Introduzione all’importanza dell’adeguamento GDPR nel settore ospitalità

Da oltre 25 anni ci occupiamo di consulenza legale alle strutture ricettive e oggi sempre più spesso ci viene chiesto: come adeguare un hotel o ristorante al GDPR, tutelando i dati di ospiti, dipendenti e segnalatori interni? Questo articolo offre un punto di riferimento completo, aggiornato e concreto, che risponde alle reali problematiche affrontate da hotel, ristoranti, B&B e altre strutture.

Le strutture ricettive trattano una mole significativa di dati personali: informazioni anagrafiche, dati di pagamento, preferenze, recensioni, dati sanitari (esigenze alimentari o allergie). Se non adeguatamente protetti, questi dati espongono a rischi concreti: sanzioni Garante fino al 4 % del fatturato annuo o 20 milioni di euro, violazioni reputazionali e contenziosi con gli interessati.

Parallelamente, l’istituzione di un sistema di whistleblowing interno conforme al D.Lgs. 24/2023 è ormai obbligatoria per le aziende con almeno 50 dipendenti (o con Modello 231), e dal dicembre 2023 di fatto generalizzata per tutte le strutture ricettive italiane di dimensioni rilevanti. Questo canale consente di segnalare internamente irregolarità senza ricorrere ad organismi esterni, ma richiede massima riservatezza e conformità al GDPR.

Nel nostro approccio con orientamento operativo tratteremo:

• i requisiti normativi su informative privacy, conservazione dati ospiti, incarico DPO, valutazione DPIA

• le modalità di implementazione del whistleblowing rispettoso del GDPR

• i casi pratici più frequenti (data breach, segnalazioni anonime, ritorsioni)

• la formazione del personale, la privacy by design e l’integrazione di policy dedicate.

Informative privacy, consenso degli ospiti e responsabilità del titolare: cosa deve fare un hotel o ristorante per essere conforme al GDPR

L’adeguamento GDPR per hotel, ristoranti e strutture ricettive non può prescindere dalla predisposizione di informative privacy chiare, aggiornate e accessibili. Ai sensi degli artt. 12 e 13 del Regolamento, gli interessati devono essere informati:

• dell’identità del Titolare del trattamento;

• delle finalità per cui i loro dati vengono raccolti (es. registrazione ospiti, prenotazioni, newsletter, fidelizzazione);

• della base giuridica del trattamento (es. obbligo contrattuale o consenso);

• della durata di conservazione dei dati (es. 10 anni per obblighi fiscali, pochi giorni per finalità di marketing se non rinnovato il consenso);

• dei diritti esercitabili (accesso, rettifica, cancellazione, opposizione, limitazione);

• dell’eventuale trasferimento dei dati a terzi, compresi responsabili esterni (es. software gestionali, PMS, CRM).

Da ricordare: Il GDPR impone che l’informativa sia fornita prima della raccolta dei dati, in forma sintetica ma completa, anche in lingua comprensibile all’ospite.

Per strutture ricettive digitalizzate (con prenotazioni via Booking, Expedia, o sito web) l’informativa deve essere integrata anche online e accompagnata da una cookie policy conforme e da un meccanismo di gestione dei consensi (es. CMP certificata).

---

Il consenso: quando è obbligatorio e quando no

Molti gestori commettono errori nell’ottenere il consenso al trattamento: non sempre serve, ma quando è richiesto, deve essere:

• libero (senza condizionamenti, es. non obbligare a prestarlo per completare una prenotazione);

• specifico e informato (differenziato per finalità: newsletter ≠ profilazione ≠ comunicazioni commerciali);

• documentato (serve prova scritta o elettronica del consenso, con tracciabilità del momento in cui è stato prestato).

Esempi pratici:

---

Conservazione dei dati personali: quanto tempo e con quali garanzie

La durata di conservazione dei dati è spesso un punto debole nel trattamento da parte di hotel e ristoranti. Ai sensi del principio di limitazione della conservazione (art. 5 lett. e) GDPR), i dati personali devono essere conservati solo per il tempo necessario al raggiungimento delle finalità per cui sono stati raccolti.

È buona prassi adottare una data retention policy che preveda, ad esempio:

• 10 anni per dati di fatturazione e check-in (normativa fiscale);

• massimo 24 mesi per invio di offerte personalizzate post soggiorno (se c’è stato consenso);

• immediata cancellazione dei dati sanitari (es. intolleranze) al termine del soggiorno, salvo rinnovo consenso per future prenotazioni.

La conservazione su supporti digitali (cloud, server, backup) deve essere accompagnata da:

• sistemi di cifratura o pseudonimizzazione;

• accessi tracciati e profilati per incaricato/reparto;

• policy di cancellazione automatica a scadenza.

---

Il titolare del trattamento: obblighi concreti per l’albergatore o ristoratore

Chi gestisce una struttura ricettiva assume il ruolo di Titolare del trattamento. Questo comporta una serie di obblighi concreti e non delegabili, tra cui:

• redigere un registro dei trattamenti (art. 30 GDPR);

• nominare Responsabili esterni del trattamento con contratto (es. software gestionali, agenzie marketing, fornitori cloud);

• fornire chiare istruzioni agli autorizzati (dipendenti e collaboratori);

• implementare misure tecniche e organizzative adeguate al rischio (antivirus, backup, formazione).

Nel caso siano coinvolti dati particolari (es. disabilità, alimentazione, dati sanitari) o grandi volumi di dati sistematici, è fortemente raccomandata (e spesso obbligatoria) la nomina di un DPO o almeno la realizzazione di una valutazione d’impatto (DPIA).

---

Collegamenti ipertestuali strategici

Nell’ambito della gestione interna della privacy e del trattamento conforme anche per i soggetti autorizzati, può essere utile approfondire anche come vada trattata la riservatezza all’interno dei sistemi di segnalazione. A tal proposito, abbiamo già analizzato la protezione dell’identità dei soggetti segnalanti e segnalati nel nostro approfondimento su Whistleblowing: la protezione dell’identità nei procedimenti connessi.

Whistleblowing obbligatorio per hotel e strutture ricettive: cosa prevede la normativa e come integrarlo al GDPR

Dal 17 dicembre 2023, il whistleblowing è obbligatorio per le strutture ricettive che superano i 50 dipendenti o che adottano un Modello 231. L’obbligo nasce dal D.Lgs. 24/2023, che recepisce la Direttiva UE 2019/1937, e impone l’attivazione di canali di segnalazione interni riservati, accessibili, sicuri e pienamente conformi al Regolamento GDPR.

In hotel, ristoranti e strutture ricettive, i rischi da segnalare possono riguardare:

• violazioni di normative sanitarie o ambientali;

• comportamenti discriminatori o molestie sul lavoro;

• violazioni della normativa sulla privacy (es. accessi non autorizzati ai dati dei clienti);

• truffe, frodi, fatturazioni fittizie;

• carenze gravi nei sistemi di sicurezza dei dati.

Implementare un sistema di whistleblowing corretto significa:

• proteggere chi segnala (whistleblower) da ritorsioni;

• tutelare l’identità dei soggetti coinvolti (segnalante e segnalato);

• gestire correttamente i dati personali contenuti nelle segnalazioni.

È quindi indispensabile integrare il whistleblowing alla governance GDPR aziendale, redigendo policy chiare, informative specifiche e misure tecniche in grado di garantire:

• riservatezza assoluta dell’identità del segnalante (art. 12, co. 7 del D.Lgs. 24/23);

• conservazione protetta dei documenti inerenti la segnalazione;

• limitazione dell’accesso ai soli soggetti incaricati della gestione (Responsabile del canale interno).

Abbiamo analizzato in modo completo i requisiti tecnici, organizzativi e documentali nei seguenti approfondimenti tematici:

• Whistleblowing: la protezione dell’identità anche da parte di tutti i soggetti riceventi

• Whistleblowing: Conservazione della documentazione inerente alle segnalazioni

• Whistleblowing: i soggetti a cui va affidata la gestione delle segnalazioni

---

Quali strutture sono obbligate ad attivare il canale whistleblowing

Nota operativa: anche in caso di esonero formale, l’attivazione volontaria di un sistema di whistleblowing rappresenta una buona prassi per la prevenzione di illeciti e la gestione etica del personale.

---

Collegamento al GDPR: perché serve una gestione sinergica

Le segnalazioni whistleblowing contengono dati personali, anche sensibili. L’errata gestione comporta violazioni gravi del GDPR.

Chi riceve la segnalazione ha il dovere di:

• trattare i dati secondo i principi di minimizzazione e limitazione della conservazione;

• garantire l’anonimato del segnalante, se previsto dal sistema adottato;

• impedire qualsiasi accesso non autorizzato (tecnici, consulenti, colleghi).

Lo Studio Legale Calvello ha pubblicato numerosi approfondimenti tecnici dedicati alla protezione dei diritti del segnalante e del segnalato, tra cui:

• Whistleblowing: l’anonimato

• Whistleblowing: la tutela del segnalato

• Whistleblowing: il principio di minimizzazione e di limitazione della conservazione (art. 12, comma 1)

---

Come implementare correttamente il whistleblowing in una struttura ricettiva

Per adeguarsi concretamente, consigliamo alle strutture ricettive di:

1. Istituire un canale interno conforme (es. software certificato ISO 27001);

2. Redigere una procedura formalizzata, da inserire nel PIAO, nel MOG 231 o in altro atto organizzativo;

3. Formare il personale incaricato della ricezione e gestione delle segnalazioni;

4. Designare un responsabile interno o esterno con funzioni di garanzia;

5. Comunicare in modo trasparente ai dipendenti l’esistenza del sistema, i diritti e le tutele.

Approfondiamo questi aspetti anche nella guida completa:
Whistleblowing: la disciplina della procedura di gestione delle segnalazioni nel PIAO, PTPTC, MOG 231 o in altro atto organizzativo

---

Data breach, violazioni di sicurezza e responsabilità dell’hotel o ristorante

Nel settore dell’accoglienza, il rischio di un data breach è tutt’altro che teorico. Le strutture ricettive trattano quotidianamente dati personali e sensibili di centinaia (o migliaia) di persone: ospiti, dipendenti, fornitori. Una falla nei sistemi di sicurezza, una disattenzione del personale, oppure un attacco informatico, possono provocare l’accesso non autorizzato, la perdita o la divulgazione non controllata di informazioni protette.

Secondo il Regolamento UE 2016/679 (GDPR), si parla di data breach ogni volta che si verifica:

• accesso illecito ai dati (es. un collaboratore entra nel PMS senza autorizzazione);

• perdita o cancellazione accidentale di dati (es. backup corrotto, hard disk danneggiato);

• esfiltrazione o furto di dati personali (es. tramite phishing, ransomware, malware);

• invio errato di dati a destinatari sbagliati (es. email con allegati riservati ad altro cliente).

“Nel settore hospitality, una violazione dei dati può danneggiare la reputazione del brand, causare sanzioni rilevanti da parte del Garante e generare richieste di risarcimento da parte degli interessati.” – Studio Legale Calvello

---

Obblighi in caso di data breach: cosa deve fare l’albergatore

Quando si verifica una violazione dei dati personali, l’hotel o il ristorante – in qualità di Titolare del trattamento – deve agire tempestivamente, rispettando la procedura prevista dagli articoli 33 e 34 del GDPR:

1. Notifica al Garante Privacy entro 72 ore (se la violazione può comportare rischi per i diritti degli interessati);

2. Comunicazione diretta agli interessati (se la violazione comporta un rischio elevato, come furto dati bancari);

3. Registrazione dettagliata dell’incidente nel registro delle violazioni (anche se non notificabile);

4. Attuazione immediata di misure correttive (es. cambio password, rafforzamento sicurezza, disconnessione da internet).

---

Come prevenire un data breach in hotel e ristoranti

La strategia più efficace non è reagire dopo un incidente, ma prevenire il rischio. Ecco alcune azioni chiave che ogni struttura dovrebbe implementare:

Attenzione: il semplice utilizzo di un gestionale cloud (PMS, CRM, software prenotazioni) non esonera dalla responsabilità. È indispensabile che ogni fornitore esterno venga formalmente nominato Responsabile del trattamento, con contratto ex art. 28 GDPR.

---

Responsabilità legale e risarcimento del danno

Nel caso di data breach non gestito correttamente, l’hotel o il ristorante può essere chiamato a rispondere:

• davanti al Garante Privacy, con sanzioni fino a 20 milioni di euro o il 4% del fatturato;

• davanti al Tribunale civile, se l’ospite danneggiato agisce per risarcimento del danno patrimoniale o morale;

• davanti alla clientela, con un danno reputazionale che può tradursi in disdette, recensioni negative, perdita di partnership commerciali.

Per evitare tutto ciò, è fondamentale affiancare alla sicurezza tecnica anche una governance documentale e organizzativa: informative aggiornate, nomine corrette, formazione costante, valutazione d’impatto, policy di gestione degli incidenti.

In molti casi, le segnalazioni di violazioni possono avvenire anche tramite il canale whistleblowing, come approfondito nella nostra guida su Whistleblowing: Le attività cui è tenuto chi gestisce le segnalazioni.

---

Obblighi di formazione del personale, incarico del DPO e valutazione d’impatto (DPIA)

Uno degli aspetti più sottovalutati – ma fondamentali per l’adeguamento GDPR di hotel, ristoranti e strutture ricettive – è la formazione del personale autorizzato al trattamento dei dati. La gestione quotidiana di informazioni personali (es. documenti, pagamenti, preferenze, dati sanitari degli ospiti) richiede attenzione, consapevolezza e responsabilità da parte di chi li tratta.

Il GDPR non si limita a prescrivere regole formali: richiede che il fattore umano sia allineato alle misure di sicurezza tecniche e organizzative.

---

Formazione privacy obbligatoria: chi deve farla, cosa deve includere

Tutti i dipendenti e collaboratori che accedono, anche solo occasionalmente, a dati personali devono essere:

• autorizzati formalmente (nomina scritta ex art. 29 GDPR);

• formati in modo documentato (attestazione con data e contenuti erogati);

• aggiornati periodicamente, almeno ogni 12-18 mesi o dopo cambi organizzativi.

La formazione deve coprire:

• principi del GDPR (liceità, minimizzazione, limitazione, trasparenza);

• casi pratici nel settore ricettivo (es. registrazione ospiti, uso email, segnalazioni);

• uso corretto dei sistemi gestionali (PMS, CRM, canali di prenotazione);

• gestione sicura di dispositivi e documenti (chiavette USB, carte identità, archivi cartacei);

• obblighi specifici in caso di segnalazione whistleblowing o data breach.

Esempio concreto: se una receptionist invia per errore i documenti di un cliente a un’altra persona via email, il Titolare può essere ritenuto responsabile anche solo per mancata formazione.

---

Quando è obbligatorio il DPO per una struttura ricettiva?

Il Data Protection Officer (DPO) non è obbligatorio per tutte le aziende, ma in molti casi è fortemente consigliato, o di fatto necessario.

Secondo l’art. 37 del GDPR, la nomina del DPO è obbligatoria se:

• il trattamento è effettuato da un’autorità pubblica;

• l’attività principale richiede il monitoraggio regolare e sistematico su larga scala;

• vengono trattate categorie particolari di dati su larga scala (es. dati sanitari, biometrici).

Nel caso di hotel di grandi dimensioni, catene alberghiere, strutture sanitarie o benessere con annesso centro medico, oppure sistemi di sorveglianza estesa, è opportuno nominare un DPO interno o esterno, a tutela del Titolare.

Il DPO svolge funzioni di:

• consulenza continua sulla conformità;

• supervisione delle politiche e delle procedure privacy;

• interfaccia con l’Autorità Garante;

• supporto nella gestione delle violazioni e dei diritti degli interessati.

---

DPIA: valutazione d’impatto sulla protezione dei dati

La Valutazione d’Impatto (DPIA) è uno strumento previsto dall’art. 35 del GDPR, necessario ogni volta che un trattamento può comportare un rischio elevato per i diritti e le libertà degli interessati.

Nelle strutture ricettive, la DPIA diventa cruciale quando:

• si attivano nuovi sistemi di videosorveglianza avanzata;

• si integrano piattaforme di profilazione clienti;

• si gestiscono segnalazioni whistleblowing con archiviazione di dati particolari;

• si introducono automatismi decisionali o sistemi biometrici (es. check-in automatico con riconoscimento facciale).

---

Sintesi operativa per l’adeguamento

Privacy by design e by default: come proteggere i dati dei clienti fin dalla progettazione

Un errore comune, soprattutto nel settore hospitality, è quello di trattare la privacy come un adempimento successivo rispetto all’organizzazione dei servizi. Al contrario, il principio di privacy by design e by default, previsto dall’art. 25 del GDPR, impone di proteggere i dati personali fin dalla progettazione dei processi aziendali.

Per hotel, ristoranti, B&B e altre strutture ricettive, ciò significa strutturare l’intera gestione dei dati – raccolta, utilizzo, conservazione, comunicazione – tenendo conto dei principi fondamentali del GDPR:

• minimizzazione dei dati (raccogliere solo quelli strettamente necessari);

• limitazione delle finalità (non usare i dati per scopi diversi da quelli dichiarati);

• integrità e riservatezza (protezione contro accessi non autorizzati o perdite);

• responsabilizzazione del titolare (accountability).

---

Come applicare la privacy by design in una struttura ricettiva

La privacy by design si applica a tutti i livelli dell’attività ricettiva: dal sito web alla reception, dal sistema di prenotazione alla gestione delle fidelity card. Alcuni esempi concreti:

• Sito internet dell’hotel: deve essere progettato con banner cookie gestiti da una piattaforma CMP certificata, con consenso e informativa aggiornata.

• Sistema di prenotazione online: deve richiedere solo i dati strettamente necessari alla conferma della prenotazione. L’eventuale consenso per finalità di marketing deve essere separato e facoltativo.

• Form di contatto o check-in digitale: vanno predisposti con campi obbligatori evidenziati, checkbox separate per ogni finalità e link all’informativa privacy.

• Software di gestione ospiti (PMS): va scelto tra quelli conformi al GDPR, che prevedano la possibilità di definire ruoli, registrare accessi, impostare policy di conservazione e cancellazione automatica.

---

Privacy by default: configurazioni predefinite orientate alla tutela dei dati

Il principio di privacy by default impone che le impostazioni predefinite dei sistemi, dei software e delle procedure interne garantiscano il massimo livello di protezione possibile.

Esempi pratici in ambito hotel e ristorazione:

• le videocamere di sorveglianza devono essere posizionate solo in aree autorizzate, con visuale limitata e registrazione temporanea (es. massimo 72 ore);

• le card magnetiche o digitali usate per l’accesso alle camere devono contenere solo l’identificativo necessario, senza dati personali visibili;

• i file Excel o documenti digitali con dati degli ospiti devono essere protetti da password e accessibili solo al personale incaricato;

• i gestionali interni devono prevedere l’accesso per ruoli, in modo che l’addetto alle colazioni non veda dati sanitari o fiscali degli ospiti.

---

Strumenti operativi per applicare privacy by design e by default

---

Il collegamento con whistleblowing e segnalazioni interne

Il principio di privacy by design si estende anche al sistema di gestione del whistleblowing. I canali interni di segnalazione devono:

• essere progettati per tutelare l’identità del segnalante;

• non raccogliere dati non necessari o non pertinenti;

• garantire l’anonimato o la pseudonimizzazione dove richiesto;

• conservare le informazioni per il tempo strettamente necessario, come approfondito nell’articolo Whistleblowing: il principio di minimizzazione e di limitazione della conservazione.

---

Errori più comuni nella gestione privacy di hotel e ristoranti e come evitarli

Molti gestori di strutture ricettive ritengono erroneamente di essere “in regola con il GDPR” solo perché pubblicano un’informativa sul sito o installano un sistema antivirus. In realtà, l’adeguamento al GDPR per hotel, ristoranti e B&B richiede un approccio sistemico e coerente. Non basta “fare qualcosa”: serve prevenire errori, spesso banali ma ad altissimo rischio sanzionatorio.

Abbiamo individuato, sulla base della nostra esperienza professionale, gli errori più frequenti commessi da albergatori, ristoratori e gestori di strutture ricettive. Ecco un’analisi utile e concreta, con indicazioni su come evitarli.

---

1. Informative privacy incomplete, generiche o assenti

Errore: utilizzare modelli copiati da internet, senza personalizzazione sulle finalità e senza riferimenti aggiornati.

Soluzione: predisporre un’informativa specifica per:

• prenotazioni online e offline;

• newsletter e marketing;

• trattamento dei dati degli ospiti durante il soggiorno;

• registrazione dei dipendenti e gestione amministrativa del personale.

Ogni informativa deve indicare chiaramente finalità, base giuridica, tempi di conservazione, modalità di esercizio dei diritti, contatti del Titolare e – se nominato – del DPO.

---

2. Raccolta eccessiva o non autorizzata di dati personali

Errore: chiedere all’ospite dati non necessari (es. professione, stato di salute, abitudini alimentari) senza uno scopo legittimo e senza consenso.

Soluzione: applicare rigorosamente il principio di minimizzazione dei dati. I campi “facoltativi” devono essere davvero facoltativi, e mai precompilati. In caso di trattamento di dati particolari (es. allergie), è necessario ottenere un consenso esplicito e tracciabile.

---

3. Mancata conservazione sicura dei dati

Errore: archiviare fotocopie di documenti in reception senza armadi chiusi a chiave; usare chiavette USB non protette; lasciare il gestionale PMS aperto e accessibile a tutti i collaboratori.

Soluzione: implementare misure tecniche e organizzative adeguate al rischio: crittografia, password, backup cifrati, accessi profilati, armadi chiusi per gli archivi cartacei, policy di spegnimento schermo automatico.

---

4. Nessuna formazione del personale

Errore: non formare receptionist, camerieri, cuochi, addetti alla spa o al centro benessere sul corretto trattamento dei dati.

Soluzione: formazione privacy obbligatoria per ogni reparto, con particolare attenzione ai dati sanitari, ai documenti d’identità e all’utilizzo dei sistemi digitali. Un addetto male informato può generare violazioni gravissime, anche senza dolo.

---

5. Assenza del registro dei trattamenti

Errore: non redigere (o non aggiornare) il registro dei trattamenti dei dati.

Soluzione: predisporre un registro dettagliato (anche in formato Excel) con tutti i trattamenti, i soggetti coinvolti, le basi giuridiche, i tempi di conservazione, i rischi e le misure di sicurezza adottate.

---

6. Assenza di contratti con i fornitori esterni

Errore: usare gestionali (PMS, CRM, mailing list), portali OTA, software di check-in, sistemi di videosorveglianza senza nomina a Responsabile del trattamento (art. 28 GDPR).

Soluzione: stipulare con ogni fornitore un contratto DPA (Data Processing Agreement) che regoli:

• le finalità e le modalità del trattamento;

• le istruzioni del Titolare;

• le misure di sicurezza minime richieste;

• la durata della conservazione.

---

7. Nessun sistema di gestione delle segnalazioni interne

Errore: ignorare l’obbligo di implementazione del canale whistleblowing o adottare una piattaforma non conforme al GDPR.

Soluzione: attivare un sistema che garantisca:

• accesso riservato solo ai soggetti autorizzati;

• anonimato o pseudonimato dove previsto;

• conservazione dei documenti secondo policy definite e tracciabili.

Può essere utile consultare l’articolo Whistleblowing: la mancata istituzione dei canali interni e delle relative procedure o istituzione non conforme.

---

8. Mancata notifica dei data breach

Errore: non notificare al Garante (o agli interessati) una violazione dei dati, anche grave, perché ritenuta “non intenzionale”.

Soluzione: definire una procedura interna per la gestione degli incidenti, con obbligo di segnalazione immediata al Titolare e – se necessario – di comunicazione formale all’Autorità entro 72 ore.

---

9. Videosorveglianza mal configurata

Errore: installare telecamere in aree non autorizzate (es. spogliatoi, aree relax) o conservare le immagini troppo a lungo.

Soluzione: redigere un’informativa specifica per la videosorveglianza, esporla correttamente, installare sistemi conformi, impostare limiti temporali alla registrazione e configurare i ruoli d’accesso.

---

10. Nessuna procedura documentata per la privacy

Errore: non avere policy interne scritte, né piani di adeguamento formale alla normativa.

Soluzione: costruire un vero e proprio “sistema privacy” interno, con:

• documentazione organizzata;

• ruoli e responsabilità formalizzati;

• procedure integrate nella gestione operativa;

• aggiornamento periodico da parte di professionisti.

---

Adeguarsi al GDPR in modo semplice: cosa può fare subito una struttura ricettiva per evitare sanzioni

Adeguare un hotel, un ristorante o un B&B al Regolamento Generale sulla Protezione dei Dati può sembrare un processo complesso, ma con un approccio pratico e ben guidato è possibile ottenere risultati concreti in tempi rapidi. Spesso ci vengono poste domande come: da dove cominciare?, quali documenti servono davvero?, quali sono i rischi se non intervengo subito?

Questa sezione raccoglie azioni operative, immediatamente attuabili anche da strutture di piccole o medie dimensioni, per garantire conformità e prevenire sanzioni del Garante Privacy, che possono arrivare fino a 20 milioni di euro o al 4% del fatturato.

---

1. Predisporre (o aggiornare) l’informativa privacy in formato chiaro

L’informativa è il primo obbligo concreto richiesto dal GDPR. Va redatta in modo personalizzato, distinta per ogni finalità (es. registrazione ospiti, newsletter, prenotazioni via OTA, sorveglianza video) e sempre accessibile:

• online sul sito web;

• in reception o in sala;

• nei moduli di raccolta dati (digitali o cartacei).

Il nostro consiglio: evitare testi standard copiati da internet e investire in una informativa privacy redatta da un legale esperto nel settore ricettivo.

---

2. Creare (o aggiornare) il registro dei trattamenti

Il registro dei trattamenti è uno dei pilastri della documentazione GDPR, richiesto dall’art. 30. Deve contenere:

• chi tratta i dati (es. receptionist, chef, addetti SPA);

• quali dati vengono raccolti (es. anagrafici, sanitari, immagini);

• perché vengono trattati (finalità);

• come vengono protetti (misure tecniche e organizzative).

Un file Excel ben strutturato può essere sufficiente per iniziare, purché completo, aggiornato e verificabile.

---

3. Formalizzare ruoli, autorizzazioni e contratti

Le strutture ricettive coinvolgono diversi soggetti nel trattamento:

• personale interno (autorizzato);

• fornitori esterni (Responsabili);

• eventuali consulenti o gestori del whistleblowing.

È quindi fondamentale:

• nominare gli autorizzati al trattamento con istruzioni scritte;

• firmare un contratto ex art. 28 GDPR con i fornitori che trattano dati per conto della struttura (software, booking engine, sistemi CCTV);

• se esistente un sistema di segnalazione interna, designare il soggetto gestore (interno o esterno), come illustrato anche nell’approfondimento Whistleblowing: i soggetti a cui va affidata la gestione delle segnalazioni.

---

4. Definire tempi e modalità di conservazione dei dati

Spesso i dati degli ospiti vengono archiviati per anni senza necessità, aumentando i rischi e violando il principio di limitazione della conservazione.

Ogni trattamento deve avere una data retention policy, ovvero:

• 10 anni per dati fiscali e amministrativi;

• 24 mesi per contatti post-soggiorno;

• immediata cancellazione dei dati sanitari alla chiusura della prenotazione (se non diversamente autorizzata).

---

5. Attivare o revisionare il canale whistleblowing (se obbligatorio)

Come già chiarito, dal 2023 le strutture con almeno 50 dipendenti o dotate di Modello 231 devono istituire un sistema interno di whistleblowing. Questo:

• deve essere protetto, riservato, conforme al GDPR;

• deve garantire la riservatezza del segnalante e del segnalato;

• deve essere integrato nella struttura privacy aziendale.

Nel nostro articolo Whistleblowing: le informazioni da inserire sul sito e sulla pagina della piattaforma abbiamo elencato in modo schematizzato tutte le informazioni necessarie per rendere il sistema conforme.

---

6. Organizzare una sessione formativa privacy per lo staff

Un altro intervento efficace, spesso risolutivo in termini pratici e dimostrabili, è la formazione del personale:

• receptionist,

• addetti ai servizi,

• cuochi e somministratori alimentari,

• operatori SPA o termali.

I corsi devono includere anche la gestione delle segnalazioni e delle situazioni critiche: data breach, furto dati, errori di invio email, oppure accessi impropri a documentazione riservata.

---

7. Richiedere una consulenza legale specializzata

Molti gestori provano a risolvere il tema “GDPR hotel ristorante” in autonomia. Il risultato è spesso un falso senso di sicurezza e una documentazione incompleta, vulnerabile in caso di ispezione del Garante o di segnalazioni da parte di dipendenti o clienti.

Lo Studio Legale Calvello, da oltre 25 anni, accompagna le strutture ricettive nel processo di adeguamento al GDPR e nella corretta implementazione dei sistemi whistleblowing. In molti casi, è sufficiente una prima consulenza per individuare i rischi concreti e definire un piano operativo personalizzato.

Per richiedere assistenza, è possibile accedere alla nostra pagina contatti.

---

Esempio reale di adeguamento GDPR in una struttura ricettiva

Una nota struttura termale con annesso hotel 4 stelle, SPA e ristorante biologico ci ha contattati nel 2024 per un supporto completo all’adeguamento al GDPR e all’attivazione del canale whistleblowing, resosi obbligatorio a seguito dell’ampliamento dell’organico oltre 50 dipendenti.

La situazione iniziale era simile a quella di molte realtà del settore:

• informativa privacy standardizzata e non aggiornata dal 2018;

• assenza di un registro dei trattamenti;

• personale non formato (neanche il direttore ricevimento);

• gestione dei dati sanitari degli ospiti (trattamenti spa, intolleranze, certificazioni mediche) senza consenso esplicito;

• sistema di videosorveglianza privo di policy scritte;

• whistleblowing non attivato, nonostante fosse richiesto dalla normativa.

Abbiamo impostato un percorso operativo modulato in quattro fasi:

Fase 1 – Audit e mappatura dei trattamenti

• Interviste ai reparti (reception, wellness, cucina, direzione);

• Mappatura dei software utilizzati (PMS, CRM, sistemi di pagamento e mailing list);

• Identificazione delle criticità e dei rischi privacy reali.

Fase 2 – Redazione documentazione GDPR

• Nuove informative privacy (ospiti, dipendenti, clienti newsletter, fornitori);

• Registro dei trattamenti completo;

• Contratti per PMS, booking engine, agenzia marketing;

• Istruzioni scritte per incaricati interni;

• Nomina Responsabile Protezione Dati (DPO) per la gestione dei dati sanitari e la supervisione del whistleblowing.

Fase 3 – Attivazione canale whistleblowing (ove obbligatoria)

• Piattaforma conforme GDPR con accesso dedicato;

• Redazione della procedura di gestione segnalazioni;

• Informativa specifica per il segnalante;

• Formazione dei soggetti gestori;

• Inserimento della pagina dedicata sul sito web, conforme ai requisiti espressi in Whistleblowing: le informazioni da inserire sul sito e sulla pagina della piattaforma.

Fase 4 – Formazione del personale
Abbiamo erogato due sessioni pratiche:

• una per i reparti operativi (reception, ristorante, spa);

• una per la direzione e i referenti privacy;
  con casi studio, errori da evitare, gestione delle richieste di accesso ai dati da parte degli ospiti, procedure da seguire in caso di data breach o segnalazione.

Risultato? La struttura è oggi pienamente conforme, ha ridotto il rischio sanzionatorio e ha aumentato la fiducia da parte della clientela, che percepisce serietà e attenzione nella gestione dei propri dati personali.

---

Domande frequenti su GDPR, privacy e whistleblowing per hotel, ristoranti e strutture ricettive

1. Sono un piccolo B&B con 3 camere: devo comunque adeguarmi al GDPR?
Sì. Anche le microstrutture ricettive devono rispettare il GDPR, fornendo l’informativa privacy, gestendo i dati in modo sicuro e nominando eventualmente i responsabili esterni (es. chi gestisce il sito, PMS o sistemi di videosorveglianza). L’obbligo riguarda tutti i Titolari del trattamento, indipendentemente dalle dimensioni.

2. Quando un hotel deve attivare il canale whistleblowing?
Se ha almeno 50 dipendenti o adotta un Modello 231, il canale whistleblowing è obbligatorio ai sensi del D.Lgs. 24/2023. Anche in assenza di obbligo formale, l’attivazione è consigliata per tutelare la struttura da rischi reputazionali e garantire una gestione etica delle segnalazioni.

3. Il GDPR vale anche per i dati raccolti su Booking o Expedia?
Assolutamente sì. I dati trasmessi dai portali di prenotazione (OTA) devono essere trattati nel rispetto del GDPR. La struttura ricettiva è Titolare del trattamento e deve aggiornare il proprio registro e le informative includendo anche queste fonti di acquisizione.

4. Devo richiedere il consenso dell’ospite per trattare le sue intolleranze alimentari?
Sì. Le intolleranze e allergie rientrano nei dati particolari, e il GDPR impone il consenso esplicito e tracciabile per poterli trattare, anche se forniti volontariamente dal cliente.

5. Posso conservare le copie dei documenti degli ospiti per motivi di sicurezza?
No, non è consentito conservare le copie dei documenti di identità degli ospiti, se non in casi specifici previsti dalla normativa. È sufficiente registrare i dati richiesti per legge e inviarli alla questura secondo i protocolli previsti.

6. Quali sono le sanzioni previste in caso di violazione del GDPR in un hotel?
Il Garante può comminare sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale. Anche per violazioni “minori” (informative assenti, conservazione eccessiva dei dati, formazione mancante) sono previste multe di migliaia di euro.

7. Cosa succede se non gestisco correttamente una segnalazione whistleblowing?
Una segnalazione gestita in modo improprio può comportare sanzioni ANAC, cause civili da parte del segnalante, violazioni del GDPR (es. per mancata protezione dei dati personali) e danni reputazionali. Il sistema deve essere strutturato, documentato e integrato con la privacy aziendale.

8. Il mio sistema PMS è in cloud: chi è responsabile dei dati?
Il Titolare del trattamento resta l’hotel o il ristorante. Il fornitore del gestionale cloud deve essere nominato Responsabile del trattamento con contratto scritto, ai sensi dell’art. 28 GDPR. La responsabilità non si trasferisce al software.

9. Per quanto tempo posso conservare i dati dei clienti per finalità di marketing?
Generalmente non oltre 24 mesi dalla raccolta o dall’ultima interazione, salvo rinnovo del consenso. Superato questo termine, i dati devono essere cancellati o anonimizzati.

10. Cosa include una consulenza legale per adeguare una struttura al GDPR?
Una consulenza professionale comprende:

• audit interno e mappatura dei trattamenti;

• redazione di informative, registro, policy e contratti DPA;

• supporto nella gestione del canale whistleblowing;

• formazione del personale;

• assistenza in caso di ispezioni o segnalazioni.

---

Vuoi adeguare il tuo hotel o ristorante al GDPR? Contattaci per una consulenza personalizzata

Siamo lo Studio Legale Calvello, da oltre 25 anni al fianco delle imprese che vogliono proteggere i dati, rispettare le normative e prevenire sanzioni. Abbiamo seguito decine di strutture nel settore alberghiero, termale, ristorativo e benessere.

Grazie alla nostra consulenza potrai:

• essere conforme al GDPR e al whistleblowing;

• evitare errori costosi e inutili complicazioni;

• trasmettere fiducia e professionalità ai tuoi clienti.

Richiedi ora una consulenza riservata e personalizzata dalla nostra pagina contatti.
Agire oggi ti tutela domani.