30/09/2026
𝗗𝗢𝗖𝗨𝗠𝗘𝗡𝗧𝗜 𝗗’𝗜𝗗𝗘𝗡𝗧𝗜𝗧𝗔̀ 𝗗𝗘𝗚𝗟𝗜 𝗢𝗦𝗣𝗜𝗧𝗜: 𝗖𝗢𝗦𝗔 𝗣𝗢𝗦𝗦𝗢𝗡𝗢 𝗥𝗘𝗔𝗟𝗠𝗘𝗡𝗧𝗘 𝗖𝗢𝗡𝗦𝗘𝗥𝗩𝗔𝗥𝗘 𝗛𝗢𝗧𝗘𝗟 𝗘 𝗦𝗧𝗥𝗨𝗧𝗧𝗨𝗥𝗘 𝗥𝗜𝗖𝗘𝗧𝗧𝗜𝗩𝗘?
𝘜𝘯 𝘤𝘩𝘪𝘢𝘳𝘪𝘮𝘦𝘯𝘵𝘰 𝘥𝘦𝘭 𝘎𝘢𝘳𝘢𝘯𝘵𝘦 𝘗𝘳𝘪𝘷𝘢𝘤𝘺 𝘴𝘶 𝘪𝘥𝘦𝘯𝘵𝘪𝘧𝘪𝘤𝘢𝘻𝘪𝘰𝘯𝘦 𝘥𝘦𝘨𝘭𝘪 𝘢𝘭𝘭𝘰𝘨𝘨𝘪𝘢𝘵𝘪, 𝘤𝘰𝘱𝘪𝘦 𝘥𝘦𝘪 𝘥𝘰𝘤𝘶𝘮𝘦𝘯𝘵𝘪, 𝘞𝘩𝘢𝘵𝘴𝘈𝘱𝘱, 𝘴𝘤𝘢𝘯𝘯𝘦𝘳 𝘦 𝘤𝘰𝘯𝘴𝘦𝘳𝘷𝘢𝘻𝘪𝘰𝘯𝘦 𝘥𝘦𝘪 𝘥𝘢𝘵𝘪.
Può un albergo fotografare il documento d’identità del cliente e conservarne l'immagine?
E può un B&B chiedere all’ospite di inviare la carta d’identità tramite WhatsApp, per poi archiviarla?
La risposta, alla luce della disciplina richiamata dal 𝗚𝗮𝗿𝗮𝗻𝘁𝗲 𝗽𝗲𝗿 𝗹𝗮 𝗽𝗿𝗼𝘁𝗲𝘇𝗶𝗼𝗻𝗲 𝗱𝗲𝗶 𝗱𝗮𝘁𝗶 𝗽𝗲𝗿𝘀𝗼𝗻𝗮𝗹𝗶, richiede una distinzione fondamentale: 𝗹’𝗼𝗯𝗯𝗹𝗶𝗴𝗼 𝗱𝗶 𝗶𝗱𝗲𝗻𝘁𝗶𝗳𝗶𝗰𝗮𝗿𝗲 𝗹’𝗼𝘀𝗽𝗶𝘁𝗲 𝗲 𝗰𝗼𝗺𝘂𝗻𝗶𝗰𝗮𝗿𝗲 𝗶 𝘀𝘂𝗼𝗶 𝗱𝗮𝘁𝗶 𝗮𝗹𝗹𝗮 𝗣𝘂𝗯𝗯𝗹𝗶𝗰𝗮 𝗦𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮 𝗻𝗼𝗻 𝗲𝗾𝘂𝗶𝘃𝗮𝗹𝗲 𝗮𝗹𝗹’𝗼𝗯𝗯𝗹𝗶𝗴𝗼 – 𝗻𝗲́, 𝗱𝗶 𝗽𝗲𝗿 𝘀𝗲́, 𝗮𝗹𝗹𝗮 𝗹𝗲𝗴𝗶𝘁𝘁𝗶𝗺𝗮𝘇𝗶𝗼𝗻𝗲 – 𝗮 𝗰𝗼𝗻𝘀𝗲𝗿𝘃𝗮𝗿𝗲 𝘂𝗻𝗮 𝗰𝗼𝗽𝗶𝗮 𝗱𝗲𝗹 𝗱𝗼𝗰𝘂𝗺𝗲𝗻𝘁𝗼 𝗱’𝗶𝗱𝗲𝗻𝘁𝗶𝘁𝗮̀.
𝟭. 𝗟’𝗼𝗯𝗯𝗹𝗶𝗴𝗼 𝗱𝗶 𝗶𝗱𝗲𝗻𝘁𝗶𝗳𝗶𝗰𝗮𝘇𝗶𝗼𝗻𝗲 𝗲𝘀𝗶𝘀𝘁𝗲.
L’art. 109 del 𝗧𝗲𝘀𝘁𝗼 𝘂𝗻𝗶𝗰𝗼 𝗱𝗲𝗹𝗹𝗲 𝗹𝗲𝗴𝗴𝗶 𝗱𝗶 𝗽𝘂𝗯𝗯𝗹𝗶𝗰𝗮 𝘀𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮 (𝗧𝗨𝗟𝗣𝗦) impone ai gestori di alberghi e delle altre strutture ricettive di identificare le persone alloggiate e di comunicare i relativi dati all’Autorità di pubblica sicurezza.
La finalità della disciplina è evidentemente connessa alle esigenze di ordine e sicurezza pubblica.
I dati vengono trasmessi attraverso il sistema “𝗔𝗹𝗹𝗼𝗴𝗴𝗶𝗮𝘁𝗶 𝗪𝗲𝗯” del Ministero dell’Interno, secondo le modalità previste dalla normativa di settore.
Il trattamento effettuato dalla struttura ricettiva trova quindi la propria base giuridica nell’art. 6, par. 1, lett. c), del 𝗥𝗲𝗴𝗼𝗹𝗮𝗺𝗲𝗻𝘁𝗼 (𝗨𝗘) 𝟮𝟬𝟭𝟲/𝟲𝟳𝟵 (𝗚𝗗𝗣𝗥): il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare.
Ma qui si trova il punto decisivo.
𝟮. 𝗜𝗱𝗲𝗻𝘁𝗶𝗳𝗶𝗰𝗮𝗿𝗲 𝗶𝗹 𝗰𝗹𝗶𝗲𝗻𝘁𝗲 𝗻𝗼𝗻 𝘀𝗶𝗴𝗻𝗶𝗳𝗶𝗰𝗮 𝗰𝗼𝗻𝘀𝗲𝗿𝘃𝗮𝗿𝗲 𝗹𝗮 𝗳𝗼𝘁𝗼𝗰𝗼𝗽𝗶𝗮 𝗱𝗲𝗹𝗹𝗮 𝗰𝗮𝗿𝘁𝗮 𝗱’𝗶𝗱𝗲𝗻𝘁𝗶𝘁𝗮̀.
La normativa richiede alla struttura ricettiva di acquisire e trasmettere determinate informazioni relative all’ospite.
Tra queste rientrano, ad esempio:
• cognome e nome;
• sesso;
• data e luogo di nascita;
• cittadinanza;
• tipo e numero del documento;
• luogo di rilascio;
• data di arrivo e durata del soggiorno.
𝗡𝗼𝗻 𝗲̀ 𝗶𝗻𝘃𝗲𝗰𝗲 𝗽𝗿𝗲𝘃𝗶𝘀𝘁𝗼, 𝗰𝗼𝗺𝗲 𝗿𝗲𝗴𝗼𝗹𝗮 𝗴𝗲𝗻𝗲𝗿𝗮𝗹𝗲, 𝗰𝗵𝗲 𝗹𝗮 𝘀𝘁𝗿𝘂𝘁𝘁𝘂𝗿𝗮 𝗱𝗲𝗯𝗯𝗮 𝗰𝗼𝗻𝘀𝗲𝗿𝘃𝗮𝗿𝗲 𝗹’𝗶𝗺𝗺𝗮𝗴𝗶𝗻𝗲 𝗼 𝗹𝗮 𝗳𝗼𝘁𝗼𝗰𝗼𝗽𝗶𝗮 𝗶𝗻𝘁𝗲𝗴𝗿𝗮𝗹𝗲 𝗱𝗲𝗹 𝗱𝗼𝗰𝘂𝗺𝗲𝗻𝘁𝗼 𝗱’𝗶𝗱𝗲𝗻𝘁𝗶𝘁𝗮̀.
La distinzione è tutt’altro che teorica.
Il 𝗽𝗿𝗶𝗻𝗰𝗶𝗽𝗶𝗼 𝗱𝗶 𝗺𝗶𝗻𝗶𝗺𝗶𝘇𝘇𝗮𝘇𝗶𝗼𝗻𝗲 𝗱𝗲𝗶 𝗱𝗮𝘁𝗶, previsto dall’art. 5, par. 1, lett. c), GDPR, impone infatti che siano trattati soltanto dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite.
In altre parole:
𝘀𝗲 𝗹𝗮 𝗹𝗲𝗴𝗴𝗲 𝗶𝗺𝗽𝗼𝗻𝗲 𝗱𝗶 𝗶𝗱𝗲𝗻𝘁𝗶𝗳𝗶𝗰𝗮𝗿𝗲 𝗹’𝗼𝘀𝗽𝗶𝘁𝗲 𝗲 𝗰𝗼𝗺𝘂𝗻𝗶𝗰𝗮𝗿𝗲 𝗱𝗲𝘁𝗲𝗿𝗺𝗶𝗻𝗮𝘁𝗶 𝗱𝗮𝘁𝗶 𝗮𝗹𝗹𝗮 𝗣𝘂𝗯𝗯𝗹𝗶𝗰𝗮 𝗦𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮, 𝗰𝗶𝗼̀ 𝗻𝗼𝗻 𝘀𝗶𝗴𝗻𝗶𝗳𝗶𝗰𝗮 𝗮𝘂𝘁𝗼𝗺𝗮𝘁𝗶𝗰𝗮𝗺𝗲𝗻𝘁𝗲 𝗰𝗵𝗲 𝘀𝗶𝗮 𝗻𝗲𝗰𝗲𝘀𝘀𝗮𝗿𝗶𝗼 𝗰𝗼𝗻𝘀𝗲𝗿𝘃𝗮𝗿𝗲 𝘂𝗻𝗮 𝗰𝗼𝗽𝗶𝗮 𝗶𝗻𝘁𝗲𝗴𝗿𝗮𝗹𝗲 𝗱𝗲𝗹 𝗱𝗼𝗰𝘂𝗺𝗲𝗻𝘁𝗼 𝘂𝘁𝗶𝗹𝗶𝘇𝘇𝗮𝘁𝗼 𝗽𝗲𝗿 𝗹’𝗶𝗱𝗲𝗻𝘁𝗶𝗳𝗶𝗰𝗮𝘇𝗶𝗼𝗻𝗲.
𝟯. 𝗖𝗼𝘀𝗮 𝘀𝘂𝗰𝗰𝗲𝗱𝗲 𝗮𝗹𝗹𝗮 𝗰𝗼𝗽𝗶𝗮 𝗲𝘃𝗲𝗻𝘁𝘂𝗮𝗹𝗺𝗲𝗻𝘁𝗲 𝗮𝗰𝗾𝘂𝗶𝘀𝗶𝘁𝗮 𝗱𝘂𝗿𝗮𝗻𝘁𝗲 𝗶𝗹 𝗰𝗵𝗲𝗰𝗸-𝗶𝗻?
Il punto è stato chiarito dal Garante Privacy anche nell’ambito dei propri pareri sulla disciplina relativa alla comunicazione degli alloggiati.
Il decreto del Ministero dell’Interno del 7 gennaio 2013, come modificato dal decreto del 16 settembre 2021, stabilisce che i dati devono essere cancellati dai sistemi della struttura dopo la trasmissione e la generazione della ricevuta di avvenuta comunicazione.
La stessa disciplina prevede che la ricevuta venga conservata per cinque anni.
Ne deriva una distinzione fondamentale:
𝗶 𝗱𝗮𝘁𝗶 𝗻𝗲𝗰𝗲𝘀𝘀𝗮𝗿𝗶 𝗮𝗹𝗹𝗮 𝗰𝗼𝗺𝘂𝗻𝗶𝗰𝗮𝘇𝗶𝗼𝗻𝗲 𝗮𝗹𝗹𝗮 𝗣𝘂𝗯𝗯𝗹𝗶𝗰𝗮 𝗦𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮 𝘃𝗲𝗻𝗴𝗼𝗻𝗼 𝘁𝗿𝗮𝘁𝘁𝗮𝘁𝗶 𝘀𝗲𝗰𝗼𝗻𝗱𝗼 𝗹𝗲 𝗿𝗲𝗴𝗼𝗹𝗲 𝗽𝗿𝗲𝘃𝗶𝘀𝘁𝗲 𝗱𝗮𝗹𝗹𝗮 𝗻𝗼𝗿𝗺𝗮𝘁𝗶𝘃𝗮; 𝗹𝗮 𝗰𝗼𝗽𝗶𝗮 𝗱𝗲𝗹 𝗱𝗼𝗰𝘂𝗺𝗲𝗻𝘁𝗼 𝗱’𝗶𝗱𝗲𝗻𝘁𝗶𝘁𝗮̀, 𝗶𝗻𝘃𝗲𝗰𝗲, 𝗻𝗼𝗻 𝗱𝗲𝘃𝗲 𝘁𝗿𝗮𝘀𝗳𝗼𝗿𝗺𝗮𝗿𝘀𝗶 𝗶𝗻 𝘂𝗻 𝗮𝘂𝘁𝗼𝗻𝗼𝗺𝗼 𝗮𝗿𝗰𝗵𝗶𝘃𝗶𝗼 𝗽𝗲𝗿𝗺𝗮𝗻𝗲𝗻𝘁𝗲 𝗱𝗲𝗹𝗹𝗮 𝘀𝘁𝗿𝘂𝘁𝘁𝘂𝗿𝗮 𝗿𝗶𝗰𝗲𝘁𝘁𝗶𝘃𝗮.
Il Garante ha recentemente richiamato proprio questo principio nel comunicato del 𝟭𝟯 𝗮𝗴𝗼𝘀𝘁𝗼 𝟮𝟬𝟮𝟱, relativo all’utilizzo, da parte di alcune strutture ricettive, di dispositivi scanner in grado di acquisire e conservare immagini dei documenti d’identità degli ospiti.
L'istruttoria relativa a quel caso è stata avviata per verificare la conformità di tali modalità di trattamento alla normativa sulla protezione dei dati personali.
𝟰. 𝗘 𝘀𝗲 𝗶𝗹 𝗰𝗹𝗶𝗲𝗻𝘁𝗲 𝗶𝗻𝘃𝗶𝗮 𝗹𝗮 𝗰𝗮𝗿𝘁𝗮 𝗱’𝗶𝗱𝗲𝗻𝘁𝗶𝘁𝗮̀ 𝘀𝘂 𝗪𝗵𝗮𝘁𝘀𝗔𝗽𝗽?
È una delle situazioni più problematiche.
La pratica di chiedere al cliente:
“Mandami la carta d’identità su WhatsApp”
e successivamente conservare l’immagine nel telefono personale, nella chat o in altri archivi 𝗻𝗼𝗻 𝗽𝘂𝗼̀ 𝗲𝘀𝘀𝗲𝗿𝗲 𝗰𝗼𝗻𝘀𝗶𝗱𝗲𝗿𝗮𝘁𝗮 𝘂𝗻𝗮 𝗺𝗼𝗱𝗮𝗹𝗶𝘁𝗮̀ 𝗻𝗲𝘂𝘁𝗿𝗮 𝗱𝗶 𝗴𝗲𝘀𝘁𝗶𝗼𝗻𝗲 𝗱𝗲𝗹 𝗰𝗵𝗲𝗰𝗸-𝗶𝗻.
Una fotografia del documento contiene infatti una quantità di informazioni personali molto superiore a quella strettamente necessaria alla comunicazione dei dati richiesti dalla normativa.
Inoltre, entrano in gioco ulteriori profili di sicurezza:
• dove viene memorizzata l'immagine?
• chi può accedere al dispositivo?
• per quanto tempo viene conservata?
• viene sincronizzata con servizi cloud?
• chi può visualizzarla?
• viene trasferita ad altri soggetti?
• cosa accade se il telefono viene smarrito o violato?
Il problema non è quindi soltanto “𝗽𝗼𝘀𝘀𝗼 𝗳𝗼𝘁𝗼𝗴𝗿𝗮𝗳𝗮𝗿𝗲 𝗶𝗹 𝗱𝗼𝗰𝘂𝗺𝗲𝗻𝘁𝗼?”.
Il problema è anche:
𝘀𝗼𝗻𝗼 𝗶𝗻 𝗴𝗿𝗮𝗱𝗼 𝗱𝗶 𝗴𝗮𝗿𝗮𝗻𝘁𝗶𝗿𝗲, 𝗽𝗲𝗿 𝘁𝘂𝘁𝘁𝗼 𝗶𝗹 𝗽𝗲𝗿𝗶𝗼𝗱𝗼 𝗶𝗻 𝗰𝘂𝗶 𝗰𝗼𝗻𝘀𝗲𝗿𝘃𝗼 𝗾𝘂𝗲𝗹𝗹𝗮 𝗰𝗼𝗽𝗶𝗮, 𝘂𝗻 𝗹𝗶𝘃𝗲𝗹𝗹𝗼 𝗱𝗶 𝘀𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮 𝗮𝗱𝗲𝗴𝘂𝗮𝘁𝗼 𝗮𝗹 𝗿𝗶𝘀𝗰𝗵𝗶𝗼?
𝟱. 𝗜𝗹 𝗚𝗗𝗣𝗥 𝗶𝗺𝗽𝗼𝗻𝗲 𝗮𝗻𝗰𝗵𝗲 𝘂𝗻 𝗼𝗯𝗯𝗹𝗶𝗴𝗼 𝗱𝗶 𝘀𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮.
L’art. 32 GDPR impone al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio.
Una copia digitale di una carta d’identità rappresenta un patrimonio informativo particolarmente delicato sotto il profilo della sicurezza.
La sua perdita, sottrazione o divulgazione può infatti agevolare fenomeni di 𝗳𝘂𝗿𝘁𝗼 𝗱’𝗶𝗱𝗲𝗻𝘁𝗶𝘁𝗮̀ 𝗲 𝗱𝗶 𝘂𝘁𝗶𝗹𝗶𝘇𝘇𝗼 𝗳𝗿𝗮𝘂𝗱𝗼𝗹𝗲𝗻𝘁𝗼 𝗱𝗲𝗶 𝗱𝗮𝘁𝗶 𝗽𝗲𝗿𝘀𝗼𝗻𝗮𝗹𝗶.
Per questo il principio di minimizzazione non deve essere considerato soltanto una regola burocratica.
𝗠𝗲𝗻𝗼 𝗰𝗼𝗽𝗶𝗲 𝗶𝗻𝘂𝘁𝗶𝗹𝗶 𝘃𝗲𝗻𝗴𝗼𝗻𝗼 𝗰𝗿𝗲𝗮𝘁𝗲, 𝗺𝗶𝗻𝗼𝗿𝗲 𝗲̀ 𝗮𝗻𝗰𝗵𝗲 𝗹𝗮 𝘀𝘂𝗽𝗲𝗿𝗳𝗶𝗰𝗶𝗲 𝗱𝗶 𝗿𝗶𝘀𝗰𝗵𝗶𝗼 𝗱𝗮 𝗽𝗿𝗼𝘁𝗲𝗴𝗴𝗲𝗿𝗲.
𝟲. 𝗖𝗼𝘀𝗮 𝗱𝗼𝘃𝗿𝗲𝗯𝗯𝗲 𝗳𝗮𝗿𝗲 𝗰𝗼𝗻𝗰𝗿𝗲𝘁𝗮𝗺𝗲𝗻𝘁𝗲 𝘂𝗻𝗮 𝘀𝘁𝗿𝘂𝘁𝘁𝘂𝗿𝗮 𝗿𝗶𝗰𝗲𝘁𝘁𝗶𝘃𝗮?
Alla luce delle indicazioni del Garante, una struttura dovrebbe adottare procedure chiare.
𝗣𝗿𝗶𝗺𝗼: identificare l’ospite attraverso il documento previsto dalla normativa.
𝗦𝗲𝗰𝗼𝗻𝗱𝗼: acquisire e trasmettere al sistema “Alloggiati Web” esclusivamente i dati richiesti.
𝗧𝗲𝗿𝘇𝗼: evitare di creare archivi di fotocopie o fotografie dei documenti, quando non esista una specifica base giuridica che renda necessario quel trattamento.
𝗤𝘂𝗮𝗿𝘁𝗼: se vengono utilizzati scanner o software di check-in, verificare attentamente se il sistema conserva effettivamente l’immagine del documento oppure se utilizza la scansione soltanto per estrarre i dati necessari.
𝗤𝘂𝗶𝗻𝘁𝗼: fornire agli ospiti un’informativa chiara sul trattamento dei dati personali.
𝗦𝗲𝘀𝘁𝗼: disciplinare correttamente i rapporti con i fornitori tecnologici che trattano dati per conto della struttura, secondo quanto previsto dall’art. 28 GDPR.
𝗦𝗲𝘁𝘁𝗶𝗺𝗼: impartire istruzioni precise al personale addetto al check-in, evitando prassi informali quali l'utilizzo di telefoni personali o applicazioni di messaggistica per la trasmissione e conservazione delle immagini dei documenti.
𝟳. 𝗨𝗻 𝗽𝗿𝗶𝗻𝗰𝗶𝗽𝗶𝗼 𝘀𝗲𝗺𝗽𝗹𝗶𝗰𝗲, 𝗺𝗮 𝘀𝗽𝗲𝘀𝘀𝗼 𝗱𝗶𝗺𝗲𝗻𝘁𝗶𝗰𝗮𝘁𝗼.
La vicenda dei documenti d’identità nelle strutture ricettive dimostra ancora una volta che 𝗮𝗱𝗲𝗺𝗽𝗶𝗺𝗲𝗻𝘁𝗼 𝗱𝗶 𝘂𝗻 𝗼𝗯𝗯𝗹𝗶𝗴𝗼 𝗱𝗶 𝗹𝗲𝗴𝗴𝗲 𝗲 𝘁𝗿𝗮𝘁𝘁𝗮𝗺𝗲𝗻𝘁𝗼 𝗶𝗻𝗱𝗶𝘀𝗰𝗿𝗶𝗺𝗶𝗻𝗮𝘁𝗼 𝗱𝗲𝗶 𝗱𝗮𝘁𝗶 𝗻𝗼𝗻 𝘀𝗼𝗻𝗼 𝘀𝗶𝗻𝗼𝗻𝗶𝗺𝗶.
Il fatto che una struttura debba identificare il proprio cliente non significa che possa conservare indefinitamente tutto ciò che è contenuto nel suo documento.
La domanda corretta, alla luce del GDPR, dovrebbe essere sempre:
𝗤𝘂𝗮𝗹𝗲 𝗱𝗮𝘁𝗼 𝗱𝗲𝘃𝗼 𝘁𝗿𝗮𝘁𝘁𝗮𝗿𝗲? 𝗣𝗲𝗿 𝗾𝘂𝗮𝗹𝗲 𝗳𝗶𝗻𝗮𝗹𝗶𝘁𝗮̀? 𝗦𝘂 𝗾𝘂𝗮𝗹𝗲 𝗯𝗮𝘀𝗲 𝗴𝗶𝘂𝗿𝗶𝗱𝗶𝗰𝗮? 𝗣𝗲𝗿 𝗾𝘂𝗮𝗻𝘁𝗼 𝘁𝗲𝗺𝗽𝗼? 𝗘 𝗽𝗲𝗿𝗰𝗵𝗲́ 𝗲̀ 𝗻𝗲𝗰𝗲𝘀𝘀𝗮𝗿𝗶𝗼 𝗰𝗼𝗻𝘀𝗲𝗿𝘃𝗮𝗿𝗹𝗼?
Se a queste domande non corrisponde una risposta giuridicamente fondata, la conservazione del dato rischia di diventare eccedente rispetto alla finalità perseguita.
𝟴. 𝗟𝗮 𝗿𝗲𝘀𝗽𝗼𝗻𝘀𝗮𝗯𝗶𝗹𝗶𝘁𝗮̀ 𝗱𝗲𝗹 𝘁𝗶𝘁𝗼𝗹𝗮𝗿𝗲 𝗱𝗲𝗹 𝘁𝗿𝗮𝘁𝘁𝗮𝗺𝗲𝗻𝘁𝗼.
Per le strutture ricettive questo significa che la conformità privacy non può essere affidata esclusivamente al software utilizzato per il check-in.
Occorre una vera politica interna di gestione dei dati:
𝗽𝗿𝗼𝗰𝗲𝗱𝘂𝗿𝗲 → 𝗶𝘀𝘁𝗿𝘂𝘇𝗶𝗼𝗻𝗶 𝗮𝗹 𝗽𝗲𝗿𝘀𝗼𝗻𝗮𝗹𝗲 → 𝗰𝗼𝗻𝗳𝗶𝗴𝘂𝗿𝗮𝘇𝗶𝗼𝗻𝗲 𝗱𝗲𝗶 𝘀𝗶𝘀𝘁𝗲𝗺𝗶 → 𝘁𝗲𝗺𝗽𝗶 𝗱𝗶 𝗰𝗮𝗻𝗰𝗲𝗹𝗹𝗮𝘇𝗶𝗼𝗻𝗲 → 𝘀𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮 → 𝗴𝗲𝘀𝘁𝗶𝗼𝗻𝗲 𝗱𝗲𝗶 𝗳𝗼𝗿𝗻𝗶𝘁𝗼𝗿𝗶 → 𝗴𝗲𝘀𝘁𝗶𝗼𝗻𝗲 𝗱𝗲𝗴𝗹𝗶 𝗲𝘃𝗲𝗻𝘁𝘂𝗮𝗹𝗶 𝗱𝗮𝘁𝗮 𝗯𝗿𝗲𝗮𝗰𝗵.
E, soprattutto, occorre evitare che una procedura nata magari per semplificare il check-in — come fotografare una carta d’identità con il cellulare — produca un archivio di dati personali che la normativa non impone di creare.
𝗜𝗻 𝗰𝗼𝗻𝗰𝗹𝘂𝘀𝗶𝗼𝗻𝗲.
L’identificazione dell’ospite è un obbligo previsto dalla normativa di pubblica sicurezza.
𝗟𝗮 𝗰𝗼𝗻𝘀𝗲𝗿𝘃𝗮𝘇𝗶𝗼𝗻𝗲 𝗱𝗲𝗹𝗹𝗮 𝗰𝗼𝗽𝗶𝗮 𝗱𝗲𝗹 𝘀𝘂𝗼 𝗱𝗼𝗰𝘂𝗺𝗲𝗻𝘁𝗼 𝗱’𝗶𝗱𝗲𝗻𝘁𝗶𝘁𝗮̀, 𝗶𝗻𝘃𝗲𝗰𝗲, 𝗻𝗼𝗻 𝗱𝗶𝘀𝗰𝗲𝗻𝗱𝗲 𝗮𝘂𝘁𝗼𝗺𝗮𝘁𝗶𝗰𝗮𝗺𝗲𝗻𝘁𝗲 𝗱𝗮 𝘁𝗮𝗹𝗲 𝗼𝗯𝗯𝗹𝗶𝗴𝗼.
Il principio di minimizzazione impone di limitare il trattamento a quanto necessario per la finalità perseguita e il principio di sicurezza impone di proteggere adeguatamente i dati che vengono trattati.
Per alberghi, B&B, affittacamere, case vacanze e altre strutture ricettive, la corretta gestione del documento d’identità rappresenta quindi un tema nel quale 𝗻𝗼𝗿𝗺𝗮𝘁𝗶𝘃𝗮 𝗱𝗶 𝗽𝘂𝗯𝗯𝗹𝗶𝗰𝗮 𝘀𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮 𝗲 𝗚𝗗𝗣𝗥 𝗱𝗲𝘃𝗼𝗻𝗼 𝗲𝘀𝘀𝗲𝗿𝗲 𝗮𝗽𝗽𝗹𝗶𝗰𝗮𝘁𝗶 𝗰𝗼𝗻𝗴𝗶𝘂𝗻𝘁𝗮𝗺𝗲𝗻𝘁𝗲, senza confondere l'obbligo di identificazione con un generico diritto di conservare copie dei documenti degli ospiti.
𝗙𝗼𝗻𝘁𝗶: art. 109 TULPS; artt. 5, 6, 28, 32, 33 e 34 Regolamento (UE) 2016/679; decreto Ministero dell’Interno 7 gennaio 2013, come modificato dal decreto 16 settembre 2021; provvedimenti Garante Privacy n. 295 del 18 ottobre 2012 e n. 300 dell’8 luglio 2021; comunicato Garante Privacy del 13 agosto 2025.
