Protezione dei dati e sicurezza delle informazioni in hotel: a cosa devono prestare attenzione oggi le strutture ricettive

Quali dati vengono raccolti in hotel

Un solo soggiorno genera una traccia di dati sorprendentemente lunga:

• dati anagrafici derivanti dalla prenotazione e dal contratto: nome, indirizzo, contatti, periodo di soggiorno;
• dati del documento d’identità per la comunicazione obbligatoria degli ospiti;
• dati di pagamento e fatturazione;
• informazioni relative alla salute, come allergie o esigenze alimentari, che costituiscono categorie particolari ai sensi dell’art. 9 GDPR;
• dati di accesso provenienti da sistemi di chiusura digitali e dal self check-in;
• registrazioni video delle aree comuni e dati di utilizzo della rete Wi-Fi per gli ospiti.

Ciascuna di queste categorie richiede una base giuridica, una chiara limitazione delle finalità e un termine di cancellazione. Importante: i dati sanitari e quelli contenuti nei documenti d’identità richiedono una protezione particolare; in questi casi, la diligenza non è facoltativa, ma obbligatoria.

Gli obblighi di legge che riguardano ogni hotel

In Italia, oltre alle disposizioni generali del GDPR, si applicano diversi obblighi specifici per le strutture ricettive:

• comunicazione degli ospiti alla Questura tramite il portale Alloggiati Web (art. 109 TULPS), entro 24 ore dall’arrivo;
• comunicazione statistica dei flussi turistici ad ASTAT o ISTAT;
• riscossione e comunicazione dell’imposta di soggiorno al Comune;
• fatturazione elettronica tramite il Sistema di Interscambio (SdI) e conservazione fiscale, di norma per dieci anni.

Questi trattamenti sono prescritti dalla legge e l’ospite non può opporvisi. Proprio per questo, la struttura deve fornire informazioni trasparenti al riguardo: l’obbligo di informativa ai sensi dell’art. 13 GDPR richiede un’informativa sulla privacy comprensibile, sia sul sito web sia per gli ospiti in loco.

Un equivoco frequente: ai fini della comunicazione, il documento d’identità deve soltanto essere visionato, non copiato. La conservazione permanente di copie dei documenti d’identità, di norma, non è necessaria ed è quindi contraria alla normativa sulla protezione dei dati.

Dove finisce la protezione dei dati e inizia la sicurezza delle informazioni

Le basi giuridiche, da sole, non proteggono i dati. È proprio qui che entra in gioco la sicurezza delle informazioni, espressamente richiesta dall’art. 32 GDPR sotto forma di «misure tecniche e organizzative».

Nella quotidianità di un hotel, ciò significa concretamente: chi ha accesso al sistema di gestione alberghiera (Property Management System) e tale accesso è limitato allo stretto necessario? Le serrature digitali e i sistemi di self check-in sono adeguatamente protetti? La rete Wi-Fi per gli ospiti è separata dalla rete interna? Esistono copie di backup e il loro ripristino è mai stato testato?

Gli hotel sono un bersaglio frequente di phishing e ransomware: le piattaforme di prenotazione, i flussi di pagamento e l’elevato ricambio del personale li rendono vulnerabili. Un guasto al sistema di prenotazione durante l’alta stagione non è quindi soltanto un problema informatico, ma un rischio aziendale immediato.

Le vulnerabilità più frequenti nella quotidianità alberghiera

Nella pratica, alcuni problemi si presentano ripetutamente:

• informative sulla privacy per gli ospiti e sul sito web assenti o non aggiornate;
• copie dei documenti d’identità conservate senza una base giuridica;
• registrazioni di videosorveglianza conservate troppo a lungo e che, se riprendono anche i dipendenti, richiedono il presupposto previsto dal diritto del lavoro ai sensi dell’art. 4 dello Statuto dei Lavoratori;
• assenza di accordi per il trattamento dei dati con fornitori di sistemi PMS, servizi di prenotazione o servizi informatici;
• diritti di accesso troppo ampi e assenza dell’autenticazione a due fattori;
• assenza di un piano di cancellazione: i dati vengono conservati «per ogni evenienza».

Nessuno di questi problemi è difficile da risolvere. Semplicemente, passano spesso inosservati... finché il reclamo di un ospite, un controllo o un incidente di sicurezza non li rende evidenti.

Cosa dovrebbero fare ora gli albergatori

• Adempiere agli obblighi di informativa: un’informativa sulla privacy comprensibile per gli ospiti, a integrazione dell’informativa sulla privacy del sito web.
• Organizzare correttamente i processi di comunicazione: Alloggiati, statistiche e imposta di soggiorno, con procedure documentate e rispetto delle scadenze.
• Ridurre al minimo i dati trattati: Consultare i documenti d'identità anziché copiarli, mantenere brevi i tempi di conservazione dei filmati (valore indicativo: 24-72 ore).
• Verificare i contratti: stipulare un contratto di nomina a responsabile del trattamento con ogni fornitore di servizi che tratta i dati degli ospiti.
• Proteggere gli accessi: limitare ruoli e autorizzazioni nel PMS, attivare l'autenticazione a più fattori, separare le reti Wi-Fi.
• Introdurre un piano di cancellazione: stabilire un termine preciso per ogni categoria di dati e rispettarlo concretamente.
• Formare il team: i collaboratori sono la prima linea di difesa contro il phishing e gli errori di utilizzo.

Conclusione

In hotel, la protezione dei dati e la sicurezza delle informazioni non sono un mero adempimento burocratico, bensì parte dell'ospitalità: gli ospiti affidano alla struttura i propri dati proprio come le affidano le proprie chiavi. Chi considera entrambi gli aspetti insieme protegge non solo dalle sanzioni, ma anche la propria attività e la propria reputazione. L'impegno richiesto è gestibile, se si procede in modo strutturato e si inizia per tempo. E ripaga: sotto forma di una fiducia che non si può comprare.