Garante della Privacy: Perché si parla di “Azzeramento”?

Negli ultimi mesi in Italia si è riacceso un acceso dibattito sull’effettiva indipendenza e trasparenza delle autorità di garanzia, in particolare quella preposta alla tutela dei dati personali. Alcune inchieste giornalistiche e dichiarazioni pubbliche hanno messo in luce criticità nella gestione e nel funzionamento dell’Autorità, sollevando dubbi sulla sua capacità di operare con piena autonomia rispetto alla sfera politica ed economica.

A seguito di questi fatti, da più parti è emersa la richiesta di un “azzeramento” o rinnovamento del collegio, visto come segnale di discontinuità e recupero della fiducia dei cittadini. L’idea di fondo è che un’autorità di garanzia, per essere credibile, non debba solo essere indipendente per legge, ma anche apparire tale, mantenendo comportamenti improntati alla massima correttezza amministrativa, sobrietà e neutralità

Autonomia e Trasparenza: Il Grande Dilemma

Il confronto ha messo in evidenza un tema più ampio: l’equilibrio tra autonomia delle istituzioni di controllo e responsabilità pubblica. Da un lato, c’è la necessità di preservare organi indipendenti che vigilano sui diritti fondamentali dei cittadini; dall’altro, quella di garantire trasparenza, efficienza e rigore nella loro gestione.

Questa discussione non riguarda solo persone o episodi specifici, ma tocca il principio generale della fiducia nelle istituzioni e nel corretto esercizio dei poteri di garanzia. È un elemento essenziale in ogni settore, compreso quello turistico-ricettivo, dove la tutela dei dati personali è una componente imprescindibile di professionalità e rispetto delle regole.

Quali Ripercussioni per il Settore Turistico?

Ci si chiede se il dibattito sul Garante della Privacy influenzerà le procedure di raccolta dati nelle attività ricettive, alberghiere e extra-alberghiere, comprese le locazioni turistiche.

La risposta non è semplice e può basarsi solo su ipotesi. Secondo un’analisi della nostra Associazione, probabilmente non ci saranno cambiamenti immediati negli obblighi sostanziali, come la comunicazione delle schedine alle forze di pubblica sicurezza o l’invio dei flussi ISTAT quando richiesto. Tuttavia, potrebbero cambiare modalità operative, linee guida e priorità di controllo se il Garante modificasse prassi, istruzioni o emanasse nuovi provvedimenti tecnici.

In pratica, l’obbligo di trasmettere le generalità degli ospiti entro 24 ore alla Questura rimane. Tuttavia, il Garante potrebbe intervenire su aspetti tecnici come misure di sicurezza, modalità di conservazione dei dati e responsabilità dei fornitori di PMS.

Che cos’è un PMS?

Il PMS (Property Management System) è un software gestionale usato da strutture ricettive — hotel, B&B, affittacamere, case vacanza, appartamenti turistici — per amministrare in modo centralizzato prenotazioni, check-in/check-out, tariffe, pagamenti e comunicazioni con gli ospiti.

Sono inclusi anche servizi come le piattaforme digitali tipo Alloggiati Web, che gestiscono la trasmissione delle informazioni agli organi di pubblica sicurezza.

Per questo motivo, le strutture ricettive devono continuare a rispettare gli obblighi previsti dalle norme (T.U.L.P.S. / Alloggiati Web) e, allo stesso tempo, seguire attentamente gli aggiornamenti e i provvedimenti del Garante. Questi ultimi spesso riguardano modalità di adeguamento come privacy by design, cifratura, notifiche di violazione, nomine di DPO quando richiesto, e possono comportare sanzioni in caso di inadempienze.

DPO: Chi è e Cosa Fa?

Il DPO (Data Protection Officer), o Responsabile della Protezione dei Dati, è una figura prevista dal Regolamento Europeo sulla protezione dei dati personali (GDPR – Regolamento UE 2016/679). I suoi compiti principali sono:

• Garantire che l’organizzazione rispetti la normativa sulla privacy e la protezione dei dati personali.
• Monitorare l’adozione e l’applicazione delle policy interne relative alla gestione dei dati.
• Fungere da punto di contatto tra l’organizzazione, gli interessati (cioè le persone i cui dati sono trattati) e l’autorità di controllo (in Italia, il Garante della Privacy).
• Consigliare e formare il personale sull’adeguata gestione dei dati personali.
• Verificare la conformità alle norme GDPR e segnalare eventuali rischi o violazioni.

Quando è Obbligatorio Nominare un DPO?

La nomina del DPO è obbligatoria per enti pubblici, aziende o organizzazioni che:

• Svolgono trattamenti di dati personali su larga scala, specialmente dati sensibili (sanitari, giudiziari, ecc.).
• Effettuano monitoraggi sistematici e regolari degli interessati.
• In generale, per chi ha attività di trattamento che richiedono un controllo continuo e rilevante sui dati.

Il DPO nel Settore Turistico-Ricettivo

Per strutture di piccole dimensioni o singoli host, il DPO non è quasi mai obbligatorio, a meno che non ci sia un trattamento complesso o su larga scala di dati personali.

Al contrario, catene alberghiere, grandi gestori, agenzie di viaggio o piattaforme più strutturate spesso hanno la figura del DPO per assicurare la conformità al GDPR.

Un Viaggio nel Tempo: La Storia della Privacy

All’inizio, quando si parlava di “privacy”, molti la consideravano una moda americana, qualcosa di distante dalle nostre abitudini. In realtà, già negli anni ’90 in Italia si comprese che la tecnologia — computer, banche dati, internet — stava cambiando il modo di gestire le informazioni personali.

Nel 1996 nacque la prima legge italiana che tutelava espressamente i dati personali: una novità assoluta. Nel 2003 fu approvato il “Codice della Privacy”, che fissò regole precise e istituì il Garante per la protezione dei dati personali, autorità indipendente incaricata di vigilare e sanzionare eventuali abusi.

La vera svolta arrivò con l’Unione Europea: nel 2016 fu approvato il GDPR, entrato in vigore nel 2018. Per la prima volta la privacy divenne un diritto fondamentale europeo, uguale per tutti i cittadini, non più solo un obbligo burocratico.

Da allora ogni persona ha il diritto di sapere come vengono raccolti i propri dati, per quali motivi, chi li usa e per quanto tempo. Il Garante italiano continua a far rispettare queste regole, adattandole ai nuovi strumenti digitali e alle attività economiche, incluso il turismo.

Privacy: Cosa Devono Fare le Strutture Ricettive?

Le strutture rappresentate da ANBBA — B&B, affittacamere, case vacanza, locazioni turistiche, ecc. — raccolgono quotidianamente dati personali, spesso sensibili, dei propri ospiti. È quindi fondamentale conoscere quali sono gli obblighi senza complicazioni tecniche.

I punti essenziali:

1️⃣ Registrazione degli ospiti
La legge obbliga tutte le strutture a registrare i dati anagrafici e a inviarli alla Questura tramite il portale Alloggiati Web entro 24 ore dall’arrivo.
Non serve il consenso dell’ospite, ma è buona prassi informarlo che i dati saranno usati solo per questo scopo, che è un obbligo di pubblica sicurezza.

2️⃣ Dati per fini statistici (ISTAT o sistemi regionali)
Molte Regioni richiedono la comunicazione di flussi turistici (arrivi, presenze, provenienze). Anche questo è un obbligo di legge, senza necessità di consensi particolari.

3️⃣ Informativa all’ospite
Ogni struttura deve avere un’informativa sulla privacy semplice e visibile — un foglio, un cartello o un link sul sito — che spiega:

• chi raccoglie i dati (titolare/gestore della struttura);
• per quali motivi (registrazione ospiti, obblighi fiscali, sicurezza, ecc.);
• per quanto tempo i dati vengono conservati;
• a chi rivolgersi per richieste o correzioni.

Un linguaggio chiaro e comprensibile è più efficace di uno giuridico.

4️⃣ Sicurezza dei dati
La struttura deve custodire i dati con attenzione, come fossero documenti personali:

• non lasciare in giro copie cartacee;
• usare password sicure per accesso a portali (Alloggiati Web, ISTAT, PMS);
• evitare l’invio di dati sensibili via email normale, preferendo PEC o sistemi cifrati;
• conservare i dati solo per il tempo previsto e poi eliminarli.

5️⃣ In caso di problemi o errori
Se si commettono errori (es. invio sbagliato di schedine o perdita dati), bisogna segnalarli e correggerli senza panico. Solo in caso di violazioni gravi si deve informare il Garante o le autorità.

In Sintesi

Per rispettare la privacy, una struttura ricettiva deve:

1. Registrare e comunicare correttamente i dati agli organi di legge (Questura e ISTAT);
2. Informare in modo trasparente gli ospiti;
3. Proteggere i dati con attenzione e buon senso.

Non servono consulenti informatici o grandi investimenti, ma cura, chiarezza e rispetto per i dati degli ospiti, come per la loro accoglienza.

Articolo a cura dei servizi tecnici di ANBBA diretti da Cesare Gherardi