Il Garante per la protezione dei dati personali è tornato a occuparsi di un tema che tocca milioni di persone ogni anno: il trattamento dei documenti d'identità nelle strutture ricettive. Il 29 aprile 2026, il Dipartimento attività economiche e lavoro del Garante ha pubblicato una nota di chiarimento indirizzata alle associazioni di categoria del settore alberghiero, sollecitata dall'incremento significativo di segnalazioni, reclami e, soprattutto, di data breach legati alla gestione delle copie dei documenti degli ospiti.

Il messaggio dell'Autorità è netto: la normativa sulla pubblica sicurezza non impone — né legittima — la conservazione di fotocopie o immagini dei documenti d'identità. L'obbligo di legge riguarda esclusivamente la trasmissione dei dati identificativi all'autorità di PS, non la loro conservazione presso la struttura ricettiva.

Il quadro normativo: l'obbligo di comunicazione alla Pubblica Sicurezza

L'obbligo di identificazione degli ospiti trova il proprio fondamento nell'art. 109 del Testo Unico delle Leggi di Pubblica Sicurezza (R.D. 18 giugno 1931, n. 773 — TULPS), che impone ai gestori di alberghi e strutture ricettive — inclusi i titolari di B&B, case vacanze e affittacamere — di trasmettere giornalmente i dati identificativi degli alloggiati all'autorità di pubblica sicurezza.

Le modalità operative sono disciplinate dal decreto del Ministro dell'Interno del 7 gennaio 2013, come modificato dal decreto del 16 settembre 2021. In concreto, i dati vengono trasmessi attraverso il portale informatico «Alloggiati Web» del Ministero dell'Interno — manualmente dall'addetto all'accoglienza, oppure in modo automatizzato tramite collegamento tra il gestionale della struttura (PMS) e i sistemi ministeriali.

La base giuridica del trattamento è individuata dall'art. 6, par. 1, lett. c), GDPR: si tratta di un trattamento necessario per adempiere a un obbligo legale cui è soggetto il titolare. Ma — sottolinea con chiarezza il Garante — l'obbligo legale attiene alla comunicazione dei dati, non alla loro conservazione presso la struttura.

Trasmettere ≠ Conservare: la distinzione fondamentale

Cosa è consentito: inserire e trasmettere

La struttura ricettiva può — anzi, deve — visionare il documento d'identità dell'ospite per rilevarne i dati da inserire nel portale Alloggiati Web. In questa fase, può acquisire una copia del documento in quanto strumentale all'inserimento dei dati. Una volta generata dal sistema la ricevuta di avvenuta comunicazione, tale ricevuta dev'essere conservata per cinque anni a riprova dell'adempimento.

Cosa non è consentito: conservare le copie

Una volta ottenuta la ricevuta di accettazione da parte di Alloggiati Web, qualsiasi copia del documento d'identità — digitale o cartacea — acquisita durante il processo deve essere immediatamente eliminata o distrutta. Lo prevede esplicitamente l'art. 4-bis, co. 2, del decreto ministeriale: «i gestori delle strutture ricettive sono tenuti alla cancellazione dei dati digitali trasmessi [...] e alla distruzione della copia cartacea degli elenchi trasmessi [...] non appena generata da parte del sistema la ricevuta di avvenuta comunicazione». La conservazione dei dati per i cinque anni successivi avviene sui sistemi del Ministero dell'Interno, non presso la struttura.

Le pratiche scorrette nel mirino del Garante

La nota del Garante descrive con precisione le pratiche diffuse — soprattutto tra B&B e affittacamere — che si pongono in contrasto con la normativa:

Queste pratiche, oltre a violare i principi di minimizzazione e limitazione della conservazione sanciti dall'art. 5, par. 1, lett. c) ed e), GDPR, espongono gli ospiti al concreto rischio di furto d'identità e aumentano la superficie di attacco in caso di data breach. Non a caso, il Garante segnala un aumento significativo di violazioni dei dati personali con esfiltrazione di immagini di documenti d'identità provenienti da strutture ricettive.

Le indicazioni operative per le strutture ricettive

Il Garante individua quattro aree di intervento obbligate per ogni struttura ricettiva:

1. 1.
   Formazione del personale
   Fornire istruzioni puntuali agli addetti al ricevimento sul divieto di effettuare o trattenere copie (analogiche o digitali) dei documenti d'identità dopo le comunicazioni di legge.
2. 2.
   Informativa chiara agli ospiti
   Illustrare in modo trasparente le modalità di raccolta e utilizzo dei dati identificativi. Se si usano dispositivi con capacità di acquisizione immagini, chiarire esplicitamente che le immagini non saranno archiviate.
3. 3.
   Contratti con i fornitori (art. 28 GDPR)
   Regolamentare i rapporti con i fornitori di PMS e di servizi di acquisizione dati attraverso atti designativi di responsabile del trattamento, con specifiche clausole sulle modalità di trattamento e sulle procedure di notifica in caso di data breach.
4. 4.
   Divieto di foto e messaggistica
   Raccogliere i dati del documento senza ricorrere a fotografie su dispositivi mobili o all'invio tramite WhatsApp/app di messaggistica, in quanto privi delle caratteristiche di sicurezza richieste dalla normativa.

Le conseguenze in caso di violazione: data breach e sanzioni GDPR

La conservazione illecita di copie di documenti d'identità espone la struttura a rischi concreti e a obblighi immediati in caso di incidente. Se si verifica una violazione dei dati personali con perdita di riservatezza delle immagini dei documenti d'identità degli ospiti, scattano gli obblighi previsti dagli artt. 33 e 34 del GDPR:

A ciò si aggiungono le sanzioni amministrative previste dall'art. 83 GDPR, che per le violazioni dei principi fondamentali del trattamento (art. 5) possono raggiungere i 20 milioni di euro o il 4% del fatturato mondiale annuo, se superiore.