„Mi serve il consenso degli ospiti al trattamento dei dati personali?“ No — ed è proprio qui l'equivoco più frequente. I dati degli ospiti li tratti perché te lo impone la LEGGE, non perché l'ospite te l'ha permesso. La casella di consenso nel check-in non aggiunge nulla: dà solo l'impressione che l'ospite possa dire di no — e non può.

Per un host il GDPR non è uno spauracchio. Sono quattro regole: sapere perché raccogli ogni dato, non raccogliere nulla in più, dirlo agli ospiti e distruggere i dati allo scadere del termine. Qui sotto, per ciascuna, il limite, il termine e la sanzione.

Cosa fare

Basi giuridiche: il consenso non ti serve

Il GDPR conosce sei basi giuridiche (art. 6 comma 1 lett. a)-f)). In pratica te ne servono tre:

1. 1OBBLIGO LEGALE (lett. c)) — il registro degli ospiti ai sensi del § 3g della legge sulle tasse locali, il registro degli alloggiati e la segnalazione dell'alloggio di uno straniero entro 3 giorni lavorativi ai sensi del § 100 lett. c) e f), § 101 e § 102 della legge sul soggiorno degli stranieri, il documento per la tassa di soggiorno al comune. Questi dati DEVI trattarli; il consenso dell'ospite è irrilevante e non può „revocarlo“.

1. 1ESECUZIONE DI UN CONTRATTO (lett. b)) — prenotazione, contatto, comunicazioni sul soggiorno, conteggio. Copre anche la comunicazione prima della prenotazione, se è stato l'ospite a provocarla con la sua richiesta.

1. 1LEGITTIMO INTERESSE (lett. f)) — la telecamera all'ingresso, il recupero di un danno all'arredo, l'offerta di servizi propri simili a ex ospiti. Qui devi poter giustificare che il tuo interesse prevale sulla privacy dell'ospite (test di bilanciamento), e l'ospite ha diritto di opporsi (art. 21).

Il consenso tienilo per ciò che non rientra in nessuna di queste tre basi — e anche lì ricorda che, secondo l'autorità, un consenso condizionato alla fornitura del servizio „non soddisfa la condizione della libera manifestazione di volontà“ (art. 7 comma 4 GDPR).

Minimizzazione: la legge è un tetto, non un minimo

Il principio di minimizzazione (art. 5 comma 1 lett. c) GDPR) consente di trattare solo i dati necessari al fine perseguito. Nelle registrazioni di legge l'ampiezza è fissata in modo tassativo: il § 3g comma 2 della legge sulle tasse locali elenca le date del soggiorno, l'identificazione dell'ospite compreso l'indirizzo del luogo di residenza registrata, i dati del documento d'identità e l'importo della tassa riscossa, eventualmente il motivo dell'esenzione — voce per voce li analizza un articolo a parte. Per gli stranieri si aggiunge l'ampiezza del modulo di notifica (§ 101 e § 103 della legge sul soggiorno degli stranieri). → Il registro degli ospiti: cosa non può mancare (e cosa invece non c'entra)

Quell'elenco è al tempo stesso il tuo tetto:

• Nessuna copia né foto dei documenti „nel cassetto“ — la legge vuole i dati dal documento, non il documento stesso.
• Nessun numero di nascita — il registro degli ospiti non lo richiede.
• Nessun dato „casomai servisse“ — ogni dato in più è solo un rischio, alla violazione come al controllo.

La copia del documento non è solo prudenza eccessiva, ma violazione di due leggi distinte. Fare una copia della carta d'identità senza il consenso del titolare è vietato dal § 39 lett. c) della legge n. 269/2021 Sb.; è un illecito con sanzione fino a 10.000 CZK (§ 65 comma 1 lett. d)) trattato dall'ufficio comunale di un comune con competenze estese, non dall'autorità per la protezione dei dati. Per il documento di viaggio il divieto è più ampio: il § 2 comma 3 della legge n. 329/1999 Sb. vieta di fare una copia del documento di viaggio „con qualsiasi mezzo“ senza il consenso del cittadino — quindi nemmeno fotografarlo con il telefono; la sanzione è di nuovo fino a 10.000 CZK (§ 34a comma 1 lett. i)). Questa legge riguarda i documenti di viaggio cechi — per i passaporti degli stranieri allo stesso esito porta il GDPR stesso: per la copia non hai un titolo giuridico.

La legge dice „senza il consenso del titolare“ e qualcuno lo legge come „se l'ospite acconsente, posso“. Non puoi: per la copia manca il titolo e un consenso condizionato all'alloggio non è libero. In pratica — non copiare, non fotografare. Guarda il documento, annota numero e tipo, lo restituisci; la semplice visione l'autorità non la considera trattamento.

Il numero di nascita non chiederlo affatto: può disporne il suo titolare, altrimenti solo nei casi previsti dal § 13c della legge n. 133/2000 Sb. — e il registro degli ospiti non lo richiede, dal 2020 si annota la data di nascita.

Obbligo di informazione: che cosa deve sapere l'ospite

L'informazione si fornisce, ai sensi dell'art. 13 comma 1 GDPR, „nel momento in cui i dati personali sono ottenuti“ — cioè quando l'ospite compila il modulo, nel check-in online prima del suo invio. Non alla consegna delle chiavi. I dati che hai già dalla prenotazione (nome, e-mail, telefono) sono coperti dall'informazione data alla prenotazione o nella conferma.

Il contenuto dell'art. 13 è più lungo di quanto ci si aspetti. Vi rientrano:

• chi sei (nome o ragione sociale, IČO) e come contattarti,
• le finalità del trattamento e la base giuridica per ciascuna di esse — registrazioni di legge (§ 3g della legge n. 565/1990 Sb., §§ 101-102 della legge n. 326/1999 Sb.) ed esecuzione del contratto di alloggio,
• i destinatari o le loro categorie: il comune come amministratore della tassa di soggiorno, la Polizia della Repubblica Ceca per gli stranieri, il tuo fornitore di software come responsabile del trattamento,
• il periodo di conservazione — 6 anni dal giorno dell'ultima annotazione,
• i diritti dell'ospite: accesso, rettifica, cancellazione, limitazione del trattamento, opposizione,
• il diritto di proporre reclamo all'autorità per la protezione dei dati,
• che la comunicazione dei dati è un requisito di legge, e le conseguenze se l'ospite non li fornisce,
• un eventuale trasferimento fuori dall'UE e le garanzie che vi si applicano.

Non deve stare tutto accanto al modulo: il GDPR ammette l'approccio a livelli — un breve paragrafo al check-in più il testo completo sul sito o dietro un codice QR. La condizione è una sola: la versione breve deve davvero rimandare a quella completa.

Sicurezza, termini e violazioni dei dati

I sei anni non decorrono dal soggiorno dell'ospite: la legge dice „per un periodo di 6 anni dal giorno in cui è stata effettuata l'ultima annotazione“ (§ 3g comma 4 della legge sulle tasse locali). Con un registro tenuto in modo corrente conservi quindi le annotazioni più vecchie ben oltre 6 anni dal check-out. La stessa regola vale per il registro degli alloggiati (§ 101 comma 4 della legge sul soggiorno degli stranieri); i documenti cartacei che lo sostituiscono si tengono 6 anni dalla fine dell'alloggio dello straniero e il modulo di notifica conservato 6 anni dall'alloggio dello straniero (§ 102 comma 4).

I termini di archiviazione concreti che più spesso riguardano un host:

• Bilancio e relazione annuale — 10 anni a decorrere dalla fine dell'esercizio cui si riferiscono (§ 31 comma 2 lett. a) della legge n. 563/1991 Sb., sulla contabilità).
• Documenti contabili, libri contabili, piani di ammortamento, inventari, piano dei conti e prospetti — 5 anni a decorrere dalla fine dell'esercizio cui si riferiscono (§ 31 comma 2 lett. b) della stessa legge).
• Documenti fiscali, se sei soggetto IVA — 10 anni dalla fine del periodo d'imposta in cui l'operazione è stata effettuata (§ 35 comma 2 della legge n. 235/2004 Sb., sull'imposta sul valore aggiunto).
• Documenti in base ai quali si determinano e versano i contributi previdenziali — 10 anni solari successivi all'anno cui si riferiscono (§ 22c della legge n. 589/1992 Sb.); ti riguarda solo se hai dipendenti.
• Se invece della contabilità tieni solo la registrazione fiscale, regolati sul termine di accertamento: è di 3 anni, si prolunga di 1 anno se negli ultimi 12 mesi prima della sua fine si verifica una delle circostanze del § 148 comma 2 del codice tributario, e termina al più tardi 10 anni dal suo inizio (§ 148 commi 1 e 5 della legge n. 280/2009 Sb.). I documenti di un dato anno tienili quindi realisticamente 10 anni.

Quando su un documento incidono più norme, vale il termine più lungo: se usi una scrittura contabile anche per un procedimento tributario o per la previdenza, devi conservarla ai sensi del § 32 comma 1 della legge sulla contabilità anche dopo il decorso del termine del § 31. In pratica: una fattura con il nome dell'ospite per il 2026 non la cancelli a fine 2031 solo perché „i documenti contabili sono cinque anni“ — se porta l'IVA, il termine corre fino alla fine del 2036.

Il minimo pratico di sicurezza (art. 5 comma 1 lett. f), art. 25 e art. 32 GDPR):

• Accesso solo a chi serve per il lavoro. Le pulizie hanno bisogno delle date ed eventualmente del nome, non del numero del documento né della data di nascita. → Pulizie senza telefonate: un portale dedicato alla tua addetta alle pulizie
• Una registrazione con copie di sicurezza e accesso controllato è più sicura di un quaderno in casa o di un foglio su un portatile senza password.
• I dati degli ospiti non inoltrarli con la normale e-mail né con i messenger — dopo sei anni non riuscirai a cancellare copie di cui non sai nulla.

Quando i dati escono (quaderno smarrito, e-mail violata, tabella inviata per errore), vale l'art. 33 comma 1 GDPR: segnalare all'autorità senza ingiustificato ritardo, possibilmente entro 72 ore dal momento in cui sei venuto a conoscenza della violazione — il termine decorre dalla scoperta, non dall'evento. Non si segnala solo se è improbabile che la violazione comporti un rischio per i diritti e le libertà degli ospiti; un quaderno smarrito con i numeri dei documenti tipicamente lo comporta. In caso di segnalazione tardiva indica i motivi del ritardo.

Due cose che si dimenticano: in caso di rischio elevato devi informare senza ingiustificato ritardo anche gli ospiti stessi (art. 34 comma 1) e devi documentare tutte le violazioni, anche quelle non segnalate (art. 33 comma 5). Canali dell'autorità: il modulo „Segnalazione di violazione della sicurezza dei dati personali secondo il GDPR“ su uoou.gov.cz, casella dati qkbaa2n, posta@uoou.gov.cz, oppure per posta a Pplk. Sochora 27, 170 00 Praha 7. → Casella dati: 20 minuti che ti risparmiano anni di code agli uffici

Responsabili e titolari: chi tiene i dati per te

Se usi un software (come il nostro), il suo gestore è il tuo RESPONSABILE DEL TRATTAMENTO — tratta i dati degli ospiti per te e secondo le tue istruzioni documentate (art. 4 punto 8 e art. 28 comma 3 lett. a) GDPR). Per questo il GDPR richiede un contratto con gli elementi dell'art. 28 comma 3 lett. a)-h): istruzioni, riservatezza, sicurezza, sub-responsabili, collaborazione sui diritti degli ospiti, notifica degli incidenti, cancellazione o restituzione dei dati alla fine, audit. La forma scritta comprende quella elettronica (art. 28 comma 9), quindi il contratto può far parte delle condizioni commerciali — da noi lo è. Titolare resti tu e sei tu a rispondere della conformità (art. 5 comma 2, art. 24).

Airbnb e Booking.com, al contrario, NON sono tuoi responsabili. Airbnb trasmette agli host i dati da titolare autonomo a titolare autonomo; tu sei quindi un titolare indipendente con obblighi propri. Ne deriva un doppio effetto: i dati della piattaforma non puoi usarli senza un titolo proprio per un'altra finalità (tipicamente costruirci una banca dati di marketing) e le registrazioni di legge la piattaforma non le fa al posto tuo.

Se usi strumenti con dati fuori dall'UE, devi indicarlo agli ospiti ai sensi dell'art. 13 comma 1 lett. f) e conoscere le garanzie per il trasferimento (art. 44 e ss.); il quadro di dove sono conservati i dati, da noi, è nella documentazione.

Diritti degli ospiti — e i loro limiti

L'ospite può chiedere che cosa conservi su di lui (art. 15) e chiedere la rettifica di un errore (art. 16). Rispondere devi senza ingiustificato ritardo, al più tardi entro 1 mese dal ricevimento della richiesta (art. 12 comma 3); per richieste complesse o numerose il termine si può prorogare di altri 2 mesi, ma della proroga devi informare entro il primo mese. L'evasione è gratuita (art. 12 comma 5); in caso di dubbi fondati sull'identità del richiedente puoi chiedere informazioni aggiuntive (art. 12 comma 6).

Entro 1 mese va comunicato anche il RIFIUTO, con motivazione e con l'avviso che l'ospite può proporre reclamo all'autorità (art. 12 comma 4). Il silenzio è di per sé una violazione.

E un limite che conviene sapere a memoria: „cancellatemi“ non vale per le registrazioni di legge. Il diritto alla cancellazione non si applica dove il trattamento è necessario per adempiere a un obbligo legale (art. 17 comma 3 lett. b)) — e il registro degli ospiti e quello degli alloggiati li tieni per legge 6 anni dall'ultima annotazione. All'ospite lo spieghi e citi la legge. La cancellazione riguarda solo ciò che tratti oltre il quadro di legge: un contatto di marketing, appunti, foto.

Marketing: quando puoi scrivere agli ex ospiti

A un ex ospite puoi inviare un'offerta di servizi propri simili anche SENZA consenso — nel regime di opt-out ai sensi del § 7 comma 3 della legge n. 480/2004 Sb. Le condizioni sono tre: hai ottenuto l'e-mail in connessione con la fornitura del servizio, offri solo servizi propri simili e l'ospite ha avuto una possibilità chiara e gratuita di rifiutare già alla raccolta del contatto e in ogni messaggio successivo. La base secondo il GDPR è allora il legittimo interesse con diritto di opposizione (art. 21 commi 2 e 3).

Il consenso (opt-in ai sensi del § 7 comma 2) ti serve solo dove la controparte non è tuo cliente — con chi ha chiesto informazioni ma alla fine non ha prenotato — e per offerte di servizi altrui.

Ogni comunicazione commerciale deve, ai sensi del § 7 comma 4, essere chiaramente contrassegnata come tale, deve risultarne chi è il mittente e deve contenere un indirizzo valido per il rifiuto. La vigilanza la esercita parimenti l'autorità per la protezione dei dati. Quando l'ospite si disiscrive, cessa l'invio e cancella o blocca il contatto per il marketing — il registro degli ospiti non ne è toccato.

Le carte da avere: il registro delle attività di trattamento

La valutazione d'impatto (DPIA ai sensi dell'art. 35) e le direttive interne non sono richieste per la normale registrazione degli ospiti. Il registro delle attività di trattamento ai sensi dell'art. 30 comma 1 invece sì — ed è la lacuna formale più frequente dei piccoli host. L'esenzione per i soggetti sotto i 250 dipendenti (art. 30 comma 5) non vale quando „il trattamento non è occasionale“, e la registrazione degli ospiti non è occasionale: la tieni regolarmente, tutto l'anno.

L'interpretazione qui non è univoca — l'autorità illustra l'esenzione con il piccolo artigiano che ha un elenco di clienti. Ti consigliamo di non farci affidamento: un registro di una pagina è la prova di conformità più economica che tu possa avere a un controllo. Basta scrivervi la finalità (registrazioni di legge, esecuzione del contratto), la base giuridica, le categorie di interessati e di dati, i destinatari (comune, Polizia della Repubblica Ceca, fornitore del software), il periodo di conservazione e chi ha accesso. Il titolare dev'essere in grado di dimostrare la conformità (art. 5 comma 2, art. 24) — e „lo so a memoria“ non si dimostra.

Telecamere all'ingresso

La telecamera è un trattamento autonomo con regole proprie. Esse derivano dal GDPR; un orientamento pratico è la metodica dell'autorità sulla progettazione e sull'esercizio dei sistemi di videosorveglianza dell'8 febbraio 2024 — non è giuridicamente vincolante, muove dal GDPR e dalle linee guida EDPB 3/2019 ed è scritta anche per i piccoli gestori.

• La base è di norma il legittimo interesse (art. 6 comma 1 lett. f)) documentato da un test di bilanciamento — redigilo prima, non al momento del controllo.
• Il cartello informativo va posto ancora prima di entrare nell'inquadratura; i dettagli si possono stratificare.
• Periodo di conservazione: secondo la metodica, nella maggior parte dei casi dovrebbe bastare un periodo fino a 72 ore; per un periodo più lungo il titolare deve indicare motivi chiari che lo rendano necessario.
• Documentazione: registro delle attività di trattamento (art. 30), test di bilanciamento e la valutazione se sorga l'obbligo di DPIA.
• Dentro l'appartamento affittato le telecamere non hanno nulla da fare. In condominio devi inoltre rispettare le regole condominiali per le parti comuni — l'inquadratura verso di esse concordala prima con il condominio.

Cosa bolle in pentola

Il regolamento (UE) 2024/1028 sulla raccolta e condivisione dei dati relativi alle locazioni brevi si applica, secondo il suo art. 19, dal 20 maggio 2026. La procedura di registrazione per i fornitori di alloggio, però, vi è condizionata, non obbligatoria: lo Stato membro la introduce se impone alle piattaforme online di trasmettere i dati (art. 4 comma 2). La Cechia non ha una procedura del genere — la proposta (n. 761) non è arrivata alla terza lettura ed è decaduta con la fine della legislatura. Il ministero dello sviluppo regionale ha presentato eTurista il 12 agosto 2026 al Consiglio imprenditoriale come registro centrale funzionante dal 2027.

In pratica: a settembre 2026 in Cechia non esiste né una registrazione dei fornitori di alloggio né un numero di registrazione per gli annunci. Registro degli ospiti, registro degli alloggiati e segnalazione degli stranieri tramite UbyPort entro 3 giorni lavorativi valgono senza cambiamenti. Le date 1° luglio 2026, 1° ottobre 2026 e 1° gennaio 2027, che circolano negli articoli commerciali, derivano da una proposta abbandonata. Quando eTurista arriverà, si aggiungerà un nuovo destinatario dei dati — e con lui una riga nell'informativa agli ospiti. → UbyPort senza stress: come segnalare correttamente gli ospiti stranieri alla polizia per stranieri

Cosa si rischia: le sanzioni in pratica

I massimali del GDPR sono due. Fino a 10.000.000 EUR o il 2 % del fatturato annuo complessivo (a seconda di quale sia superiore) si puniscono le violazioni degli obblighi del titolare e del responsabile — sicurezza, registri, segnalazione di un incidente, contratti di responsabile (art. 83 comma 4). Fino a 20.000.000 EUR o il 4 % del fatturato vanno le violazioni dei principi, la mancanza di titolo giuridico e le violazioni dei diritti degli ospiti (art. 83 comma 5).

Per il 2025 l'autorità ha irrogato 7 sanzioni per complessivi 14.671.000 CZK (su 23 procedimenti avviati); fra esse 96.000 CZK per il trattamento di nome, cognome e telefono senza titolo giuridico e 7.500.000 CZK per l'uso dei numeri di nascita. Il numero di segnalazioni è cresciuto del 68 % su base annua — il massimo dall'entrata in vigore del GDPR.

Gli errori e i miti più frequenti

• „Senza il consenso dell'ospite non posso registrare i suoi dati.“ — Al contrario: registrarli devi per legge e il consenso è irrilevante. La casella per le registrazioni di legge risparmiatela.
• „Se l'ospite mi firma un consenso, posso fotografare il passaporto.“ — Un consenso condizionato all'alloggio non è libero e per la copia manca il titolo: conservando la copia violi la minimizzazione (se ne occupa l'autorità) e, senza un consenso dimostrabilmente libero, anche il divieto di copiare il documento (sanzione fino a 10.000 CZK).
• „La newsletter agli ex ospiti richiede il consenso.“ — Non lo richiede, se riguarda servizi propri simili e ogni messaggio contiene una possibilità gratuita di disiscrizione (§ 7 comma 3 della legge n. 480/2004 Sb.).
• „Cancello i dati 6 anni dopo la partenza dell'ospite.“ — Il termine corre 6 anni dal giorno dell'ultima annotazione nel registro, non dal soggiorno; cancellare „6 anni dal check-out“ contraddice il § 3g comma 4.
• „Airbnb è il mio responsabile, ci pensa lui.“ — Airbnb è un titolare autonomo; il registro degli ospiti, la segnalazione alla polizia e la tassa al comune non li fa al posto tuo.
• „Un piccolo host non ha bisogno di documentazione.“ — DPIA e direttive no, il registro delle attività di trattamento sì: l'esenzione per le imprese sotto i 250 dipendenti vale solo per il trattamento occasionale.
• „La violazione la segnalo quando l'avrò indagata.“ — Il termine di 72 ore decorre dal momento in cui sei venuto a conoscenza della violazione; una segnalazione tardiva va motivata.
• „Le registrazioni preferisco tenerle per sempre, così le ho a portata di mano.“ — Scaduto il termine viene meno il titolo di legge e continuare a tenere i dati è di per sé una violazione (art. 5 comma 1 lett. e) GDPR).

Domande frequenti

Aggiornato: 5 settembre 2026, verificato nei fatti rispetto alle fonti indicate. Testo informativo, non consulenza legale o fiscale — per la tua situazione specifica rivolgiti a un professionista.