GDPR per hotel e affitti brevi: come trattare i dati degli ospiti al check-in senza guai

Ogni volta che un ospite ti consegna la carta d’identità, diventi titolare di un dato che non è tuo. E la legge ti tratta come tale. Il check-in è il momento in cui una struttura ricettiva raccoglie più dati personali, ed è anche quello in cui è più facile sbagliare.

La buona notizia: il GDPR non ti vieta di chiedere il documento. Ti obbliga a chiederlo bene.

Hai una base giuridica, ma solo per quello che serve

Qui ci sono due trattamenti distinti e conviene non mescolarli.

Il primo è la comunicazione degli ospiti alla Questura. Trasmettere le generalità dell’ospite tramite Alloggiati Web non richiede il suo consenso: è un obbligo di legge (articolo 6.1.c del GDPR), imposto dall’art. 109 del TULPS. L’ospite non può rifiutarsi e tu non puoi non farlo.

Il secondo è tutto il resto: mandargli offerte, iscriverlo alla tua newsletter, conservare la carta per prenotazioni future. Questo non rientra nell’obbligo di legge. Ti serve un’altra base —di solito il suo consenso— e non puoi nasconderla dentro il modulo di check-in. Mescolare le due cose è uno degli errori che il Garante contesta con più frequenza.

Chiedi il giusto, nemmeno un campo in più

Il principio di minimizzazione (articolo 5.1.c) dice qualcosa di semplice: solo i dati necessari alla finalità. La schedina alloggiati definisce cosa ti serve —cognome e nome, data e luogo di nascita, cittadinanza, estremi del documento e poco altro—. Se il tuo modulo chiede la professione dell’ospite «per sicurezza», è di troppo.

Guardare il documento per verificare l’identità è legittimo. Conservarne una copia a tempo indeterminato «per averne traccia» non lo è.

Trasmesso e ricevuto: poi si cancella

Il Garante per la protezione dei dati personali lo ha messo nero su bianco nella nota del 29 aprile 2026: l’obbligo di comunicazione alla Questura non giustifica l’archiviazione di copie dei documenti. Una volta disponibile la ricevuta della comunicazione, i dati trasmessi per quella finalità e le copie strumentali vanno cancellati. Quello che conservi è la ricevuta giornaliera di Alloggiati Web, per cinque anni.

Le altre finalità seguono ciascuna la propria strada: il contratto di soggiorno, l’imposta di soggiorno o il marketing hanno la propria base giuridica e il proprio termine di conservazione. Non puoi usare la schedina come scusa per tenere tutto.

L’errore tipico non è conservare un mese di troppo. È non cancellare mai. Un archivio con copie di passaporti del 2019 è un passivo, non un attivo: se ti entrano nel sistema, esponi ex ospiti che non dovrebbero nemmeno più essere lì.

Sicurezza: il dato sensibile viaggia in rete

Raccogliere documenti online significa che numeri di passaporto e volti circolano in rete. L’articolo 32 ti chiede misure «adeguate»: cifratura in transito e a riposo, controllo su chi accede, e un fornitore che non usi quei documenti per addestrare nulla né li giri a terzi senza contratto. Quel fornitore, tra l’altro, tratta i dati per conto tuo come responsabile del trattamento: serve un accordo scritto.

Se la verifica include un selfie biometrico, si sale di un gradino: i dati biometrici usati per identificare una persona sono categoria particolare (articolo 9). Dovrebbero servire solo a confermare l’identità in quel momento e sparire subito dopo, non restare archiviati.

Cosa dovresti controllare questa settimana

• Il tuo modulo di check-in separa l’obbligatorio (schedina) dal facoltativo (marketing)?
• Hai un’informativa chiara —chi sei, per cosa tratti i dati, per quanto li conservi— collegata nel momento in cui li raccogli?
• Cancelli davvero i dati della schedina una volta archiviata la ricevuta, o lo dici soltanto?
• Il tuo strumento cifra i documenti e limita l’accesso?

La schedina alloggiati e il GDPR non sono in conflitto. Quello che si scontra con la legge è raccogliere di più, conservare di più e non dirlo. Se automatizzi la comunicazione ad Alloggiati Web con uno strumento che applica questi limiti per impostazione predefinita, essere in regola smette di dipendere dal fatto che qualcuno se ne ricordi.