Copiare la carta d'identità in reception: cosa dice il Garante e come fare la schedina

Chiedere la carta d’identità in reception è routine. Fotocopiarla o scattarle una foto «per averne traccia» lo è altrettanto, in tante strutture. Ed è proprio qui il problema: quell’abitudine così diffusa è esattamente ciò che il Garante per la protezione dei dati personali ha detto di smettere di fare, con il GDPR che prevede sanzioni fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo.

Non è una questione teorica. Il Garante lo ha messo per iscritto in una nota che riguarda direttamente chi ospita.

Cosa dice il Garante: verificare sì, copiare no

La chiave sta in una distinzione che quasi nessuno fa: una cosa è verificare l’identità, un’altra molto diversa è conservare una copia del documento.

Nella nota del 29 aprile 2026 il Garante lo riassume così: l’obbligo di comunicare gli ospiti alla Questura non giustifica l’archiviazione di copie dei documenti. Una volta disponibile la ricevuta della comunicazione, i dati trasmessi per quella finalità e le copie strumentali vanno cancellati. Conservarle in modo sistematico e senza una base che lo giustifichi viola il principio di minimizzazione dei dati (articolo 5.1.c del GDPR): puoi trattare solo i dati strettamente necessari alla finalità, nemmeno uno in più.

E per identificare un ospite non ti serve un’immagine della sua carta d’identità archiviata in un cassetto o in una cartella del computer. Ti basta guardarlo, confrontarlo con il documento e annotare i dati che la legge ti obbliga a trasmettere.

Cosa rischi davvero

Il Garante non si limita a raccomandare. Può ordinarti di cancellare i dati raccolti senza base giuridica e, nei casi più gravi, applicare le sanzioni previste dal GDPR: fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo, a seconda di quale sia più alto.

Non serve arrivare a quelle cifre perché faccia male. Un’istruttoria, l’ordine di cancellare un archivio intero e la comunicazione agli ospiti coinvolti bastano a rovinare la stagione a una struttura piccola. E la dimensione non protegge: il Garante guarda la pratica, non il fatturato.

«Ma io devo comunicare gli ospiti alla Questura»

Qui si mescolano due cose che non sono la stessa, e conviene separarle con cura.

Sì: l’art. 109 del TULPS ti obbliga a raccogliere le generalità degli ospiti e a comunicarle alla Questura tramite Alloggiati Web, entro le 24 ore dall’arrivo (6 ore per i soggiorni non superiori a 24 ore). È un obbligo di legge e non ti serve il consenso dell’ospite per adempiere.

Ma quell’obbligo ti chiede i dati —cognome e nome, data e luogo di nascita, cittadinanza, tipo, numero e luogo di rilascio del documento— non un’immagine del documento. Trascrivere gli estremi della carta d’identità nella schedina alloggiati è obbligatorio. Conservarne la fotocopia non lo è, ed è proprio quello che ti può costare il provvedimento.

L’obbligo di identificare l’ospite di persona, confrontandolo con il documento, resta tutto. Ma si esaurisce lì: verificato e trasmesso, il documento torna in tasca all’ospite e la copia non ha più motivo di esistere. Quello che conservi è la ricevuta giornaliera che Alloggiati Web rilascia per le schedine trasmesse, per cinque anni.

Detto in altro modo: la norma di pubblica sicurezza e il Garante non si contraddicono. Ti chiedono di trasmettere il dato e, insieme, di non tenerti copie che non ti servono.

Il rischio reale di quella cartella di fotocopie

Al di là del provvedimento, una cartella (fisica o digitale) piena di copie di documenti è un passivo silenzioso:

• Se ti entrano nel sistema o ti rubano un portatile, esponi documenti d’identità completi di centinaia di persone.
• Quelle copie tendono a restare «per sempre», ben oltre quanto qualsiasi finalità legittima possa giustificare.
• Un ospite ha il diritto di chiederti perché conservi il suo documento, e «non si sa mai» non è una risposta che regga davanti al Garante.

Il documento ideale è quello che non hai mai archiviato.

Come essere in regola senza fotocopie: l’approccio di HazCheckin

Con HazCheckin non devi scegliere tra rispettare l’obbligo di comunicazione e rispettare la protezione dei dati. Il flusso è pensato per entrambi:

• Verifica dell’identità senza archiviare il documento. L’ospite scansiona il documento nel check-in online —con la verifica con liveness quando serve— e tu confermi arrivo e identità di persona con un clic, senza finire con una fotocopia archiviata «non si sa mai».
• Solo i dati che chiede la legge. Si raccolgono esattamente i campi della schedina alloggiati, non un campo «per sicurezza» in più.
• Invio automatico ad Alloggiati Web. Dopo la tua conferma, le schedine vengono trasmesse al portale della Polizia di Stato con le credenziali del web service della tua struttura, senza che tu debba digitare nulla a mano.
• Cancellazione e sicurezza per impostazione predefinita. Cifratura, controllo degli accessi, ricevuta giornaliera archiviata per cinque anni e dati trasmessi cancellati una volta archiviata la ricevuta, come indica il Garante. HazCheckin opera come responsabile del trattamento per conto della tua struttura.

La pratica che il Garante contesta —fotocopiare o fotografare la carta d’identità— semplicemente smette di accadere, perché il sistema non ne ha bisogno per fare il suo lavoro.

In sintesi

Fotocopiare o fotografare la carta d’identità dei tuoi ospiti non è mai stato obbligatorio, e ora sai che può costarti caro. Quello che la legge ti chiede è verificare l’identità e trasmettere i dati alla Questura tramite Alloggiati Web, non collezionare copie dei documenti.

Se automatizzi il check-in con uno strumento che verifica l’identità e invia le schedine senza archiviare fotocopie, rispettare entrambe le norme smette di dipendere dalla memoria di chi è in reception. Guarda come lo facciamo nelle funzionalità di HazCheckin.