eSIM estero: dati in Cina e rischi privacy nel 2026

Una eSIM estero può inviare i dati in Cina?

Sì, dal punto di vista tecnico è possibile. Quando usi una eSIM da viaggio, il traffico non passa sempre direttamente dalla rete mobile del Paese visitato al punto di accesso a Internet più vicino. Può essere trasportato prima sulla rete “domestica” del partner roaming o dell’operatore che fornisce l’infrastruttura al venditore della eSIM.

Il gateway può trovarsi in un Paese diverso sia dall’Italia sia dalla destinazione del viaggio. Per esempio, una persona partita dall’Italia e connessa in Giappone, Thailandia o negli Stati Uniti potrebbe risultare online con un indirizzo IP associato a Hong Kong, Cina continentale, Singapore, Polonia o a un altro hub internazionale.

È importante non confondere tre fenomeni distinti:

• Instradamento del traffico: i pacchetti attraversano un gateway di rete situato in un altro Paese.
• Trattamento dei dati: un’azienda o un partner tecnico gestisce identificativi, registri di connessione o dati dell’account in quella giurisdizione.
• Conservazione dei dati: alcune informazioni vengono archiviate su server che si trovano in quel Paese.

Non sono la stessa cosa. Un indirizzo IP straniero, da solo, non dimostra che i dati personali siano archiviati stabilmente lì. Tuttavia, un percorso di rete poco trasparente solleva una domanda legittima: quali aziende e quali ordinamenti possono entrare in contatto con la connessione?

Perché il caso è esploso nel 2026

Il 21 settembre 2026, alcuni media sudcoreani hanno riferito dell’apertura di un’indagine governativa sulle accuse secondo cui i dati di eSIM da viaggio vendute in Corea del Sud sarebbero stati instradati verso server in Cina. Al momento della pubblicazione, il caso era ancora in evoluzione. La notizia non dimostra che tutte le eSIM internazionali mandino i dati in Cina, né che ogni utente coinvolto abbia subito una violazione.

Il problema, però, non è soltanto teorico. Uno studio peer-reviewed presentato a USENIX Security sull’infrastruttura delle eSIM da viaggio ha rilevato proprietà societarie poco trasparenti, informative privacy deboli o incoerenti, percorsi di rete inattesi e casi in cui i rivenditori potevano accedere a informazioni sensibili sui clienti o sull’utilizzo. Inoltre, il resoconto coreano del settembre 2026 mostra che le autorità stanno iniziando a esaminare più da vicino questi aspetti.

Come viene instradato il traffico di una eSIM estero

Dietro una singola eSIM possono esserci molte aziende. Il marchio che vende il piano può essere soltanto la vetrina commerciale. L’infrastruttura può coinvolgere una piattaforma eSIM, un operatore mobile, partner roaming, servizi cloud, strumenti di analisi e gestori dei pagamenti.

Quando lo smartphone si collega a un’antenna locale, la rete visitata autentica la eSIM tramite gli accordi di roaming. I dati mobili possono quindi viaggiare dentro un tunnel privato fino a un gateway remoto. I siti vedono l’indirizzo IP pubblico di quel gateway, che non coincide necessariamente con la posizione fisica dell’utente.

Questa architettura spiega perché una eSIM internazionale può comportarsi in modo diverso rispetto a una SIM locale italiana o a una SIM acquistata nella destinazione. Può persino consentire l’accesso a servizi che dalla rete locale funzionerebbero diversamente. Il vantaggio, però, porta con sé una questione essenziale: chi gestisce il gateway e a quale giurisdizione risponde?

Cosa possono vedere provider e partner di rete?

Il profilo eSIM non è una copia completa del contenuto dello smartphone. La catena di connessione genera comunque metadati utili e potenzialmente sensibili. La cifratura riduce l’esposizione, ma non rende invisibile il dispositivo alla rete.

HTTPS protegge normalmente il contenuto scambiato con un sito, per esempio password e testo delle pagine. L’operatore può comunque sapere che il dispositivo si è collegato, quando, quanti dati ha trasferito e alcune informazioni sul percorso. Una VPN riduce la visibilità delle destinazioni, ma la rete eSIM continua a vedere la connessione verso il server VPN.

Passare dalla Cina significa subire una fuga di dati?

No. L’instradamento attraverso la Cina è un elemento da verificare, non una prova automatica di intercettazione o violazione dei dati. Lo stesso criterio vale per qualsiasi altra giurisdizione inattesa.

Il rischio concreto aumenta quando compaiono più segnali d’allarme:

• il provider non indica con chiarezza la propria entità legale o l’operatore di rete;
• l’informativa privacy non spiega trasferimenti internazionali e tempi di conservazione;
• il venditore è un rivenditore white-label e non chiarisce chi tratta i dati;
• l’assistenza non sa dire in quali Paesi il traffico raggiunge Internet;
• l’app richiede permessi estranei all’acquisto o alla gestione della eSIM;
• il provider promette “anonimato completo” o “rischio zero” senza fornire prove.

Al contrario, un gateway estero dichiarato può destare meno preoccupazione se il provider descrive il percorso, identifica i responsabili del trattamento, limita la raccolta, protegge i dati, pubblica tempi di conservazione comprensibili e offre una procedura realmente utilizzabile per la cancellazione.

Come scegliere una eSIM più attenta alla privacy

Prezzo e quantità di gigabyte restano importanti, ma la privacy richiede un controllo separato. Prima dell’acquisto cerca la ragione sociale completa, l’indirizzo dell’azienda, un contatto privacy, i partner di rete, i Paesi coinvolti nei trasferimenti, i tempi di conservazione e la procedura per eliminare l’account.

Distingui sempre il marchio eSIM dall’operatore sottostante. Un sito curato può rivendere l’infrastruttura di un’altra società. L’informativa dovrebbe spiegare il ruolo di entrambi. Per approfondire i rischi legati alle filiere poco trasparenti, consulta anche la nostra guida sul rischio di perdita dei dati con le eSIM economiche.

La nostra selezione attuale può aiutarti a creare una prima lista di servizi. Prima di acquistare, applica a ciascun provider i controlli sulla privacy descritti in questa guida.

Come ridurre i rischi durante il viaggio

• Aggiorna smartphone e app prima della partenza, così da correggere le vulnerabilità già note.
• Usa servizi cifrati. Evita i siti che generano avvisi sul certificato nel browser.
• Attiva una VPN affidabile durante le attività sensibili o quando la giurisdizione del gateway non è chiara.
• Disattiva il cambio dati cellulare se non vuoi che la SIM italiana principale subentri senza che tu te ne accorga.
• Limita i permessi dell’app. Un’app che vende eSIM, in genere, non ha bisogno di contatti, microfono o posizione precisa continua.
• Separa le attività ad alto rischio. Non accedere a sistemi molto sensibili tramite una connessione da viaggio se il datore di lavoro offre una soluzione gestita.
• Conserva ricevute e schermate delle condizioni privacy applicabili al momento dell’acquisto.
• Chiedi la cancellazione dell’account dopo il viaggio, quando opportuno. Eliminare il profilo eSIM dallo smartphone non cancella necessariamente i dati conservati dal provider.

Ricorda inoltre che una eSIM solo dati può comportarsi diversamente dalla linea principale: se Internet funziona ma le chiamate no, consulta la guida su dati e chiamate dopo un viaggio all’estero.

Come controllare da dove esce il traffico eSIM

Puoi eseguire una verifica di base senza strumenti avanzati:

1. Disattiva il Wi-Fi e controlla che la eSIM da viaggio sia la linea attiva per i dati.
2. Apri nel browser un servizio affidabile di geolocalizzazione dell’indirizzo IP.
3. Annota il Paese rilevato, il nome della rete e l’operatore del sistema autonomo.
4. Ripeti la prova in orari diversi e, se possibile, una volta arrivato a destinazione.
5. Confronta il risultato con le informazioni sull’instradamento pubblicate dal provider.

La geolocalizzazione IP offre soltanto un’indicazione. I database possono sbagliare e il Paese di uscita apparente può cambiare. Un traceroute aggiunge qualche indizio, ma le reti mobili spesso nascondono i passaggi interni. Un risultato inatteso deve quindi portare a fare domande, non a formulare accuse immediate.

Se il viaggio riguarda la Cina, può essere utile conoscere anche il quadro locale: le regole eSIM in Cina possono incidere sulla disponibilità dei dispositivi e dei servizi.

In sintesi

Una eSIM per l’estero può instradare i dati attraverso la Cina o un altro Paese inatteso. L’impatto sulla privacy dipende da quali dati passano, quali informazioni vengono registrate, chi controlla il gateway, per quanto tempo i registri sono conservati e se il traffico è cifrato.

Non bisogna concludere che “percorso estero” significhi automaticamente “furto di dati”. Allo stesso tempo, non conviene fidarsi di rassicurazioni vaghe offerte da un venditore incapace di identificare i propri partner tecnici. Scegli provider trasparenti, usa HTTPS e una VPN affidabile per le attività sensibili, limita i permessi delle app e controlla il percorso della connessione quando la riservatezza è importante.

FAQ

Un provider di eSIM da viaggio può leggere i miei messaggi?

Normalmente no, se l’app di messaggistica usa una crittografia end-to-end implementata correttamente. Il provider può comunque vedere metadati di connessione, come orari e volume di dati. SMS, traffico non cifrato, backup e app poco sicure presentano rischi diversi.

Un indirizzo IP cinese dimostra che i miei dati sono archiviati in Cina?

No. Può indicare che il traffico esce da un gateway associato alla Cina, ma non prova una conservazione permanente. Servono informazioni sul gestore del gateway, sui registri, sui soggetti che trattano i dati e sui tempi di conservazione.

Una VPN risolve completamente il problema?

No. Una VPN affidabile può nascondere all’operatore mobile le destinazioni Internet e il contenuto del traffico oltre il punto di accesso VPN. Non nasconde l’autenticazione della eSIM, gli orari di connessione, il consumo totale di dati o il rapporto tra l’utente e il provider eSIM.

Una eSIM tutela meno la privacy rispetto a una SIM fisica?

Non necessariamente. Entrambe si collegano tramite operatori mobili e possono generare metadati simili. Le differenze più importanti riguardano il provider, la catena dei rivenditori, i permessi dell’app, l’architettura di instradamento, i registri conservati e la gestione della privacy.

Devo eliminare la eSIM dopo il viaggio?

Eliminare un profilo scaduto è una buona pratica, soprattutto se non serve più. Tuttavia, l’operazione non cancella automaticamente dati di fatturazione, account o registri di rete conservati dal provider. Quando necessario, usa la procedura di cancellazione dell’account o invia una richiesta privacy.