Gli hotel non possono conservare copia dei documenti di identità degli ospiti oltre il tempo strettamente necessario alla comunicazione alle autorità di pubblica sicurezza. La base giuridica del trattamento non è il consenso dell’interessato ma l’obbligo legale ex art. 6, par. 1, lett. c) del GDPR, e questo delimita rigidamente finalità e durata della conservazione. Chi assiste strutture ricettive o subisce un trattamento illecito dei propri dati dispone di strumenti di reclamo al Garante e di azione risarcitoria ai sensi dell’art. 82 GDPR.
Punti chiave
- Gli hotel devono comunicare i dati degli ospiti alla PS, non archiviare copie dei documenti.
- La conservazione oltre il necessario viola l’art. 5, par. 1, lett. e) GDPR sul principio di limitazione della conservazione.
- Il risarcimento del danno per trattamento illecito è azionabile ex art. 82 GDPR davanti al giudice ordinario.
Se assisti strutture ricettive o ricevi mandato da un cliente che ha subito un furto d’identità dopo un soggiorno in hotel, la posizione del Garante Privacy pubblicata nelle scorse settimane ti fornisce una base solida sia per la consulenza preventiva sia per l’azione risarcitoria. La prassi diffusa di scansionare e archiviare i documenti degli ospiti non è una zona grigia: è una violazione accertata e sanzionabile.
Il Garante per la protezione dei dati personali ha ribadito in una nota recente che gli albergatori sono tenuti a comunicare i dati degli ospiti alle autorità di pubblica sicurezza, non a conservarne copia oltre tale adempimento. La notizia, ripresa da Agenda Digitale, evidenzia la distanza persistente tra regole note e prassi operative, con ricadute concrete sul rischio di furto d’identità e frodi digitali a danno degli ospiti.
Il contesto normativo
L’obbligo di comunicazione alle autorità di pubblica sicurezza deriva dall’art. 109 del TULPS (R.D. 18 giugno 1931, n. 773) e dal D.M. 7 gennaio 2013, che disciplina la trasmissione telematica dei dati al portale Alloggiati Web della Polizia di Stato. Questo adempimento costituisce la base giuridica del trattamento ai sensi dell’art. 6, par. 1, lett. c) del Regolamento UE 2016/679 (GDPR): obbligo legale, non consenso. Proprio per questo, il trattamento non può estendersi oltre la finalità che lo legittima.
Il principio di limitazione della conservazione, sancito dall’art. 5, par. 1, lett. e) GDPR, impone che i dati personali siano conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità. Trattenere la scansione del documento dopo la trasmissione alla PS viola questo principio in modo diretto. Il Garante ha già irrogato sanzioni a strutture ricettive per condotte analoghe, e l’art. 83, par. 4 GDPR prevede sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per violazioni dei principi base del trattamento.
Cosa cambia per lo studio
- Consulenza alle strutture ricettive: aggiorna o predisponi il registro dei trattamenti ex art. 30 GDPR del cliente albergatore, verificando che la voce relativa ai dati degli ospiti indichi come periodo di conservazione esclusivamente il tempo necessario alla trasmissione al portale Alloggiati Web, senza archiviazione residuale delle copie documentali.
- Revisione delle procedure operative: suggerisci al cliente di sostituire la scansione sistematica con la sola lettura ottica o inserimento manuale dei dati necessari alla comunicazione, eliminando il file immagine del documento subito dopo la trasmissione telematica.
- Azione risarcitoria per l’interessato leso: se il cliente è invece un ospite danneggiato, l’art. 82 GDPR consente di agire davanti al giudice ordinario per il risarcimento del danno materiale e immateriale derivante dal trattamento illecito; il titolare deve provare di non essere responsabile, con inversione dell’onere probatorio.
- Reclamo al Garante: in alternativa o in parallelo all’azione giudiziaria, il cliente leso può presentare reclamo al Garante ex art. 77 GDPR; considera questa strada quando il danno patrimoniale è difficile da quantificare ma la violazione è palese e documentabile.
- Data breach: se la struttura ricettiva subisce un attacco informatico con esfiltrazione delle copie dei documenti illegittimamente conservate, scatta l’obbligo di notifica al Garante entro 72 ore ex art. 33 GDPR e, nei casi gravi, la comunicazione agli interessati ex art. 34 GDPR. Assisti il cliente nella valutazione della soglia di rischio prima che scada il termine.
Attenzione a
Confondere la base giuridica con il consenso. Alcuni albergatori inseriscono nel modulo di check-in una clausola con cui l’ospite «acconsente» alla conservazione della copia del documento. Questo consenso non vale: quando il trattamento si fonda su obbligo legale, il consenso è irrilevante come base autonoma e non può ampliare le finalità oltre quanto la norma consente. Una clausola del genere nel contratto di ospitalità è potenzialmente nulla e fuorviante per l’interessato.
Sottovalutare il rischio reputazionale e penale. La conservazione prolungata di documenti d’identità in archivi non protetti espone la struttura non solo alle sanzioni amministrative del GDPR, ma anche a responsabilità penali in caso di accesso abusivo da parte di terzi che usino quei dati per commettere frodi. Il legale del gestore deve considerare anche il profilo della responsabilità ex D.Lgs. 231/2001 se la struttura è una società dotata di modello organizzativo.
Domande frequenti
Quanto tempo può conservare i dati degli ospiti un hotel secondo il GDPR?
L’hotel può trattare i dati degli ospiti per il tempo strettamente necessario alla trasmissione al portale Alloggiati Web della Polizia di Stato, come previsto dal D.M. 7 gennaio 2013. Dopo la comunicazione, non sussiste base giuridica per conservare copia del documento d’identità. Il principio di limitazione della conservazione ex art. 5, par. 1, lett. e) GDPR impone la cancellazione immediata dei dati eccedenti quella finalità.
Come si può fare causa a un hotel per conservazione illegittima dei documenti degli ospiti?
L’interessato può agire davanti al giudice ordinario ex art. 82 GDPR per ottenere il risarcimento del danno materiale e immateriale. L’onere della prova è invertito: spetta al titolare del trattamento dimostrare di non essere responsabile della violazione. In parallelo è possibile presentare reclamo al Garante Privacy ex art. 77 GDPR, che può irrogare sanzioni amministrative fino al 2% del fatturato annuo mondiale.
Un hotel può chiedere il consenso dell’ospite per fotocopiare il documento d’identità?
No. Quando il trattamento si fonda su un obbligo legale — come la comunicazione alla Pubblica Sicurezza ex art. 109 TULPS — il consenso non costituisce una base giuridica alternativa né può ampliare le finalità del trattamento. Una clausola contrattuale che richieda il consenso alla conservazione della copia è giuridicamente inefficace e potenzialmente ingannevole per l’interessato ai sensi del GDPR.
Fonte di riferimento: AgendaDigitale