Identificare e trasmettere non significa archiviare: copie, scansioni e fotografie vanno gestite come materiale transitorio e cancellate dopo la ricevuta.
Identificare e trasmettere non significa archiviare: copie, scansioni e fotografie vanno gestite come materiale transitorio e…
Identifica tutti gli alloggiati e trasmetti a Alloggiati Web i campi previsti nei termini applicabili.
Dove si crea più rischio nel tuo check-in: scansione del documento, PMS, invio Alloggiati, self check-in o cancellazione delle copie?
Al check-in — apri la spiegazione l’hotel deve identificare l’ospite e comunicare le generalità alla pubblica sicurezza. Questo obbligo, però, non autorizza a creare un archivio permanente di fotografie, scansioni o fotocopie dei documenti d’identità. La distinzione è diventata ancora più netta con la nota del Garante Privacy del 29 aprile 2026: l’eventuale copia usata come strumento per compilare e trasmettere i dati deve essere cancellata o distrutta quando il sistema genera la ricevuta di avvenuta comunicazione.
La regola operativa può essere riassunta così: verificare la persona, raccogliere soltanto i dati necessari, trasmetterli nei termini, controllare la ricevuta e cancellare il materiale transitorio. Ciò che resta nel PMS — apri la spiegazione, nella contabilità o nel CRM — apri la spiegazione deve avere una finalità propria, una base giuridica — apri la spiegazione propria e un tempo di conservazione coerente. Il fatto che un campo sia tecnicamente disponibile non significa che l’hotel debba compilarlo o conservarlo.
Il problema non riguarda soltanto la privacy formale. Una foto del documento lasciata nella galleria di uno smartphone, in una chat WhatsApp, in una cartella condivisa o nel cloud — apri la spiegazione dello scanner espone l’ospite a furto d’identità — apri la spiegazione e la struttura a un incidente difficile da contenere. Anche un flusso apparentemente ordinato può duplicare il file in miniature, backup — apri la spiegazione automatici, e-mail, esportazioni e log — apri la spiegazione del fornitore.
Questa guida costruisce una procedura concreta per reception, PMS — apri la spiegazione e self check-in — apri la spiegazione: quali dati servono, che cosa può essere temporaneo, che cosa va conservato, come gestire gruppi e famiglie, quali controlli chiedere ai fornitori e come reagire a un errore. È un contenuto informativo generale, aggiornato al 25 agosto 2026, e non sostituisce la verifica legale, privacy o di pubblica sicurezza sul caso specifico e sulle indicazioni della Questura territorialmente competente.
Nel lavoro quotidiano tre operazioni diverse vengono spesso trattate come se fossero una sola.
Identificare significa verificare che la persona presente corrisponda al documento idoneo esibito. Trasmettere significa inviare a Alloggiati Web — apri la spiegazione le informazioni previste dall’articolo 109 TULPS — apri la spiegazione e dai decreti attuativi. Conservare significa mantenere dati o copie disponibili dopo che lo scopo immediato è stato raggiunto.
L’obbligo legale riguarda l’identificazione e la comunicazione. Non crea, da solo, una base per archiviare la copia completa del documento. Il Garante ha chiarito che alberghi, B&B — apri la spiegazione e affittacamere non possono trattenere immagini o fotocopie oltre il tempo strettamente necessario alla comunicazione alle autorità. La sola prova da conservare per questo adempimento è la ricevuta generata dal portale, non il documento dell’ospite.
Questo non significa che l’hotel debba cancellare ogni informazione sul cliente subito dopo l’invio. Alcuni dati possono essere necessari per gestire il soggiorno, emettere un documento fiscale, rispondere a una contestazione o adempiere ad altri obblighi. In quel caso non vanno conservati “per Alloggiati”, ma per una finalità distinta e documentata. Il campo necessario alla fattura non giustifica la scansione fronte-retro della carta d’identità; l’indirizzo e-mail usato per il pre-arrivo non diventa automaticamente utilizzabile per marketing.
La prima difesa è quindi progettare archivi separati, almeno sul piano logico:
Quando questi livelli confluiscono in un’unica “anagrafica cliente” senza regole, nessuno sa più perché un dato è presente, chi lo può vedere e quando deve essere cancellato.
L’articolo 109 TULPS — apri la spiegazione richiede di dare alloggio a persone munite di un documento idoneo e di comunicare le loro generalità. Le FAQ ufficiali di Alloggiati Web richiamano l’obbligo per strutture ricettive e, nei casi previsti, per locazioni di durata inferiore a trenta giorni.
Il gestore deve identificare tutte le persone alloggiate, non soltanto chi ha effettuato la prenotazione. Per famiglie e gruppi, il portale consente modalità semplificate: gli estremi del documento sono inseriti per capo famiglia o capo gruppo, mentre per gli altri componenti sono comunicati i dati anagrafici previsti. La semplificazione di inserimento non elimina la verifica iniziale dei componenti. La Questura di Parma lo esplicita: tutti vanno identificati, anche se nel portale gli estremi del documento sono richiesti soltanto per il capogruppo o capofamiglia.
La nota del Garante del 2026 riepiloga i dati previsti per ospite singolo, capo famiglia o capo gruppo:
Per familiari e componenti del gruppo, gli estremi del documento non fanno parte dei campi trasmessi nella modalità semplificata; restano i dati anagrafici indicati dal tracciato. Il manuale ufficiale Alloggiati Web va consultato per codici, formati e sequenza dei record.
Evita di ampliare la raccolta “per comodità”. Copia del codice fiscale, professione, stato civile, fotografia separata, indirizzo di residenza o scansione del retro non diventano necessari solo perché lo scanner riesce a leggerli. Se servono a un’altra operazione, documenta quella finalità e limita il dato a ciò che è davvero richiesto.
Per minori, documenti particolari, equipaggi, gruppi organizzati o casi dubbi, non improvvisare una regola generale: applica il manuale corrente e le indicazioni della Questura competente. Una procedura locale scritta evita che ogni addetto interpreti diversamente la stessa situazione.
La domanda corretta non è “possiamo tenere i dati dell’ospite?”, ma “quale dato, per quale finalità, su quale base e fino a quando?”. Una mappa essenziale impedisce di usare la stessa giustificazione per archivi molto diversi.
| Trattamento | Dati strettamente pertinenti | Regola operativa |
|---|---|---|
| Identificazione e Alloggiati Web — apri la spiegazione | generalità e dati documento previsti dal tracciato | copia soltanto se strumentale; cancellazione o distruzione dopo la ricevuta |
| Prenotazione e soggiorno | contatti, date, occupanti, servizi, note operative necessarie | conservazione legata al rapporto e alle esigenze documentate |
| Fatturazione e contabilità | dati richiesti per documento fiscale e registrazioni | archivio separato e tempi previsti dalle norme applicabili |
| Pagamento e garanzie | token — apri la spiegazione, esito, riferimenti necessari alla riconciliazione | non copiare dati carta o documenti oltre il flusso autorizzato |
| Preferenze di servizio | informazioni davvero utili a erogare quanto richiesto | evitare note libere eccedenti o categorie particolari non necessarie |
| Marketing | contatti e preferenze utilizzabili secondo la base applicabile | niente riuso automatico dei dati raccolti per obbligo o contratto |
| Sicurezza e reclami | fatti, log — apri la spiegazione e documenti pertinenti all’evento | accessi ristretti, conservazione motivata, niente dossier generalizzati |
Il principio di minimizzazione dell’articolo 5 GDPR chiede dati adeguati, pertinenti e limitati a quanto necessario. La limitazione della conservazione impone inoltre di non tenere le informazioni più a lungo del necessario rispetto allo scopo.
La mappa deve tradursi in una tabella interna con almeno: sistema, campo, finalità, base giuridica — apri la spiegazione, soggetti abilitati, termine o criterio di cancellazione, destinazione delle copie di sicurezza e responsabile del controllo. Una formula generica come “dieci anni per tutto” non è una policy — apri la spiegazione: può essere corretta per alcuni documenti contabili, ma non giustifica immagini d’identità, chat, scansioni o preferenze operative.
Anche il registro dei trattamenti, quando applicabile, deve riflettere il flusso reale. Se la reception usa WhatsApp, uno scanner cloud — apri la spiegazione e un PMS — apri la spiegazione esterno, non basta descrivere “gestione clienti” in un’unica riga. L’hotel deve sapere dove nasce il dato, dove transita, dove può duplicarsi e chi lo cancella.
La comunicazione delle generalità va effettuata entro ventiquattro ore dall’arrivo. Per soggiorni non superiori alle ventiquattro ore, il decreto del Ministero dell’Interno del 16 settembre 2021 stabilisce il termine di sei ore dall’arrivo. La procedura interna dovrebbe comunque puntare all’invio immediato, così da ridurre il rischio che cambio turno, guasto o arrivo notturno portino fuori termine.
Non considerare concluso il compito quando l’addetto preme “invia”. Il portale rende disponibile una ricevuta, e le FAQ Alloggiati Web precisano due aspetti operativi:
Ogni turno deve quindi verificare l’esito, scaricare la ricevuta, associarla alla giornata o al lotto corretto e conservarla in un archivio protetto. L’assenza della ricevuta non va compensata tenendo le copie dei documenti “come prova”: va controllato l’invio attraverso le funzioni disponibili e, se necessario, va contattato l’ufficio competente.
Quando il sistema centrale non è disponibile, il decreto disciplina canali alternativi verso la Questura competente. Non confondere un guasto del portale con un problema del computer, del gestionale o delle credenziali della struttura. Predisponi una scheda di emergenza con contatti, canale autorizzato, dati da inviare, persona abilitata e modalità di cancellazione del file temporaneo.
La ricevuta dimostra l’avvenuta trasmissione; non autorizza la conservazione parallela dei dati trasmessi né sostituisce i controlli sul contenuto. Per questo la quadratura giornaliera deve confrontare arrivi effettivi, record accettati ed eventuali scarti senza creare un secondo archivio permanente di documenti.
Il self check-in — apri la spiegazione non può essere progettato come semplice invio anticipato del documento seguito dall’apertura autonoma di una keybox. Il Consiglio di Stato, sentenza 21 novembre 2025 n. 9101, ha affermato che il gestore deve verificare de visu la corrispondenza tra la persona alloggiata e il documento, almeno rispetto alla fotografia.
La decisione precisa anche che il riscontro può avvenire tramite dispositivi di videocollegamento predisposti all’ingresso, purché consentano di accertare in quel momento la corrispondenza fra ospite e titolare del documento. Non basta quindi ricevere una foto ore prima, confrontarla automaticamente e lasciare la chiave senza alcun controllo al momento dell’accesso.
Per una struttura con arrivi automatizzati, il flusso dovrebbe prevedere:
La tecnologia non decide da sola la conformità. Un lettore CIE — apri la spiegazione, un OCR — apri la spiegazione, un riconoscimento automatico o una videocamera possono sostenere un passaggio, ma non rendono automaticamente adeguato l’intero processo. Vanno valutati affidabilità, possibilità di intervento umano, accessibilità, gestione degli errori, dati prodotti e indicazioni della Questura territoriale.
Evita di registrare l’intera videochiamata “per dimostrare che il controllo è avvenuto” se una traccia meno invasiva è sufficiente. La prova organizzativa può consistere in esito, data, ora, addetto e procedura applicata, purché il modello sia stato verificato sul caso concreto.
Uno scanner documentale o un sistema OCR — apri la spiegazione può ridurre errori di battitura. Il problema nasce quando l’apparecchio, oltre a estrarre i campi, conserva l’immagine completa in una cartella, nel profilo del cliente, nel cloud — apri la spiegazione del produttore o in una cache — apri la spiegazione non visibile alla reception.
Prima dell’uso verifica in modo pratico:
La configurazione corretta è “estrai, verifica, trasmetti, cancella”, non “scansiona e archivia”. Il Garante chiede anche che l’ospite sappia che, quando il check-in — apri la spiegazione usa dispositivi capaci di acquisire copie digitali, la struttura non archivierà le immagini.
Fotografare il documento con il telefono personale dell’addetto è una pratica da vietare. La foto può sincronizzarsi con un account privato, comparire nella galleria, essere inclusa nel backup — apri la spiegazione e restare recuperabile anche dopo una cancellazione apparente. Chiedere l’invio tramite WhatsApp presenta rischi analoghi: copia sul telefono dell’ospite, sul dispositivo della struttura, nella chat, nei backup — apri la spiegazione e negli eventuali strumenti collegati.
Se un canale remoto è realmente necessario, usa un portale controllato dalla struttura, cifrato, con autenticazione, accessi tracciati, scadenza automatica e cancellazione verificabile. Non promettere “cancellazione immediata” se il fornitore mantiene copie tecniche per settimane. La policy — apri la spiegazione deve descrivere ciò che accade davvero.
Il PMS — apri la spiegazione dovrebbe conservare ciò che serve a gestire prenotazione e soggiorno, non tutto ciò che è apparso sul documento. Molti sistemi permettono di aggiungere allegati, note libere, foto, campi personalizzati ed esportazioni: sono funzioni utili, ma aumentano la superficie di rischio.
Esegui un audit — apri la spiegazione campo per campo:
Se l’integrazione con Alloggiati Web — apri la spiegazione genera un file di trasmissione, il file va trattato come temporaneo. Dopo l’accettazione e la ricevuta, deve partire una cancellazione automatica o una procedura giornaliera verificata. Non lasciarlo nella cartella “Download”, sul desktop della reception o in una directory condivisa accessibile a tutti.
Riduci i privilegi. Chi gestisce il pre-arrivo può inserire dati, ma non necessariamente esportare anagrafiche; chi amministra il PMS — apri la spiegazione non deve consultare per routine tutti i documenti; il fornitore di assistenza deve accedere soltanto quando serve e con autorizzazione tracciata. Account condivisi come “reception” rendono difficile ricostruire un errore: usa credenziali nominative, autenticazione robusta e log — apri la spiegazione.
Verifica infine cosa succede quando l’ospite chiede accesso o cancellazione. Il sistema deve distinguere i dati ancora necessari per obbligo, contratto o difesa da quelli non più giustificati, senza promettere l’eliminazione di informazioni che la struttura deve legittimamente mantenere.
La carta non è automaticamente più sicura del digitale. Una fotocopia lasciata sotto la tastiera, un elenco stampato, un modulo nel vassoio dello scanner o un documento dimenticato sul banco sono accessibili a colleghi, fornitori e ospiti.
La procedura di front office — apri la spiegazione dovrebbe seguire una sequenza breve:
Se il turno termina prima della ricevuta, il passaggio di consegne deve riportare una pratica aperta con stato e responsabilità, non allegare la copia del documento in una chat. Usa un registro operativo protetto che permetta di capire chi deve controllare l’esito.
Il banco va progettato per la riservatezza: schermo non leggibile dal pubblico, documenti mai esposti, stampante in area controllata, blocco automatico della postazione e nessun foglio nelle tasche della divisa. Anche la conversazione conta: non leggere ad alta voce dati completi quando altre persone possono ascoltare.
In caso di documento dimenticato, trattalo come bene e dato personale: mettilo in custodia — apri la spiegazione controllata, registra ritrovamento e restituzione, verifica il destinatario e non fotografarlo per “ricordare a chi appartiene”. La procedura sugli oggetti dimenticati deve coordinarsi con quella privacy.
Una policy — apri la spiegazione efficace indica chi fa cosa. “Il personale è formato” non basta se tutti possono acquisire, esportare e cancellare senza regole.
Definisci almeno questi ruoli:
Le istruzioni scritte devono vietare esplicitamente fotografie con telefoni personali, invii a chat non autorizzate, copie preventive, esportazioni locali e uso delle credenziali di un collega. Devono anche spiegare cosa fare quando il portale non risponde, il documento è illeggibile, l’ospite contesta la raccolta o il PMS — apri la spiegazione non cancella l’immagine.
La formazione va provata con esempi. Chiedi all’addetto di mostrare dove finisce una scansione, come verifica la ricevuta e come elimina il file. Simula un arrivo durante il cambio turno e una prenotazione di gruppo. Un quiz teorico non rivela una cartella di download piena di documenti.
Riesamina autorizzazioni e account quando una persona cambia ruolo o lascia la struttura. Gli accessi remoti del fornitore non devono restare permanenti per comodità. Conserva evidenza di istruzioni, formazione, verifiche e correzioni, senza trasformare il registro in un altro archivio di dati degli ospiti.
Quando un fornitore tratta dati per conto dell’hotel, il contratto e la designazione prevista dall’articolo 28 GDPR devono corrispondere al servizio reale. Non basta che il sito del fornitore dichiari “GDPR — apri la spiegazione compliant”.
Prima di attivare PMS — apri la spiegazione, self check-in — apri la spiegazione, OCR — apri la spiegazione o cloud — apri la spiegazione, chiedi risposte verificabili:
Prova il prodotto in un ambiente senza dati reali. Carica un documento fittizio, completa l’operazione, cancellalo e verifica pannello, app, e-mail, esportazioni e backup — apri la spiegazione visibili. Chiedi al fornitore evidenza della cancellazione lato server quando non può essere controllata dalla struttura.
Se la piattaforma conserva obbligatoriamente la scansione per mesi, l’hotel non può risolvere il problema con una frase nell’informativa. Deve cambiare configurazione, ottenere una funzione adeguata o scegliere un flusso diverso. La responsabilità organizzativa resta alla struttura anche quando l’interfaccia e il cloud — apri la spiegazione appartengono a terzi.
Inserisci questi controlli nel rinnovo annuale: funzionalità e subfornitori cambiano. Un contratto firmato tre anni prima non prova che l’attuale versione del software cancelli ancora i file nello stesso modo.
Non esiste un unico termine valido per tutti i dati dell’ospite. Il termine di cinque anni riguarda la ricevuta di Alloggiati Web — apri la spiegazione, non la copia del documento e non ogni informazione presente nel PMS — apri la spiegazione.
Costruisci un piano con criteri diversi:
Il piano deve includere copie locali, cloud — apri la spiegazione, backup — apri la spiegazione, e-mail, esportazioni, cestini e dispositivi mobili. La cancellazione immediata da un sistema primario può convivere con una permanenza tecnica limitata nei backup — apri la spiegazione, purché sia documentata, protetta e non utilizzata per attività ordinarie. Se il backup — apri la spiegazione può essere ripristinato, la procedura deve evitare che dati già cancellati tornino disponibili senza controllo.
Programma verifiche periodiche su un campione di pratiche chiuse. Cerca immagini, numeri di documento e allegati nei profili più vecchi; controlla cartelle condivise e caselle e-mail; verifica che l’automazione abbia funzionato. La retention — apri la spiegazione scritta è utile soltanto se produce cancellazioni reali.
Per i diritti dell’interessato — apri la spiegazione, prepara un flusso che identifichi il richiedente senza raccogliere automaticamente un’altra copia permanente del documento. Valuta caso per caso un metodo proporzionato e registra decisione, ricerca nei sistemi e risposta.
Se scopri copie di documenti in una cartella accessibile, non limitarti a cancellarle e considerare chiuso il problema. Prima individua portata, periodo, sistemi coinvolti, persone con accesso e possibilità di estrazione. Preserva i log — apri la spiegazione e le evidenze necessarie senza moltiplicare ulteriormente i file.
La procedura iniziale dovrebbe prevedere:
Gli articoli 33 e 34 GDPR disciplinano notifica all’autorità e, nei casi previsti, comunicazione agli interessati — apri la spiegazione. Il Garante ha ricordato nel chiarimento del 2026 che la perdita di riservatezza delle immagini dei documenti può richiedere una valutazione rapida e che la notifica, quando dovuta, va effettuata senza ingiustificato ritardo e ove possibile entro settantadue ore dalla conoscenza della violazione.
Non ogni errore produce automaticamente le stesse conseguenze, ma ogni evento va valutato. Un documento rimasto per dieci minuti su un banco controllato è diverso da una cartella cloud — apri la spiegazione pubblica contenente migliaia di scansioni; entrambi richiedono però una ricostruzione, non una reazione intuitiva.
Chiudi l’incidente soltanto dopo aver provato la correzione: disattivazione del salvataggio automatico, pulizia delle copie pregresse, modifica dei permessi, formazione del personale e test del nuovo flusso. Per i rischi fisici e le prove di accesso può essere utile coordinare questa procedura con la guida sulla videosorveglianza in hotel e, quando il documento è stato sottratto insieme ad altri beni, con l’approfondimento sul furto in camera.
Risposte operative su prove, stime, depositi, addebiti, OTA — apri la spiegazione, assicurazione e contestazioni.
Può acquisire una copia soltanto quando è strettamente strumentale all’inserimento e alla trasmissione dei dati previsti. Dopo la ricevuta di Alloggiati Web — apri la spiegazione, la copia deve essere distrutta o cancellata. L’obbligo di pubblica sicurezza non autorizza un archivio permanente di fotocopie.
È una pratica da evitare e vietare sui telefoni personali. La foto può duplicarsi in galleria, cloud — apri la spiegazione, backup — apri la spiegazione e chat. Se la struttura usa un dispositivo dedicato, deve comunque assicurare canale controllato, accessi limitati e cancellazione verificabile dopo la ricevuta.
L’hotel deve identificare l’ospite e trasmettere i dati richiesti dalla legge, ma non può presentare la conservazione permanente della copia come condizione necessaria. Deve spiegare il flusso e, se acquisisce temporaneamente un’immagine, cancellarla o distruggerla nei tempi previsti.
Sì, tutti gli alloggiati devono essere identificati. Il portale consente però un inserimento semplificato: gli estremi del documento sono comunicati per capo famiglia o capogruppo, mentre per gli altri componenti sono trasmessi i dati anagrafici previsti dal tracciato.
Entro ventiquattro ore dall’arrivo; per soggiorni non superiori alle ventiquattro ore, entro sei ore dall’arrivo. Operativamente conviene trasmettere subito e verificare l’accettazione, senza attendere la scadenza.
Cinque anni in formato digitale. Le ricevute restano disponibili per il download sul portale soltanto per un periodo limitato, indicato nelle FAQ ufficiali in trenta giorni, quindi vanno scaricate e archiviate con regolarità.
Non in automatico e senza termine. Per la finalità Alloggiati, l’immagine deve essere eliminata dopo la ricevuta. Se il software la mantiene, occorre correggere la configurazione o il flusso e verificare anche cache — apri la spiegazione, backup — apri la spiegazione, esportazioni e sistemi collegati.
No. La sentenza del Consiglio di Stato n. 9101/2025 richiede un riscontro de visu della corrispondenza tra persona e documento. Può essere sostenuto da un videocollegamento all’ingresso idoneo a verificare l’ospite in quel momento; il semplice invio anticipato del documento non basta.
Non perché raccolti per obbligo di pubblica sicurezza. Il marketing richiede un trattamento distinto, con informazioni, base giuridica — apri la spiegazione e possibilità di opposizione o revoca applicabili. I dati obbligatori non vanno riversati automaticamente in liste commerciali.
Blocca gli accessi, preserva i log — apri la spiegazione, ricostruisci quantità, destinatari e rischi, coinvolgi subito i referenti competenti e valuta gli obblighi di data breach — apri la spiegazione. Non cancellare alla cieca le evidenze utili e non attendere la scadenza delle settantadue ore per iniziare l’analisi.
Fonti primarie verificate al 25 agosto 2026: Garante Privacy — documenti degli ospiti; Polizia di Stato — FAQ Alloggiati Web; Manuale Alloggiati Web; D.M. 16 settembre 2021; Consiglio di Stato n. 9101/2025; GDPR. Informazioni generali: procedure, casi particolari e indicazioni della Questura competente vanno verificati sul caso concreto.
Il confronto continua nella Community Revenue & Co.: proponi un tema, condividi un caso o partecipa alle conversazioni.
Dove si crea più rischio nel tuo check-in: scansione del documento, PMS, invio Alloggiati, self check-in o cancellazione delle copie?
I commenti e il confronto proseguono sui canali social e nello spazio Community di Revenue & Co.
Mappiamo reception, PMS, scanner, fornitori, backup e ruoli per separare dati obbligatori, dati operativi e copie transitorie.
Le espressioni tecniche della guida, spiegate nel significato preciso con cui vengono usate qui.
