Basta tenere fotocopie e fotografie della carta d’identità dei clienti. Il Garante della privacy si rivolge a hotel, b&b e altre strutture alberghiere ricordando le regole.
Continua a essere una prassi diffusa tra le strutture ricettive fotografare o fotocopiare i documenti di identità dei clienti per velocizzare le procedure di check-in, eppure non è corretto. L’esposizione dei dati sensibili degli ospiti alle violazioni informatiche è un rischio troppo elevato, che supera ampiamente le finalità. La legge, infatti, obbliga hotel, b&b e strutture analoghe a identificare gli ospiti e a trasmettere la relativa comunicazione all’autorità di pubblica sicurezza, ma vale sempre il principio di minimizzazione dei dati.
Non è richiesto, né è necessario conservare copie delle carte di identità in formato cartaceo o digitale, pertanto deve essere evitato, soprattutto visti i pericoli per la clientela. Il Gdpr (Regolamento generale sulla protezione dei dati) prevede multe molto salate per le violazioni dei dati personali di questo tipo, anche superiori a 20 milioni di euro, sebbene come approfondiremo è difficile che venga comminata la sanzione massima. Insomma, la regola è più che consolidata, eppure moltissime strutture alberghiere sul territorio italiano continuano a conservare immagini dei documenti o a chiedere direttamente l’invio di foto della carta di identità su Whatsapp e mezzi analoghi.
Viaggiando in Italia è facile accorgersene, ma anche un semplice viaggio virtuale in forum e gruppi social di gestori o ospiti mette in luce chiaramente la distorsione. Le violazioni sono diventate quasi sistematiche, tant’è che di recente il Garante della privacy è intervenuto ufficialmente diramando una nota alle associazioni di categoria per richiamare il rispetto delle regole. Cerchiamo quindi di fare chiarezza.
Le regole per hotel e b&b
Il Garante della privacy ha spiegato chiaramente che non è possibile conservare copie dei documenti di identità degli ospiti oltre il tempo strettamente necessario alla comunicazione dei dati alle autorità, come richiesto dalla legge. Un obbligo che non permette affatto di trattenere fotocopie cartacee o immagini digitali, che devono essere distrutti tempestivamente dopo aver completato l’adempimento. La comunicazione alle autorità deriva per l’appunto da ragioni di pubblica sicurezza, assicurando che le forze dell’ordine possano conoscere le generalità degli ospiti e il luogo in cui si trovano in caso di necessità.
Chiaramente, ciò legittima le strutture a trattare i dati personali dei clienti, ma nel minimo indispensabile. In particolare, è necessario identificare gli ospiti (per le famiglie e i gruppi è sufficiente una persona maggiorenne rappresentante, che dovrà indicare i dati di tutti i presenti e i giorni di permanenza) verificando la corrispondenza con il documento di identità fornito, nei limiti di quanto possibile. I dati devono poi essere trasmessi al ministero dell’Interno, mediante l’inserimento manuale sul portale “Alloggiati Web” oppure usufruendo di appositi sistemi automatizzati.
Non appena arriva la ricevuta telematica di trasmissione bisogna distruggere copie cartacee e cancellare quelle digitali, come ad esempio registri e simili. Di conseguenza, il cliente può fornire una copia del proprio documento o lasciarlo in reception se vuole (o può anche pretendere di restare durante la compilazione dei dati), ma tutte le copie dovranno essere trattenute il meno possibile. Le copie digitali sono ammesse soltanto con sistemi automatizzati appositi, sicuri e conformi alla legge. Di fatto, il Garante vieta espressamente le foto con dispositivi mobili e l’invio con servizi di messaggistica istantanea come Whatsapp. Le strutture devono quindi accertarsi di:
- formare adeguatamente il personale;
- informare i clienti sul trattamento dei dati personali e l’eventuale acquisizione di copie, assicurando la rimozione;
- cancellare ogni copia digitale e distruggere le cartacee dopo la conferma di invio dei dati all’autorità;
- informare il Garante entro 72 ore da eventuali violazioni;
- conservare la ricevuta per almeno 5 anni.
Multe per fotografie e fotocopie delle carte d’identità dei clienti
Il mancato rispetto delle regole espone le strutture a multe fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato annuo, con prevalenza del valore superiore. Le sanzioni, tuttavia, devono sempre essere pertinenti e proporzionate, motivo per cui un b&b difficilmente riceverà una multa milionaria per una singola foto alla carta di identità di un cliente. Lo ha confermato più volte la Corte di Cassazione, invitando le autorità a comminare le sanzioni rispettandone le finalità e soprattutto l’intenzionalità, la durata della violazione, la cooperazione dell’azienda e eventuali precedenti.
Ciò comunque non significa che ci sia tolleranza rispetto alle violazioni, né che le multe siano automaticamente ridotte. Soltanto nel 2025, per esempio, diverse società hanno ricevuto multe superiori a 500.000 euro. Insieme alla sanzione pecuniaria, peraltro, sono previsti anche richiami, obblighi di monitoraggio e sospensioni dell’attività nei casi più gravi. Gli ospiti potrebbero inoltre avere diritto a un risarcimento dei danni procurati dalla violazione.
