Registrare i viaggiatori è obbligatorio, ma il GDPR impone limiti chiari. Ecco cosa puoi raccogliere, cosa non devi conservare e per quanto tempo.
La base giuridica: obbligo di legge, non consenso
Molti pensano che registrare un ospite dipenda dal suo consenso. Non è così. Il trattamento di questi dati si basa sull’adempimento di un obbligo di legge, quello imposto dalla normativa sulla registrazione dei viaggiatori.
Questo significa che l’ospite non può rifiutarsi di fornire i dati richiesti se vuole soggiornare — ma significa anche che tu puoi usarli solo per quella finalità.
Quali dati puoi e devi raccogliere
Puoi raccogliere esattamente i dati richiesti dalla normativa sulla registrazione dei viaggiatori: identificazione, contatti, residenza e dati del soggiorno. Né più né meno.
Il principio di minimizzazione del GDPR è chiaro: chiedere dati aggiuntivi per ogni evenienza non è giustificato e ti espone a rischi.
Cosa NON devi fare: conservare copie del documento
È l’errore più diffuso. L’Agenzia spagnola per la protezione dei dati ha avvertito che le strutture ricettive non devono richiedere né conservare fotocopie o immagini del DNI o del passaporto: chiedere una copia del documento costituisce, di per sé, una raccolta eccessiva di dati.
La prassi corretta è raccogliere unicamente i dati richiesti dalla legge, senza conservare alcuna immagine del documento. Se un sistema legge il documento per estrarre quei dati, l’immagine non deve essere conservata.
Per quanto tempo conservare i dati
Il Regio Decreto 933/2021 fissa un periodo di conservazione di tre anni dalla fine del servizio. Trascorso tale termine, i dati devono essere cancellati: conservarli a tempo indeterminato non è conforme al GDPR.
È bene avere un criterio chiaro di conservazione ed eliminazione, e applicarlo in modo sistematico.
Sicurezza: come BookCheckin protegge i dati
Il GDPR richiede anche misure di sicurezza adeguate. BookCheckin trasmette le informazioni in forma cifrata, le archivia su server europei e limita l’accesso al personale autorizzato.
Inoltre, il sistema comunica alle autorità solo i dati richiesti dalla normativa: è progettato per assecondare il principio di minimizzazione, non per complicarlo.