Dove finisce la foto del tuo documento? La privacy del check-in

Hai caricato la foto della tua carta d'identità per prenotare o fare il check-in. Domanda legittima: dove finisce quell'immagine, e per quanto tempo resta da qualche parte? È una domanda che nel 2026 ha una risposta normativa precisa, ed è cambiata da poco.

La novità del 2026: il Garante dice stop alle copie

Il 29 aprile 2026 il Garante per la protezione dei dati personali ha diffuso una nota rivolta alle strutture ricettive con un messaggio netto: conservare copie dei documenti degli ospiti, in qualsiasi forma (foto, scansioni, fotocopie cartacee) oltre il tempo strettamente necessario all'invio dei dati alle autorità è vietato.

La nota arriva dopo un aumento di violazioni: nell'agosto 2025 erano comparse sul dark web decine di migliaia di scansioni di documenti sottratte ai sistemi di alcuni hotel italiani. Il rischio per i viaggiatori, il furto d'identità, è concreto.

Perché conservare il documento non è obbligatorio (anzi)

C'è un equivoco diffuso: molti host pensano che, per assolvere all'obbligo di legge, sia necessario o lecito conservare una copia del documento. Non è così. La normativa di pubblica sicurezza impone di identificare l'ospite e trasmettere i dati ad Alloggiati Web, ma quell'obbligo si esaurisce con la comunicazione. Conservare l'immagine integrale del documento è un trattamento ulteriore che, nella maggior parte dei casi, non ha base giuridica.

Il principio è quello di minimizzazione dei dati (art. 5 del GDPR): si raccoglie solo ciò che serve, per il tempo che serve. Per l'identificazione è sufficiente prendere visione del documento e trascriverne gli estremi, oppure usare strumenti che estraggano i dati testuali senza archiviare l'immagine.

Cosa puoi conservare e cosa devi eliminare

• Da eliminare subito dopo l'invio: foto, scansioni e fotocopie del documento.
• Da conservare per 5 anni: soltanto la ricevuta di avvenuta comunicazione generata da Alloggiati Web.

Le foto scattate con lo smartphone e l'invio dei documenti via WhatsApp o email sono pratiche espressamente sconsigliate dal Garante: non offrono garanzie di sicurezza adeguate.

Le responsabilità dell'host

Se usi un software gestionale o un servizio per il check-in, quel fornitore va nominato responsabile del trattamento ai sensi dell'art. 28 del GDPR, e devi verificare come gestisce i dati. In caso di violazione (data breach), scattano obblighi precisi: notifica al Garante entro 72 ore (art. 33 GDPR) e, nei casi gravi, comunicazione agli ospiti coinvolti.

La domanda da farsi prima di salvare qualsiasi cosa

"Questo dato mi serve davvero per legge?" Per la copia integrale del documento, la risposta è quasi sempre no. Meno dati conservi, meno sei esposto: in caso di attacco informatico, non puoi perdere ciò che non hai mai archiviato.