Quesiti di soggetti pubblici e privati del 29/04/2026

Nota di chiarimento sul trattamento dei documenti di identità degli ospiti di strutture ricettive

Il Garante per la protezione dei dati personali fornisce alle associazioni di categoria indicazioni operative sul trattamento dei documenti di identità degli ospiti di alberghi e altre strutture ricettive, alla luce dell’aumento di segnalazioni e di violazioni dei dati personali nel settore. Il chiarimento è reso in relazione agli obblighi di identificazione e comunicazione previsti dalla normativa di pubblica sicurezza, in particolare dall’art. 109 del TULPS e dal decreto del Ministro dell’Interno 7 gennaio 2013, come modificato dal decreto 16 settembre 2021.

Contesto e finalità dell’intervento

L’Autorità evidenzia che, negli ultimi tempi, sono aumentati i casi di raccolta e conservazione, da parte di strutture ricettive, delle immagini dei documenti di identità degli ospiti, anche tramite fotografie con dispositivi mobili o invio tramite servizi di messaggistica istantanea, come WhatsApp. Tale prassi è ritenuta rischiosa perché amplia la circolazione di copie dei documenti e accresce la possibilità di furto d’identità e di altri illeciti. Il Garante interviene quindi per ribadire che i dati devono essere trattati solo nella misura strettamente necessaria agli adempimenti normativi.

Quadro normativo di riferimento

Il parere richiama l’art. 109 del regio decreto 18 giugno 1931, n. 773 (TULPS), che impone ai gestori di esercizi alberghieri e di altre strutture ricettive di trasmettere all’autorità di pubblica sicurezza le generalità delle persone alloggiate. La norma risponde a finalità di ordine e sicurezza pubblica ed è funzionale alle attività di prevenzione e repressione dei reati. Viene inoltre richiamata la sentenza della Corte costituzionale 16 luglio 1970, n. 144, che ha valorizzato la funzione di vigilanza connessa alla disciplina delle schedine d’albergo.

Il trattamento dei dati personali derivante da tali adempimenti trova base giuridica nell’art. 6, par. 1, lett. c), GDPR, in quanto necessario per adempiere un obbligo legale cui è soggetto il titolare del trattamento. Il Garante richiama anche i principi di cui all’art. 5, par. 1, lett. a), c) ed e), GDPR, nonché gli obblighi di sicurezza di cui agli artt. 5, par. 1, lett. f), e 32 GDPR.

Valutazioni del Garante sul trattamento dei documenti di identità

L’Autorità chiarisce che l’obbligo di legge riguarda la comunicazione dei dati all’autorità di pubblica sicurezza, non la conservazione presso la struttura ricettiva della copia del documento di identità. I dati trasmessi vengono conservati per cinque anni nei sistemi del Ministero dell’Interno, mentre la struttura deve limitarsi a raccogliere e inserire le informazioni richieste nel portale "Alloggiati Web" oppure, in alternativa, tramite collegamento automatizzato tra i propri sistemi gestionali e quelli ministeriali.

Il decreto del 7 gennaio 2013, come modificato nel 2021, indica espressamente i dati da trasmettere: data di arrivo, numero di giorni di permanenza, cognome, nome, sesso, data e luogo di nascita, cittadinanza, tipo e numero di documento, luogo di rilascio del documento. Per nuclei familiari e gruppi guidati sono previste semplificazioni nella compilazione. Inoltre, l’art. 4-bis, comma 2, del decreto prevede la cancellazione dei dati digitali trasmessi e la distruzione della copia cartacea degli elenchi non appena generata la ricevuta di avvenuta comunicazione, da conservare per cinque anni.

Indicazioni operative per le strutture ricettive

Sulla base della disciplina richiamata, il Garante afferma che non è consentita la raccolta e conservazione delle copie dei documenti di identità oltre il tempo strettamente necessario all’inserimento dei dati nel sistema e al rilascio della ricevuta. Se una copia digitale è stata acquisita, deve essere cancellata; se esiste una copia cartacea, deve essere distrutta. Il trattamento deve rispettare i principi di minimizzazione, limitazione della conservazione e trasparenza.

Sono inoltre raccomandate alcune misure organizzative e contrattuali:

• istruzioni puntuali al personale addetto al check-in, con divieto di effettuare o trattenere copie dei documenti dopo la comunicazione;
• informativa chiara agli ospiti sulla logica e sulle modalità di raccolta dei dati;
• regolazione dei rapporti con i fornitori esterni dei servizi di prenotazione o di acquisizione dei documenti, ai sensi dell’art. 28 GDPR;
• evitamento di fotografie dei documenti con smartphone o dell’uso di messaggistica istantanea per acquisire i dati.

Sicurezza del trattamento e gestione delle violazioni

Il Garante richiama l’obbligo di adottare misure tecniche e organizzative adeguate al rischio, ai sensi degli artt. 5, par. 1, lett. f), e 32 GDPR. La conservazione non necessaria delle immagini dei documenti aumenta il rischio di accesso non autorizzato, perdita di riservatezza e uso illecito dei dati.

In caso di violazione dei dati personali che coinvolga le immagini dei documenti d’identità, la struttura ricettiva deve valutare gli adempimenti previsti dagli artt. 33 e 34 GDPR: notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza del fatto, nonché comunicazione agli interessati quando la violazione presenta un rischio elevato per i loro diritti e libertà.

Conclusioni

Il Garante invita le associazioni di categoria a diffondere capillarmente le indicazioni ai propri iscritti, sottolineando l’impatto della materia su milioni di persone che ogni anno utilizzano i servizi delle strutture ricettive in Italia. Il messaggio di fondo è chiaro: l’identificazione degli ospiti va svolta nel rispetto della normativa di pubblica sicurezza e del GDPR, senza conservare copie dei documenti oltre quanto strettamente necessario e adottando adeguate misure di sicurezza e organizzazione.