» non è considerato tracciamento l’invio privo di identificativi che le piattaforme pubblicitarie prevedono in attesa del consenso.
Le cinque aree
Oltre ai requisiti minimi, lo studio valuta ogni sito in cinque aree. In ciascuna area il sito è classificato in uno di quattro livelli, dal più grave al meno grave: requisito minimo non rispettato, difetti seri, da migliorare, nessuna criticità.
- Privacy e consenso: valuta come il sito gestisce il consenso e informa l’utente sul trattamento dei dati. Verifica inoltre se gli strumenti di statistica e i contenuti incorporati di terze parti rispettano la scelta dell’utente, se l’informativa privacy è aggiornata e se indica i servizi effettivamente impiegati dal sito.
- Sicurezza dei dati: valuta la protezione dei dati scambiati fra l’utente e il sito. Verifica inoltre se il sito reindirizza automaticamente alla versione protetta chi digita l’indirizzo senza «https» e se la pagina carica elementi, come immagini o script, senza protezione.
- Visibilità su Google: valuta se il motore di ricerca può indicizzare la pagina principale e se questa dispone di un titolo.
- Funzionalità: valuta se il sito si apre e si consulta agevolmente da smartphone. Verifica inoltre la velocità di caricamento da smartphone, misurata con il punteggio di prestazione di Google.
- Accessibilità: valuta se la pagina principale è consultabile dalle persone con disabilità, per esempio con un lettore di schermo o senza mouse. Rileva le barriere rispetto allo standard WCAG 2.1 di livello AA e non comprende requisiti minimi.
Elementi rilevati senza classificazione
Lo studio rileva inoltre, per completezza, la presenza di moduli di contatto, strumenti di prenotazione online e numero di telefono con collegamento diretto alla chiamata, la descrizione e i dati strutturati destinati a Google, la velocità rilevata da Google sugli utenti di Chrome e gli indirizzi web non funzionanti nelle schede delle strutture. Questi elementi non discendono da una norma e non concorrono ai requisiti minimi. Determinano tuttavia la facilità con cui il paziente trova la struttura su Google, raggiunge il sito e arriva da lì a una richiesta di contatto o di prenotazione.
Risultati: il quadro complessivo
Il 51,1% dei siti analizzati non rispetta almeno uno dei 12 requisiti minimi. Il 45,1% dei siti non rispetta almeno un requisito di privacy, mentre le carenze esclusivamente tecniche riguardano il 5,7% dei siti.
I requisiti meno rispettati riguardano la privacy. Il 19,6% dei siti attiva strumenti pubblicitari o di profilazione prima della scelta dell’utente, il 18,4% trasmette dati dopo il rifiuto e il 15,8% non rende reperibile un’informativa privacy.
Fra i requisiti tecnici, quello meno rispettato è l’adattamento della pagina principale allo smartphone, assente nel 6,2% dei siti.
Il consenso ai cookie
L’articolo 122 del Codice privacy subordina al consenso dell’utente l’installazione di strumenti diversi da quelli tecnici. Le Linee guida del Garante precisano che al primo accesso al sito nessuno di questi strumenti deve essere posizionato sul dispositivo dell’utente, e qualificano l’informativa e il consenso come «obbligo espressamente codificato il cui mancato adempimento è sanzionabile». Nel settore sanitario la mancata osservanza di questo obbligo assume un rilievo particolare. Le pagine consultate, come quelle di una specialità o di una prestazione, possono rivelare informazioni sullo stato di salute dell’utente, che il Regolamento (UE) 2016/679 tutela come categoria particolare di dati (articolo 9).
Il tracciamento prima del consenso
Fra i siti che impiegano strumenti pubblicitari, il 75,2% li attiva appena l’utente apre la pagina, prima che abbia espresso una scelta sui cookie. Le informazioni sulla navigazione raggiungono così le piattaforme pubblicitarie senza che l’utente abbia potuto accettare o rifiutare. La presenza di un banner non basta a evitarlo: fra i siti che ne sono dotati, il 37,2% trasmette comunque dati a servizi di statistica o di pubblicità prima che l’utente abbia risposto.
Lo stesso avviene con altri servizi di terze parti. Il 24,9% dei siti attiva strumenti di statistica prima della scelta dell’utente. Il 17,5% carica contenuti incorporati, come video e mappe, che installano cookie di terze parti nel browser prima che il consenso sia stato dato o negato.
Banner assenti o incompleti
Fra i siti che usano strumenti di tracciamento, il 17,2% non mostra alcun banner per il consenso; la quota comprende siti che impiegano soltanto strumenti di statistica. Fra i siti che mostrano un banner e usano strumenti di tracciamento, il 20,1% non permette di rifiutare il consenso al primo livello e costringe l’utente ad aprire impostazioni ulteriori per negarlo.
Il rifiuto non rispettato
Fra i siti dotati del pulsante «Rifiuta», il 33,2% continua comunque a trasmettere dati a servizi di statistica o di pubblicità dopo che l’utente ha rifiutato il consenso. Nel 17,5% dei siti con il pulsante «Rifiuta» i dati raggiungono piattaforme pubblicitarie, contro una volontà espressa in modo esplicito. Lo 0,2% dei siti, inoltre, risponde al rifiuto conducendo l’utente fuori dal sito.
Le informative
Le carenze più gravi riguardano i moduli di contatto, attraverso i quali l’utente trasmette alla struttura dati personali e spesso informazioni sulla propria salute. Fra i siti con un modulo di contatto, il 20,8% non rende reperibile l’informativa privacy o trasmette i dati senza connessione protetta.
Più in generale, fra i siti che raccolgono dati con un modulo o con strumenti di tracciamento, il 21,6% non rende reperibile un’informativa privacy dalla pagina principale. Fra i siti che usano strumenti di tracciamento, il 18,2% non fornisce informazioni sui cookie impiegati. Informativa privacy e informazioni sui cookie sono gli strumenti con cui il sito dichiara chi tratta i dati dell’utente, per quali finalità e con quali servizi di terze parti.
Fra le informative rilevate, infine, il 4,8% cita soltanto il Codice privacy o la direttiva europea del 1995, senza riferimenti al Regolamento (UE) 2016/679, applicabile dal 2018.
Accessibilità per le persone con disabilità
Il 95,5% delle pagine principali presenta almeno una barriera di accessibilità di gravità elevata o critica rispetto allo standard WCAG 2.1 di livello AA. Lo standard definisce le condizioni perché un sito sia consultabile anche da chi utilizza un lettore di schermo, naviga soltanto con la tastiera o ha una capacità visiva ridotta. Una barriera di gravità elevata o critica può impedire a queste persone di leggere i contenuti della pagina, di trovare i recapiti della struttura o di compilare un modulo di contatto. Soltanto lo 0,5% delle pagine presenta esclusivamente barriere minori.
In Italia circa 2,9 milioni di persone dichiarano limitazioni gravi nelle attività abituali a causa di problemi di salute. L’Organizzazione mondiale della sanità stima inoltre che le persone con disabilità abbiano un rischio fino a due volte superiore di sviluppare malattie croniche come diabete, depressione e ictus. Sono persone con bisogni di cura superiori alla media, per le quali una barriera nel sito della struttura ostacola già il primo contatto.
Velocità da smartphone
Lo studio ha misurato la velocità della pagina principale con il punteggio di prestazione di Google, una scala da 0 a 100 che riproduce il caricamento della pagina su uno smartphone. Il 24,4% dei siti ottiene meno di 50, il punteggio che Google classifica come scarso, e il 71,4% si colloca nella fascia intermedia, fra 50 e 89. La misurazione da smartphone è quella rilevante, perché Google indicizza e classifica i siti sulla base della loro versione mobile.
Il 6,2% delle pagine principali, inoltre, non è adattato allo smartphone: su un telefono testo e comandi possono risultare troppo piccoli o uscire dallo schermo.
Per una parte dei siti Google pubblica anche la velocità rilevata durante le visite reali degli utenti di Chrome. Su questi dati si basano i Core Web Vitals, le misure di caricamento, reattività e stabilità della pagina che Google dichiara di impiegare fra i segnali di posizionamento. I dati sono disponibili soltanto per i siti con traffico sufficiente, il 21,2% dell’elenco, e per il 26,1% di questi manca la misura della reattività.
Contatto e prenotazione
Il 75,8% dei siti non offre la prenotazione online diretta, e il 30,6% non offre né un modulo di contatto né la prenotazione online. Il 35,9% non presenta un numero di telefono con collegamento diretto alla chiamata.
Sicurezza dei dati e visibilità su Google
La sicurezza dei dati
Il 2,2% delle pagine principali è privo di connessione protetta, e l’1,4% dei siti trasmette senza connessione protetta i dati inseriti dall’utente nei moduli di contatto. La connessione protetta (protocollo HTTPS) cifra le informazioni scambiate fra il browser e il sito e ne impedisce la lettura o l’alterazione da parte di terzi durante la trasmissione. Dal luglio 2018 Chrome segnala all’utente come «non sicure» le pagine che ne sono prive. Per i moduli la carenza è più grave, perché riguarda i dati personali inseriti dall’utente.
L’8,4% dei siti non indirizza automaticamente alla versione protetta l’utente che digita l’indirizzo senza il prefisso «https», e il 5,0% carica elementi trasmessi senza protezione all’interno di pagine protette. Si tratta di carenze di minore gravità: nel primo caso l’utente può trovarsi su una versione del sito non protetta, nel secondo immagini o script non protetti riducono la sicurezza complessiva della pagina.
La visibilità su Google
Sono state rilevate carenze diffuse negli elementi con cui la struttura viene presentata nei risultati. Il 27,5% delle pagine principali non dispone di una descrizione dedicata, il breve testo che Google può mostrare sotto il titolo. Il 30,9% non contiene dati strutturati, le informazioni in formato standard, come indirizzo, orari e specialità, che consentono ai motori di ricerca di interpretare correttamente i contenuti della pagina.
Al contrario, solo l’1,0% delle pagine principali contiene istruzioni che ne impediscono l’indicizzazione, e per questo non compare nei risultati di ricerca. Solo lo 0,7% è privo del titolo che Google mostra come intestazione del risultato.
Indirizzi web non funzionanti
Il 4,6% delle schede di strutture che indicano un sito web rimanda a un indirizzo non funzionante. Il dato è calcolato su tutte le schede censite che riportano un sito, comprese quelle poi escluse dall’elenco di analisi, e comprende domini non più registrati, che possono corrispondere a siti abbandonati. Nel campione, lo 0,9% dei siti non è raggiungibile dal browser.
Chi risponde della conformità del sito
La responsabilità della conformità del sito è ripartita fra soggetti diversi, e quella principale spetta alla struttura che gestisce il sito. Le Linee guida del Garante attribuiscono al gestore del sito il meccanismo di raccolta del consenso, l’«accurata selezione» delle terze parti i cui strumenti vengono installati attraverso il sito, la «necessaria attività di vigilanza» sul loro operato e un elenco delle terze parti «tenuto costantemente aggiornato».
Una seconda responsabilità riguarda i fornitori dei servizi di terze parti, come le piattaforme pubblicitarie e di statistica. La Corte di giustizia dell’Unione europea ha stabilito nel 2019, a proposito di un sito che incorporava un plugin di social network, che il gestore del sito risponde, insieme al fornitore del servizio, della raccolta e della trasmissione dei dati dei visitatori, e che spetta al gestore del sito ottenere il consenso per queste operazioni. La sentenza è stata pronunciata sotto la direttiva 95/46/CE; nel linguaggio del Regolamento (UE) 2016/679 i due soggetti sono contitolari del trattamento.
Una terza responsabilità riguarda chi realizza e gestisce tecnicamente il sito. Quando tratta dati per conto della struttura, ad esempio attraverso l’hosting, i moduli o gli strumenti di tracciamento, il fornitore è responsabile del trattamento, e il Regolamento obbliga la struttura a sceglierlo fra chi presenta garanzie sufficienti (articolo 28). Il fornitore risponde verso la struttura secondo il contratto e, verso l’interessato, quando non ha adempiuto agli obblighi che il Regolamento gli attribuisce o ha agito in modo difforme dalle istruzioni ricevute (articolo 82). Quando più soggetti sono coinvolti nello stesso trattamento, ciascuno, se responsabile del danno, può essere chiamato a risponderne per intero nei confronti dell’interessato.
La struttura conserva quindi la posizione di titolare anche quando affida il sito a terzi. Quando il fornitore tratta dati per suo conto, il rapporto va regolato per contratto (articolo 28, paragrafo 3).
La lettura di OIDA Labs
I risultati dello studio delineano un quadro coerente nella sua complessità. I requisiti rispettati più spesso, come la connessione protetta e l’accesso dei motori di ricerca, riguardano il funzionamento di base del sito. I requisiti disattesi più spesso, dal consenso alle informative, dall’accessibilità alla velocità, richiedono invece una configurazione specifica e una verifica che accompagni il sito nel tempo, a ogni modifica, integrazione o nuova campagna.
Sul consenso, la presenza di un banner non è sufficiente: occorre verificare che gli strumenti di tracciamento si attivino soltanto dopo il consenso e che il rifiuto ne interrompa effettivamente il funzionamento. La verifica andrebbe ripetuta ogni volta che al sito si aggiunge uno strumento di terze parti.
Le informative devono essere reperibili dalla pagina principale e coerenti con i servizi effettivamente impiegati dal sito, e vanno aggiornate quando questi cambiano. Nei moduli di contatto, informativa e connessione protetta andrebbero verificate a ogni modifica del modulo.
Sull’accessibilità, la conformità allo standard WCAG 2.1 di livello AA andrebbe prevista fra i requisiti di progettazione del sito e verificata a ogni modifica sostanziale.
Velocità da smartphone e facilità di contatto incidono direttamente sul rapporto fra la struttura e i pazienti. Tempi di caricamento elevati possono ridurre la visibilità del sito nei risultati di ricerca, e la mancanza di un modulo, della prenotazione online o di un numero di telefono con collegamento diretto alla chiamata limita i canali con cui il paziente può contattare la struttura. Per le strutture che investono in campagne pubblicitarie o in posizionamento organico, questi elementi determinano quanta parte dei visitatori raggiunti arriva a una richiesta di contatto o di prenotazione.
Gli indirizzi non funzionanti nelle schede delle strutture e le carenze nella descrizione e nei dati strutturati riguardano il modo in cui la struttura si presenta su Google, prima ancora che il paziente raggiunga il sito. Sono elementi che vale la pena verificare con la stessa regolarità del sito.
Per una struttura sanitaria, la conformità del sito è quindi una questione di gestione continuativa. Richiede di individuare chi ne risponde, di prevedere nel contratto con chi gestisce il sito obblighi verificabili di configurazione e di manutenzione, e di sottoporre il sito a controlli periodici e a una verifica ogni volta che viene modificato.
Nota metodologica e limiti
Campione ed esiti. Dei 428 siti estratti, 418 sono stati misurati. Quattro siti non sono risultati raggiungibili dal browser, per certificato non valido o hosting sospeso: la mancata raggiungibilità costituisce un risultato dello studio ed è uno dei 12 requisiti minimi. Sei siti non sono stati misurati: quattro protetti da sistemi anti-automazione, uno escluso dal file robots.txt e uno che ha bloccato la connessione. Alcune verifiche non sono state possibili su tutti i siti, per cui le basi variano da 400 a 422 siti; la base massima comprende, oltre ai 418 siti misurati, i 4 siti non raggiungibili. Ogni percentuale è riferita alla propria base.
Stima e controllo. Le percentuali sono accompagnate da intervalli di confidenza al 95% calcolati con il metodo di Wilson e corretti per la dimensione finita della popolazione. La classificazione è stata sottoposta a verifiche manuali; le correzioni che ne sono derivate riguardano l'1,4% dei siti. Contando come non conformi anche i 19 siti non classificabili sull’insieme dei requisiti, la quota di siti che non rispettano almeno un requisito minimo sale al 53,3%. I criteri di classificazione e le procedure di rilevazione costituiscono proprietà di OIDA Labs e non sono pubblicati.
Limiti. Lo studio esamina in prevalenza la pagina principale, con una visita per sito, da una connessione italiana di tipo professionale. Il tracciamento è rilevato sui servizi più diffusi e risulta quindi stimato per difetto. L’accessibilità è rilevata con una verifica automatica: la quota di pagine con barriere gravi è stimata per difetto, perché alcune barriere sono individuabili soltanto con una verifica manuale. Le carenze delle informative e delle informazioni sui cookie sono stimate per difetto, perché in alcuni casi il collegamento conduce a una pagina diversa da quella dichiarata. Lo studio non valuta il contenuto giuridico delle informative. La presenza della prenotazione online è una stima: la verifica manuale ha mostrato una concordanza dell'87,0% sui casi valutabili. Il dato sugli indirizzi non funzionanti è stimato per difetto, perché esclude i siti con certificato non valido e quelli con hosting sospeso. I siti protetti da sistemi anti-automazione non sono stati misurati.
Versione e citazione. Versione 1.0, pubblicata il 14 ottobre 2026; le eventuali revisioni sono riportate in questa pagina con data e oggetto della modifica. Lo studio è depositato con identificativo permanente: DOI 10.5281/zenodo.23366546, che rimanda sempre alla versione più recente. Citazione suggerita: Giarratana, S. (2026), Requisiti minimi di privacy, sicurezza e funzionamento dei siti web delle strutture sanitarie private in Italia. Studio su 5.014 siti censiti in 20 regioni, campione casuale di 428, OIDA Labs Sagl, https://doi.org/10.5281/zenodo.23366546.
| Indicatore | % | IC 95% |
|---|---|---|
| Non rispettano almeno uno dei 12 requisiti (209 su 409) | 51,1 | 46,5-55,7 |
| Stesso dato, con i 19 siti non classificabili contati come non conformi | 53,3 | 48,7-57,7 |
| Carenze in almeno un requisito di privacy (183 su 406) | 45,1 | 40,5-49,7 |
| Carenze soltanto nei requisiti di privacy (su 406) | 41,4 | 36,9-46,0 |
| Carenze soltanto nei requisiti tecnici (su 406) | 5,7 | 3,9-8,3 |
| Carenze in entrambi i gruppi (su 406) | 3,7 | 2,3-5,9 |
| Requisito | % | IC 95% |
|---|---|---|
| Strumenti pubblicitari o di profilazione prima della scelta | 19,6 | 16,3-23,5 |
| Invio di dati dopo il rifiuto | 18,4 | 15,0-22,3 |
| Strumenti di tracciamento senza banner | 7,5 | 5,4-10,4 |
| Banner senza possibilità di rifiuto | 7,2 | 5,2-10,1 |
| Il rifiuto conduce fuori dal sito | 0,2 | 0,1-1,4 |
| Nessuna informativa privacy reperibile | 15,8 | 12,8-19,4 |
| Nessuna informazione sui cookie | 7,9 | 5,8-10,8 |
| Modulo senza connessione protetta | 1,4 | 0,7-3,0 |
| Pagina principale non adattata allo smartphone | 6,2 | 4,4-8,9 |
| Pagina principale senza connessione protetta | 2,2 | 1,2-4,0 |
| Pagina principale chiusa ai motori di ricerca | 1,0 | 0,4-2,4 |
| Sito non raggiungibile dal browser | 0,9 | 0,4-2,4 |
| Gruppo di siti | Risultato | % | IC 95% |
|---|---|---|---|
| Siti che usano strumenti pubblicitari | li attivano prima della scelta dell’utente | 75,2 | 66,4-82,3 |
| Siti con il pulsante «Rifiuta» | trasmettono dati a servizi di statistica o di pubblicità dopo il rifiuto | 33,2 | 27,5-39,5 |
| Siti con il pulsante «Rifiuta» | trasmettono dati a servizi pubblicitari dopo il rifiuto | 17,5 | 13,2-22,9 |
| Siti che trasmettono dati dopo il rifiuto | fra i destinatari ci sono servizi pubblicitari | 52,7 | 41,6-63,6 |
| Siti con un banner per il consenso | trasmettono dati a statistica o pubblicità prima della scelta | 37,2 | 32,0-42,8 |
| Siti che usano strumenti di tracciamento | non mostrano alcun banner | 17,2 | 12,4-23,4 |
| Siti con banner che usano strumenti di tracciamento | non offrono il rifiuto al primo livello | 20,1 | 14,5-27,3 |
| Siti con un modulo o strumenti di tracciamento | nessuna informativa privacy reperibile | 21,6 | 17,5-26,5 |
| Siti che usano strumenti di tracciamento | nessuna informazione sui cookie | 18,2 | 13,4-24,4 |
| Siti con un modulo di contatto | informativa non reperibile o invio senza connessione protetta | 20,8 | 16,5-26,1 |
| Informative rilevate | citano soltanto il Codice privacy o la direttiva del 1995 | 4,8 | 3,0-7,8 |
| Indicatore | % | IC 95% |
|---|---|---|
| Strumenti di statistica attivi prima della scelta | 24,9 | 21,2-29,1 |
| Contenuti incorporati con cookie di terze parti prima della scelta | 17,5 | 14,3-21,2 |
| Pagine principali con barriere di accessibilità gravi | 95,5 | 93,1-97,0 |
| Pagine principali con soltanto barriere minori | 0,5 | 0,2-1,7 |
| Velocità da smartphone sotto 50 su 100 | 24,4 | 20,7-28,7 |
| Velocità da smartphone fra 50 e 89 | 71,4 | 67,0-75,4 |
| Né modulo di contatto né prenotazione online | 30,6 | 26,6-35,0 |
| Nessun telefono con collegamento diretto alla chiamata | 35,9 | 31,6-40,4 |
| Nessuna prenotazione online diretta (stima) | 75,8 | 71,7-79,5 |
| Nessun reindirizzamento alla versione protetta | 8,4 | 6,2-11,3 |
| Elementi della pagina caricati senza protezione | 5,0 | 3,4-7,5 |
| Pagina principale senza titolo | 0,7 | 0,3-2,0 |
| Pagina principale senza descrizione per Google | 27,5 | 23,6-31,8 |
| Pagina principale senza dati strutturati | 30,9 | 26,8-35,3 |
| Area | Requisito minimo non rispettato | Difetti seri | Da migliorare | Nessuna criticità |
|---|---|---|---|---|
| Accessibilità (418) | 0,0 | 95,5 | 0,5 | 4,1 |
| Privacy e consenso (402) | 45,5 | 2,0 | 22,1 | 30,3 |
| Funzionalità (414) | 7,2 | 23,9 | 66,2 | 2,7 |
| Sicurezza dei dati (418) | 2,6 | 0,0 | 9,8 | 87,6 |
| Visibilità su Google (419) | 1,0 | 0,7 | 0,0 | 98,3 |
| Indicatore | % |
|---|---|
| Siti con dati di velocità rilevati da Google sugli utenti di Chrome (1.065 su 5.014) | 21,2 |
| Fra questi, con dati della pagina principale: non rientrano nelle soglie buone (383 su 672) | 57,0 |
| Fra questi, con dati dell’intero dominio: non rientrano nelle soglie buone (199 su 393) | 50,6 |
| Fra questi, senza misura della reattività | 26,1 |
| Schede con un sito indicato che rimandano a un indirizzo non funzionante (242 su 5.257) | 4,6 |
Dichiarazione di interesse
OIDA Labs è un’agenzia di marketing e comunicazione per il settore sanitario privato, che realizza e gestisce anche siti web e ne cura la conformità. Lo studio è autofinanziato. Nessuna struttura cliente di OIDA Labs è compresa nel campione, perché i clienti sono stati esclusi dall’elenco prima dell’estrazione. I dati sono pubblicati esclusivamente in forma aggregata e nessuna struttura è identificabile.
Fonti normative e scientifiche dello studio
- D.Lgs. 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali, art. 122, nel testo modificato dal D.Lgs. 10 agosto 2018, n. 101. normattiva.it
- Garante per la protezione dei dati personali. Linee guida cookie e altri strumenti di tracciamento, provvedimento n. 231 del 10 giugno 2021 (G.U. n. 163 del 9 luglio 2021). garanteprivacy.it
- Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (GDPR), artt. 9, 28 e 82. eur-lex.europa.eu
- Corte di giustizia dell’Unione europea. Sentenza del 29 luglio 2019, causa C-40/17, ECLI:EU:C:2019:629. eur-lex.europa.eu
- World Wide Web Consortium. Web Content Accessibility Guidelines (WCAG) 2.1, W3C Recommendation, versione del 6 maggio 2025. w3.org
- Organizzazione mondiale della sanità. Global report on health equity for persons with disabilities, comunicato del 2 dicembre 2022. who.int
- Istat. Giornata internazionale delle persone con disabilità, 3 dicembre 2025, infografiche. istat.it
- Istat. Sportivamente – Due, Dati alla mano, 10 maggio 2023. istat.it
- Istat. Cittadini e ICT, anno 2024, comunicato stampa del 28 aprile 2025. istat.it
- Google Search Central. Mobile-first indexing best practices, aggiornamento del 10 dicembre 2025. developers.google.com
- Google Search Central. Understanding page experience in Google Search results, aggiornamento del 22 settembre 2026. developers.google.com
- web.dev. Web Vitals, aggiornamento del 31 ottobre 2024. web.dev
- Chrome for Developers. Lighthouse performance scoring. developer.chrome.com
- Chrome for Developers. CrUX methodology, aggiornamento del 20 giugno 2024. developer.chrome.com
- Chromium Blog. A secure web is here to stay, 8 febbraio 2018. blog.chromium.org
- OIDA Labs. Conformità della comunicazione sanitaria privata: i dati dell’indagine OIDA Labs su 2.800 strutture, luglio 2026, DOI 10.5281/zenodo.21772867. oida-labs.com
Materiali per la stampa
Per il riuso giornalistico sono disponibili lo studio impaginato, i grafici in versione stampa e i dati aggregati: gli stessi contenuti e gli stessi perimetri pubblicati in questa pagina.
- Lo studio in PDF
- Grafici in alta risoluzione: requisiti minimi, cinque aree, velocità da smartphone e sintesi dei dati principali
- Dati aggregati in CSV
- Il deposito completo su Zenodo, con identificativo permanente DOI 10.5281/zenodo.23366546
I dati aggregati e i grafici sono riutilizzabili con citazione della fonte, «Requisiti minimi di privacy, sicurezza e funzionamento dei siti web delle strutture sanitarie private in Italia. Studio su 5.014 siti censiti in 20 regioni, campione casuale di 428» DOI 10.5281/zenodo.23366546, secondo la licenza CC BY 4.0. L’elenco dei siti analizzati non viene divulgato.
Richieste stampa e interviste
Per richieste stampa e interviste: info@oida-labs.com, referente Dott. Stefano Giarratana.