Un hotel, un B&B o un agriturismo tratta i dati degli ospiti su tre binari giuridici diversi, e confonderli è l’errore più comune: la comunicazione delle generalità alla Questura via Alloggiati Web è un obbligo di legge (art. 109 TULPS) che non richiede il consenso; il contratto di soggiorno giustifica la gestione della prenotazione; il marketing verso gli ex ospiti richiede invece una base giuridica autonoma. Da qui derivano gli errori che il Garante sanziona più spesso nel settore: fotocopiare integralmente i documenti, riutilizzare per pubblicità i contatti raccolti per il soggiorno, installare telecamere senza cartello. Questa guida mette in fila gli obblighi privacy della struttura ricettiva, dalla reception alla newsletter.
Punti chiave
- La comunicazione delle schedine di notifica alla Questura (Alloggiati Web) ha base giuridica nell’obbligo legale ex art. 6, par. 1, lett. c, GDPR e art. 109 TULPS: niente consenso.
- Non si possono trattenere fotocopie integrali dei documenti d’identità oltre quanto necessario: il Garante ne limita la conservazione.
- Il marketing agli ex ospiti può poggiare sul soft spam (art. 130, comma 4, Codice Privacy) solo per email e per servizi analoghi a quelli già acquistati; per telemarketing e SMS occorre verificare le regole specifiche del canale e le opposizioni.
- La videosorveglianza in aree comuni impone cartello informativo, tempi di conservazione ridotti e finalità legittima documentata.
- I portali di prenotazione (Booking, Expedia) sono anelli di una catena di trattamento da regolare con i corretti atti tra titolari o responsabili.
Alloggiati Web e schedine: obbligo di legge, non consenso
Ogni struttura ricettiva deve comunicare alla Questura, entro 24 ore (6 ore per soggiorni inferiori), le generalità degli alloggiati tramite il portale Alloggiati Web. Questo trattamento ha base giuridica nell’obbligo legale (art. 6, par. 1, lett. c, GDPR) previsto dall’art. 109 del TULPS (R.D. 773/1931). Non serve — e non va chiesto — il consenso dell’ospite: chiederlo sarebbe anzi fuorviante, perché suggerirebbe una scelta che non esiste.
L’informativa consegnata al check-in deve però indicare questa finalità e la relativa base giuridica, insieme ai tempi di conservazione. La struttura deve spiegare quali dati raccoglie, perché, per quanto tempo e a chi li comunica. Un modello di informativa privacy va adattato al contesto ricettivo distinguendo obblighi di legge e trattamenti contrattuali.
Documenti d’identità: acquisire i dati, non archiviare le copie
L’errore più diffuso alla reception è fotocopiare o scansionare integralmente il documento e conservarlo nel gestionale “per sicurezza”. Il Garante ha chiarito che la struttura deve acquisire i dati necessari alla schedina, ma non è autorizzata a conservare copie integrali dei documenti oltre lo stretto necessario: la conservazione sistematica di scansioni è un trattamento eccedente rispetto alla finalità. Il principio applicabile è la minimizzazione (art. 5, par. 1, lett. c, GDPR): si raccoglie ciò che serve, non ciò che è comodo.
Marketing agli ex ospiti: quando si può, quando no
Terminato il soggiorno, la tentazione è inviare offerte e newsletter. Le regole dipendono dal canale:
| Canale | Base giuridica | Serve consenso? |
|---|---|---|
| Email a ex clienti, servizi analoghi | Soft spam, art. 130, c. 4, Codice Privacy | No, con opt-out sempre disponibile |
| Email per servizi diversi / terzi | Consenso | Sì |
| SMS e messaggistica | Consenso | Sì |
| Telefonate promozionali | Regole del canale e Registro pubblico delle opposizioni | Da verificare caso per caso |
| Profilazione delle abitudini di soggiorno | Consenso specifico | Sì |
Il soft spam consente di inviare email promozionali agli ex clienti senza consenso preventivo, ma solo per prodotti o servizi analoghi a quelli già acquistati, e sempre con la possibilità di opporsi fin dalla raccolta e in ogni messaggio. Superata questa cornice, il canale, la base giuridica e le opposizioni vanno verificati separatamente. Per formulare correttamente le caselle e le informative si vedano gli esempi di consenso GDPR.
Videosorveglianza in hall, corridoi e parcheggi
Le telecamere in aree comuni sono legittime per sicurezza, ma vanno gestite secondo le regole del Garante: cartello informativo prima dell’area ripresa, informativa completa disponibile, tempi di conservazione ridotti (di norma 24-72 ore, salvo esigenze specifiche), esclusione delle riprese in aree riservate come camere e bagni. Le regole operative sono nella guida alla videosorveglianza secondo il Garante.
La catena dei portali di prenotazione
Quando un ospite prenota tramite Booking o Expedia, i dati passano attraverso più soggetti. La struttura deve inquadrare il rapporto: il portale, per molte finalità, agisce come titolare autonomo dei propri trattamenti, mentre per la trasmissione della prenotazione alla struttura il rapporto va analizzato caso per caso. Ciò che conta è mappare i flussi nel registro delle attività di trattamento e verificare i fornitori tecnologici (channel manager, gestionale, PMS cloud), ciascuno da regolare con l’atto corretto. Un modello di registro dei trattamenti aiuta a fotografare questi flussi.
Per una struttura piccola, tenere insieme informative, registro, gestione consensi e videosorveglianza con strumenti manuali è oneroso: un software GDPR pensato per le PMI mantiene la documentazione ordinata quando cresce il numero di camere e canali. Le decisioni e le FAQ ufficiali del settore sono pubblicate su garanteprivacy.it e il testo del Regolamento è consultabile su EUR-Lex.
Wi-Fi, recensioni e dati particolari
Tre trattamenti minori generano dubbi ricorrenti. Il Wi-Fi per gli ospiti comporta la registrazione di dati di connessione: la struttura deve informare gli utenti e limitare la conservazione dei log al tempo necessario, senza profilare la navigazione. Le recensioni raccolte o sollecitate dopo il soggiorno rientrano nel marketing e vanno gestite con la corretta base giuridica, evitando di inviare solleciti a chi si è opposto. Infine, capita che la struttura raccolga dati particolari — allergie e intolleranze per la ristorazione, esigenze legate a una disabilità per l’accessibilità della camera: sono dati sulla salute ex art. 9 GDPR, da trattare solo se necessari al servizio, con accesso limitato e conservazione ridotta.
Errori più frequenti e come evitarli
Nel settore ricettivo il Garante e la prassi ispettiva evidenziano un elenco ricorrente di errori. Il primo è la mancanza di informativa al check-in, o un’informativa che non distingue le finalità (obbligo di legge, contratto, marketing). Il secondo è la conservazione indeterminata dei dati degli ospiti nel gestionale, senza termini definiti per categoria. Il terzo è l’uso del consenso come base “jolly” anche dove la base corretta è un’altra: chiedere il consenso per la schedina alla Questura è tanto sbagliato quanto non chiederlo per la newsletter. Il quarto è la catena dei fornitori non regolata: channel manager, PMS in cloud, società di pulizie che accedono alle liste ospiti, soggetti i cui ruoli vanno inquadrati sulla base delle attività effettive. Correggere questi quattro punti riduce lacune frequenti senza esaurire gli obblighi della struttura.
Un check-in che non diventi un archivio di documenti
La reception deve raccogliere i dati necessari per identificare l’ospite e comunicarli alla pubblica sicurezza; non deve costruire una libreria permanente di fotografie di passaporti. La nota del Garante del 29 aprile 2026 chiarisce che una copia eventualmente acquisita solo per inserire i dati in Alloggiati Web va cancellata o distrutta dopo la ricevuta di accettazione. La ricevuta del portale, conservata come prova nei termini indicati dall’autorità, è diversa dall’immagine del documento. Occorre configurare il gestionale affinché non salvi automaticamente immagini e miniature negli allegati delle prenotazioni, nei backup e nelle chat del personale.
Una procedura pratica assegna all’addetto quattro passaggi: verifica il documento mostrato, acquisisce solo i campi necessari, completa la trasmissione, controlla la ricevuta e cancella ogni immagine temporanea. Se un ospite invia il documento via messaggistica, il personale deve sapere come impedire ulteriori inoltri e rimuoverlo dai dispositivi gestiti. Se il PMS sincronizza immagini con terzi, bisogna chiedere al fornitore quali copie crea, dove restano e come si eliminano. La guida al registro dei trattamenti aiuta a distinguere questa comunicazione obbligatoria dalle attività commerciali dell’hotel.
L’informativa al banco può essere breve, ma deve rimandare a un testo completo facilmente accessibile. Il testo distinguerà i dati per la Questura, quelli per prenotazione e fatturazione, quelli per marketing e, se presenti, immagini di videosorveglianza e dati relativi a esigenze alimentari. Per ciascuna finalità servono base giuridica, destinatari e un periodo di conservazione o criterio comprensibile. Non si deve promettere all’ospite che ogni dato sarà cancellato dopo il check-out: la fattura può avere obblighi di conservazione propri, mentre la copia del documento d’identità segue la regola più stretta indicata dal Garante.
Prenotazioni, fornitori e richieste degli ospiti
Una prenotazione può arrivare dal portale, passare nel channel manager e nel PMS, essere consultata dalla reception e generare fattura. Per governare la catena, disegnare un flusso per ogni finalità: quali dati arrivano, chi li legge, quali sistemi li ricevono e quando vengono cancellati. Non presumere che tutti i soggetti siano responsabili del trattamento: il portale può determinare finalità proprie, mentre il PMS può operare per conto della struttura. La distinzione tra titolare e responsabile evita di firmare un accordo ex art. 28 con il soggetto sbagliato o di ometterlo con quello giusto.
Quando un ospite chiede accesso o cancellazione, la risposta dipende dalla finalità. I dati di marketing possono essere rimossi dalla lista promozionale e inseriti in una lista minima di opposizione; la fattura può dover restare per obbligo fiscale; la comunicazione già trasmessa alla Questura non viene ritirata perché l’ospite cambia idea. Un registro delle richieste indica data di ricezione, identità verificata senza raccogliere documenti superflui, sistemi consultati, motivi di eventuale conservazione e data della risposta. La regola ordinaria dell’art. 12 GDPR è rispondere entro un mese, con possibile proroga motivata nei casi complessi. Un modello di gestione delle richieste può essere adattato al PMS e ai canali di prenotazione.
Per gli ex ospiti, separare i contatti raccolti per il soggiorno da quelli realmente utilizzabili per promozione. Se l’ospite esercita il diritto alla cancellazione, la guida all’oblio e alla cancellazione aiuta a separare le eccezioni dalle copie eliminabili. Il campo “email” nel PMS non prova che il soft spam sia applicabile: occorre verificare che il contatto sia stato ottenuto nel contesto di una vendita, che l’offerta sia analoga, che sia stata offerta opposizione alla raccolta e che ogni messaggio permetta di opporsi facilmente. Conservare la prova e sincronizzare l’opposizione fra PMS, newsletter e agenzia esterna conta più di una casella generica nel modulo di check-in.
Telecamere e incidenti: due verifiche separate
Per ogni telecamera, registrare area ripresa, scopo, alternativa meno invasiva, utenti autorizzati e tempo di conservazione motivato. Una ripresa dell’ingresso non autorizza la sorveglianza continua dei dipendenti, né una telecamera nel corridoio giustifica la ripresa delle camere. L’informativa breve va posta prima dell’area monitorata; il testo completo deve essere disponibile. Il quadro sulla videosorveglianza aiuta a riesaminare accessi, tempi e obblighi sul lavoro.
Un furto di scansioni richiede invece una risposta da data breach. Occorre bloccare l’accesso, conservare i log, stimare quantità e tipologia dei documenti esposti, valutare il rischio di frode e decidere la notifica al Garante e l’eventuale comunicazione agli ospiti ai sensi degli articoli 33 e 34 GDPR. Il Garante ha segnalato episodi di esfiltrazione nel settore; è un motivo concreto per non trattenere immagini non necessarie. La procedura deve funzionare anche se l’incidente riguarda un PMS esterno: stabilire in anticipo chi avvisa la struttura, entro quanto e con quali informazioni.
Una verifica trimestrale della reception e del PMS
Un controllo pratico richiede trenta minuti e un campione di prenotazioni: verificare che la ricevuta Alloggiati Web sia disponibile, che nessuna immagine del documento resti nella cartella ospite e che gli accessi del personale cessato siano revocati. Poi provare una richiesta fittizia di accesso per capire quali archivi vengono effettivamente interrogati. Annotare il risultato, l’anomalia e il responsabile della correzione. Questa verifica non sostituisce una valutazione completa, ma rende visibili errori operativi che un’informativa aggiornata da sola non può rilevare.
FAQ
Devo chiedere il consenso per inviare i dati degli ospiti alla Questura?
No. La comunicazione via Alloggiati Web ha base giuridica nell’obbligo legale (art. 6, par. 1, lett. c, GDPR e art. 109 TULPS). Chiedere il consenso sarebbe scorretto perché non esiste alcuna facoltà di rifiuto. Va però indicata nell’informativa consegnata al check-in.
Posso conservare la fotocopia della carta d’identità degli ospiti?
No, non in modo sistematico. Il Garante limita la conservazione delle copie integrali dei documenti: si acquisiscono i dati necessari alla schedina, ma l’archiviazione routinaria di scansioni eccede la finalità e viola il principio di minimizzazione.
Posso inviare offerte via email agli ex clienti dell’hotel?
Sì, entro i limiti del soft spam (art. 130, comma 4, Codice Privacy): solo email, solo per servizi analoghi a quelli già acquistati, con opt-out disponibile fin dalla raccolta e in ogni messaggio. Fuori dall’eccezione occorre verificare le regole del canale, la base applicabile e le opposizioni.
Un B&B a conduzione familiare deve tenere il registro dei trattamenti?
In pratica sì. Anche una piccola struttura tratta dati in modo non occasionale e comunica dati a terzi (Questura, portali): l’esenzione dell’art. 30, par. 5, non si applica. Il registro va tenuto in forma proporzionata all’attività.
Vedi anche: il GDPR per l’e-commerce, utile per la vendita e le prenotazioni online, e per le associazioni e gli enti no profit.