Il gestore di una struttura ricettiva può raccogliere i dati del documento d’identità dell’ospite solo nella misura strettamente necessaria all’adempimento dell’obbligo di comunicazione alla Questura ex art. 109 TULPS. Fotocopiare o scansionare integralmente il documento è illecito salvo casi eccezionali documentati. Il trattamento eccedente espone il titolare a sanzioni fino a 20 milioni di euro o al 4% del fatturato globale annuo ai sensi dell’art. 83 GDPR.
Punti chiave
- Punto 1 — Il gestore può rilevare solo i dati imposti dall’art. 109 TULPS, non l’intero documento.
- Punto 2 — La fotocopia sistematica del documento d’identità viola il principio di minimizzazione del GDPR.
- Punto 3 — Sanzioni fino a 20 milioni di euro o 4% del fatturato per trattamenti eccedenti lo scopo legale.
Se assisti alberghi, B&B, case vacanza o strutture ricettive in genere, hai ora un riferimento ufficiale da portare ai tuoi clienti: il Garante Privacy ha fatto chiarezza su cosa possono raccogliere i gestori quando un ospite si presenta al check-in. La linea è netta — raccogliere più dati di quanti ne richieda la legge espone il titolare del trattamento a contestazioni concrete, non teoriche.
Il Garante per la protezione dei dati personali ha pubblicato un chiarimento operativo sulle regole applicabili alla raccolta dei documenti d’identità nelle strutture ricettive, specificando i limiti del trattamento consentito. La notizia è riportata da Diritto.it.
Il contesto normativo
L’obbligo di comunicazione dei dati degli ospiti alle autorità di pubblica sicurezza trova la sua base nell’art. 109 del R.D. 18 giugno 1931, n. 773 (TULPS), che impone ai gestori di strutture ricettive di comunicare alla Questura le generalità delle persone alloggiate. Il dato rilevante è che la norma individua categorie specifiche di informazioni — non impone la riproduzione integrale del documento.
Sul versante privacy, il trattamento deve rispettare il principio di minimizzazione dei dati sancito dall’art. 5, par. 1, lett. c) del Regolamento UE 2016/679 (GDPR), nonché il principio di limitazione della finalità ex art. 5, par. 1, lett. b). Raccogliere dati ulteriori rispetto a quelli richiesti dall’art. 109 TULPS — ad esempio scansionare o fotocopiare sistematicamente l’intero documento — non trova base giuridica nell’art. 6 GDPR e configura un trattamento illecito. Le sanzioni applicabili sono quelle dell’art. 83 GDPR: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, a seconda di quale importo sia più elevato.
Cosa cambia per lo studio
- Nei contratti di consulenza con strutture ricettive, verifica che il registro dei trattamenti ex art. 30 GDPR riporti correttamente la base giuridica per la raccolta dei dati degli ospiti: non il consenso, ma l’obbligo legale ex art. 6, par. 1, lett. c) GDPR combinato con l’art. 109 TULPS.
- La raccolta sistematica di fotocopie o scansioni del documento d’identità va eliminata dalla prassi operativa del cliente, salvo che ricorrano specifici obblighi normativi settoriali che la impongano espressamente (es. alcune normative antiriciclaggio per strutture con casino o exchange).
- L’informativa privacy da consegnare all’ospite al check-in deve indicare con precisione la finalità (adempimento obbligo TULPS), la base giuridica, il destinatario dei dati (Questura territorialmente competente) e il periodo di conservazione, allineato ai soli tempi necessari all’adempimento.
- Se il cliente gestisce strutture in franchising o catene alberghiere, la verifica deve estendersi alle istruzioni operative impartite dal franchisor: responsabilità concorrenti tra titolare e contitolare del trattamento ex art. 26 GDPR sono tutt’altro che rare in questo settore.
- In caso di ispezione del Garante, la struttura ricettiva deve essere in grado di dimostrare — con documentazione — che raccoglie solo i dati strettamente necessari. Predisponi un semplice log o procedura scritta che il personale di front-desk possa seguire.
Attenzione a
Il rischio più frequente è confondere l’obbligo di identificazione dell’ospite con la facoltà di conservare una copia del documento. Identificare non equivale a riprodurre: il personale può verificare il documento e trascrivere i dati richiesti dal TULPS senza trattenerlo o scansionarlo. Clienti che hanno adottato software gestionali con funzione di scansione automatica dei documenti devono verificare se tale funzione è attivata per default e, in caso affermativo, disattivarla o limitarla ai casi consentiti.
Secondo rischio: conservare i dati degli ospiti oltre il tempo necessario all’adempimento verso la Questura, spesso per finalità di marketing o CRM. Questo cumulo di finalità richiede una base giuridica autonoma — tipicamente il consenso ex art. 6, par. 1, lett. a) GDPR — che deve essere raccolta separatamente, in modo libero e specifico, prima di qualsiasi utilizzo commerciale dei dati.
Domande frequenti
Un albergo può fotocopiare il documento d’identità degli ospiti?
No, salvo specifici obblighi normativi settoriali. Il principio di minimizzazione ex art. 5, par. 1, lett. c) GDPR impone di raccogliere solo i dati necessari all’adempimento dell’art. 109 TULPS. La fotocopia sistematica del documento supera tale limite e configura un trattamento illecito, sanzionabile fino a 20 milioni di euro o al 4% del fatturato globale annuo.
Qual è la base giuridica per il trattamento dei dati degli ospiti in una struttura ricettiva?
La base giuridica corretta è l’adempimento di un obbligo legale ex art. 6, par. 1, lett. c) GDPR, combinato con l’art. 109 TULPS che impone la comunicazione delle generalità degli ospiti alla Questura. Non serve il consenso dell’ospite per questa finalità. Il consenso va invece raccolto separatamente se si intende usare i dati per finalità di marketing o CRM.
Per quanto tempo una struttura ricettiva può conservare i dati degli ospiti?
La conservazione deve essere limitata al tempo strettamente necessario all’adempimento verso la Questura. Qualsiasi conservazione prolungata per finalità diverse — fidelizzazione, marketing, analisi commerciale — richiede una base giuridica autonoma, generalmente il consenso libero e specifico dell’ospite, e deve essere indicata in una informativa separata e trasparente.
Fonte di riferimento: Diritto.it