Il chiarimento del Garante Privacy
Negli ultimi giorni il Garante Privacy è intervenuto con indicazioni molto importanti per alberghi, B&B, affittacamere e strutture ricettive, chiarendo un equivoco che, nella pratica, è diventato estremamente diffuso: il fatto che esista un obbligo di comunicazione dei dati degli ospiti alle autorità non significa automaticamente che esista anche un obbligo di conservare copie dei documenti di identità.
Comunicazione dei dati e conservazione del documento sono due trattamenti diversi
Molte strutture ricettive, negli anni, hanno adottato una prassi molto “comoda”: chiedere agli ospiti di inviare tramite WhatsApp o e-mail la foto del documento di identità e conservarla nel telefono, nelle chat, nelle e-mail o in cartelle condivise.
Il problema è che la normativa sugli alloggiati impone la comunicazione dei dati alle autorità competenti, ma non prevede necessariamente la conservazione indiscriminata della copia del documento.
Sono infatti due trattamenti distinti: da un lato c’è la raccolta e comunicazione dei dati necessari per adempiere agli obblighi di legge; dall’altro c’è la conservazione della copia del documento, che costituisce un ulteriore trattamento di dati personali e che, per essere lecito, deve avere una base giuridica autonoma, una finalità specifica e rispettare i principi del GDPR.
Quando la conservazione può diventare illecita
Ed è qui che molte attività rischiano di trovarsi fuori norma.
Il GDPR si basa infatti sul principio di minimizzazione: si possono trattare solo i dati realmente necessari e solo per il tempo strettamente indispensabile. Se la legge impone di comunicare i dati dell’ospite, ma non richiede di archiviare permanentemente la foto del documento, la conservazione potrebbe diventare un trattamento eccedente e quindi illecito.
In parole semplici: “devo vedere il documento” e inviarlo all’autorità di pubblica sicurezza; questo non equivale automaticamente a “posso conservarne la copia”.
I rischi delle copie conservate senza criteri
Questo vale ancora di più quando le copie dei documenti vengono lasciate senza adeguate misure di sicurezza:
- nelle chat WhatsApp;
- nelle e-mail;
- nella galleria del telefono;
- in cartelle cloud condivise;
- oppure stampate e conservate senza criteri chiari.
Si tratta infatti di dati particolarmente delicati, che possono esporre gli interessati a rischi concreti di furto di identità, utilizzi abusivi o accessi non autorizzati.
Un principio che vale anche oltre il settore alberghiero
Il tema non riguarda solo hotel e B&B.
Il principio espresso dal Garante è molto più ampio e ricorda una regola fondamentale della privacy: un obbligo normativo relativo ad un determinato trattamento non autorizza automaticamente qualsiasi trattamento collegato.
È quindi necessario chiedersi:
- perché sto conservando questo documento?
- per quanto tempo?
- esiste una norma che me lo impone?
- potrei raggiungere lo stesso risultato senza conservare la copia?
- ho realmente bisogno dell’intero documento oppure bastano alcuni dati?
Sono domande che spesso vengono sottovalutate nella pratica quotidiana, ma che diventano centrali in caso di controlli o contestazioni.
Cosa dovrebbero fare le strutture ricettive
Il rischio non è solo teorico.
Una conservazione non necessaria dei documenti può integrare una violazione del GDPR sotto diversi profili:
- assenza di base giuridica;
- violazione del principio di minimizzazione;
- conservazione eccessiva;
- carenza di misure di sicurezza adeguate;
- mancata informazione agli interessati.
Per questo motivo le strutture ricettive dovrebbero rivedere con attenzione le proprie procedure operative, evitando automatismi del tipo “abbiamo sempre fatto così”.
In molti casi potrebbe essere sufficiente:
- verificare il documento;
- estrarre i dati necessari;
- effettuare la comunicazione obbligatoria;
- eliminare immediatamente eventuali copie non necessarie.
Privacy e minimizzazione dei dati
La privacy non vieta di trattare i dati personali quando serve davvero.
Chiede però che ogni trattamento abbia una finalità precisa, una base giuridica corretta e limiti chiari.
Ed è proprio questo il messaggio più importante che emerge dalle recenti indicazioni del Garante: l’obbligo di comunicare alcuni dati non può trasformarsi automaticamente in una raccolta e conservazione indiscriminata di documenti personali.
Articolo scritto con l’ausilio di intelligenza Artificiale
