05/08/2026
IL GARANTE PRIVACY CHIARISCE LE REGOLE PER LE STRUTTURE ALBERGHIERE
Il Garante per la protezione dei dati personali, con una nota indirizzata alle associazioni di categoria del settore turistico-ricettivo, è intervenuto per fornire importanti chiarimenti in materia di trattamento dei dati personali degli ospiti di strutture ricettive.
L’iniziativa trae origine dal significativo aumento di segnalazioni, reclami e casi di violazione dei dati personali (data breach) registrati negli ultimi anni, spesso collegati alla raccolta e alla conservazione di copie dei documenti di identità degli ospiti da parte delle strutture ricettive. In particolare, il Garante evidenzia la crescente diffusione della prassi di fotografare i documenti mediante smartphone o di richiederne l’invio attraverso applicazioni di messaggistica istantanea, come WhatsApp, modalità considerate particolarmente rischiose sotto il profilo della protezione dei dati personali.
La nota ricorda che l’art. 109 del Testo Unico delle Leggi di Pubblica Sicurezza (TULPS) impone ai gestori delle strutture ricettive l’obbligo di identificare gli ospiti e di comunicare i relativi dati all’Autorità di pubblica sicurezza attraverso il sistema “Alloggiati Web” del Ministero dell’Interno. Tale adempimento costituisce la base giuridica del trattamento dei dati personali effettuato dalle strutture ricettive (art. 6, par. 1, lett. c) del GDPR).
Tuttavia, il Garante chiarisce che tale obbligo di legge riguarda esclusivamente la comunicazione dei dati identificativi alle autorità competenti e non legittima la conservazione delle copie dei documenti di identità degli ospiti da parte delle strutture ricettive. La normativa vigente, infatti, prevede che i dati trasmessi siano conservati direttamente sui sistemi del Ministero dell’Interno, mentre i gestori sono tenuti a cancellare i dati digitali utilizzati per la trasmissione e a distruggere eventuali copie cartacee non appena il sistema abbia generato la ricevuta di avvenuta comunicazione. L’unico documento da conservare è la ricevuta della trasmissione, che deve essere mantenuta per cinque anni a fini probatori.
Secondo l’Autorità, pertanto, la raccolta e l’archiviazione sistematica di fotografie, scansioni o fotocopie dei documenti degli ospiti, una volta completata la comunicazione tramite “Alloggiati Web”, risultano incompatibili con i principi di minimizzazione dei dati e limitazione della conservazione previsti dal Regolamento (UE) 2016/679 (GDPR).
Il Garante richiama inoltre l’attenzione degli operatori sui rischi derivanti dalla conservazione di tali documenti, che possono favorire fenomeni di furto di identità, accessi abusivi ai dati personali e altre forme di utilizzo illecito delle informazioni contenute nei documenti di riconoscimento. In caso di violazione dei dati personali, le strutture ricettive sono tenute a notificare il data breach all’Autorità senza ingiustificato ritardo e, ove possibile, entro 72 ore, nonché a comunicare l’accaduto agli interessati coinvolti (artt. 33 e 34 del GDPR).
Infine, il Garante invita le strutture ricettive ad adottare una serie di accorgimenti organizzativi e gestionali, tra cui:
❖ adeguata responsabilizzazione del personale addetto alla raccolta ed al trattamento dei dati personali degli ospiti, a cui, in particolare, occorre fornire puntuali istruzioni sul divieto di effettuare o trattenere copie (analogiche o digitali) dei documenti di identità, successivamente all’effettuazione delle comunicazioni di legge;
❖ chiara rappresentazione agli ospiti delle informazioni sulla logica e le modalità di raccolta ed utilizzo del dato relativo ai documenti personali. Qualora le operazioni di check-in siano svolte mediante l’utilizzo di dispositivi capaci di acquisire e conservare copia digitale del documento di identità, in particolare, occorrerà chiarire che la struttura non procederà ad archiviare le immagini degli stessi;
❖ opportuna regolazione, ai sensi dall’art. 28 del RGPD, dei rapporti con i fornitori dei servizi di gestione delle prenotazioni alberghiere e dei servizi eventualmente utilizzati per l’acquisizione dei dati relativi ai documenti d’identità, prestando particolare attenzione alle modalità di trattamento di questi ultimi e definendo efficaci modalità di comunicazione in caso di violazione dei dati personali;
❖ raccolta dei dati dei documenti d’identità senza effettuare foto con dispositivi mobili o fare ricorso a servizi di messagistica istantanea (ad. es. “whatsapp”), o comunque evitando il ricorso a modalità che non presentano le caratteristiche idonee al rispetto della normativa richiamata.
Alla luce della rilevanza della questione, si invitano le sedi territoriali in indirizzo a dare la massima diffusione della presente comunicazione presso gli associati, sensibilizzandoli sul corretto trattamento dei documenti di identità degli ospiti e sulla necessità di verificare le procedure adottate per il check-in e per la gestione dei dati personali.
Il Garante per la protezione dei dati personali, con una nota indirizzata alle associazioni di categoria del settore turistico-ricettivo, è intervenuto per fornire importanti chiarimenti in materia di trattamento dei dati personali degli ospiti di strutture ricettive. L’iniziativa trae origine da...
