Quando il problema è del fornitore, ma la responsabilità resta tua
Negli ultimi giorni diverse strutture ricettive italiane hanno ricevuto una comunicazione poco piacevole da leggere: il proprio fornitore di software gestionale per le prenotazioni ha notificato un accesso non autorizzato ai propri sistemi, con il coinvolgimento di dati anagrafici, di contatto e di prenotazione dei clienti.
Non è un caso isolato, ed è importante capire subito una cosa: anche se il problema tecnico è del fornitore, gli obblighi di legge ricadono su di te.
Perché il problema del fornitore diventa il tuo problema
Quando usi un software gestionale (PMS, channel manager, sistema di prenotazione) per gestire i dati dei tuoi ospiti, il GDPR ti assegna un ruolo preciso: tu sei il Titolare del trattamento, il fornitore è il Responsabile del trattamento (art. 28 del Regolamento UE 2016/679).
Questo significa che se il fornitore subisce una violazione dei dati che gestisce per tuo conto, è obbligato a informarti, ma le valutazioni successive — se notificare il Garante, se avvisare i tuoi ospiti — restano una tua responsabilità, non un compito che puoi delegare passivamente al fornitore.
Riceverai (o hai già ricevuto) una comunicazione formale che descrive: la natura della violazione, le categorie di dati coinvolti, le misure correttive adottate. Da lì parte il tuo orologio.
Cosa fare nelle prime 48-72 ore
1. Chiedi al fornitore le informazioni mancanti
Se la notifica è generica (es. “numero di record in fase di identificazione”), scrivi subito chiedendo: categorie esatte di dati coinvolti, stima dei record relativi alla tua struttura, se i dati erano cifrati, se ci sono evidenze di esfiltrazione o solo di accesso. Fissa un termine di risposta (es. 48 ore).
2. Valuta il rischio per i tuoi ospiti (art. 34 GDPR)
Se il rischio è concreto — dati di contatto più prenotazioni future, quindi possibile phishing o frode a danno degli ospiti — scatta l’obbligo di comunicare agli interessati senza ingiustificato ritardo.
3. Valuta la notifica al Garante (art. 33 GDPR)
Se la violazione comporta un rischio per i diritti delle persone coinvolte, la notifica all’Autorità Garante va fatta entro 72 ore da quando ne sei venuto a conoscenza. In Italia si invia via PEC a garante@pec.gpdp.it, allegando la comunicazione ricevuta dal fornitore e la tua valutazione del rischio. [NOTA: verificare eventuali aggiornamenti alle modalità di invio sul sito del Garante al momento della pubblicazione]
4. Documenta tutto
Tieni traccia di date, comunicazioni ricevute e inviate, decisioni prese. Il registro delle violazioni (art. 33 par. 5 GDPR) è obbligatorio anche se decidi di non notificare nulla: devi comunque motivare per iscritto perché.
Come avvisare i tuoi ospiti senza creare allarmismo
Se hai deciso di comunicare l’accaduto, il canale conta quanto il contenuto.
Per le prenotazioni gestite tramite OTA (Booking, Airbnb) e per cui non hai un contatto email diretto, un messaggio breve nella chat della piattaforma è spesso il canale più efficace: l’ospite riconosce il canale ufficiale e difficilmente lo scambia per phishing. Tienilo breve e operativo:
“Gentile ospite, la informiamo che il nostro sistema di gestione prenotazioni ha rilevato un accesso non autorizzato ai propri sistemi. Potrebbero essere stati coinvolti i dati della sua prenotazione. Le sue credenziali di accesso alla piattaforma di prenotazione non sono state compromesse. La invitiamo a ignorare eventuali richieste di pagamento o dati di carte che non corrispondano alla policy indicata nella conferma di prenotazione. Per dubbi, ci contatti solo tramite i canali ufficiali.”
Dove hai un’email diretta (clienti abituali, prenotazioni dirette), puoi inviare una comunicazione più completa con dettagli sull’accaduto e sulle misure adottate.
Un errore da evitare: un messaggio troppo “legale” e allarmante rischia di essere percepito come un problema della tua struttura, non del fornitore. Chiarezza e brevità proteggono anche la tua reputazione.
ANBBA è al fianco dei soci
Se ricevi una comunicazione di questo tipo e non sai come muoverti — valutazione del rischio, testo della notifica al Garante, comunicazione agli ospiti — lo Sportello INFO-FISCO ANBBA è a disposizione dei soci per orientarti nei passaggi corretti.
Non aspettare che il problema si risolva da solo: la finestra delle 72 ore per la notifica al Garante, quando dovuta, parte dal momento in cui vieni a conoscenza della violazione — non da quando il fornitore completa le sue indagini.
Serve un confronto? Scrivi a consulente@anbba.it o chiama il 06 94503417.
