vietato conservare le foto dei documenti degli ospiti — idealista/news

Chi ha prenotato un appartamento o un B&B negli ultimi anni sa bene come funziona: qualche giorno prima del check-in arriva un messaggio su WhatsApp o via email con la richiesta di inviare una foto della propria carta d’identità. Una pratica diventata quasi routine, tanto da sembrare normale. Ma è davvero lecita?

La risposta del Garante per la Protezione dei Dati Personali è chiara: no, almeno non nelle modalità in cui questa pratica viene abitualmente svolta. Con una nota pubblicata il 29 aprile 2026 e indirizzata alle associazioni di categoria del settore ricettivo, l’Autorità ha fissato regole precise sulla gestione dei documenti degli ospiti, mettendo un freno a comportamenti diffusi ma in contrasto con la normativa sulla privacy.

L’obbligo di legge: identificare sì, ma con limiti precisi

Prima di tutto, va chiarito che l’identificazione degli ospiti è un obbligo di legge. L’articolo 109 del Testo Unico delle Leggi di Pubblica Sicurezza (TULPS, R.D. n. 773/1931) impone a chiunque gestisca una struttura ricettiva — albergo, B&B, casa vacanze, affittacamere — di comunicare le generalità degli ospiti all’autorità di pubblica sicurezza entro ventiquattro ore dall’arrivo. Se il soggiorno dura meno di ventiquattro ore, la comunicazione deve avvenire al momento stesso dell’arrivo.

Questo adempimento avviene per via telematica attraverso il portale “Alloggiati Web” della Polizia di Stato, nel quale vengono inseriti i dati identificativi della persona: nome, cognome, data e luogo di nascita, nazionalità, tipo e numero del documento.

Fin qui, tutto regolare. Il problema nasce da ciò che accade dopo: molti gestori conservano la copia del documento — la foto inviata su WhatsApp, la scansione via email, l’immagine salvata nella galleria dello smartphone — anche ben oltre il momento in cui i dati sono stati trasmessi alle autorità. Ed è proprio questo a essere illegittimo.

Perché conservare il documento viola la privacy

Il Garante lo spiega con chiarezza: la base giuridica che autorizza il trattamento dei dati dell’ospite è l’adempimento dell’obbligo di legge previsto dal TULPS. Una volta effettuata la

comunicazione ad Alloggiati Web, quella finalità è esaurita. Nessuna norma autorizza il gestore a tenere una copia del documento per altri scopi.

Entra qui in gioco il Regolamento Europeo sulla protezione dei dati (GDPR, Reg. UE 2016/679), che è la norma di riferimento in tutta l’Unione Europea. Due principi fondamentali del GDPR risultano violati dalla conservazione indebita dei documenti:

• il principio di minimizzazione (art. 5, par. 1, lett. c): devono essere trattati solo i dati strettamente necessari allo scopo. Una volta inseriti i dati nel portale, la copia del documento non ha altro scopo;
• il principio di limitazione della conservazione (art. 5, par. 1, lett. e): i dati personali non possono essere conservati più a lungo di quanto necessario per la finalità per cui sono stati raccolti.

In termini pratici: appena completata la comunicazione ad Alloggiati Web, qualsiasi copia del documento — fisica o digitale — deve essere immediatamente cancellata o distrutta.

I rischi concreti: furti d’identità e data breach

L’intervento del Garante non nasce da un’esigenza puramente formale. Il comunicato stampa del 29 aprile 2026 è stato provocato da un aumento significativo di segnalazioni e violazioni dei dati personali nel settore extralberghiero: smartphone rubati con decine di foto di documenti salvate in galleria, caselle email violate, archivi cloud non protetti. Situazioni che hanno portato alla diffusione illecita di dati sensibili e, in alcuni casi, a veri e propri furti d’identità.

Un documento d’identità, infatti, contiene una quantità di informazioni considerevole: nome, cognome, indirizzo, data e luogo di nascita, fotografia, numero e dati di rilascio del documento. Se questi dati finiscono in mani sbagliate, possono essere usati per aprire conti correnti, accendere finanziamenti o commettere frodi online a nome della vittima.

Sul piano giuridico, il gestore che subisce un evento del genere — furto dello smartphone, violazione della casella email, accesso abusivo al cloud — è tenuto a notificare il cosiddetto “data breach” al Garante entro settantadue ore dalla scoperta. Nei casi più gravi, deve anche informare direttamente gli ospiti coinvolti. L’omessa notifica costituisce autonoma violazione, ulteriormente sanzionabile.

Cosa può (e deve) conservare il gestore

Chiarito ciò che non si può fare, il Garante indica anche ciò che è obbligatorio conservare: la ricevuta digitale generata dal portale Alloggiati Web al momento della trasmissione dei dati. Questo documento attesta l’avvenuto adempimento dell’obbligo di legge e deve essere custodito per cinque anni, a disposizione in caso di controlli da parte delle autorità.

La ricevuta di Alloggiati Web, dunque, è l’unico documento concernente i dati dell’ospite che il gestore è autorizzato a conservare. Tutto il resto — la foto della carta d’identità, la scansione del passaporto, l’immagine inviata via email — deve essere cancellata appena i dati sono stati inseriti nel sistema.

Gli adempimenti per i gestori: cosa fare concretamente

La nota del Garante non è un semplice avviso: è un richiamo all’azione. I gestori di strutture ricettive devono adeguarsi e, soprattutto, essere in grado di dimostrarlo. È questo il cuore del principio di “accountability” previsto dal GDPR: non basta essere in regola, bisogna essere anche in grado di provarlo.

Sul piano operativo, ciò significa:

• aggiornare le procedure di check-in, prevedendo la cancellazione immediata di qualsiasi copia del documento dopo la comunicazione ad Alloggiati Web;
• formare il personale addetto alla reception e alla gestione degli ospiti, affinché conosca le regole e le applichi correttamente;
• vietare l’utilizzo di dispositivi personali per raccogliere o archiviare dati degli ospiti;
• aggiornare l’informativa privacy resa agli ospiti (ai sensi degli artt. 13-14 GDPR), specificando le finalità del trattamento e i tempi di conservazione;
• verificare e aggiornare il Registro delle attività di trattamento (art. 30 GDPR).

Le sanzioni: quanto si rischia

Le conseguenze per chi non rispetta queste regole possono essere molto pesanti. Il GDPR prevede sanzioni, anche importanti, a seconda del tipo di violazione. Si tratta di importi che possono essere significativi per un gestore individuale o una microimpresa.

Va ricordato, inoltre, che i danni reputazionali derivanti da un data breach possono essere ben più costosi delle sanzioni formali: la fiducia degli ospiti, una volta persa, difficilmente si recupera.

Conclusioni: una regola di buon senso, prima ancora che giuridica

L’intervento del Garante del 29 aprile 2026 non introduce regole nuove: chiarisce l’applicazione di principi già esistenti nel GDPR a pratiche operative molto diffuse. Il messaggio è semplice: i dati degli ospiti vanno raccolti per fare ciò che la legge impone, non di più e non oltre il tempo necessario.

Per chi gestisce un affitto breve o una qualsiasi struttura ricettiva, questo significa rivedere le proprie abitudini operative: cancellare le foto dei documenti dalla galleria dello smartphone, eliminare i file dalle chat di WhatsApp, smettere di archiviare scansioni in cartelle cloud non protette. Non è solo un adempimento burocratico: è una questione di rispetto nei confronti degli ospiti e di tutela della propria attività.

Per chi invece si trova dall’altro lato — come ospite — è utile sapere che ha il diritto di chiedere al gestore come vengono trattati i propri dati e di pretendere che la copia del proprio documento venga cancellata non appena non sarà più necessaria.