- ENGLISH VERSION

Garante privacy ad albergatori: no alla conservazione di copia dei documenti degli ospiti
Dopo la comunicazione alle autorità di pubblica sicurezza i dati vanno distrutti o cancellati

Alberghi, B&B e affittacamere non possono conservare copie dei documenti d’identità degli ospiti oltre il tempo strettamente necessario alla comunicazione dei dati alle autorità di pubblica sicurezza. Lo chiarisce il Garante per la protezione dei dati personali in una nota inviata alle associazioni di categoria del settore, anche alla luce dell’aumento di segnalazioni e violazioni dei dati personali registrate negli ultimi mesi.

La normativa vigente impone ai gestori delle strutture ricettive di identificare i clienti e di trasmettere i relativi dati alle autorità di pubblica sicurezza tramite il portale “Alloggiati Web”. Tale obbligo, tuttavia, non legittima la conservazione, da parte delle strutture, di fotocopie o immagini dei documenti d’identità.

Negli ultimi tempi si è diffusa, soprattutto tra B&B e affittacamere, la pratica di fotografare i documenti con smartphone o di richiederne l’invio tramite applicazioni di messaggistica, come WhatsApp. Comportamenti che, sottolinea il Garante, espongono ingiustificatamente gli interessati a rischi concreti, tra cui furti d’identità e accessi illeciti ai dati personali.

L’Autorità ribadisce che, come previsto da un obbligo normativo, una volta completata la trasmissione dei dati alle autorità di pubblica sicurezza, eventuali copie dei documenti acquisite per tale finalità devono essere immediatamente cancellate o distrutte. L’unico elemento che può essere conservato è la ricevuta dell’avvenuta comunicazione, prodotta automaticamente dal portale, da conservare per cinque anni al fine di comprovare l’adempimento.

Il Garante sottolinea, inoltre, che è preciso dovere dei titolari del trattamento garantire la sicurezza dei dati personali. Le strutture ricettive devono quindi adottare misure adeguate per la protezione dei dati e istruire correttamente il personale incaricato della loro raccolta e gestione.

È stato ricordato, infine, che in caso di violazione dei dati personali - data breach - scattano obblighi specifici, tra cui la notifica al Garante entro 72 ore e, nei casi più gravi, anche la comunicazione della violazione agli interessati.

Le associazioni di categoria sono state invitate a diffondere tra i propri iscritti le indicazioni dell’Autorità, tenuto conto che l’attività ricettiva comporta ogni anno il trattamento dei dati personali di milioni di persone.

Roma, 29 aprile 2026

_______

The Garante to accommodation providers: no to storing copies of guests’ identity documents
The data must be destroyed or erased immediately after being transmitted to the public security authorities

Hotels, B&Bs and guesthouses are not permitted to store copies of guests’ identity documents for longer than is strictly necessary for the communication of the data to the public security authorities. The Garante has provided clarification on this in a note sent to the trade associations in the sector, following an increase in reports of personal data breaches over recent months.

Current legislation requires accommodation providers to identify guests and transmit the relevant data to the public security authorities via the ‘Alloggiati Web’ portal. However, this obligation does not entitle accommodation providers to store photocopies or images of identity documents.

In recent times, there has been a growing trend – especially among B&Bs and guesthouses – to capture photos of documents using smartphones or to request that they be sent via messaging apps, such as WhatsApp. The Authority points out that such practices expose data subjects to concrete risks without any justification, including identity theft and unauthorised access to personal data.

The Garante reiterates that, as required by law, once the data has been transmitted to the public security authorities, any copies of documents acquired for this purpose must be immediately erased or destroyed. The only item that may be stored is the receipt confirming the successful transmission, generated automatically by the portal, which must be retained for five years as proof of compliance.

The Garante also stresses that data controllers have a specific obligation to ensure the security of personal data. Accommodation providers must therefore adopt appropriate data protection measures and properly train staff responsible for collecting and managing such data.

Finally, it was recalled that in the event of a personal data breach, specific obligations apply, which include notification to the Garante within 72 hours and, where the breach is particularly serious, also notification of the breach to the data subjects.

Trade associations have been requested to disseminate the Garante’s guidance amongst their members, having regard to the fact that the business activity of accommodation providers involves the processing of the personal data of millions of people every year.

Rome, 29 April 2026