Cosa dice il Garante Privacy sulla conservazione dei documenti negli hotel
Nell'agosto 2025, il Garante per la Protezione dei Dati Personali è intervenuto dopo la scoperta di una grave violazione informatica che ha coinvolto diverse strutture ricettive italiane.
I fatti
Tra giugno e luglio 2025, il gruppo criminale Mydocs ha sottratto oltre 70.000 scansioni ad alta risoluzione di documenti d'identità (passaporti e carte d'identità) dai server di almeno quattro hotel italiani. I documenti sono stati messi in vendita sul dark web con prezzi tra 800 e 10.000 euro.
L'allarme è stato lanciato dal CERT-AgID (l'ente dell'Agenzia per l'Italia Digitale che monitora le minacce informatiche a livello nazionale).
L'intervento del Garante
Il Garante ha avviato verifiche e ha diramato raccomandazioni urgenti. In particolare ha sollecitato tutti gli operatori del settore ad avvalersi delle modalità sicure di trattamento dei dati mediante l'utilizzo del portale Alloggiati Web, allocato presso l'infrastruttura informatica della Polizia di Stato.
Ha inoltre richiesto alle strutture colpite di notificare la violazione (come previsto dal GDPR) e di informare tempestivamente gli ospiti coinvolti.
Il principio di minimizzazione (GDPR art. 5)
Il GDPR stabilisce che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per cui vengono trattati. Conservare copie di documenti d'identità degli ospiti quando l'obbligo di legge richiede solo la trasmissione dei dati alla Questura viola questo principio.
Cosa devono fare gli hotel
- Verificare l'identità degli ospiti al check-in con un documento valido.
- Raccogliere solo i dati necessari per la schedina alloggiati.
- Trasmetterli alla Questura tramite il Portale Alloggiati Web.
- Non conservare copie (cartacee o digitali) dei documenti.
- Conservare le ricevute di invio per 5 anni.
- In caso di data breach, notificare il Garante entro 72 ore e informare gli interessati.
Domande frequenti
È legale scansionare il documento dell'ospite al check-in?
Sì, verificare l'identità e raccogliere i dati necessari alla schedina alloggiati è un obbligo di legge (art. 109 TULPS) e non richiede consenso. Quello che non è consentito è conservare l'immagine del documento dopo la trasmissione: la scansione serve a estrarre i dati, non a creare un archivio.
Per quanto tempo posso conservare i dati degli ospiti?
Il Garante ha chiarito che, una volta trasmessi i dati alla Questura, la struttura deve cancellarli, salvo quanto strettamente necessario a fini fiscali e contabili. Le ricevute di invio ad Alloggiati Web vanno invece conservate per 5 anni.
Cosa devo fare in caso di data breach?
Se la violazione comporta un rischio per i diritti e le libertà degli interessati, va notificata al Garante entro 72 ore dalla scoperta (art. 33 GDPR) e, nei casi più gravi, comunicata anche agli ospiti coinvolti. A questo si aggiungono le possibili sanzioni e il danno reputazionale.
trasmetti.com conserva le immagini dei documenti?
No, mai. Le immagini vengono elaborate in memoria per estrarre i dati testuali della schedina e non vengono salvate su nessun server, database o cloud. È il principio «trasmetti, non archiviare»: i dati passano, non restano — e ciò che non è archiviato non può essere rubato.
Aggiornato luglio 2026.
trasmetti.com non conserva mai le immagini dei documenti. Per progettazione, non per promessa. Prova di Lancio Gratuita Porte Aperte!
Inizia la prova gratuita