Articolo a cura di: Redazione - Studio Legale Calvello
Un hotel raccoglie quotidianamente indirizzi e-mail attraverso prenotazioni dirette, portali turistici, richieste di disponibilità e registrazioni alla reception. Utilizzare questi contatti per inviare newsletter, offerte di soggiorno o comunicazioni promozionali richiede però una verifica delle finalità per cui i dati sono stati acquisiti. La questione diventa più delicata quando la piattaforma di email marketing registra le aperture dei messaggi mediante tracking pixel, associando le informazioni al singolo ospite.
Per alberghi, resort e gruppi alberghieri occorre distinguere le comunicazioni necessarie alla prenotazione dal marketing, verificare la validità dei consensi e controllare le funzioni di tracciamento effettivamente attive. Un utilizzo non conforme dei dati può comportare reclami, accertamenti del Garante Privacy e responsabilità per la struttura ricettiva.
Il primo problema riguarda la provenienza degli indirizzi e-mail. Quando un cliente prenota una camera, richiede un preventivo o comunica i propri dati alla reception, l’hotel può trattare le informazioni necessarie per gestire il rapporto contrattuale o le attività precontrattuali richieste dall’interessato. Questo non significa che lo stesso indirizzo possa essere automaticamente inserito in una mailing list promozionale. La gestione della prenotazione e l’invio di offerte per soggiorni futuri costituiscono finalità differenti, che devono essere valutate separatamente.
Il Regolamento (UE) 2016/679 impone di individuare una base giuridica appropriata per ciascun trattamento, mentre l’articolo 130 del D.Lgs. 196/2003 disciplina l’utilizzo della posta elettronica per comunicazioni commerciali. Per le newsletter promozionali il consenso preventivo rappresenta la regola generale, salvo le specifiche condizioni previste dalla normativa. La struttura deve quindi evitare che l’accettazione dell’informativa privacy o delle condizioni di prenotazione venga interpretata come autorizzazione indistinta a ricevere pubblicità.
Una situazione frequente riguarda i booking engine integrati nel sito dell’albergo. Il cliente inserisce nome, indirizzo e-mail e informazioni necessarie alla prenotazione; nello stesso modulo compare una casella per ricevere offerte e comunicazioni promozionali. Il consenso al marketing, quando richiesto, deve essere libero, specifico, informato e manifestato attraverso un’azione positiva. Una casella preselezionata non costituisce una valida modalità di raccolta del consenso. Il rifiuto della newsletter non deve impedire al cliente di completare una normale prenotazione.
Un’altra questione riguarda gli ospiti che hanno già soggiornato nella struttura. L’articolo 130, comma 4, del Codice Privacy prevede una particolare disciplina, comunemente denominata soft spam, che può consentire l’utilizzo dell’indirizzo e-mail raccolto nel contesto della vendita di un prodotto o servizio per promuovere propri prodotti o servizi analoghi, purché siano rispettate tutte le condizioni normative. Occorre verificare, tra l’altro, che il destinatario sia stato adeguatamente informato e possa opporsi facilmente, gratuitamente e fin dalla raccolta del dato, oltre che in occasione di ogni successiva comunicazione.
Per un albergo, questa possibilità non equivale a un’autorizzazione generale a inviare qualsiasi pubblicità agli ex ospiti. La valutazione deve considerare il rapporto effettivamente intercorso, l’analogia dei servizi promossi, l’identità del soggetto che effettua l’invio e le modalità con cui l’interessato può esercitare l’opposizione. Non è corretto estendere automaticamente questa disciplina a indirizzi ottenuti attraverso semplici richieste di preventivo, contatti raccolti durante eventi o elenchi acquisiti da soggetti terzi.
Particolare attenzione meritano le prenotazioni provenienti da Booking.com, Expedia e altre piattaforme di intermediazione turistica. La disponibilità dell’indirizzo e-mail dell’ospite all’interno del gestionale alberghiero non attribuisce, da sola, il diritto di utilizzarlo per campagne commerciali autonome. Bisogna verificare le finalità originarie della comunicazione, le condizioni contrattuali applicabili alla piattaforma, i ruoli privacy dei soggetti coinvolti e l’eventuale esistenza di una base giuridica per il successivo marketing dell’hotel.
Lo stesso problema può presentarsi nei gruppi alberghieri. Un consenso raccolto per ricevere comunicazioni da una determinata struttura non autorizza necessariamente l’invio di newsletter da parte di tutte le società del gruppo. L’identificazione del titolare del trattamento, l’indicazione delle finalità e l’eventuale condivisione dei dati tra soggetti giuridici distinti devono essere organizzate prima dell’attivazione delle campagne.
Queste verifiche rientrano negli adempimenti più specifici della gestione GDPR degli hotel e delle strutture ricettive. Quando il database comprende contatti raccolti negli anni attraverso canali differenti, può essere necessario ricostruire l’origine delle informazioni e distinguere gli indirizzi utilizzabili per le comunicazioni di servizio da quelli per i quali esiste un valido presupposto per il marketing.
La seconda questione riguarda ciò che accade dopo l’invio della newsletter. Molte piattaforme di email marketing consentono di sapere se un messaggio risulta aperto, quando viene visualizzato e quali collegamenti vengono selezionati. Il monitoraggio delle aperture avviene frequentemente attraverso un’immagine invisibile, denominata tracking pixel, inserita nel corpo dell’e-mail e caricata da un server remoto quando il programma di posta visualizza il messaggio.
Il sistema può associare l’evento di caricamento a un identificativo del destinatario e registrare ulteriori informazioni tecniche. Se tali dati vengono collegati al profilo presente nel CRM alberghiero, la struttura può ricostruire le interazioni del singolo cliente con le campagne commerciali. Ad esempio, un hotel potrebbe distinguere gli ospiti che aprono abitualmente offerte relative ai soggiorni benessere da quelli interessati alle promozioni per famiglie, utilizzando queste informazioni per selezionare successive comunicazioni.
Il fatto che il cliente abbia acconsentito a ricevere una newsletter non risolve automaticamente la questione del tracciamento. L’invio della comunicazione commerciale e la raccolta di informazioni sulle aperture costituiscono operazioni che richiedono una valutazione distinta delle rispettive condizioni di liceità. In particolare, occorre considerare le disposizioni del GDPR, la disciplina nazionale applicabile agli strumenti di tracciamento e le indicazioni dell’Autorità garante.
Il tema è stato affrontato anche nel provvedimento n. 284/2026 del Garante Privacy sui tracking pixel nelle e-mail e nelle newsletter, che costituisce un riferimento per verificare le condizioni applicabili al monitoraggio delle comunicazioni elettroniche. La valutazione deve riguardare le caratteristiche effettive del sistema, le informazioni raccolte, le finalità perseguite e l’eventuale applicabilità delle deroghe previste dalla disciplina.
Per l’hotel è necessario distinguere il semplice invio della newsletter dalla misurazione individuale delle aperture e dall’eventuale profilazione commerciale. Quando il tracciamento richiede il consenso, questo deve essere raccolto in modo appropriato e non può essere considerato automaticamente compreso nell’adesione alla mailing list. Occorre anche verificare se il destinatario possa continuare a ricevere le comunicazioni richieste senza essere sottoposto al monitoraggio facoltativo delle aperture.
La questione assume particolare rilievo quando il CRM alberghiero utilizza le aperture per attivare automazioni. Alcuni sistemi possono programmare un secondo invio a chi non ha aperto il primo messaggio, attribuire punteggi ai contatti maggiormente attivi oppure proporre offerte differenti in base alle interazioni precedenti. Queste funzionalità devono essere esaminate per comprendere se il trattamento si limiti alla produzione di statistiche oppure comporti un monitoraggio individuale e una profilazione degli ospiti.
Non è sufficiente che il fornitore della piattaforma dichiari il proprio software conforme al GDPR. Il titolare del trattamento deve conoscere quali funzioni siano abilitate, quali identificativi vengano utilizzati, per quanto tempo siano conservati i dati e se le informazioni vengano trasferite a soggetti situati fuori dallo Spazio economico europeo. Quando il fornitore tratta dati personali per conto dell’hotel, occorre verificare anche il rapporto contrattuale ai sensi dell’articolo 28 GDPR.
Un ulteriore problema riguarda l’affidabilità tecnica delle statistiche. Alcuni programmi di posta, tra cui Apple Mail con la funzione Mail Privacy Protection, possono caricare contenuti remoti attraverso meccanismi che non corrispondono necessariamente a una lettura effettiva del messaggio da parte del destinatario. Il dato registrato come apertura non deve quindi essere interpretato automaticamente come prova che il cliente abbia letto l’offerta commerciale. Questa limitazione incide sia sulle valutazioni di marketing sia sulle eventuali decisioni automatizzate basate sulle aperture.
Per una struttura ricettiva che utilizza già newsletter e automazioni, la verifica deve partire dalle impostazioni reali della piattaforma e dai collegamenti con il gestionale delle prenotazioni. Occorre accertare se il tracking sia attivo per impostazione predefinita, se i consensi siano documentati, se le revoche vengano recepite da tutti i sistemi e se le informazioni fornite agli ospiti descrivano correttamente le attività svolte. Le modalità di raccolta del consenso devono essere coerenti con i controlli illustrati nell’approfondimento dedicato al consenso ai tracking pixel nelle e-mail.
Quando un hotel utilizza un gestionale delle prenotazioni collegato a una piattaforma di email marketing, la conformità al GDPR dipende anche dal modo in cui i diversi sistemi scambiano e conservano le informazioni. Un consenso raccolto correttamente sul sito può perdere la propria utilità se non viene registrato, se non è possibile dimostrarne l’origine oppure se la successiva revoca non viene trasmessa al software che gestisce gli invii. La responsabilità di organizzare correttamente questi trattamenti rimane in capo alla struttura ricettiva che determina finalità e mezzi del trattamento, anche quando le attività operative sono affidate a un’agenzia di marketing o a un fornitore tecnologico.
Il primo controllo riguarda la distinzione tra i diversi consensi e le relative preferenze. Il database dovrebbe permettere di identificare i clienti che possono ricevere comunicazioni promozionali, quelli per i quali sussistono le condizioni del soft spam e quelli che hanno autorizzato eventuali attività di tracciamento soggette a consenso. Occorre evitare che una generica indicazione come “cliente iscritto alla newsletter” venga utilizzata per giustificare qualsiasi trattamento successivo. La registrazione delle preferenze deve consentire di ricostruire quali informazioni siano state fornite all’interessato e quale manifestazione di volontà sia stata effettivamente acquisita.
Un problema ricorrente riguarda la sincronizzazione tra PMS, booking engine, CRM e piattaforma newsletter. Se un ospite revoca il consenso al tracciamento delle aperture, ma desidera continuare a ricevere le offerte dell’hotel, il sistema deve poter gestire separatamente le due preferenze. Se invece esercita il diritto di opposizione al marketing, occorre impedire che un successivo aggiornamento del gestionale lo reinserisca automaticamente tra i destinatari delle campagne. Le procedure devono considerare anche le liste di esclusione necessarie per rispettare le opposizioni già ricevute, senza conservarvi informazioni eccedenti rispetto a tale finalità.
La gestione delle revoche richiede particolare attenzione nei gruppi alberghieri e nelle strutture che utilizzano più piattaforme. Un cliente potrebbe disiscriversi attraverso il collegamento presente in una newsletter, mentre il suo indirizzo rimane attivo nel CRM centrale o in una seconda piattaforma utilizzata per le campagne stagionali. In questi casi, la semplice presenza di un pulsante di disiscrizione non dimostra che l’intero processo sia organizzato correttamente. È necessario verificare il percorso della richiesta e le modalità con cui viene applicata ai trattamenti interessati.
Il tema è approfondito anche nell’articolo dedicato alla gestione delle revoche del tracking tra CRM e piattaforme newsletter, particolarmente rilevante quando gli strumenti informatici vengono aggiornati o sostituiti.
Un secondo controllo riguarda la documentazione. Le attività di email marketing devono essere correttamente rappresentate nell’informativa privacy e, quando applicabile, nel registro delle attività di trattamento. L’hotel deve definire finalità, categorie di dati, destinatari, tempi di conservazione e misure di sicurezza. Per i fornitori che operano quali responsabili del trattamento occorre predisporre un accordo conforme all’articolo 28 GDPR e verificare che le istruzioni contrattuali corrispondano alle attività effettivamente svolte.
Se la piattaforma newsletter conserva informazioni sulle aperture, sui clic e sulle preferenze commerciali degli ospiti, è necessario valutare anche la proporzionalità dei dati raccolti e la durata della loro conservazione. Non è corretto mantenere indefinitamente uno storico dettagliato delle interazioni soltanto perché il software permette di farlo. L’hotel deve individuare criteri di conservazione coerenti con le finalità perseguite e documentare le proprie scelte.
La profilazione commerciale richiede un’attenzione ulteriore quando il CRM utilizza dati relativi ai soggiorni precedenti, alle abitudini di consumo o alle preferenze degli ospiti. Alcune informazioni, come quelle relative a esigenze sanitarie o particolari condizioni personali, possono appartenere a categorie di dati soggette a protezione rafforzata. Non devono essere automaticamente riutilizzate per campagne promozionali. Quando le attività di monitoraggio o profilazione presentano un rischio elevato per i diritti e le libertà delle persone, occorre valutare la necessità di una valutazione d’impatto ai sensi dell’articolo 35 GDPR.
La verifica deve estendersi agli accessi del personale e dei fornitori esterni. Reception, ufficio commerciale, responsabili marketing e agenzie incaricate delle campagne possono avere esigenze operative differenti. Le autorizzazioni devono essere proporzionate alle mansioni e accompagnate da istruzioni adeguate. Anche l’esportazione delle mailing list, la condivisione dei file e l’utilizzo di account comuni possono esporre la struttura a trattamenti non autorizzati o a incidenti di sicurezza.
Quando emergono irregolarità, l’intervento deve essere commisurato alla loro natura. Un’informativa incompleta richiede verifiche differenti rispetto all’utilizzo di indirizzi raccolti senza un valido presupposto giuridico oppure all’attivazione di tracking pixel non adeguatamente valutati. In presenza di reclami degli ospiti, richieste di informazioni del Garante Privacy o contestazioni relative alle campagne commerciali, diventa necessario ricostruire le operazioni effettuate, conservare la documentazione pertinente e valutare le misure correttive.
Le violazioni possono esporre l’hotel alle misure correttive e alle sanzioni previste dal GDPR e dalla normativa nazionale, secondo la natura dell’illecito e le circostanze del caso concreto. Non ogni irregolarità comporta automaticamente una sanzione pecuniaria, ma l’assenza di prove sui consensi, la mancata gestione delle opposizioni e l’utilizzo di strumenti di tracciamento senza le necessarie verifiche possono rendere più difficile dimostrare la liceità delle attività svolte.
Per le strutture che gestiscono database numerosi, più canali di prenotazione o campagne automatizzate, un audit mirato consente di esaminare il percorso dei dati dalla raccolta dell’indirizzo e-mail fino all’invio della newsletter e alla registrazione delle interazioni. L’attività può essere svolta con il supporto di un consulente privacy o del DPO, quando nominato, mantenendo distinti i rispettivi compiti e le responsabilità del titolare del trattamento.
Consideriamo il caso ipotetico di un hotel che utilizza un gestionale alberghiero collegato a una piattaforma per l’invio automatico di newsletter. Gli indirizzi e-mail provengono dalle prenotazioni dirette, dalle richieste di disponibilità e dai contatti acquisiti attraverso portali turistici. Il personale commerciale invia periodicamente offerte stagionali e promozioni per soggiorni futuri, mentre il software registra le aperture dei messaggi e utilizza questi dati per selezionare i destinatari delle campagne successive.
Durante una verifica interna emerge che il database non distingue chiaramente i clienti che hanno espresso un consenso al marketing da quelli inseriti automaticamente dopo una prenotazione. La piattaforma newsletter ha inoltre attivato il monitoraggio individuale delle aperture, ma l’informativa utilizzata dall’hotel non descrive adeguatamente questa funzionalità. Alcuni ospiti che avevano chiesto di non ricevere ulteriori comunicazioni risultano ancora presenti in una lista sincronizzata con il gestionale.
In una situazione del genere, l’intervento professionale deve partire dalla ricostruzione dell’origine dei contatti e delle operazioni effettivamente svolte. Occorre verificare le basi giuridiche del marketing, le condizioni per l’eventuale applicazione del soft spam, le impostazioni del tracking e il funzionamento delle revoche. Per i contatti privi di un presupposto valido si deve valutare la sospensione degli invii promozionali, mentre le funzionalità di monitoraggio devono essere riesaminate separatamente.
La riorganizzazione può comprendere la revisione dei moduli di prenotazione, l’aggiornamento delle informative, la separazione delle preferenze commerciali dalle autorizzazioni al tracciamento e la correzione dei collegamenti tra CRM e piattaforma newsletter. L’aspetto che richiede maggiore attenzione è evitare che, dopo la revisione, una nuova importazione dei contatti ripristini automaticamente consensi inesistenti o preferenze precedentemente revocate. Le misure da adottare dipendono dalle caratteristiche dei sistemi e dalle irregolarità effettivamente accertate.
1. Un hotel può inviare newsletter ai clienti che hanno già soggiornato senza chiedere un nuovo consenso?
In determinate circostanze sì, ma non automaticamente. L’articolo 130, comma 4, del Codice Privacy consente, alle condizioni previste dalla norma, l’utilizzo dell’indirizzo e-mail acquisito nel contesto della vendita di un prodotto o servizio per promuovere propri prodotti o servizi analoghi. L’hotel deve verificare che il cliente sia stato adeguatamente informato e abbia avuto la possibilità di opporsi facilmente e gratuitamente fin dalla raccolta dell’indirizzo e in ogni successiva comunicazione. La disciplina non autorizza indiscriminatamente l’utilizzo di tutti i contatti presenti nel gestionale alberghiero.
2. Gli indirizzi e-mail ricevuti da Booking.com o Expedia possono essere utilizzati per offerte commerciali?
La disponibilità dell’indirizzo e-mail di un ospite che ha prenotato attraverso una piattaforma turistica non costituisce, da sola, una base giuridica per l’invio di newsletter. Occorre verificare le finalità per cui il contatto è stato comunicato, le condizioni contrattuali della piattaforma e l’eventuale presenza di un valido presupposto per il marketing. L’utilizzo dell’indirizzo per gestire il soggiorno non comporta automaticamente la possibilità di impiegarlo per campagne promozionali successive.
3. Per sapere se un cliente apre la newsletter dell’hotel serve un consenso specifico?
Il tracciamento individuale delle aperture mediante pixel deve essere valutato separatamente dall’invio della newsletter. Quando la disciplina applicabile richiede il consenso per il monitoraggio, l’adesione alla mailing list non è automaticamente sufficiente. L’hotel deve verificare le caratteristiche tecniche del sistema, le informazioni raccolte, le finalità del trattamento e le eventuali deroghe applicabili. La semplice disponibilità della funzione di tracking all’interno della piattaforma non ne dimostra la liceità.
4. Cosa deve fare un hotel se un cliente revoca il consenso al tracking ma vuole continuare a ricevere le offerte?
La struttura deve verificare che il CRM e la piattaforma newsletter siano in grado di gestire separatamente le preferenze. Se il cliente desidera mantenere l’iscrizione alle comunicazioni commerciali, la revoca del consenso al tracciamento non dovrebbe determinare automaticamente la cancellazione dalla newsletter. Occorre invece interrompere le operazioni di monitoraggio fondate sul consenso revocato, mantenendo gli invii per i quali sussiste una valida base giuridica. La corretta sincronizzazione delle preferenze deve essere verificata anche dopo aggiornamenti o importazioni del database.
5. Quali rischi corre un albergo che invia newsletter senza consenso o utilizza tracking pixel non conformi?
Le conseguenze dipendono dalla violazione effettivamente accertata. L’hotel può ricevere richieste di cancellazione, opposizioni al marketing, reclami degli interessati e richieste di informazioni del Garante Privacy. Nei casi previsti dalla normativa possono essere adottate misure correttive e applicate sanzioni amministrative. La struttura deve poter documentare la provenienza dei contatti, le basi giuridiche utilizzate, le informative fornite, la gestione delle revoche e le verifiche effettuate sui sistemi di tracciamento.
La gestione delle newsletter alberghiere richiede una verifica coordinata dei moduli di prenotazione, delle mailing list, dei consensi marketing e delle impostazioni di tracciamento. Quando i dati provengono da più canali o vengono condivisi tra gestionale alberghiero, CRM e piattaforma newsletter, le irregolarità possono dipendere da procedure organizzative e configurazioni tecniche non adeguatamente controllate.
Noi dello Studio Legale Calvello assistiamo hotel, resort, strutture ricettive e gruppi alberghieri nella valutazione della conformità GDPR delle attività di email marketing, nell’esame delle informative e dei consensi, nella verifica dei rapporti con i fornitori e nella gestione delle problematiche relative al tracking delle aperture. Interveniamo anche quando la struttura deve riorganizzare un database esistente, affrontare un reclamo o verificare le proprie procedure prima di attivare nuove campagne commerciali.
Per richiedere una valutazione della situazione della propria struttura è possibile utilizzare la pagina dedicata alla consulenza privacy e compliance aziendale dello Studio Legale Calvello, descrivendo le piattaforme utilizzate, le modalità di raccolta dei contatti e le eventuali criticità già riscontrate.
