Modulo di contatto e di prenotazione sul sito dell'hotel: privacy, spam e robot (2026)

Aggiornata: 10 novembre 2026

Per un piccolo hotel il modulo di contatto è spesso la prima prenotazione diretta. È anche la porta da cui entra lo spam e la parte del sito in cui si chiedono più dati personali. Questa guida riassume ciò che abbiamo potuto verificare il 10 novembre 2026 nel testo del GDPR, presso l'autorità spagnola (AEPD), la Corte di giustizia dell'UE (causa C-673/17), la CNIL francese e il PCI Security Standards Council, e segnala ciò che non abbiamo potuto confermare. È un'informazione generale, non una consulenza legale.

La risposta breve

L'essenziale:

Accanto al pulsante di invio, metti un primo livello breve di informativa (chi sei, perché usi i dati, i diritti dell'ospite) con un link all'informativa completa: è il modello a più livelli raccomandato dall'AEPD.
Non serve una casella «accetto l'informativa privacy»: l'AEPD risponde che l'utente non deve dare il consenso all'informativa.
Se vuoi inviare promozioni, usa una casella separata e non spuntata: la CGUE (C-673/17, Planet49, 1° ottobre 2019) ha stabilito che una casella preselezionata non è un consenso valido.
Chiedi solo il necessario (art. 5, par. 1, lett. c, GDPR) e mai il numero di carta in un modulo o via email.
Contro i robot, la CNIL (29 aprile 2026) raccomanda alternative ai CAPTCHA che riutilizzano i dati, citando reCAPTCHA di Google come esempio.

Cosa mettere accanto al modulo: informativa a più livelli

GDPR art. 13 e AEPD:

L'art. 13 del GDPR impone, quando raccogli dati dall'ospite, di indicare: identità e contatti del titolare, il responsabile della protezione dei dati se c'è, finalità e base giuridica, destinatari, trasferimenti fuori dallo Spazio economico europeo, periodo di conservazione, diritti, diritto di reclamo all'autorità e se il dato è obbligatorio.
L'AEPD raccomanda un'informativa a più livelli: un primo livello accanto al modulo, «strutturato e molto concentrato», e un secondo livello con i dettagli (l'informativa privacy), collegato dal primo.
Esempio di primo livello (nostro suggerimento, da verificare con il tuo consulente): «Titolare: [nome della società]. Finalità: rispondere alla tua richiesta di informazioni o di prenotazione. Diritti: accesso, rettifica, cancellazione e altri, come spiegato nell'informativa privacy [link]».
Se usi un motore di prenotazione, un CRM o un servizio di moduli di terzi, indicalo nel secondo livello come destinatario e di' se ci sono trasferimenti fuori dal SEE.
Le voci esatte che l'AEPD chiede nel primo livello: non confermate in ciò che abbiamo letto. Le linee guida del Garante italiano su questo punto: non verificate.

La casella di consenso: solo per il marketing

Cosa ha detto la Corte di giustizia dell'UE:

Nella causa C-673/17 (Planet49), il 1° ottobre 2019 la CGUE ha stabilito che il consenso non è valido se raccolto con una casella preselezionata che l'utente deve togliere per rifiutare.
Ha anche stabilito che cliccare il pulsante per partecipare (lì, a un concorso a premi) non vale come consenso per altro: il consenso deve essere specifico.
Sul tuo sito (nostro suggerimento): rispondere a una richiesta non richiede caselle; inviare newsletter od offerte sì. Metti quella casella separata, non spuntata e con un testo chiaro: «Voglio ricevere offerte dall'hotel».
Se l'ospite acconsente, l'art. 13 impone di dirgli che può revocare il consenso in qualsiasi momento.

Quali dati chiedere: minimizzazione

GDPR art. 5, par. 1, lett. c:

Il GDPR richiede che i dati siano «adeguati, pertinenti e limitati a quanto necessario» per la finalità (minimizzazione dei dati).
Per una richiesta di informazioni o di prenotazione di solito bastano: nome, un recapito (telefono o email), date, numero di persone e un messaggio. Nostro suggerimento.
Non chiedere nel modulo data di nascita, documento d'identità, indirizzo postale o dati sanitari: se ti servono dopo (per esempio per la registrazione degli ospiti), chiedili in quel momento e nel canale previsto.
Rendi obbligatori solo i campi indispensabili: l'art. 13 chiede di indicare se un dato è obbligatorio e cosa succede se non viene fornito.

Mai chiedere la carta nel modulo

PCI Security Standards Council (10 ottobre 2016):

Il PCI SSC afferma che «il modo migliore per proteggersi dalle violazioni dei dati è non conservare affatto i dati delle carte».
Sconsiglia di accettare i dati della carta via email e suggerisce di esternalizzare l'elaborazione a un fornitore conforme a PCI DSS.
Un modulo di contatto di solito finisce in una casella email o in un database del sito: per questo non deve avere campi per la carta. Quest'ultimo punto è un nostro consiglio; l'articolo del PCI SSC non parla di moduli.
Se ti serve una garanzia, usa il gateway di pagamento del motore di prenotazione o della banca, oppure incassa nella struttura.

Spam e robot: reCAPTCHA e alternative senza cookie

Cosa abbiamo potuto verificare:

La CNIL (domande e risposte del 29 aprile 2026) dice che un CAPTCHA usato solo per la sicurezza del sito non richiede consenso, mentre lo richiede se serve anche ad altri fini non strettamente necessari.
La CNIL cita reCAPTCHA di Google come esempio di fornitore che riutilizza i dati per conto proprio, chiede di verificarne le condizioni e raccomanda soluzioni alternative.
Cosa dicono il Garante privacy, l'AEPD o la CNPD portoghese su reCAPTCHA, e se comporta trasferimenti internazionali: non confermato.
Alternative senza cookie (nostro consiglio pratico, non posizione di alcuna autorità): un campo trappola nascosto che le persone lasciano vuoto, una domanda semplice («Quante notti?»), un limite di invii al minuto e il rifiuto dei messaggi inviati in pochi secondi.
Qualunque soluzione scegli, citala nell'informativa privacy o cookie.

Tempi: rispondere e conservare

GDPR artt. 12, par. 3, e 5, par. 1, lett. e:

Se qualcuno chiede accesso, cancellazione o un altro diritto, l'art. 12, par. 3, impone di rispondere senza ingiustificato ritardo ed entro un mese al massimo; prorogabile di due mesi se necessario, informando entro il primo mese.
Non abbiamo trovato un termine di legge per rispondere a una richiesta di informazioni o di prenotazione: non confermato. Rispondere in giornata è una buona pratica commerciale.
I messaggi del modulo non vanno conservati «più a lungo del necessario» (art. 5, par. 1, lett. e). Fissa un periodo, indicalo nell'informativa e cancella i messaggi che non si sono tradotti in prenotazione.
Un numero preciso di giorni o mesi di conservazione: non confermato.

Se hai una struttura: cosa chiedono i viaggiatori all'IA

Domande a cui il tuo sito dovrebbe rispondere chiaramente:

«Posso prenotare direttamente con l'hotel senza dare la carta?»
«Come contatto l'hotel per chiedere un letto aggiuntivo o un arrivo tardivo?»
«L'hotel risponde velocemente alle richieste?»
Pubblica sul sito telefono, modalità di pagamento e condizioni di cancellazione come testo, non solo dentro il modulo. Non possiamo garantire che un assistente IA usi queste informazioni.

Come aiuta iQuota

iQuota rende disponibili le strutture indipendenti agli assistenti IA con prenotazione diretta, pagamento in struttura e 0% di commissione, al prezzo e alle condizioni fissati da ogni struttura. Non possiamo garantire che un assistente IA ti raccomandi.

Vuoi che le IA diano i tuoi dati reali, con prenotazione diretta e senza commissioni? I primi 30 hotel entrano gratis fino al 30 giugno 2027.

Scopri il programma Founding Hotels (in inglese)

Domande frequenti

Serve la casella «accetto l'informativa privacy»?

Non per rispondere a una richiesta: l'AEPD risponde che l'utente non deve dare il consenso all'informativa. Devi però informarlo (art. 13 GDPR), per esempio con un primo livello accanto al modulo.

La casella delle offerte può essere già spuntata?

No. La CGUE (C-673/17, Planet49, 2019) ha stabilito che una casella preselezionata non è un consenso valido.

Posso chiedere la carta nel modulo a garanzia della prenotazione?

Non è una buona idea. Il PCI SSC dice che la cosa migliore è non conservare i dati delle carte ed esternalizzare l'elaborazione a un fornitore conforme a PCI DSS.

Usare reCAPTCHA è illegale?

Non possiamo affermarlo. La CNIL (2026) dice che richiede consenso se serve a fini non strettamente necessari e raccomanda alternative; la posizione del Garante privacy non è confermata.

Entro quanto devo rispondere a una richiesta di cancellazione?

Senza ingiustificato ritardo ed entro un mese al massimo, prorogabile di due mesi (art. 12, par. 3, GDPR).

Fonti

Altre guide per hotel

Altre guide per hotel →

Español · English · Português · Ελληνικά