L'informativa privacy del tuo hotel e la copia dei documenti degli ospiti: cosa dicono le autorità nel 2026

Aggiornata: 9 novembre 2026

Una struttura raccoglie dati personali sul sito, nel modulo di prenotazione e per la comunicazione degli alloggiati. Quest'anno le autorità per la protezione dei dati di Italia, Spagna e Grecia si sono concentrate su due punti: che l'ospite sappia cosa si fa dei suoi dati e che non si conservino copie dei documenti d'identità. Ecco cosa dicono le loro fonti (in fondo). Non è una consulenza legale: per un dubbio concreto, chiedi al tuo consulente.

Cosa deve dire l'informativa

L'articolo 13 del GDPR impone di informare nel momento in cui si raccolgono i dati, non dopo:

Chi è il titolare (società o titolare della struttura) e come contattarlo.
Per quali finalità si usano i dati (gestire la prenotazione, la comunicazione alla Questura, inviare offerte se l'ospite acconsente…) e con quale base giuridica.
A chi vengono comunicati (per esempio alla Polizia tramite Alloggiati Web, al gestionale o al commercialista) e se escono dallo Spazio economico europeo.
Per quanto tempo si conservano, o con quale criterio: «il tempo necessario» non basta.
I diritti dell'ospite (accesso, rettifica, cancellazione, opposizione, limitazione e portabilità), come revocare il consenso e il diritto di reclamo al Garante.
Se fornire i dati è obbligatorio e cosa succede se non si forniscono.

A più livelli: l'essenziale vicino al pulsante

Il Comitato europeo per la protezione dei dati consiglia due livelli: nel primo, vicino al pulsante di prenotazione, un riassunto breve (titolare, finalità, destinatari, diritti e un link «maggiori informazioni»); nel secondo, il testo completo. Tieni il link all'informativa visibile in ogni pagina.

Copia dei documenti: non si conserva

Italia: il 29 aprile 2026 il Garante ha chiesto agli albergatori di cancellare o distruggere subito le copie dopo l'invio dei dati con Alloggiati Web; si conserva solo la ricevuta del portale, per cinque anni. Niente foto dei documenti né richieste via WhatsApp.
Spagna: l'AEPD ha ricordato il 17 giugno 2025 che il registro degli ospiti «non autorizza a chiedere una copia del documento d'identità»; nel 2023 ha multato di 2.000 € un hotel-appartamento che conservava documenti scansionati.
Portogallo: secondo l'informativa ufficiale del SIBA, la struttura non conserva i dati inseriti nel sistema; li conserva l'amministrazione per un anno.
Grecia: il 24 giugno 2026 l'autorità greca ha chiesto di non fare né conservare foto o fotocopie di documenti d'identità, né copie delle carte di pagamento.

Serve un responsabile della protezione dei dati (RPD)?

Di norma no: il GDPR lo impone agli enti pubblici e a chi tratta dati su larga scala o monitora le persone in modo sistematico. Se non lo hai, non indicarlo nell'informativa.

Verifica in 10 minuti

Apri il modulo di prenotazione: c'è un riassunto privacy vicino al pulsante e un link al testo completo?
Leggi l'informativa: indica tempi di conservazione concreti e a chi si comunicano i dati?
Chiedi alla reception se si scansionano o fotografano documenti, o se si chiedono via WhatsApp o email, e smetti di farlo.
Controlla che gestionale e commercialista abbiano un accordo da responsabile del trattamento.

Come aiuta iQuota

La pagina ufficiale di prenotazione che iQuota crea per la tua struttura non chiede documenti d'identità né dati della carta: si paga in struttura. Il tuo sito e la tua reception restano tuoi e conviene che rispettino queste regole.

Vuoi una pagina ufficiale di prenotazione che l'IA possa leggere e un connettore con i tuoi prezzi reali, senza commissioni? Le prime 30 strutture entrano gratis fino al 30 giugno 2027.

Scopri il programma Founding Hotels (in inglese)