Articolo a cura di: Redazione - Studio Legale Calvello

Nei gruppi alberghieri la gestione della privacy raramente coincide con quella di un singolo hotel. Più società, strutture in località diverse, sistemi di prenotazione centralizzati, PMS, CRM, programmi loyalty, marketing condiviso, fornitori tecnologici e database comuni possono creare una rete di trattamenti che deve essere ricostruita prima di stabilire se la nomina del DPO sia obbligatoria e se sia possibile affidare l’incarico a un unico DPO per l’intero gruppo alberghiero.

Il GDPR consente a un gruppo imprenditoriale di nominare un solo Responsabile della protezione dei dati, purché sia facilmente raggiungibile da ciascuno stabilimento. Per una catena di hotel, però, la possibilità giuridica di avere un DPO unico di gruppo non risolve da sola il problema organizzativo: occorre verificare quali società siano titolari dei diversi trattamenti, come circolino i dati tra le strutture e la sede centrale, quali decisioni siano accentrate e se il DPO disponga concretamente di indipendenza, risorse e accesso alle informazioni necessarie.

Quando un gruppo alberghiero deve nominare il DPO

L’appartenenza al settore alberghiero o la presenza di più hotel non determina automaticamente l’obbligo di nominare un DPO. La verifica deve essere effettuata sulla base dell’art. 37 del Regolamento (UE) 2016/679 e delle attività di trattamento concretamente svolte. Per le imprese private assumono particolare rilievo, tra le ipotesi previste dal GDPR, i trattamenti che comportano un monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala di categorie particolari di dati personali.

In una catena alberghiera la valutazione può diventare più complessa rispetto al singolo hotel perché il trattamento deve essere osservato nella sua effettiva dimensione organizzativa e tecnologica. Un gruppo può utilizzare un unico sistema di prenotazione, centralizzare il CRM, condividere determinate informazioni tra strutture, gestire programmi di fidelizzazione, effettuare profilazione commerciale o utilizzare sistemi comuni per videosorveglianza, controllo degli accessi e gestione del personale. La presenza di migliaia di ospiti e dipendenti non rende di per sé obbligatorio il DPO: occorre esaminare natura, finalità, scala e modalità dei trattamenti, non limitarsi al numero delle camere, degli alberghi o delle società.

La verifica deve partire anche dalla struttura societaria. Se gli hotel appartengono a società diverse, non è corretto considerarli automaticamente un unico titolare del trattamento solo perché fanno capo allo stesso gruppo o utilizzano il medesimo marchio. Devono essere individuati i soggetti che determinano finalità e mezzi dei singoli trattamenti e verificati gli eventuali rapporti di contitolarità, responsabilità del trattamento o autonoma titolarità. Questo passaggio incide sulla nomina del DPO e, più in generale, sull’intera organizzazione della privacy nei gruppi societari.

Quando dall’analisi emerge che la nomina obbligatoria non ricorre, il gruppo può comunque valutare una designazione volontaria. È una scelta organizzativa che può avere senso quando i trattamenti sono numerosi e distribuiti tra più strutture, ma comporta l’applicazione al DPO designato delle regole previste dal GDPR per questa funzione. Prima della nomina è quindi preferibile effettuare una verifica documentata dei trattamenti, anziché assumere che ogni catena alberghiera debba necessariamente avere un DPO oppure, all’opposto, che il settore ricettivo ne sia normalmente esonerato.

Un unico DPO può seguire tutti gli hotel della catena?

L’art. 37, paragrafo 2, GDPR prevede espressamente che un gruppo imprenditoriale possa nominare un unico DPO, purché il Responsabile della protezione dei dati sia facilmente raggiungibile da ciascuno stabilimento. Per un gruppo alberghiero questa disposizione permette di costruire una funzione DPO centralizzata anche quando gli hotel sono numerosi o appartengono a società differenti del medesimo gruppo. La soluzione deve però funzionare nella pratica e non ridursi a una nomina formalmente comune.

Il DPO deve poter essere coinvolto tempestivamente nelle questioni che riguardano la protezione dei dati personali e deve avere interlocutori effettivi nelle diverse strutture. Un hotel può trovarsi a gestire un incidente informatico, una richiesta di esercizio dei diritti, un nuovo impianto di videosorveglianza o l’introduzione di un software; un’altra struttura può modificare il sistema di check-in, affidarsi a un nuovo fornitore cloud o avviare una campagna di profilazione. Se queste informazioni non arrivano al DPO, la centralizzazione esiste soltanto sulla carta.

Per questo, nella progettazione di un DPO unico per un gruppo alberghiero, noi verifichiamo anche i flussi interni: chi deve coinvolgere il DPO, con quali procedure, quali referenti privacy operano nelle singole strutture e come vengono gestite le questioni urgenti. Nei gruppi più articolati può essere utile affiancare al DPO una rete di referenti interni, senza confondere le loro funzioni con quelle proprie del Responsabile della protezione dei dati.

Particolare attenzione richiedono i sistemi informativi condivisi. PMS, CRM, channel manager, piattaforme di prenotazione, sistemi loyalty e infrastrutture cloud possono far circolare i dati degli ospiti tra hotel, società del gruppo e fornitori esterni. Prima ancora di stabilire chi debba materialmente occuparsi degli adempimenti, occorre capire chi decide il trattamento, chi accede ai dati, per quali finalità e sulla base di quale rapporto giuridico. Il tema si collega alla corretta distinzione tra titolare, responsabile e soggetti autorizzati al trattamento e alla necessità di mantenere coerenti contratti, informative, registro delle attività di trattamento e procedure interne.

Nel settore alberghiero assume oggi particolare rilievo anche la gestione dei documenti di identità degli ospiti. Il Garante per la protezione dei dati personali ha chiarito nel 2026 che gli obblighi connessi all’identificazione e alla comunicazione dei dati degli alloggiati non giustificano una conservazione generalizzata delle copie dei documenti una volta esaurita la finalità prevista dalla legge. Per una catena che abbia adottato procedure di check-in comuni o sistemi centralizzati di acquisizione documentale, una prassi non corretta può quindi propagarsi contemporaneamente a più strutture. Il DPO deve poter intercettare anche questi problemi organizzativi, verificando che le procedure operative siano coerenti con i principi di minimizzazione e limitazione della conservazione.

La presenza di un DPO esterno per l’intero gruppo alberghiero può consentire di mantenere un riferimento unitario, ma la scelta deve essere dimensionata sulla reale complessità della catena: numero di società e strutture, distribuzione territoriale, sistemi informatici utilizzati, autonomia delle singole direzioni, quantità e tipologia dei trattamenti e capacità del professionista di essere effettivamente raggiungibile. Per il singolo albergo che non appartiene a un’organizzazione di gruppo, questi aspetti devono invece essere valutati rispetto alla specifica struttura e ai trattamenti svolti, come approfondiamo nella pagina dedicata al DPO per hotel e strutture ricettive.

Come organizzare il DPO e la compliance GDPR in un gruppo alberghiero

Una volta individuato il perimetro della funzione DPO, il problema operativo consiste nel coordinare strutture che possono avere procedure, fornitori e sistemi informatici differenti. La sede centrale può gestire prenotazioni, marketing, risorse umane e acquisti per l’intero gruppo, mentre i singoli hotel mantengono autonomia su reception, videosorveglianza, controllo degli accessi, eventi, servizi wellness o gestione del personale. Per questo la nomina di un DPO unico dovrebbe essere accompagnata da una mappatura dei trattamenti e delle responsabilità delle diverse società e strutture.

Il registro delle attività di trattamento costituisce uno degli strumenti da verificare. Nei gruppi alberghieri non dovrebbe essere una rappresentazione astratta delle attività, ma riflettere i flussi effettivi dei dati: prenotazione e soggiorno, adempimenti relativi agli alloggiati, fatturazione, gestione delle richieste degli ospiti, marketing, programmi loyalty, selezione e amministrazione del personale, videosorveglianza e rapporti con i fornitori. Quando cambiano software, procedure o modalità di utilizzo dei dati, deve essere valutato anche l’aggiornamento del registro, tema approfondito nella guida dedicata al registro dei trattamenti e al suo aggiornamento.

Un’altra area delicata riguarda i fornitori. Un gruppo può affidare a soggetti esterni PMS, CRM, booking engine, channel manager, servizi cloud, newsletter, assistenza informatica, videosorveglianza o altri servizi che comportano accesso o trattamento di dati personali. Non è sufficiente raccogliere formalmente una serie di nomine: occorre stabilire il ruolo effettivo del fornitore e, quando opera come responsabile del trattamento, disciplinare il rapporto ai sensi dell’art. 28 GDPR. Nei gruppi con acquisti centralizzati, un contratto concluso dalla capogruppo può inoltre interessare più società e più hotel, rendendo necessario verificare quali titolari utilizzino realmente il servizio e secondo quali condizioni.

Il DPO deve essere coinvolto anche quando il gruppo introduce nuovi trattamenti o modifica quelli esistenti. Un nuovo sistema di profilazione degli ospiti, tecnologie di controllo degli accessi, determinate forme di monitoraggio o altri trattamenti suscettibili di presentare un rischio elevato possono richiedere una valutazione preventiva e, ricorrendone i presupposti dell’art. 35 GDPR, una DPIA. La funzione del DPO non consiste nel sostituirsi al titolare nelle decisioni, ma nel fornire consulenza, sorvegliare l’osservanza della normativa e svolgere i compiti attribuiti dagli artt. 38 e 39 GDPR mantenendo la necessaria indipendenza.

La stessa logica vale per gli incidenti di sicurezza. In una catena alberghiera un data breach può coinvolgere un singolo hotel oppure sistemi utilizzati contemporaneamente da molte strutture. Un attacco al PMS, la compromissione di credenziali, l’invio di dati a destinatari errati o la perdita di un dispositivo richiedono una procedura che permetta di ricostruire rapidamente quali dati e quali società siano coinvolti. Il titolare deve valutare il rischio derivante dalla violazione e, quando ricorrono i presupposti dell’art. 33 GDPR, effettuare la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. La presenza del DPO può rendere più ordinato questo processo, ma la responsabilità della valutazione e degli adempimenti resta in capo al titolare del trattamento.

Una compliance centralizzata richiede infine che le procedure comuni siano effettivamente applicabili nelle singole strutture. Informative, tempi di conservazione, istruzioni agli autorizzati e procedure per l’esercizio dei diritti devono corrispondere alle attività realmente svolte. Quando il gruppo acquisisce nuovi hotel, cambia società di gestione o integra strutture precedentemente autonome, è opportuno verificare anche la documentazione esistente anziché estendere automaticamente quella della capogruppo. Una revisione più ampia può essere impostata attraverso un adeguamento GDPR aziendale costruito sulla struttura effettiva del gruppo.

Un caso pratico: più hotel, società diverse e un’unica gestione della privacy

Consideriamo il caso, realistico e anonimizzato, di un gruppo che gestisce diversi hotel attraverso più società, con prenotazioni e attività commerciali in parte centralizzate. Le strutture utilizzano lo stesso PMS e alcuni fornitori comuni, mentre informative, registri dei trattamenti e procedure privacy sono stati predisposti in momenti diversi e non descrivono più correttamente l’organizzazione raggiunta dal gruppo.

Il problema non consiste semplicemente nel nominare un DPO esterno per tutti gli hotel. Prima occorre ricostruire il ruolo delle singole società, individuare i trattamenti centralizzati e quelli rimasti nella disponibilità delle singole strutture, verificare i rapporti con i fornitori e stabilire attraverso quali referenti il DPO possa essere coinvolto dalle direzioni degli hotel. L’aspetto che richiede maggiore attenzione è proprio evitare che l’organizzazione societaria, quella operativa e quella descritta nella documentazione privacy seguano tre schemi differenti.

L’intervento viene quindi impostato coordinando la funzione DPO con la revisione dei principali flussi di dati e delle procedure interne. Dove esistono attività comuni, possono essere adottati criteri e procedure uniformi; dove le società o le strutture mantengono trattamenti differenti, la documentazione deve rappresentare tali differenze. In questo modo il DPO dispone di un quadro organizzativo sul quale svolgere le proprie funzioni e ciascun hotel sa quando e attraverso quali modalità coinvolgerlo, senza confondere la centralizzazione della funzione con l’automatica unificazione delle responsabilità previste dal GDPR.

Domande frequenti sul DPO nei gruppi alberghieri

Un gruppo alberghiero può nominare un solo DPO per tutte le società e gli hotel?
Sì. L’art. 37, paragrafo 2, GDPR consente a un gruppo imprenditoriale di nominare un unico DPO, purché sia facilmente raggiungibile da ciascuno stabilimento. Occorre però verificare che l’organizzazione scelta permetta al DPO di svolgere concretamente le proprie funzioni rispetto alle diverse società e strutture interessate.

Se alcuni hotel del gruppo sono gestiti da società differenti serve un DPO per ogni società?
Non necessariamente. La presenza di società giuridicamente distinte non impedisce la nomina di un DPO comune al gruppo. Devono però rimanere chiari i ruoli privacy delle singole società e le rispettive responsabilità come titolari, contitolari o, quando ne ricorrono i presupposti, responsabili del trattamento. La nomina di un DPO unico non trasforma automaticamente più società in un unico titolare.

Un gruppo alberghiero è sempre obbligato a nominare il DPO?
No. L’obbligo non deriva automaticamente dal numero degli hotel o dall’appartenenza al settore alberghiero. Devono essere esaminati i presupposti dell’art. 37 GDPR rispetto ai trattamenti effettivamente svolti, considerando anche scala, natura e modalità delle attività di trattamento. Se l’obbligo non ricorre, il gruppo può comunque valutare una nomina volontaria.

Il DPO esterno può occuparsi anche della documentazione GDPR degli hotel?
Occorre distinguere le funzioni proprie del DPO dalle attività di consulenza e assistenza privacy. Il DPO deve mantenere indipendenza e assenza di conflitti di interessi e non può assumere decisioni che competono al titolare. L’eventuale affidamento allo stesso professionista di ulteriori attività deve quindi essere valutato verificando che non comprometta il ruolo previsto dagli artt. 38 e 39 GDPR.

Cosa succede quando una catena acquisisce un nuovo hotel?
L’ingresso di una nuova struttura richiede di verificare quali trattamenti, sistemi informatici, fornitori e procedure privacy siano già presenti e come debbano essere integrati nell’organizzazione del gruppo. Non è opportuno limitarsi a sostituire formalmente il nominativo del DPO o applicare automaticamente la documentazione utilizzata dagli altri hotel. L’operazione può richiedere anche l’aggiornamento del registro delle attività di trattamento e la revisione della documentazione privacy esistente.

DPO esterno per gruppi alberghieri e catene di hotel

La scelta di un DPO per un gruppo alberghiero richiede una valutazione che tenga conto della struttura societaria, del numero e dell’autonomia degli hotel, dei sistemi informatici condivisi, dei flussi di dati tra le diverse società e delle modalità con cui la funzione potrà operare concretamente nelle singole strutture. Anche quando è possibile nominare un unico DPO, occorre definire un’organizzazione che ne assicuri il coinvolgimento e l’effettiva raggiungibilità all’interno della catena.

Lo Studio Legale Calvello assiste imprese e gruppi societari nella valutazione dei presupposti per la nomina, nell’organizzazione della funzione e nell’affidamento dell’incarico di DPO esterno. Se il vostro gruppo gestisce più hotel e dovete nominare o sostituire il Responsabile della protezione dei dati, oppure volete verificare se l’attuale organizzazione sia adeguata alla struttura raggiunta dalla catena, potete richiedere una valutazione per il servizio di DPO esterno. Esamineremo preliminarmente la richiesta in relazione alle caratteristiche concrete del gruppo.