Questo contenuto è stato tradotto dal testo originale.
Per molti anni, la fotocopia del documento d'identità degli ospiti al momento del check-in nelle strutture ricettive è stata considerata nel settore una procedura "di routine" e "obbligatoria", applicata quasi senza metterla in discussione. Questa prassi è stata il più delle volte difesa con motivazioni di sicurezza, di conformità alla normativa o di comodità amministrativa e non è stata sufficientemente discussa sotto il profilo del diritto della protezione dei dati personali. Con la crescita della consapevolezza in materia di protezione dei dati personali e con la definizione più netta dei limiti giuridici delle attività di trattamento, anche la liceità di queste prassi consolidate è tornata a essere oggetto di valutazione. La Decisione di principio pubblicata dal Consiglio per la Protezione dei Dati Personali ed entrata in vigore con la pubblicazione nella Gazzetta Ufficiale ha infatti stabilito espressamente che, nel settore del turismo e dell'ospitalità, acquisire al momento del check-in una fotocopia del documento d'identità delle persone che usufruiscono di servizi di alloggio costituisce un'attività di trattamento illecita ai sensi della Legge n. 6698 sulla Protezione dei Dati Personali. In questo articolo esamineremo la Decisione di principio in questione, la sua finalità, i suoi fondamenti giuridici e quali dati le strutture ricettive possano trattare e in quale misura.
Per molti anni, la fotocopia del documento d'identità degli ospiti al momento del check-in nelle strutture ricettive è stata considerata nel settore una procedura "di routine" e "obbligatoria", applicata quasi senza metterla in discussione. Questa prassi è stata il più delle volte difesa con motivazioni di sicurezza, di conformità alla normativa o di comodità amministrativa e non è stata sufficientemente discussa sotto il profilo del diritto della protezione dei dati personali. Con la crescita della consapevolezza in materia di protezione dei dati personali e con la definizione più netta dei limiti giuridici delle attività di trattamento, anche la liceità di queste prassi consolidate è tornata a essere oggetto di valutazione. La Decisione di principio pubblicata dal Consiglio per la Protezione dei Dati Personali ed entrata in vigore con la pubblicazione nella Gazzetta Ufficiale ha infatti stabilito espressamente che, nel settore del turismo e dell'ospitalità, acquisire al momento del check-in una fotocopia del documento d'identità delle persone che usufruiscono di servizi di alloggio costituisce un'attività di trattamento illecita ai sensi della Legge n. 6698 sulla Protezione dei Dati Personali. In questo articolo esamineremo la Decisione di principio in questione, la sua finalità, i suoi fondamenti giuridici e quali dati le strutture ricettive possano trattare e in quale misura.
Il contesto giuridico della prassi di fotocopiare i documenti d'identità nelle strutture ricettive
Per le strutture ricettive che operano nel settore del turismo e dell'ospitalità, l'obbligo di acquisire i dati identificativi degli ospiti e di comunicarli alle competenti forze dell'ordine si fonda su diverse disposizioni normative in vigore da lungo tempo. In particolare, ai sensi della Legge n. 1774 sulla Comunicazione dell'Identità (Kimlik Bildirme Kanunu), le strutture ricettive sono tenute ad accertare i dati identificativi dei propri clienti e a trasmetterli ai relativi sistemi; nella prassi, tale obbligo è stato il più delle volte interpretato nel senso di fotocopiare il documento d'identità. Tale interpretazione è tuttavia divenuta una prassi che non coincide con la lettera e con la finalità della normativa, consolidatasi nel tempo ma il cui fondamento giuridico non è stato sufficientemente messo in discussione.
Nella prassi, le strutture ricettive hanno il più delle volte difeso la fotocopia del documento d'identità adducendo ragioni di sicurezza, di prevenzione di problemi in occasione dei controlli o di comodità amministrativa, muovendo dal presupposto che il fondamento giuridico di tale operazione si trovasse nella Legge sulla Comunicazione dell'Identità o nelle relative normative secondarie. Tuttavia, dall'esame delle disposizioni normative in questione risulta che l'obbligo posto a carico delle strutture ricettive è limitato alla "esibizione del documento d'identità e alla registrazione dei dati identificativi" e che non è previsto alcun obbligo chiaro ed esplicito di realizzare una copia integrale del documento d'identità, di scansionarlo o di conservarlo. Ciononostante, la prassi di fotocopiare i documenti d'identità è stata adottata nel settore quasi come una procedura standard ed è proseguita per molti anni.
Con lo sviluppo del diritto della protezione dei dati personali, la natura giuridica di questa prassi è però divenuta più evidente. La fotocopia di un documento d'identità contiene infatti non soltanto informazioni di base come il nome e il numero di identità, ma anche la fotografia, la data di nascita, il numero di serie e molti altri dati personali su un unico documento, e sotto questo profilo comporta rischi seri in relazione ai principi di minimizzazione dei dati e di proporzionalità. La questione se il trattamento di un insieme di dati così ampio sia necessario per poter prestare il servizio di alloggio e adempiere ai relativi obblighi di comunicazione è divenuta uno dei temi fondamentali da discutere nel quadro del diritto della protezione dei dati personali.
È proprio a questo punto che, con la Decisione di principio del Consiglio per la Protezione dei Dati Personali, è stato espressamente affermato che la prassi di fotocopiare i documenti d'identità nelle strutture ricettive è priva di fondamento giuridico e che tale prassi è incompatibile con i principi fondamentali in materia di protezione dei dati personali; per la prima volta i limiti giuridici di una prassi consolidata che si protraeva da tempo in tutto il settore sono stati tracciati in modo così netto.
La Decisione di principio del Consiglio per la Protezione dei Dati Personali e le sue motivazioni giuridiche
La prassi di fotocopiare i documenti d'identità della Repubblica di Turchia (T.C.) degli ospiti al momento del check-in nelle strutture ricettive che operano nel settore del turismo e dell'ospitalità è stata valutata dal Consiglio per la Protezione dei Dati Personali sulla base delle istanze pervenute e delle verifiche condotte d'ufficio e, all'esito di tale valutazione, è stata adottata la Decisione di principio n. 2025/2120 del 06.11.2025. La Decisione di principio in questione è entrata in vigore con la pubblicazione nella Gazzetta Ufficiale n. 32361 del 09.12.2025. Con la decisione, il fondamento giuridico della prassi di fotocopiare i documenti d'identità, che nel settore proseguiva da tempo e che era di fatto divenuta una procedura standard, è stato espressamente discusso e tale prassi è stata ritenuta contraria alla Legge n. 6698 sulla Protezione dei Dati Personali.
Nella Decisione di principio, il Consiglio ha innanzitutto preso a riferimento l'articolo 5 del KVKK, che disciplina le condizioni alle quali i responsabili del trattamento possono trattare i dati personali, e ha esaminato se la prassi delle strutture ricettive di fotocopiare i documenti d'identità si fondi su una delle basi giuridiche che consentono il trattamento dei dati senza il consenso esplicito. Nella valutazione svolta in tale ambito, è stato accertato che l'obbligo posto a carico delle strutture ricettive ai sensi della Legge n. 1774 sulla Comunicazione dell'Identità è limitato esclusivamente all'accertamento e alla comunicazione dei dati identificativi e che nella normativa non figura alcuna disposizione espressa relativa alla fotocopia del documento d'identità. Pertanto, è stato espressamente affermato che la fotocopia del documento d'identità non soddisfa il requisito della "espressa previsione di legge". Nella Decisione di principio, il Consiglio ha inoltre attribuito particolare importanza ai principi generali disciplinati dall'articolo pertinente del KVKK e ha ritenuto violato, con la prassi di fotocopiare i documenti d'identità, il principio secondo cui i dati personali devono essere pertinenti, limitati e proporzionati rispetto alle finalità per le quali sono trattati. La fotocopia di un documento d'identità contiene infatti non soltanto informazioni di base come nome, cognome e numero di identità, ma anche la fotografia, la data di nascita, il numero di serie e molti altri dati personali, e il Consiglio ha espressamente chiarito che un insieme di dati così ampio non è necessario per la prestazione del servizio di alloggio.
Un altro aspetto evidenziato nella Decisione di principio è che l'attività di trattamento realizzata mediante la fotocopia dei documenti d'identità accresce anche i rischi per la sicurezza dei dati. Secondo il Consiglio, la conservazione delle fotocopie dei documenti d'identità in ambienti fisici o digitali comporta rischi di accesso non autorizzato, di violazione dei dati e di uso improprio, ed è evidente che tali rischi possono essere notevolmente ridotti se ci si conforma al principio di minimizzazione dei dati. In tale quadro, il Consiglio ha ribadito ancora una volta che i responsabili del trattamento devono limitarsi ai soli dati necessari per la finalità del trattamento.
Nella Decisione di principio, il Consiglio ha affermato espressamente che questa disciplina non ha il carattere di un divieto operante soltanto per il futuro; anche le fotocopie dei documenti d'identità acquisite senza fondamento giuridico prima della pubblicazione della decisione devono essere cancellate, distrutte o rese anonime nel quadro dell'articolo 7 del KVKK e della relativa normativa in materia di distruzione. Sotto questo profilo, la Decisione di principio costituisce una disciplina vincolante che impone alle strutture ricettive di rivedere le proprie politiche di conservazione dei dati e di adottare senza indugio le necessarie misure di adeguamento.
Qualora, nonostante questa Decisione di principio, le strutture ricettive proseguano la prassi di fotocopiare i documenti d'identità, per le imprese interessate potranno venire in rilievo la violazione degli obblighi in materia di sicurezza dei dati ai sensi dell'articolo 12 della Legge n. 6698 e atti di trattamento dei dati in violazione degli articoli 4 e 5 della Legge. In tale ambito, all'esito delle verifiche che il Consiglio per la Protezione dei Dati Personali condurrà d'ufficio o su reclamo, potranno essere applicate ai responsabili del trattamento le sanzioni amministrative pecuniarie previste dall'articolo 18 del KVKK, potrà essere disposta la cancellazione o la distruzione dei dati personali trattati illecitamente e, a seconda della natura della violazione, potrà sorgere l'obbligo di notifica della violazione dei dati.
Conclusioni
Con la Decisione di principio n. 2025/2120 del 06.11.2025 del Consiglio per la Protezione dei Dati Personali è stato affermato in modo chiaro e inequivocabile che la prassi di fotocopiare i documenti d'identità, applicata da molti anni in modo diffuso nel settore del turismo e dell'ospitalità e il più delle volte ritenuta derivante dalla normativa, è illecita ai sensi della Legge n. 6698 sulla Protezione dei Dati Personali. Con questa decisione, pur restando possibile per le strutture ricettive richiedere l'esibizione del documento d'identità nelle procedure di check-in e registrarne i dati identificativi nella misura prevista dalla normativa, è divenuto chiaro che le attività di trattamento realizzate mediante la fotocopia, la scansione o la conservazione del documento d'identità non sono più giuridicamente ammissibili.
La Decisione di principio dimostra ancora una volta che il fondamento giuridico delle prassi consolidate in un settore non sussiste sempre e che, nel diritto della protezione dei dati personali, la giustificazione dell'"abitudine" o della "prassi di settore" non è di per sé sufficiente a conferire legittimità. In questo quadro, le strutture ricettive devono rivedere non soltanto le proprie prassi future, ma anche i processi di conservazione e distruzione dei dati relativi alle fotocopie dei documenti d'identità acquisite in passato senza alcun fondamento giuridico, e renderli conformi al KVKK.
In conclusione, con la Decisione di principio in questione i limiti del trattamento dei dati personali sono divenuti più netti per i responsabili del trattamento che operano nel settore turistico, ed è stata tracciata con chiarezza la differenza giuridica tra il controllo dell'identità e la riproduzione del documento d'identità. Qualora le strutture ricettive non aggiornino le proprie procedure interne tenendo conto di questo nuovo quadro giuridico, andranno inevitabilmente incontro a sanzioni amministrative e ad altre responsabilità giuridiche.
Av. Mehmet Emre Darıcı
