Sei titolare del trattamento, anche con una sola camera
Chi gestisce una struttura ricettiva raccoglie dati personali a ogni prenotazione: nome, contatti, documento d'identità, dati di pagamento, a volte esigenze alimentari o di salute. Per il Regolamento UE 2016/679 (GDPR) sei il titolare del trattamento: decidi quali dati raccogli e perché, e ne rispondi. Le dimensioni della struttura non cambiano l'obbligo, cambiano solo la quantità di lavoro.
Questa è una guida divulgativa: per situazioni particolari (videosorveglianza, dati sanitari, trasferimenti fuori UE) rivolgiti a un consulente privacy.
L'informativa: prima o al momento della raccolta
L'art. 13 del GDPR richiede di informare l'ospite quando raccogli i dati: chi è il titolare, per quali finalità, su quale base giuridica, per quanto tempo li conservi, a chi li comunichi e quali diritti ha. Deve essere scritta in modo chiaro e facilmente accessibile: sul sito, nella mail di conferma, al check-in.
Il generatore di informativa privacy per ospiti prepara un testo di partenza con le finalità tipiche di una struttura ricettiva: lo compili con i tuoi dati e lo pubblichi o lo stampi, senza registrarti.
Su quale base tratti i dati
| Finalità | Base giuridica | Serve il consenso? |
|---|---|---|
| Comunicazione ad Alloggiati Web, imposta di soggiorno, rilevazione ISTAT | Obbligo di legge | No |
| Gestione della prenotazione e del soggiorno | Esecuzione del contratto | No |
| Fatturazione e contabilità | Obbligo di legge | No |
| Newsletter e offerte promozionali | Consenso (o, per ex clienti e servizi analoghi, l'eccezione dell'art. 130, comma 4, del Codice privacy, con diritto di opporsi in ogni momento) | Di regola sì |
| Allergie e intolleranze comunicate dall'ospite | Dato relativo alla salute: tratta solo il necessario per il servizio richiesto | Valuta con il consulente |
La conseguenza pratica: non serve chiedere all'ospite di "firmare il consenso privacy" per registrarlo ad Alloggiati Web. Serve invece un consenso separato, libero e non preselezionato, per usare la sua email a scopo promozionale.
Documenti d'identità: raccogli il necessario
L'obbligo di legge è comunicare le generalità dell'ospite alla Questura. Fotocopiare o fotografare il documento non è richiesto da quell'obbligo: se lo fai (per esempio per il check-in a distanza), definisci perché, dove conservi le immagini, chi può vederle e quando le cancelli. Non tenere foto di documenti nelle chat del telefono personale.
Quanto a lungo conservare
- ●Ricevute di Alloggiati Web: conservale per cinque anni, come previsto dalla disciplina di Alloggiati Web (D.M. 7 gennaio 2013)
- ●Documenti contabili e fiscali: dieci anni, per il codice civile (art. 2220)
- ●Dati per marketing: finché il consenso è valido e l'ospite non si oppone
- ●Tutto il resto: il tempo strettamente necessario, poi cancella
Scrivere i tempi di conservazione nell'informativa ti obbliga a deciderli, ed è il modo più semplice per non accumulare dati per anni senza motivo.
Fornitori e sicurezza
- ●Chi tratta dati per tuo conto (gestionale, servizio di pulizie che riceve i nomi degli ospiti, consulente) va nominato responsabile del trattamento con un accordo scritto (art. 28 GDPR). I fornitori di software seri lo mettono a disposizione
- ●Accessi: password personali, non condivise; blocco schermo su telefoni e tablet usati in reception
- ●Violazioni: se perdi dati (telefono rubato, account violato) e c'è un rischio per gli ospiti, la notifica al Garante va fatta entro 72 ore (art. 33 GDPR)
Le sanzioni massime previste dal GDPR sono elevate (fino a 20 milioni di euro o al 4% del fatturato annuo), ma per una piccola struttura il rischio più concreto è una contestazione di un ospite o un controllo che trova dati tenuti senza regole.
Riepilogo pratico
- Sei titolare del trattamento: pubblica un'informativa chiara
- Alloggiati Web, tassa di soggiorno e contabilità non richiedono consenso; il marketing sì
- Documenti: raccogli solo ciò che serve e decidi quando cancellarlo
- Ricevute Alloggiati per cinque anni, documenti contabili per dieci
- Accordo scritto con i fornitori che trattano dati per tuo conto
- Notifica al Garante entro 72 ore in caso di violazione con rischio per gli ospiti
FrontDesk è il gestionale gratuito per hotel e B&B italiani.
Provalo gratis