GDPR per hotel e B&B: gestire i dati degli ospiti in regola

Il GDPR spaventa più per la sigla che per la sostanza. Un hotel o un B&B tratta dati personali ogni giorno — dal documento mostrato al check-in fino alla mail di conferma — e la buona notizia è che quasi tutto ciò che fate è già lecito, purché sappiate perché lo fate e per quanto tempo tenete le informazioni. Vediamo, in concreto, come gestire i dati degli ospiti restando in regola, senza trasformare la reception in uno studio legale.

Quali dati trattate (spesso senza accorgervene)

Una struttura ricettiva raccoglie più dati di quanti ne immaginiate. Alcuni sono obbligatori per legge, altri servono a erogare il servizio, altri ancora li chiedete per lavorare meglio.

• Documenti d’identità e dati anagrafici (nome, data di nascita, cittadinanza) per la schedatura degli ospiti
• Contatti: email e numero di telefono per confermare la prenotazione e assistere l’ospite
• Dati di pagamento e fatturazione, gestiti in gran parte dal circuito bancario
• Preferenze e note di soggiorno (piano alto, allergie, orario di arrivo)
• Eventuali targhe per ZTL o parcheggio

Le basi giuridiche: perché potete trattarli

Ogni dato deve avere una ragione giuridica. Non è burocrazia astratta: è ciò che vi protegge se qualcuno vi chiede conto. Nella pratica, per una struttura ricettiva le basi sono tre.

• Obbligo di legge: la comunicazione degli alloggiati alla pubblica sicurezza è imposta dalla normativa; qui non serve il consenso, anzi non potete rinunciarvi
• Esecuzione del contratto: per gestire prenotazione, soggiorno e pagamento vi bastano i dati necessari, senza chiedere autorizzazioni
• Consenso: serve solo per ciò che va oltre il servizio, tipicamente il marketing — newsletter, offerte, richieste di recensione. Deve essere libero, specifico e revocabile

La distinzione è molto pratica: non potete iscrivere d’ufficio alla newsletter chi ha semplicemente prenotato una camera.

Per quanto tempo conservarli

Tenere tutto per sempre è un errore quanto cancellare troppo presto. La regola è conservare ogni dato solo finché serve alla sua finalità.

• Dati degli alloggiati: la trasmissione alla pubblica sicurezza segue i termini di legge, non è un archivio marketing da riutilizzare
• Documenti fiscali e fatture: la conservazione civilistica e fiscale in Italia è tipicamente decennale
• Contatti per marketing: finché l’ospite non revoca il consenso; poi vanno rimossi
• Preferenze e note di soggiorno: utili per il ritorno dell’ospite, ma da rivedere e ripulire periodicamente

Un buon principio: se un dato non serve più a nessuna delle sue finalità, si cancella.

I diritti degli ospiti

L’ospite resta titolare dei propri dati e può esercitare alcuni diritti. Dovete essere in grado di rispondere in tempi ragionevoli, anche solo con una procedura chiara su chi se ne occupa.

• Accesso: sapere quali dati trattate e ottenerne copia
• Rettifica: correggere informazioni sbagliate o incomplete
• Cancellazione: essere dimenticato, quando non prevale un obbligo di conservazione
• Opposizione al marketing e revoca del consenso in qualsiasi momento

Misure pratiche da applicare subito

La sicurezza dei dati non richiede un reparto IT: richiede abitudini. Nelle strutture piccole la maggior parte dei problemi nasce da fogli lasciati in giro e da messaggi informali, non da attacchi sofisticati.

• Accessi limitati: ogni collaboratore vede solo ciò che gli serve, con account personali e non condivisi
• Niente dati sensibili su fogli di carta, quaderni alla reception o gruppi WhatsApp
• Dati e documenti su sistemi cifrati, con password robuste e, dove possibile, autenticazione a due fattori
• Copie dei documenti eliminate appena non servono più
• Un referente interno capace di rispondere a una richiesta dell’ospite

In sintesi

Il GDPR, per un hotel o un B&B, si riduce a tre domande: quali dati trattate, con quale base giuridica e per quanto tempo li conservate. Rispondere bene a queste tre cose vi mette già in regola per gran parte del lavoro. HotelOnlineAI è pensato per trattare i dati degli ospiti in modo conforme — hosting nell’Unione Europea e strumenti per esportarli o cancellarli su richiesta — così la parte tecnica è già coperta e a voi resta la cosa importante: il rapporto con l’ospite.