Con una nota di chiarimento ufficiale emanata il 29 aprile 2026, il Garante per la protezione dei dati personali ha fornito precise direttive alle associazioni di categoria del settore ricettivo (alberghi, B&B, case vacanze e affittacamere). Il provvedimento mira a porre fine alla prassi, sempre più diffusa ma illegittima, di richiedere, fotografare e conservare le copie dei documenti d’identità degli ospiti tramite dispositivi mobili o servizi di messaggistica istantanea come WhatsApp ed e-mail.
L’intervento si è reso necessario a causa del sensibile aumento di violazioni di sistemi informatici (data breach) nel settore extralberghiero, che hanno causato la diffusione illecita di dati sensibili e incrementato il rischio di furti d’identità.
𝐋’𝐨𝐛𝐛𝐥𝐢𝐠𝐨 𝐝𝐢 𝐢𝐝𝐞𝐧𝐭𝐢𝐟𝐢𝐜𝐚𝐳𝐢𝐨𝐧𝐞: 𝐜𝐨𝐬𝐚 𝐩𝐫𝐞𝐯𝐞𝐝𝐞 𝐥𝐚 𝐥𝐞𝐠𝐠𝐞
Il Garante ha ricordato che i gestori delle strutture ricettive hanno il dovere legale di identificare i propri ospiti. Tale obbligo è sancito dall’articolo 109 del TULPS (Testo Unico delle Leggi di Pubblica Sicurezza), il quale impone di trasmettere le generalità degli alloggiati all’autorità di pubblica sicurezza entro le tempistiche di legge.
Questa procedura risponde esclusivamente a finalità di ordine e sicurezza pubblica (come confermato dalla Corte Costituzionale con la storica sentenza n. 144/1970). La trasmissione dei dati deve avvenire per via telematica tramite il portale ministeriale “Alloggiati Web”, in modo manuale o attraverso i sistemi gestionali certificati della struttura.
𝐀𝐟𝐟𝐢𝐭𝐭𝐢 𝐛𝐫𝐞𝐯𝐢 𝐞 𝐩𝐫𝐢𝐯𝐚𝐜𝐲: 𝐢𝐥 𝐆𝐚𝐫𝐚𝐧𝐭𝐞 𝐢𝐦𝐩𝐨𝐧𝐞 𝐥𝐚 𝐜𝐚𝐧𝐜𝐞𝐥𝐥𝐚𝐳𝐢𝐨𝐧𝐞 𝐢𝐦𝐦𝐞𝐝𝐢𝐚𝐭𝐚 𝐝𝐞𝐥𝐥𝐞 𝐟𝐨𝐭𝐨 𝐝𝐞𝐢 𝐝𝐨𝐜𝐮𝐦𝐞𝐧𝐭𝐢 𝐝’𝐢𝐝𝐞𝐧𝐭𝐢𝐭𝐚̀ 𝐢𝐧𝐯𝐢𝐚𝐭𝐞 𝐬𝐮 𝐖𝐡𝐚𝐭𝐬𝐀𝐩𝐩 𝐨 𝐞𝐦𝐚𝐢𝐥
Il divieto di conservazione: i documenti vanno distrutti subito
Il chiarimento fondamentale del Garante risiede nella gestione della copia del documento (cartacea o digitale) dopo la trasmissione dei dati alla Polizia di Stato:
• 𝐂𝐚𝐧𝐜𝐞𝐥𝐥𝐚𝐳𝐢𝐨𝐧𝐞 𝐢𝐦𝐦𝐞𝐝𝐢𝐚𝐭𝐚: una volta inseriti i dati dell’ospite nel portale “Alloggiati Web”, la struttura ricettiva non ha alcun diritto di trattenere la copia o la fotografia del documento d’identità. Qualsiasi file inviato tramite WhatsApp, e-mail o conservato nella galleria dello smartphone del gestore deve essere eliminato o distrutto immediatamente.
• 𝐂𝐨𝐬𝐚 𝐜𝐨𝐧𝐬𝐞𝐫𝐯𝐚 𝐥𝐚 𝐬𝐭𝐫𝐮𝐭𝐭𝐮𝐫𝐚: gli unici dati che il gestore è autorizzato (e obbligato) a conservare sono le ricevute digitali che attestano l’avvenuta comunicazione al portale ministeriale, le quali vanno custodite per un periodo di cinque anni.
Nota sulla sicurezza: la raccolta di file digitali contenenti documenti d’identità su canali non protetti (come le chat di messaggistica) espone i titolari delle strutture a pesanti sanzioni. I gestori sono configurati come “titolari del trattamento dati” e, in caso di violazione della sicurezza, hanno l’obbligo di notificare l’evento al Garante entro 72 ore e, nei casi più gravi, di informare tempestivamente i clienti coinvolti.
𝐂𝐨𝐬𝐚 𝐬𝐢𝐠𝐧𝐢𝐟𝐢𝐜𝐚 𝐪𝐮𝐞𝐬𝐭𝐨 𝐩𝐞𝐫 𝐢𝐥 𝐜𝐨𝐧𝐬𝐮𝐦𝐚𝐭𝐨𝐫𝐞?
Quando si prenota un soggiorno o un affitto breve (locazione inferiore a 30 giorni), il cliente è tenuto a mostrare un documento d’identità valido per la registrazione obbligatoria.
Tuttavia, alla luce delle nuove disposizioni, il consumatore ha il pieno diritto di esigere che la riproduzione digitale o fotostatica del proprio documento non venga archiviata nei dispositivi privati del gestore e che eventuali file trasmessi per check-in automatizzati vengano rimossi subito dopo la verifica della sua identità.
“𝑰𝒏𝒇𝒐𝒓𝒎𝒂𝒕𝒊𝒗𝒂 𝒓𝒆𝒂𝒍𝒊𝒛𝒛𝒂𝒕𝒂 𝒏𝒆𝒍𝒍’𝒂𝒎𝒃𝒊𝒕𝒐 𝒅𝒆𝒍 𝒑𝒓𝒐𝒈𝒓𝒂𝒎𝒎𝒂 𝒅𝒆𝒍𝒍𝒂 𝑹𝒆𝒈𝒊𝒐𝒏𝒆 𝑳𝒐𝒎𝒃𝒂𝒓𝒅𝒊𝒂 𝒄𝒐𝒏 𝒇𝒐𝒏𝒅𝒊 𝑴𝑰𝑴𝑰𝑻 – 𝑫𝑴 31/07/2024 𝒆 𝑫𝑫 14/2/2025”
