Un documento su WhatsApp, un ospite mai arrivato: la lezione di San Siro
Premessa: basta con il solito “tutta l’erba un fascio”
Ancora una volta la cronaca porta sotto i riflettori il mondo dell’ospitalità extra-alberghiera e, ancora una volta, il rischio è quello di fare di tutta l’erba un fascio. Basta parlare di una struttura che utilizza una key box, di un check-in a distanza o di una procedura automatizzata perché l’intero mondo dei B&B, delle locazioni turistiche e degli affitti brevi venga dipinto come un territorio senza regole, dove chiunque può entrare e uscire senza controlli.
Non è così. E ANBBA lo ha già ricordato più volte.
Il Bed & Breakfast, quello autenticamente familiare, è innanzitutto ospitalità: persone che mettono a disposizione parte della propria abitazione e accolgono viaggiatori all’interno della propria realtà domestica. Non è corretto confondere questa forma di ospitalità con quei modelli di gestione delle locazioni turistiche e degli affitti brevi nei quali l’intero rapporto con l’ospite viene organizzato attraverso piattaforme, procedure automatizzate e accessi senza alcun contatto personale.
Ma proprio perché ANBBA difende il lavoro serio dei gestori, è necessario lanciare un avvertimento chiaro. Il caso emerso in questi giorni a San Siro, in provincia di Como (da non confondere con l’omonimo quartiere di Milano dove sorge lo stadio Giuseppe Meazza), dimostra quanto possa diventare rischioso sottovalutare le modalità di identificazione degli ospiti.
Non è quindi l’ennesimo articolo contro i B&B. È, al contrario, un invito alla massima prudenza rivolto ai gestori.
Il caso di San Siro: i fatti, senza sconti
Secondo la ricostruzione pubblicata da Il Giorno il 13 agosto 2026, l’indagine è partita da una segnalazione automatica del sistema Alloggiati Web, il portale della Polizia di Stato che monitora tutte le registrazioni degli ospiti nelle strutture ricettive. Il sistema ha rilevato la presenza, tra gli ospiti registrati di una struttura turistica di San Siro, di una donna di nazionalità georgiana su cui pendeva una notifica da eseguire.
Quando i carabinieri della Compagnia di Menaggio sono andati a cercarla in struttura, hanno scoperto che la donna non era mai arrivata a San Siro — e nemmeno in Italia.
Ricostruendo la vicenda, gli investigatori hanno accertato che la struttura aveva ricevuto via WhatsApp la fotografia del documento d’identità della donna e l’aveva registrata sul portale Alloggiati Web senza mai verificarne la presenza fisica. La “stanza” era stata assegnata sulla sola base del documento inviato a distanza, senza alcun controllo di corrispondenza tra il documento e una persona realmente presente.
Le conseguenze per i due responsabili della struttura:
- Denuncia in concorso per falso ideologico in atto pubblico
- Denuncia per accesso abusivo a sistema informatico
- Contestazione per violazione degli obblighi previsti dal TULPS
- Richiesta dei carabinieri al Comune di un’ordinanza inibitoria per la cessazione immediata dell’attività
- Segnalazione alla Regione Lombardia per la cancellazione dall’anagrafe delle strutture ricettive e la revoca del Codice Identificativo Nazionale (CIN)
Non è un dettaglio da cronaca locale. È la fotografia di cosa può succedere quando una procedura di check-in viene ridotta a un semplice scambio di file su un’app di messaggistica.
Il punto sul quale dovrebbe concentrarsi l’attenzione di tutti gli operatori non è il nome dell’ospite, non è la sua nazionalità, non è la particolarità del singolo caso. Il problema è che un documento trasmesso a distanza non dimostra, da solo, che la persona che entra nell’alloggio sia effettivamente quella indicata nel documento. Ed è proprio questa distinzione che può fare la differenza tra una procedura corretta e una situazione capace di generare conseguenze molto pesanti.
Il documento fotografato non è l’identificazione della persona
Per troppo tempo si è diffusa l’idea che il check-in potesse funzionare così: il cliente invia la fotografia del documento, il gestore acquisisce i dati, i dati vengono trasmessi ad Alloggiati Web, il cliente riceve il codice per entrare nell’alloggio.
Una procedura semplice, veloce, apparentemente efficiente. Ma il punto debole è evidente: chi garantisce che la persona che utilizza quel codice sia realmente il titolare del documento trasmesso?
È questa la domanda alla quale il gestore deve essere in grado di rispondere.
Il Consiglio di Stato, con la sentenza n. 5732 del 21 novembre 2025, ha ribadito che l’obbligo di verifica dell’identità previsto dall’articolo 109 TULPS resta pienamente in vigore, ribaltando la precedente pronuncia del TAR Lazio (sentenza n. 10210/2025) che lo aveva sospeso. La sentenza ha inoltre chiarito che la verifica può essere effettuata anche attraverso strumenti tecnologici, purché consentano un accertamento effettivo e in tempo reale della corrispondenza tra l’ospite e il documento.
Quindi attenzione a non cadere nell’errore opposto: non è la tecnologia a essere vietata. È l’assenza di una vera identificazione a rappresentare il problema.
Key box: un sistema che non può sostituire l’identificazione
Ed è qui che entra in gioco la questione delle key box. Le ormai diffusissime cassette per le chiavi, utilizzate per consentire l’accesso autonomo agli alloggi attraverso un codice, sono diventate il simbolo del cosiddetto self check-in. ANBBA è già intervenuta più volte su questo fronte, anche di recente sul caso delle nuove sanzioni a Milano e sul confronto istituzionale a Roma.
Ma una key box non identifica nessuno. Permette semplicemente di aprire una porta. Non verifica chi sia la persona che sta entrando, non controlla la corrispondenza tra il volto dell’ospite e il documento, non sostituisce l’obbligo del gestore di verificare l’identità.
Per questo, quando la key box viene utilizzata come elemento centrale di un sistema di self check-in completamente privo di una verifica effettiva dell’ospite, non può essere considerata una soluzione idonea ad assolvere gli obblighi di identificazione.
Il Consiglio di Stato ha affrontato espressamente proprio le procedure nelle quali il gestore acquisisce semplicemente il documento dell’ospite e successivamente comunica un codice per l’apertura automatizzata della porta o della key box: secondo i giudici, una simile procedura non garantisce la necessaria verifica della corrispondenza tra documento e persona.
Ecco perché ANBBA invita i gestori a non considerare più la key box come una semplice questione di comodità. Se utilizzata per consentire l’accesso senza una preventiva ed effettiva identificazione, il rischio non è soltanto quello di una contestazione amministrativa. Le conseguenze, come dimostra il caso di San Siro, possono essere molto più serie.
Il vero rischio per il gestore: non solo una multa
Quando una procedura di check-in viene organizzata in modo non conforme agli obblighi previsti dalla normativa, il gestore può trovarsi esposto a conseguenze su più livelli. Si può passare dalla semplice contestazione amministrativa a conseguenze molto più pesanti, a seconda della condotta concretamente accertata — e nel caso di San Siro, come visto, la vicenda ha portato anche a contestazioni di natura penale.
Non stiamo parlando semplicemente del rischio di una multa per un adempimento burocratico mancato. In presenza di determinate condotte, possono entrare in gioco fattispecie penali. E quando una procedura di identificazione degli ospiti viene gestita con leggerezza, il problema esce dal terreno della semplice sanzione amministrativa.
Dalla contestazione alla chiusura: il rischio può diventare concreto
Il gestore non deve pensare “al massimo mi fanno una multa”. Non necessariamente. A seconda della violazione contestata e dei provvedimenti adottati dalle autorità competenti, possono entrare in gioco provvedimenti inibitori, sospensione o cessazione dell’attività e ulteriori conseguenze amministrative — esattamente quanto richiesto dai carabinieri di Menaggio nel caso di San Siro.
Per chi svolge professionalmente o abitualmente attività di ospitalità, la continuità dell’attività è l’elemento fondamentale. Una contestazione può quindi trasformarsi in un problema che riguarda direttamente la possibilità di continuare a operare.
E poi c’è il CIN
C’è un altro aspetto che non deve essere sottovalutato: il Codice Identificativo Nazionale. Il CIN non è una semplice sigla da inserire negli annunci: è uno degli elementi che accompagnano la regolarità dell’attività ricettiva o dell’unità destinata alla locazione turistica.
Per questo eventuali provvedimenti che incidano sulla possibilità di esercitare l’attività possono avere conseguenze anche sulla posizione della struttura e sul relativo CIN. Nel caso di San Siro, oltre alle contestazioni penali, è partita anche la segnalazione alla Regione Lombardia per la cancellazione dall’anagrafe delle strutture ricettive e la revoca del CIN: un provvedimento che, di fatto, può significare la fine dell’attività.
Questo è il vero campanello d’allarme. Il gestore deve comprendere che una procedura sbagliata di check-in non mette a rischio soltanto il portafoglio. Può mettere in discussione la stessa possibilità di continuare a esercitare l’attività.
Il problema non è il “self check-in” in sé
Anche qui è necessario evitare semplificazioni. Dire che il problema è il self check-in in quanto tale sarebbe sbagliato. La questione è molto più precisa.
Il gestore deve garantire che l’identità dell’ospite sia effettivamente verificata secondo quanto richiesto dalla normativa. Il Consiglio di Stato ha chiarito che questa verifica può essere realizzata anche attraverso strumenti tecnologici, purché in grado di consentire un riconoscimento effettivo e in tempo reale — come nel caso di soluzioni già segnalate da ANBBA ai propri soci, tra cui la convenzione dedicata al check-in digitale con verifica biometrica in tempo reale.
Non bisogna quindi creare una nuova guerra ideologica tra “presenza fisica” contro “tecnologia”. La vera distinzione è un’altra: identificazione effettiva contro semplice trasmissione di un documento.
Attenzione anche alle credenziali di Alloggiati Web
La vicenda di San Siro richiama un altro tema che tutti i gestori dovrebbero affrontare con estrema attenzione: l’utilizzo delle credenziali per l’accesso ad Alloggiati Web. Non si tratta di una normale piattaforma commerciale: le credenziali di accesso devono essere gestite secondo le regole previste e non possono essere considerate uno strumento da condividere con leggerezza tra titolare, collaboratori e soggetti terzi.
Anche questo aspetto deve entrare nella revisione delle procedure interne. Una buona gestione dell’ospitalità non significa soltanto consegnare correttamente una chiave: significa poter dimostrare che ogni passaggio è stato organizzato nel rispetto degli obblighi previsti.
ANBBA: il nostro invito è alla prudenza
ANBBA torna sull’argomento non per alimentare allarmismi, ma per evitare che siano proprio i piccoli gestori a pagare il prezzo di una cattiva informazione. Da una parte c’è la stampa che, troppo spesso, tende a mettere nello stesso calderone B&B, affitti brevi, locazioni turistiche, key box e strutture completamente automatizzate. Dall’altra ci sono operatori che, magari in buona fede, hanno interpretato l’evoluzione tecnologica come una sorta di liberalizzazione totale delle modalità di accesso agli alloggi.
Nessuna delle due letture è corretta. La sicurezza non si garantisce criminalizzando un’intera categoria. Ma nemmeno ignorando gli obblighi.
Il messaggio ai gestori: non aspettate di essere sanzionati
Il consiglio di ANBBA è concreto:
- Chi utilizza ancora procedure di check-in a distanza dovrebbe verificare attentamente come avviene l’identificazione dell’ospite.
- Chi utilizza key box dovrebbe chiedersi se la procedura adottata consente realmente di identificare la persona prima o nel momento dell’accesso.
- Chi riceve fotografie dei documenti via WhatsApp o altri canali dovrebbe verificare anche la corretta gestione di questi dati.
- Chi delega ad altri collaboratori le operazioni di registrazione dovrebbe controllare attentamente le modalità di accesso ad Alloggiati Web.
E soprattutto, nessuno dovrebbe aspettare che sia un controllo delle autorità a rivelare che la procedura adottata non era corretta.
La lezione del caso San Siro
Il caso di San Siro non deve diventare l’ennesimo titolo contro i B&B. Deve diventare un avvertimento per tutti coloro che operano nell’ospitalità. Perché dietro una procedura apparentemente semplice — documento ricevuto sul telefono, registrazione online, codice inviato al cliente e porta che si apre automaticamente — può nascondersi una responsabilità enorme.
E le conseguenze possono andare ben oltre una sanzione: denunce penali, contestazioni amministrative, provvedimenti di cessazione o sospensione dell’attività, conseguenze sulla posizione della struttura e sul CIN. Sono rischi che nessun gestore dovrebbe affrontare per aver sottovalutato una procedura di identificazione.
La tecnologia può aiutare, può semplificare, può rendere più efficiente la gestione. Ma non può cancellare gli obblighi previsti dalla legge.
La posizione di ANBBA è chiara
ANBBA continuerà a difendere i veri B&B e tutti gli operatori corretti che ogni giorno svolgono il proprio lavoro nel rispetto delle regole. Ma proprio per questo continuerà anche a dire ai gestori: attenzione alle scorciatoie.
Non basta avere la fotografia di un documento. Non basta trasmettere correttamente i dati ad Alloggiati Web. Non basta avere un CIN. E soprattutto, non basta una key box per poter dire di avere identificato un ospite.
La vera sicurezza sta nella correttezza dell’intera procedura. E oggi, dopo le decisioni intervenute sulla materia, pensare che il semplice invio di un documento e l’invio di un codice per aprire una porta siano sufficienti è un rischio che un gestore serio non dovrebbe più permettersi.
Perché il caso di San Siro insegna una cosa molto semplice: quando l’identificazione dell’ospite non è realmente verificata, il problema non è più soltanto come far entrare il cliente. Il problema è tutto ciò che può accadere dopo.
