GDPR per hotel e B&B: gestire i dati degli ospiti in regola

Hotel e B&B trattano dati personali ogni giorno, dalle registrazioni del check-in ai messaggi di prenotazione. La correttezza del trattamento dipende da finalità, basi giuridiche, conservazione, sicurezza e soggetti coinvolti. Questa guida introduce domande pratiche da valutare con il consulente privacy: usare un software non garantisce la conformità al GDPR.

Quali dati trattate (spesso senza accorgervene)

Una struttura ricettiva raccoglie più dati di quanti ne immaginiate. Alcuni sono obbligatori per legge, altri servono a erogare il servizio, altri ancora li chiedete per lavorare meglio.

• Documenti d’identità e dati anagrafici (nome, data di nascita, cittadinanza) per la schedatura degli ospiti
• Contatti: email e numero di telefono per confermare la prenotazione e assistere l’ospite
• Dati di pagamento e fatturazione, gestiti in gran parte dal circuito bancario
• Preferenze e note di soggiorno (piano alto, allergie, orario di arrivo)
• Eventuali targhe per ZTL o parcheggio

Le basi giuridiche: perché potete trattarli

Ogni dato deve avere una ragione giuridica. Non è burocrazia astratta: è ciò che vi protegge se qualcuno vi chiede conto. Nella pratica, per una struttura ricettiva le basi sono tre.

• Obbligo di legge: la comunicazione degli alloggiati alla pubblica sicurezza è imposta dalla normativa; qui non serve il consenso, anzi non potete rinunciarvi
• Esecuzione del contratto: per gestire prenotazione, soggiorno e pagamento vi bastano i dati necessari, senza chiedere autorizzazioni
• Consenso: serve solo per ciò che va oltre il servizio, tipicamente il marketing — newsletter, offerte, richieste di recensione. Deve essere libero, specifico e revocabile

La distinzione è molto pratica: non potete iscrivere d’ufficio alla newsletter chi ha semplicemente prenotato una camera.

Per quanto tempo conservarli

Tenere tutto per sempre è un errore quanto cancellare troppo presto. La regola è conservare ogni dato solo finché serve alla sua finalità.

• Dati degli alloggiati: la trasmissione alla pubblica sicurezza segue i termini di legge, non è un archivio marketing da riutilizzare
• Documenti fiscali e fatture: la conservazione civilistica e fiscale in Italia è tipicamente decennale
• Contatti per marketing: finché l’ospite non revoca il consenso; poi vanno rimossi
• Preferenze e note di soggiorno: utili per il ritorno dell’ospite, ma da rivedere e ripulire periodicamente

Un buon principio: se un dato non serve più a nessuna delle sue finalità, si cancella.

I diritti degli ospiti

L’ospite resta titolare dei propri dati e può esercitare alcuni diritti. Dovete essere in grado di rispondere in tempi ragionevoli, anche solo con una procedura chiara su chi se ne occupa.

• Accesso: sapere quali dati trattate e ottenerne copia
• Rettifica: correggere informazioni sbagliate o incomplete
• Cancellazione: essere dimenticato, quando non prevale un obbligo di conservazione
• Opposizione al marketing e revoca del consenso in qualsiasi momento

Misure pratiche da applicare subito

La sicurezza dei dati non richiede un reparto IT: richiede abitudini. Nelle strutture piccole la maggior parte dei problemi nasce da fogli lasciati in giro e da messaggi informali, non da attacchi sofisticati.

• Accessi limitati: ogni collaboratore vede solo ciò che gli serve, con account personali e non condivisi
• Niente dati sensibili su fogli di carta, quaderni alla reception o gruppi WhatsApp
• Dati e documenti su sistemi cifrati, con password robuste e, dove possibile, autenticazione a due fattori
• Copie dei documenti eliminate appena non servono più
• Un referente interno capace di rispondere a una richiesta dell’ospite

In sintesi

Partite dal documentare quali dati trattate, per quale motivo e per quanto tempo li conservate. Sono punti di partenza utili, non una valutazione completa di conformità. Con HotelOnlineAI il confronto sul pilota può includere organizzazione dei dati e impostazioni pertinenti; ruoli, accessi, conservazione e documenti sul trattamento vanno definiti per il vostro caso con il consulente privacy.