Articolo a cura di: Redazione - Studio Legale Calvello

Un hotel tratta ogni giorno una quantità rilevante di dati personali: generalità e documenti degli ospiti, recapiti utilizzati per le prenotazioni, dati di pagamento e fatturazione, informazioni relative ai dipendenti, immagini degli impianti di videosorveglianza, dati raccolti attraverso il sito e il booking engine, preferenze della clientela e indirizzi utilizzati per newsletter e campagne promozionali. Il problema, per la struttura ricettiva, non consiste quindi soltanto nell’avere un’informativa privacy, ma nel verificare che ciascun trattamento abbia una finalità definita, una base giuridica corretta, tempi di conservazione coerenti e misure organizzative e tecniche adeguate.

La gestione diventa più delicata quando i dati passano attraverso più sistemi e fornitori: PMS, channel manager, portali di prenotazione, software per il check-in, CRM, servizi cloud, piattaforme di email marketing e agenzie esterne. In questi casi occorre ricostruire concretamente il percorso delle informazioni e distinguere ciò che è necessario per eseguire la prenotazione o adempiere a un obbligo di legge da ciò che viene utilizzato per finalità ulteriori, soprattutto commerciali. È su questa distinzione che si concentrano molti degli errori che riscontriamo quando esaminiamo la conformità GDPR di un’impresa.

Privacy in hotel: i dati degli ospiti non possono essere gestiti tutti nello stesso modo

Il primo passaggio consiste nel separare le diverse finalità per le quali l’hotel raccoglie e utilizza i dati. Le informazioni necessarie per rispondere a una richiesta di disponibilità, gestire una prenotazione, effettuare il check-in, fornire il soggiorno e adempiere agli obblighi amministrativi e fiscali non hanno necessariamente la stessa base giuridica dei dati utilizzati successivamente per inviare newsletter, offerte commerciali o comunicazioni promozionali. Chiedere un consenso indistinto per qualsiasi attività non risolve il problema: il GDPR richiede che il titolare sappia individuare la finalità del trattamento e la relativa condizione di liceità.

Un punto particolarmente sensibile riguarda i documenti di identità degli ospiti. La struttura deve identificare le persone alloggiate e trasmettere i dati richiesti all’autorità di pubblica sicurezza secondo la normativa applicabile. Questo obbligo, però, non autorizza l’hotel a creare automaticamente un archivio permanente delle copie dei documenti. Il Garante per la protezione dei dati personali ha chiarito nel 2026 che le strutture ricettive non devono conservare le copie analogiche o digitali dei documenti oltre quanto necessario alla comunicazione prevista dalla legge; una volta completato l’adempimento e ottenuta la relativa ricevuta, l’eventuale copia ancora presente deve essere cancellata o distrutta.

La questione assume un rilievo concreto nei sistemi di check-in digitale e self check-in. Scanner e applicazioni possono acquisire automaticamente l’immagine del documento e trasferirne i dati al PMS o ad altri servizi. Occorre verificare che il sistema non conservi l’immagine per un periodo ulteriore senza una specifica e legittima finalità. Anche l’invio di fotografie dei documenti attraverso applicazioni di messaggistica o la loro acquisizione con telefoni utilizzati dal personale può creare copie distribuite su dispositivi, backup e servizi cloud difficili da controllare e cancellare.

La minimizzazione riguarda anche le altre informazioni raccolte durante il soggiorno. Preferenze alimentari, richieste relative a disabilità, allergie o condizioni di salute possono, a seconda del loro contenuto, rivelare dati appartenenti a categorie particolari e richiedere una valutazione diversa rispetto ai normali dati identificativi. Il fatto che un’informazione possa essere utile a migliorare il servizio non significa che possa essere raccolta, conservata nel profilo dell’ospite e riutilizzata indefinitamente.

Lo stesso criterio deve essere applicato ai tempi di conservazione. Il GDPR non stabilisce un unico termine valido per tutti i dati dell’hotel: il periodo dipende dalla finalità, dagli obblighi normativi applicabili e dalle eventuali esigenze legittime di conservazione. Per questo una struttura che mantiene nello stesso database, senza distinzioni, prenotazioni storiche, documenti, preferenze, corrispondenza e dati commerciali rischia di perdere il controllo effettivo del proprio patrimonio informativo. Una corretta politica di conservazione dei dati deve tradursi in regole applicabili anche ai sistemi informatici utilizzati quotidianamente.

Dal PMS al marketing: quali adempimenti GDPR deve verificare concretamente un hotel

Una verifica GDPR efficace parte dalla mappatura dei trattamenti reali, non dai modelli documentali. Occorre individuare quali dati entrano nella struttura, dove vengono registrati, chi può consultarli, con quali fornitori vengono condivisi, per quanto tempo rimangono disponibili e per quali ulteriori finalità vengono utilizzati. Il registro delle attività di trattamento, quando dovuto, deve rappresentare questa organizzazione effettiva e deve essere aggiornato quando cambiano software, procedure, fornitori o modalità di utilizzo dei dati.

Particolare attenzione richiedono i soggetti esterni. Il fornitore del PMS, il booking engine, il servizio di mailing, alcuni fornitori cloud e altri operatori che trattano dati per conto dell’hotel possono assumere il ruolo di responsabili del trattamento. Quando ricorrono i presupposti dell’art. 28 GDPR, il rapporto deve essere disciplinato contrattualmente e l’hotel, quale titolare, non dovrebbe limitarsi a verificare la presenza formale di una clausola: deve comprendere quali operazioni vengono effettuate, dove sono trattati i dati, quali misure di sicurezza sono previste, se intervengono sub-responsabili e come viene gestita un’eventuale violazione dei dati personali. La corretta distinzione tra titolare, responsabile e soggetti autorizzati al trattamento evita che ruoli diversi vengano confusi nella documentazione.

All’interno dell’hotel occorre poi disciplinare l’accesso ai dati da parte del personale. Reception, amministrazione, direzione, marketing e risorse umane non hanno necessariamente bisogno delle stesse informazioni. Credenziali condivise, profili con autorizzazioni eccessive o account che rimangono attivi dopo la cessazione del rapporto di lavoro sono criticità organizzative che possono incidere sulla sicurezza dei dati. Le autorizzazioni devono essere coerenti con le mansioni, accompagnate da istruzioni effettive e riesaminate quando il personale cambia ruolo o lascia la struttura.

Anche i dati dei dipendenti dell’hotel richiedono una gestione autonoma rispetto a quelli degli ospiti. Fascicoli del personale, presenze, turni, certificazioni, posta elettronica, dispositivi aziendali e sistemi di videosorveglianza possono coinvolgere, oltre al GDPR e al Codice Privacy, le regole poste a tutela dei lavoratori. La presenza di telecamere, in particolare, non può essere affrontata soltanto predisponendo il cartello informativo: devono essere valutati finalità, posizionamento, accessi alle immagini, tempi di conservazione e, quando le riprese possono comportare un controllo a distanza dell’attività dei lavoratori, gli ulteriori adempimenti previsti dalla disciplina lavoristica.

Un’altra area da tenere distinta è il marketing alberghiero. L’indirizzo email fornito per prenotare una camera non diventa automaticamente un contatto utilizzabile senza limiti per qualsiasi futura campagna promozionale. Newsletter, offerte, profilazione, programmi di fidelizzazione, CRM, remarketing e strumenti di tracciamento del sito devono essere esaminati in relazione alla specifica attività svolta e alla base giuridica applicabile. Dove il trattamento si fonda sul consenso, questo deve essere libero, specifico, informato e documentabile, e l’interessato deve poterlo revocare con modalità effettive.

Informative, registro, contratti con i responsabili, istruzioni al personale, gestione dei consensi, tempi di conservazione e misure di sicurezza devono quindi descrivere un’organizzazione coerente. È utile verificare periodicamente anche la documentazione privacy aziendale, soprattutto dopo l’introduzione di un nuovo gestionale, di un sistema di check-in digitale, di una piattaforma CRM o di nuove campagne di marketing. Un audit consente di confrontare i documenti con ciò che accade realmente nella struttura e di individuare le aree nelle quali procedure e strumenti utilizzati richiedono un intervento.

Responsabilità, sicurezza e data breach: dove si concentra il rischio per la struttura alberghiera

La conformità GDPR di un hotel non si esaurisce nella predisposizione delle informative. Il titolare deve essere in grado di dimostrare che le scelte compiute sono coerenti con i trattamenti effettivamente svolti, secondo il principio di accountability previsto dal Regolamento (UE) 2016/679. Questo richiede procedure applicabili nella quotidianità: gestione degli accessi al PMS, attribuzione delle credenziali, cancellazione degli account non più necessari, regole per l’utilizzo della posta elettronica e dei dispositivi aziendali, verifica dei fornitori, formazione del personale e procedure da seguire quando si verifica un incidente.

Per una struttura alberghiera il rischio può emergere da situazioni molto concrete. Un addetto può inviare una conferma di prenotazione al destinatario sbagliato; un computer della reception può essere sottratto; credenziali condivise possono consentire accessi non tracciabili; un account appartenente a un ex dipendente può rimanere attivo; un ransomware può rendere indisponibile il gestionale; una vulnerabilità del booking engine può esporre informazioni sugli ospiti. Anche il fornitore esterno può subire un incidente che coinvolge dati trattati per conto dell’hotel.

Non ogni anomalia costituisce automaticamente un data breach da notificare al Garante. Quando si verifica una violazione dei dati personali occorre accertare tempestivamente che cosa è accaduto, quali dati sono stati coinvolti, quante persone possono essere interessate, quali conseguenze possono derivarne e quali misure sono state adottate. Se la violazione presenta un rischio per i diritti e le libertà delle persone fisiche, il titolare deve procedere alla notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Nei casi in cui ricorrano i presupposti previsti dall’art. 34 GDPR può essere necessaria anche la comunicazione agli interessati.

La valutazione non dovrebbe essere improvvisata dopo l’incidente. L’hotel deve sapere preventivamente chi deve essere avvisato, come raccogliere le informazioni tecniche, come coinvolgere il fornitore interessato e chi assume la decisione sulla notifica. È altrettanto importante documentare le violazioni, comprese quelle per le quali, dopo la valutazione, non si ritenga necessaria la notifica. In presenza di un incidente rilevante, una ricostruzione incompleta delle circostanze può rendere più difficile sia la gestione della violazione sia un successivo rapporto con il Garante.

La sicurezza deve essere proporzionata anche alla natura dei dati trattati. Un hotel che conserva semplici recapiti di prenotazione presenta esigenze diverse da una struttura che registra sistematicamente informazioni sanitarie per trattamenti termali o servizi sanitari collegati al soggiorno. Analogamente, un gruppo alberghiero con database centralizzati, CRM condivisi e numerose strutture richiede una valutazione organizzativa diversa da quella di un singolo albergo. Anche la necessità di nominare un responsabile della protezione dei dati deve essere verificata sulla base dei presupposti previsti dagli artt. 37 e seguenti del GDPR, senza ritenere che ogni hotel sia automaticamente obbligato alla nomina. Per questo aspetto abbiamo dedicato uno specifico approfondimento al DPO per hotel e strutture ricettive.

Quando emergono documentazione incompleta, procedure non applicate, consensi non correttamente registrati, conservazioni eccessive o rapporti con fornitori non adeguatamente disciplinati, l’intervento deve partire dalle criticità effettive. La presenza di un’irregolarità non comporta automaticamente una sanzione, ma eventuali reclami degli interessati, richieste di informazioni o accertamenti del Garante rendono particolarmente importante poter ricostruire le decisioni assunte e le misure concretamente adottate dalla struttura.

Un caso pratico: quando prenotazioni, documenti degli ospiti e marketing confluiscono nello stesso gestionale

Consideriamo il caso, realistico e anonimizzato, di una struttura alberghiera che utilizza da anni lo stesso PMS per gestire prenotazioni, check-in e storico della clientela. Nel tempo al gestionale vengono collegati il booking engine del sito, alcuni portali esterni e un sistema utilizzato per l’invio di comunicazioni commerciali. La documentazione privacy, predisposta in una fase precedente, non descrive più in modo adeguato l’organizzazione effettiva dei trattamenti.

La verifica fa emergere un problema che non può essere risolto semplicemente sostituendo l’informativa: nello stesso ecosistema informatico sono presenti dati necessari alla gestione del soggiorno, informazioni conservate per obblighi amministrativi, copie di documenti acquisite durante il check-in e recapiti utilizzati anche per finalità promozionali. Occorre quindi ricostruire le diverse finalità, verificare le basi giuridiche, individuare i tempi di conservazione e controllare quali soggetti interni ed esterni possano accedere alle informazioni.

L’attività di riorganizzazione riguarda anche i rapporti con i fornitori e la gestione del marketing. Vengono esaminati i contratti relativi ai servizi che comportano trattamenti per conto della struttura, le modalità con cui sono raccolti e registrati gli eventuali consensi, i profili di accesso del personale e le procedure di cancellazione. L’elemento che richiede maggiore attenzione è la separazione tra i dati che l’hotel deve utilizzare per fornire il servizio richiesto dall’ospite e quelli che intende riutilizzare successivamente per finalità commerciali.

Il caso mostra perché l’organizzazione della documentazione privacy aziendale deve corrispondere ai trattamenti realmente effettuati. Per un hotel che modifica nel tempo software, modalità di prenotazione, fornitori e strumenti di marketing, documenti formalmente presenti ma costruiti su procedure non più attuali possono non rappresentare correttamente l’attività svolta e devono essere riesaminati insieme alle procedure operative.

FAQ sul GDPR per hotel: clienti, dipendenti, documenti e marketing

Un hotel può conservare la copia del documento di identità dell’ospite?

La necessità di identificare l’ospite e comunicare i dati richiesti all’autorità di pubblica sicurezza non giustifica, di per sé, la conservazione prolungata della copia del documento. Occorre distinguere l’acquisizione eventualmente necessaria per completare la procedura dalla successiva conservazione. Questo aspetto deve essere verificato anche nei sistemi di check-in digitale, perché il software potrebbe mantenere automaticamente immagini o scansioni dopo che la relativa finalità è stata esaurita.

L’email utilizzata dal cliente per prenotare può essere inserita nella newsletter dell’hotel?

Il recapito raccolto per gestire una prenotazione non può essere considerato automaticamente utilizzabile senza limiti per qualsiasi successiva attività promozionale. Occorre individuare la specifica attività di marketing, la base giuridica applicabile e le condizioni previste dalla normativa per quel trattamento. Quando è necessario il consenso, l’hotel deve poter dimostrare che sia stato validamente acquisito e deve consentirne la revoca.

Le telecamere presenti in reception, nei corridoi o nelle altre aree dell’hotel sono compatibili con il GDPR?

La videosorveglianza può essere utilizzata quando ricorrono i relativi presupposti, ma deve essere organizzata tenendo conto delle finalità perseguite, delle aree riprese, dell’informativa, dei tempi di conservazione e dei soggetti autorizzati ad accedere alle immagini. Se le telecamere possono determinare anche un controllo a distanza dell’attività dei dipendenti, devono essere considerati gli specifici vincoli previsti dalla disciplina lavoristica. La semplice installazione della cartellonistica privacy non esaurisce quindi gli adempimenti.

Un hotel è obbligato a nominare il DPO?

Non esiste un obbligo generalizzato di nominare il DPO per il solo fatto di esercitare un’attività alberghiera. La verifica deve essere effettuata sulla base dei presupposti previsti dall’art. 37 GDPR, considerando concretamente le caratteristiche dei trattamenti svolti. Dimensioni della struttura, organizzazione in gruppo, attività di monitoraggio e trattamento su larga scala di particolari categorie di dati possono incidere sulla valutazione. La questione va quindi esaminata sulla specifica organizzazione dell’hotel.

Cosa deve fare un hotel quando scopre una violazione dei dati personali?

Occorre ricostruire rapidamente l’incidente, individuare i dati e gli interessati coinvolti, valutarne le possibili conseguenze e adottare le misure necessarie per contenerlo. La notifica al Garante non è automatica per ogni incidente: dipende dal rischio che la violazione presenta per i diritti e le libertà delle persone fisiche. Quando sussiste l’obbligo di notifica, il GDPR prevede che questa avvenga senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. Nei casi previsti dall’art. 34 GDPR deve essere valutata anche la comunicazione agli interessati.

Verificare la conformità GDPR del proprio hotel

Quando un hotel utilizza contemporaneamente PMS, booking engine, portali di prenotazione, sistemi di check-in digitale, videosorveglianza, servizi cloud, CRM e strumenti di marketing, la conformità privacy deve essere verificata sull’organizzazione concreta della struttura. Informative, registro dei trattamenti, rapporti con i fornitori, accessi del personale, conservazione dei dati, consensi commerciali e procedure per gli incidenti devono corrispondere alle attività effettivamente svolte.

Se la documentazione è datata, sono stati introdotti nuovi software o servizi, vengono conservati dati degli ospiti senza una precisa politica di cancellazione oppure esistono dubbi sull’utilizzo dei contatti per finalità commerciali, possiamo esaminare la situazione e individuare gli interventi pertinenti. Per sottoporci il caso è possibile richiedere una valutazione in merito al GDPR e alla privacy aziendale attraverso il modulo dedicato dello Studio Legale Calvello.