GDPR e Privacy negli Affitti Brevi: Guida per Host Italiani

Quando un ospite prenota il tuo appartamento, ti fornisce una serie di dati personali: nome, cognome, data di nascita, numero di documento, indirizzo email, numero di telefono. Dati che utilizzi per comunicare con lui, per adempiere agli obblighi di legge e per gestire il soggiorno. Ma hai mai pensato che questa raccolta dati ti obbliga a rispettare il GDPR – Regolamento Generale sulla Protezione dei Dati?

Molti host italiani ignorano completamente gli obblighi in materia di privacy, esponendosi a sanzioni che possono arrivare a decine di migliaia di euro. In questo articolo ti spieghiamo cosa devi fare per essere in regola, senza complicarti la vita.

Il GDPR si applica anche agli affitti brevi?

Sì, il GDPR si applica a qualsiasi soggetto che tratta dati personali nell'ambito di un'attività professionale o semi-professionale. Questo include gli host di affitti brevi che raccolgono sistematicamente i dati degli ospiti, anche se lo fanno tramite piattaforme come Airbnb o Booking.com.

La soglia non è determinata dal numero di appartamenti o dal fatturato: è sufficiente che tu raccolga e utilizzi dati personali in modo organizzato per rientrare nel campo di applicazione del regolamento. Un host con un solo appartamento che tiene un foglio Excel con i dati degli ospiti è tecnicamente un titolare del trattamento ai sensi del GDPR.

Quali dati raccoglie un host tipicamente?

È importante avere chiaro quali dati tratti, perché ogni categoria ha regole diverse:

• Dati anagrafici: nome, cognome, data e luogo di nascita, nazionalità
• Dati del documento: tipo, numero, luogo di rilascio, data di scadenza
• Dati di contatto: email, numero di telefono
• Dati di pagamento: coordinate bancarie, dati carta di credito (anche solo parziali)
• Dati del soggiorno: date di arrivo e partenza, numero di ospiti
• Dati comportamentali: recensioni scritte, comunicazioni via chat

I dati del documento d'identità sono particolarmente sensibili e devono essere trattati con particolare attenzione, soprattutto in relazione alla trasmissione ad Alloggiati Web. Leggi la nostra guida su come funziona Alloggiati Web per capire quali dati vengono trasmessi alla Polizia di Stato.

Cosa prevede il GDPR per gli host

1. Informativa sulla privacy

Il primo obbligo fondamentale è fornire agli ospiti un'informativa sul trattamento dei dati(anche chiamata privacy policy) prima o al momento della raccolta dei dati. L'informativa deve contenere:

• Chi sei (il titolare del trattamento) e come contattarti
• Quali dati raccogli e per quali scopi
• La base giuridica del trattamento (contratto, obbligo legale, consenso)
• Per quanto tempo conservi i dati
• Se li condividi con terzi (Polizia di Stato tramite Alloggiati Web, commercialista, ecc.)
• I diritti dell'interessato (accesso, rettifica, cancellazione, portabilità)

Puoi includere l'informativa nel contratto di locazione turistica, nel modulo di check-in digitale, o inviarla via email prima dell'arrivo. L'importante è che l'ospite ne abbia preso visioneprima che i suoi dati vengano raccolti.

2. Base giuridica del trattamento

Per raccogliere i dati degli ospiti hai bisogno di una base giuridica legittima. Nel contesto degli affitti brevi, le basi giuridiche più comuni sono:

• Esecuzione di un contratto:i dati necessari per gestire la prenotazione (nome, date, dati di contatto) possono essere raccolti senza consenso esplicito perché sono necessari per adempiere al contratto.
• Obbligo legale:i dati trasmessi ad Alloggiati Web sono raccolti in adempimento di un obbligo di legge. Non è necessario il consenso dell'ospite.
• Consenso: necessario per invii di newsletter, comunicazioni di marketing, o raccolta di dati non strettamente necessari al soggiorno.

3. Conservazione dei dati

Non puoi conservare i dati degli ospiti a tempo indeterminato. Il GDPR prevede il principio di limitazione della conservazione: i dati devono essere eliminati quando non sono più necessari allo scopo per cui sono stati raccolti.

In pratica, per gli host italiani la regola empirica è:

• Dati fiscali e contabili: 10 anni (obbligo di legge)
• Dati per Alloggiati Web: conservati dalla Polizia di Stato; tu puoi eliminarli dopo l'invio
• Dati di contatto e recensioni: ragionevole conservarli 2-3 anni per eventuali controversie
• Dati di marketing: fino alla revoca del consenso o alla richiesta di cancellazione

4. Sicurezza dei dati

Sei responsabile della sicurezza dei dati che conservi. Questo significa:

• Non lasciare fogli con dati degli ospiti in luoghi accessibili a terzi
• Proteggere i file Excel o i database con password
• Non condividere i dati degli ospiti via email non cifrata se non strettamente necessario
• In caso di data breach (violazione dei dati), segnalarlo al Garante entro 72 ore se può comportare rischi per gli interessati

Le piattaforme gestiscono il GDPR al posto mio?

Non completamente. Airbnb e Booking.com gestiscono il trattamento dei dati nell'ambito delle proprie piattaforme e hanno le proprie informative sulla privacy. Tuttavia, i dati che ricevi direttamente dagli ospiti (ad esempio via email o modulo di check-in) e quelli che trasmetti a terzi (Alloggiati Web, commercialista) sono sotto la tua responsabilità.

Puoi considerare le piattaforme come “responsabili del trattamento” per i dati che gestiscono per conto tuo, ma devi comunque essere in grado di rispondere alle richieste degli ospiti che esercitano i propri diritti (es. richiesta di cancellazione dei dati).

Diritti degli ospiti che devi rispettare

Gli ospiti hanno diritti che puoi essere chiamato a soddisfare:

• Diritto di accesso: l'ospite può chiederti quali dati hai su di lui
• Diritto di rettifica: può chiederti di correggere dati errati
• Diritto alla cancellazione (“diritto all'oblio”): può chiederti di eliminare i suoi dati, salvo obblighi legali che ti impongono di conservarli
• Diritto alla portabilità: può chiederti di ricevere i propri dati in formato strutturato
• Diritto di opposizione: può opporsi al trattamento per finalità di marketing

Hai 30 giorni di tempo per rispondere a queste richieste. Se non sai come gestirle, è opportuno rivolgerti a un consulente privacy o a un avvocato specializzato.

Sanzioni per chi non rispetta il GDPR

Le sanzioni per la violazione del GDPR possono essere significative. Il Garante per la Protezione dei Dati Personali distingue due fasce:

• Violazioni minori: fino a 10 milioni di euro o il 2% del fatturato globale
• Violazioni gravi: fino a 20 milioni di euro o il 4% del fatturato globale

Per un piccolo host, le sanzioni sono proporzionali alla dimensione dell'attività e raramente raggiungono questi massimali. Tuttavia, anche una sanzione di poche migliaia di euro può essere devastante per chi gestisce uno o due appartamenti. La prevenzione è sempre più conveniente.

Come mettersi in regola in modo pratico

La buona notizia è che per un piccolo host gli adempimenti necessari non sono eccessivamente complessi:

• Redigi un'informativa privacy semplice da allegare al contratto o inviare via email. Online esistono modelli gratuiti; falla revisionare da un professionista se hai dubbi.
• Crea un registro del trattamento dei dati (obbligatorio per la maggior parte dei titolari): un documento che elenca quali dati tratti, per quale scopo, per quanto tempo e con chi li condividi.
• Adotta misure di sicurezza minime: password sui file, accesso limitato ai documenti degli ospiti.
• Forma eventuali collaboratori (coadiuvanti, persone di pulizia) sul trattamento corretto dei dati.

Strumenti come GuestSuite che automatizzano la raccolta dati per il check-in digitale e la trasmissione ad Alloggiati Web contribuiscono anche alla conformità GDPR, centralizzando il trattamento e riducendo il rischio di dispersione dei dati su più canali non sicuri.

Conclusioni

Il GDPR non è una normativa pensata solo per le grandi aziende. Si applica a chiunque tratti dati personali in modo organizzato, compreso il piccolo host di affitti brevi. La conformità non richiede investimenti enormi: bastano un'informativa ben fatta, un minimo di organizzazione nella gestione dei dati e buon senso nella sicurezza.

Leggi anche il nostro articolo su come funziona il check-in digitale e su come redigere un contratto di locazione turistica completo per strutturare un processo di accoglienza ospiti che sia insieme professionale e conforme alla normativa.