Indice Nami, rapporto 2026/1

COMUNICATO STAMPA

App usate dai bambini: il 77% di quelle mainstream dice di condividere i dati con altre aziende per la pubblicità, contro il 21% di quelle pensate per loro

Indice Nami sulla Sicurezza Digitale: 257 app analizzate in Italia. Le etichette privacy degli store vanno, in media, nella stessa direzione del codice delle app, con eccezioni. E nel codice c'è un salto netto: nessuna delle 60 app Android esaminate contiene fra 17 e 24 componenti di terze parti

Milano, 22 ottobre 2026 — Le app pensate per i bambini dichiarano di condividere i dati degli utenti con altre aziende a fini pubblicitari nel 21% dei casi. Le app mainstream che i bambini usano di fatto, nel 77%. Fra i giochi popolari la quota è del 76%, fra le app per imparare del 16%. È il risultato principale dell'Indice Nami sulla Sicurezza Digitale, che ha analizzato 257 tra le app più usate in Italia da bambini e ragazzi, divise in due insiemi: le app pensate per i bambini e le app mainstream che i minori usano di fatto (le versioni iPhone e Android della stessa app sono contate a parte, perché hanno etichette diverse). Apple e Google non definiscono il tracciamento allo stesso modo: la differenza è netta su App Store (11,8% contro 81,4%) che su Google Play (40,5% contro 64,1%), dove con poche decine di app per gruppo potrebbe dipendere anche dal caso.

Quando un genitore scarica un'app per suo figlio ha due sole informazioni: la categoria dello store e l'etichetta privacy* che l'app pubblica di sé. Nessuna delle due è verificata dallo store. Per questo, per le app Android, le dichiarazioni sono state confrontate con i componenti di terze parti* effettivamente presenti nel pacchetto, usando le analisi tecniche pubblicate da Exodus Privacy, associazione no-profit francese.

Le due misure, etichetta dichiarata e codice presente, concordano: le app che dichiarano di tracciare contengono in media 16,6 componenti, quelle che dichiarano di non farlo 4,6. È la ragione per cui i numeri di questo Indice sono verificabili e non soltanto dichiarati.

Il codice mostra anche una forma che la media nasconde. Ordinando le 60 app Android per numero di componenti presenti, il campione si spezza in due: 42 app ne contengono 16 o meno, 18 ne contengono 25 o più, e fra 17 e 24 non ce n'è nessuna. È un'osservazione fatta guardando i dati, da confermare nelle prossime edizioni.

La stessa frattura attraversa le app pensate per i bambini. Di 25 app per bambini analizzate tecnicamente, 22 stanno nella parte bassa — e 14 di esse contengono soltanto strumenti tecnici, senza alcun componente pubblicitario o di profilazione. Le altre 3 ne contengono quanti i giochi popolari. Sono poche, e il risultato dipende da come sono state assegnate al gruppo: lo trattiamo come un dato da verificare nelle prossime edizioni.

I numeri in sintesi

La differenza tra i due mondi — 257 app, dato verificabile per 256 (copertura 99,6%)

• App pensate per i bambini che dichiarano tracciamento pubblicitario: 21%
• App mainstream che i bambini usano di fatto: 77%
• Le app per imparare dichiarano molto meno tracciamento dei giochi popolari: 16% contro 76%

La stessa differenza, misurata nel codice — 60 app Android con analisi tecnica dal 1 gennaio 2025 in poi

• App per bambini: in media 6,4 componenti di terze parti (mediana 3), su 25 app
• App mainstream usate dai bambini: 15,9 (mediana 12), su 35 app
• Circa due volte e mezzo di differenza, che sopravvive a ogni restrizione temporale

Cosa dichiarano di raccogliere

• Più della metà delle app raccoglie informazioni personali (56%) e la posizione (51%)
• Tra le sole app Android analizzate, il 29% dichiara di condividere la posizione con altre aziende
• Sempre tra le sole app Android analizzate (n=77), il 44% chiede almeno un permesso invasivo*

Che tipo di componenti — 60 app Android

• 93% contiene almeno un componente di misurazione d'uso; la metà (50%) almeno uno pubblicitario
• 38% contiene almeno un componente che Exodus classifica come di profilazione* — ma il dato si concentra da un lato: 16,0% tra le app per bambini, 54,3% tra le mainstream
• 21 app (35%) contengono soltanto strumenti tecnici (misurazione d'uso e segnalazione errori) e nessun componente pubblicitario, di profilazione o di identificazione. Tra le app per bambini la quota sale al 56%, contro il 20% delle mainstream
• Il componente più diffuso in assoluto non è pubblicitario: è Firebase Analytics (82%), libreria di misurazione d'uso di impiego generale nello sviluppo Android. Il componente pubblicitario dello stesso fornitore, AdMob, è presente nel 45%
• Molti altri componenti pubblicitari, tra cui Unity3d Ads (37%), Pangle (35%) e AppLovin (35%), sono presenti in circa un'app su tre. I nomi sono quelli del catalogo pubblico di Exodus Privacy, verificabili referto per referto

Le privacy policy — 230 documenti analizzati (89,5% del campione)

• Contengono in media il 57,0% delle dieci informazioni che ci aspettiamo in una policy rivolta anche ai minori
• Solo il 26,5% descrive come funziona il consenso dei genitori — e la quota resta sotto un terzo (32%) persino tra le app pensate espressamente per i bambini

Un vuoto fra 17 e 24 componenti

Ordinando le 60 app Android per numero di componenti di terze parti, emergono due gruppi separati da un vuoto:

La soglia non è scelta da noi: è il salto più ampio fra due valori effettivamente presenti nel campione. Sotto ci sono 42 app (70%), sopra 18 (30%), e fra 17 e 24 componenti non c'è nessuna app.

Dentro l'insieme delle app per bambini la proporzione è 22 a 3 (12,0% nella parte alta); fra le mainstream si ribalta: 15 su 35 (42,9%).

Il dato è compatibile con l'idea che gli strumenti pubblicitari si adottino a pacchetti, ma non ne indica la causa. I numeri mostrano la distribuzione, non la causa, e sono osservati su 60 app: descrivono il campione, non il mercato.

Dove etichetta e codice non coincidono

In 7 delle 22 app Android che non dichiarano di condividere dati per la pubblicità il codice contiene comunque un componente pubblicitario riconosciuto. Non basta per dire che l'etichetta è falsa: il componente può essere presente senza essere usato, oppure la versione analizzata può essere diversa da quella descritta. È un'incoerenza da approfondire, non una scoperta. Di queste, 2 sono app dell'insieme pensato per i bambini e 5 sono mainstream. I casi non si somigliano: si va da pacchetti con pochi componenti, di cui uno solo pubblicitario, fino a pacchetti con molti componenti pubblicitari.

Il confine va segnato in tutte e due le direzioni. La presenza di un componente non prova che stia trasmettendo dati, né che l'app violi alcunche': un componente può essere incluso e non attivato, e l'analisi statica non distingue i due casi. Ma vale anche il contrario: l'etichetta da sola non permette a un genitore di distinguerli. La distanza fra le due dichiarazioni pubbliche si misura; la sua spiegazione no.

Cosa non stiamo dicendo

Questo studio non valuta se le app rispettano la legge e non stabilisce alcun legame tra le pratiche sui dati e un danno concreto per un bambino. Descrive, con criteri identici per ogni app, cosa le app dichiarano e cosa contengono. Nessuna app è nominata: l'analisi è aggregata per categoria.

Sul nostro campione le etichette degli store vanno, in media, nella stessa direzione del codice, con alcuni casi da approfondire (vedi sopra). E sono difficili da leggere e da confrontare proprio nel momento in cui servirebbero.

Il commento

Mirko Evangelisti, founder di Nami Kids: «La buona notizia è che l'etichetta "per bambini" conta: quelle app dicono di usare molto meno i dati per la pubblicità, e nel codice delle app Android lo vediamo anche nei componenti che contengono. Ma i bambini non usano solo app pensate per loro: usano anche giochi e social fatti per tutti, e lì i numeri cambiano parecchio.»

In pratica, cosa può fare un genitore

• Guarda prima di scaricare. App Store ("Privacy dell'app") e Google Play ("Sicurezza dei dati") mostrano a chiunque cosa un'app raccoglie e condivide: è la stessa fonte di questo studio.
• Controlla i permessi nelle impostazioni e togli quelli che non c'entrano con la funzione. Un gioco che chiede la rubrica o la posizione di solito funziona lo stesso.
• A parità di intrattenimento, la categoria conta. Un'app per imparare, in media, dichiara molto meno tracciamento e condivisione di dati.
• L'etichetta "per bambini" aiuta, ma i bambini usano anche altre app. È su quelle che vale la pena guardare con più attenzione.

Glossario (termini contrassegnati con * nel testo)

Le sei categorie di app — App per imparare: fatte per insegnare lettere, numeri, lingue e altre materie; Giochi popolari: i giochi più diffusi tra bambini e ragazzi, fatti per divertire e non per insegnare; Social, chat e community: pensati per tutti, ma molto usati anche dai ragazzi; Video per bambini: app di video e streaming con contenuti o profili dedicati ai bambini; Giochi per creare e costruire: giochi in cui si costruiscono mondi, si crea o si simula la vita reale; App di cartoni e personaggi: app ufficiali di personaggi dei cartoni animati e di marchi di giocattoli.

Etichetta privacy — La scheda che ogni app deve pubblicare sullo store per dichiarare quali dati raccoglie e con chi li condivide. Si chiama "Privacy dell'app" su App Store e "Sicurezza dei dati" su Google Play. È scritta dallo sviluppatore e non è verificata dallo store: è esattamente il motivo per cui abbiamo cercato un secondo metro di misura.

Componente di terze parti (SDK) — Un pezzo di software prodotto da un'altra azienda che lo sviluppatore inserisce nella propria app per aggiungere una funzione già pronta: mostrare pubblicità, contare quante persone usano l'app, segnalare gli arresti improvvisi. Alcuni di questi componenti sono pensati per raccogliere informazioni sull'uso dell'app.

Profilazione — Raccogliere e collegare fra loro i comportamenti di una persona per costruirne un profilo e prevederne interessi o reazioni. La classificazione è quella di Exodus Privacy.

Permesso invasivo — In questo studio: rubrica dei contatti, posizione, telefono, SMS e identificativi di chiamata. Sono esclusi microfono e fotocamera, che in molte app servono davvero. "Non evidentemente necessario" non significa "illegale".

Note per la redazione (note-to-editors)

Chi. Nami Kids (Nami Group S.r.l.), il parental control educativo: una realtà italiana che si occupa di sicurezza e benessere digitale delle famiglie. La sua app per le famiglie arriverà a breve su Google Play. L'Indice Nami sulla Sicurezza Digitale è concepito come appuntamento ricorrente (trimestrale) per misurare nel tempo come cambiano le pratiche.

Per citare lo studio: https://namikids.app/indice/2026-1

Campione. 257 app (180 iOS, 77 Android) selezionate sullo store italiano. Il campione è curato a mano e dichiarato come tale, non una classifica per download: le classifiche generaliste sono dominate da app per adulti, mentre quelle della sola sezione per bambini escludono per costruzione le app mainstream che i minori usano di fatto. Ogni app porta un frame: per_bambini (114) o mainstream_minori (141); 2 casi non attribuibili sono esclusi dai confronti tra frame.

Fonti. Esclusivamente dati pubblici e obbligatori: etichetta privacy di App Store, sezione "Sicurezza dei dati" e permessi di Google Play, testi delle privacy policy, metadati di scheda. Per il capitolo tecnico: Exodus Privacy (reports.exodus-privacy.eu.org), che pubblica analisi statiche dei pacchetti di installazione Android. Nessun dato personale di utenti reali è stato trattato: l'oggetto dell'analisi sono le app, non le persone.

Periodo di rilevazione. 8 settembre 2026 per etichette, permessi, policy e interrogazione Exodus. I referti tecnici utilizzati vanno dal 25 marzo 2025 al 8 settembre 2026.

Freschezza dei dati tecnici — nota di trasparenza. I report di Exodus Privacy sono prodotti dalla community, quindi ogni app è analizzata in un momento diverso e i report non sono contemporanei fra loro. Sui 73 report disponibili per il nostro campione, 13 erano anteriori al 1 gennaio 2025 — e 12 di questi riguardavano app della categoria "per bambini". Poiché il numero di componenti di un'app può cambiare nel tempo, quei report avrebbero potuto falsare il confronto; tenerli avrebbe ampliato la differenza che riportiamo (vedi i numeri qui sotto). Per questo tutte le cifre tecniche si riferiscono ai soli report dal 1 gennaio 2025 in poi (60 app). Per piena trasparenza: sull'intera base disponibile la differenza risulterebbe 5,8 contro 15,6 componenti; sulla base ristretta è 6,4 contro 15,9; restringendo ai soli report del 2026 sarebbe 6,7 contro 15,4. Il risultato regge a ogni restrizione. Il dataset completo, con la data di analisi di ogni singolo report, è disponibile ai giornalisti su richiesta.

Copertura — la regola d'oro. Se un dato non è osservabile pubblicamente è marcato "non disponibile", mai "assente". Coperture principali: tracciamento pubblicitario 99,6%; privacy policy 89,5%; capitolo tecnico 60 app sulle 77 Android del campione.

Limiti dichiarati.

1. Metriche solo Android: condivisione per categoria di dato, permessi, installazioni e l'intero capitolo tecnico. Vanno citate come "app Android analizzate", mai come intero campione.
2. "Tracciamento" non è definito in modo identico da Apple ("Dati usati per tracciarti") e da Google ("dati condivisi per Pubblicità o marketing"): concetti vicini, non sovrapponibili.
3. La presenza di un componente nel codice non prova che stia trasmettendo dati. Si scrive "contiene", mai "invia".
4. Nessun accertamento legale. L'indice di completezza delle policy (57,0%) misura quanti elementi attesi sono presenti nel testo: è un segnale osservabile, non un giudizio di (non)conformità.
5. Nessun nesso causale tra pratiche sui dati e danno per il minore è affermato o implicato.
6. Categorie con meno di 10 app non sono citate in percentuale. Nel capitolo tecnico restano citabili solo app per imparare ed giochi popolari. Escluse: giochi per creare e costruire (n=9), app di cartoni e personaggi (n=2), social, chat e community (n=7), video per bambini (n=6).
7. L'assegnazione ai due insiemi segue la destinazione dichiarata dallo sviluppatore e la collocazione nello store, non l'età effettiva di chi usa l'app, che dall'esterno non è osservabile. L'insieme "pensate per i bambini" può quindi comprendere app il cui pubblico reale, che non conosciamo, è più ampio. È il punto su cui il risultato della polarizzazione interna è più sensibile: poggia su 3 app, e una diversa attribuzione di quei casi ne cambierebbe la lettura. L'assegnazione di ogni singola app è nel dataset ed è contestabile.
8. I nomi dei componenti di terze parti sono quelli del catalogo pubblico di Exodus Privacy, verificabili referto per referto. Nominarli descrive quali librerie sono presenti nei pacchetti: non implica una condotta illecita del fornitore, e non viene fatta alcuna affermazione sulla base del paese in cui il fornitore ha sede.
9. Il "salto" fra 17 e 24 componenti e il filtro sui referti più vecchi sono stati individuati dopo aver visto i dati: sono risultati esplorativi, da confermare nelle prossime edizioni.
10. Il campione è scelto, non estratto a caso: partiva da 331 schede, 74 non sono entrate nell'analisi (57 del gruppo per bambini). Descrive queste app, non tutto il mercato.
11. Su Android contiamo i dati che l'etichetta dichiara condivisi per la pubblicità, non quelli dichiarati soltanto come raccolti: la quota Android può quindi sottostimare l'uso pubblicitario.
12. Le privacy policy sono lette con regole di testo non validate a mano; le dieci informazioni cercate sono uno standard scelto da noi, non un elenco di obblighi di legge.

Riproducibilità. Tutti gli aggregati escono da codice deterministico e conservato, e questo comunicato è generato da uno script che legge i file di risultato: il modello linguistico non calcola percentuali e non le trascrive. Un controllo di integrità interno, separato dalla stesura, è stato eseguito prima della diffusione (05_verifica.md), con ricalcolo delle cifre headline a partire dai dati grezzi.

Verifica e diritto di replica. Lo studio è aggregato: nessuna app è nominata nell'output pubblico. Il dataset per-app, con il link pubblico di verifica di ciascuna scheda e la data di ogni analisi tecnica, è disponibile ai giornalisti su richiesta, previo accordo di non pubblicazione dei nomi. Le app analizzate hanno diritto di replica: correzioni documentate entrano nell'edizione successiva.

Contatti stampa. Mirko Evangelisti — team@namikids.app — +39 331 169 2850

Appendice — tabelle dati

Tabella 1. Tracciamento pubblicitario dichiarato, per categoria (n=257)

Tabella 2. Il confronto tra i due mondi (etichette dichiarate)

Tabella 3. Lo stesso confronto, misurato nel codice (60 app Android, report dal 1 gennaio 2025)

Tabella 4. Portata del campione (installazioni dichiarate, solo app Android)

Scarica il rapporto completo (PDF)