Negli ultimi anni, il trattamento dei dati personali nel settore turistico è diventato un tema sempre più delicato, specie per quanto riguarda la gestione delle copie dei documenti d’identità degli ospiti.

Se da un lato sono aumentate le segnalazioni, i reclami e i quesiti su come alberghi, hotel, B&B e strutture turistiche gestiscono quotidianamente tali informazioni, dall’altro si è registrato anche un incremento degli episodi di violazione dei dati personali in tale ambito.

Per questo, il Garante privacy è intervenuto di recente con una nota di chiarimento, dedicata proprio alla gestione delle copie dei documenti di chi alloggia in hotel e strutture turistiche. Vediamo, in questo articolo, alcuni importanti aspetti da considerare.

Gli obblighi per le strutture ricettive in tema di raccolta copie dei documenti d’identità

Come detto, il Garante ha voluto fare chiarezza su quali siano gli obblighi previsti dalla normativa e quali comportamenti le strutture ricettive debbano adottare per garantire una corretta gestione dei dati degli ospiti.

Il tema cruciale riguarda appunto la raccolta delle copie dei documenti d’identità. Per legge, infatti, gli albergatori e i gestori di strutture ricettive (compresi i proprietari di case e appartamenti per vacanze e affittacamere) possono dare alloggio solo a persone munite di carta d’identità o altro documento idoneo ad attestarne l’identità, e sono obbligati a trasmettere i dati identificativi degli ospiti all’autorità di pubblica sicurezza. Ciò serve non solo per attività di prevenzione dei reati, ma anche per “agevolare l’Autorità di pubblica sicurezza e le forze di polizia in quell’opera di vigilanza sulle persone, che è connessa al dovere di ricercare latitanti o soggetti in genere sospettati di reati” (Corte Costituzionale, sentenza del 16 luglio 1970, n. 144).

Questa attività comporta quindi un trattamento dei dati personali degli ospiti da parte della struttura ricettiva, che comprende i dati anagrafici e gli estremi del documento di identità. La comunicazione può avvenire:

• manualmente, da un addetto all’accoglienza, che inserisce i dati nel portale pubblico “Alloggiati Web” del Ministero dell’Interno;
• in modo automatizzato, sfruttando un collegamento tra i sistemi gestionali delle strutture ricettive e quelli informatici del Ministero dell’Interno.

Come sottolineato nella nota del Garante, tuttavia, l’obbligo legale riguarda la “comunicazione” dei dati all’autorità, senza che ciò comporti anche la necessità di conservazione di tali dati presso la struttura ricettiva. La conservazione, infatti, viene effettuata (per un periodo di 5 anni) sui sistemi del Ministero dell’Interno.

Il trattamento di dati personali da parte dei gestori delle strutture ricettive deve perciò avvenire nel rispetto del GDPR e, in particolare, dei principi di liceità, correttezza, trasparenza, minimizzazione dei dati e limitazione della conservazione.

Quali sono i dati che le strutture ricettive devono trasmettere

In base al decreto del 7 gennaio 2013, come modificato dal decreto del 16 settembre 2021, le informazioni che le strutture ricettive sono tenute a trasmettere sono:

• data di arrivo;
• numero di giorni di permanenza;
• cognome e nome;
• sesso;
• data e luogo di nascita (comune e provincia se in Italia, stato se all’estero);
• cittadinanza;
• tipo e numero documento di identità;
• luogo di rilascio del documento (comune e provincia se in Italia, stato se all’estero).

Per i nuclei familiari è sufficiente la compilazione da parte di uno dei coniugi, che indicherà l’altro coniuge e i figli minorenni. Per i gruppi guidati, invece, basta la compilazione da parte del capogruppo, che indicherà l’elenco degli altri componenti del gruppo. I dati da indicare per i componenti del nucleo familiare o del gruppo sono:

• numero di giorni di permanenza;
• cognome e nome;
• sesso;
• data e luogo di nascita (comune e provincia se in Italia, stato se all’estero);
• cittadinanza.

Dopo quanto tempo le strutture ricettive devono cancellare le copie dei documenti di identità?

Sempre in base al decreto sopra citato, i gestori delle strutture ricettive sono tenuti alla cancellazione dei dati digitali trasmessi e alla distruzione della copia cartacea degli elenchi trasmessi, non appena generata la ricevuta di avvenuta comunicazione dei dati da parte del sistema. Quest’ultima va conservata per 5 anni.

In pratica, la normativa non richiede agli esercenti delle strutture ricettive forme di raccolta e conservazione della copia del documento di identità degli ospiti al di fuori di quelle necessarie all’inserimento dei dati nel sistema “Alloggiati Web”.

In seguito al rilascio della ricevuta di accettazione da parte del sistema, dunque, la copia del documento di identità andrà cancellata (se in formato digitale) o distrutta (se in formato cartaceo).

Obblighi e adempimenti per le strutture ricettive in materia di sicurezza del trattamento

La nota di chiarimento del Garante ricorda che il GDPR stabilisce importanti obblighi in materia di sicurezza del trattamento.

Ad esempio, il titolare e il responsabile del trattamento sono tenuti a mettere in atto misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio. Inoltre, nel valutare tale livello di sicurezza, bisogna tenere conto in particolare “dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati“.

In caso di violazione dei dati personali, con perdita di riservatezza delle immagini dei documenti di identità della clientela, la struttura ricettiva dovrà provvedere alla notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuta a conoscenza. Al tempo stesso, dovrà anche occuparsi di comunicare la violazione ai diretti interessati.

Infine, il Garante fornisce alcune misure da attuare, per il rispetto della normativa in materia di protezione dei dati personali:

• adeguata responsabilizzazione del personale addetto alla raccolta e al trattamento dei dati personali degli ospiti (ricordando, in particolare, il divieto di effettuare o trattenere copie dei documenti di identità);
• chiara rappresentazione agli ospiti delle informazioni sulla logica e le modalità di raccolta e utilizzo del dato relativo ai documenti personali;
• opportuna regolazione dei rapporti con i fornitori dei servizi di gestione delle prenotazioni alberghiere e dei servizi eventualmente utilizzati per acquisire i dati relativi ai documenti d’identità;
• raccolta dei dati dei documenti d’identità senza effettuare foto con dispositivi mobili o utilizzare servizi di messagistica istantanea (come ad esempio “WhatsApp”).

Su questi temi, potrebbe interessarti anche il seguente articolo sulla privacy nelle strutture alberghiere.

Hai una struttura ricettiva e vuoi avere la certezza di tutelare la privacy e i dati personali dei tuoi ospiti, secondo le norme di legge? Contattaci senza impegno per richiedere il supporto di un nostro esperto.

Sara Bittesnik

Consulente e formatrice specializzata in igiene alimentare, sistemi di gestione e privacy, amante di cucina ed enologia.

Sara Bittesnik

Consulente e formatrice specializzata in igiene alimentare, sistemi di gestione e privacy, amante di cucina ed enologia.