GDPR applicato alle agenzie di viaggio: obblighi concreti, dati particolari e rischi da non sottovalutare
Avvertenza: questo articolo ha finalità informative e non sostituisce la consulenza di un professionista abilitato (avvocato, DPO o consulente privacy). Per situazioni specifiche, rivolgersi sempre a un esperto qualificato.
Le agenzie di viaggio raccolgono dati personali in quantità e qualità che molti altri settori non raggiungono: nome, documento d'identità, data di nascita, passaporto, carta di credito, preferenze alimentari, condizioni di mobilità, informazioni sui minori. Tutto questo prima ancora che il cliente salga su un aereo. Il Regolamento (UE) 2016/679 — il GDPR — si applica a questi flussi senza eccezioni di dimensione aziendale, anche all'agenzia con tre dipendenti.
Nonostante siano passati anni dall'applicazione del Regolamento, le verifiche del Garante continuano a evidenziare carenze strutturali: informative incomplete, conservazione dei dati prolungata oltre il necessario, assenza di accordi scritti con i fornitori, gestione dei data breach improvvisata. Questo articolo analizza i punti critici che riguardano specificamente l'operatività quotidiana di un'agenzia di viaggio o di un tour operator.
Il quadro normativo di riferimento
Il GDPR (Reg. UE 2016/679) si applica a qualsiasi soggetto che tratta dati personali di persone fisiche residenti nell'Unione Europea, indipendentemente dalla sede legale del titolare. Per le agenzie di viaggio italiane, il quadro è completato dal D.Lgs. 196/2003 (Codice Privacy) nella versione aggiornata dal D.Lgs. 101/2018.
I principi cardine sono enunciati all'art. 5 del Regolamento: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza. Ogni trattamento deve fondarsi su una delle basi giuridiche elencate all'art. 6, e — quando si trattano dati appartenenti alle categorie particolari — devono ricorrere anche le condizioni aggiuntive dell'art. 9.
L'agenzia di viaggio opera come titolare del trattamento nei confronti dei propri clienti (art. 4, n. 7) e, nella maggior parte dei rapporti con strutture ricettive, vettori e guide locali, agisce come responsabile del trattamento ai sensi dell'art. 28, oppure effettua una comunicazione di dati a titolari autonomi. La distinzione non è teorica: determina chi deve redigere l'informativa, chi risponde in caso di violazione e quali contratti devono essere in essere.
I dati trattati da un'agenzia: non tutti uguali
Dati comuni
La gran parte dei dati raccolti in fase di prenotazione rientra nella categoria dei dati personali comuni: nome e cognome, data di nascita, indirizzo, recapiti telefonici ed e-mail, numero di documento d'identità o passaporto, dati di pagamento. Per questi, la base giuridica è generalmente l'esecuzione del contratto (art. 6, par. 1, lett. b): il trattamento è necessario per erogare il servizio e non richiede un consenso aggiuntivo.
Dati delle categorie particolari (art. 9 GDPR)
Il contesto dei viaggi obbliga spesso a raccogliere informazioni che ricadono nelle categorie particolari previste dall'art. 9, par. 1. I casi più frequenti per un'agenzia:
- Preferenze alimentari che rivelano convinzioni religiose o filosofiche (es. pasto kosher, halal, vegano per motivi etici) — rilevano se consentono di desumere un'appartenenza religiosa o filosofica.
- Condizioni di salute e disabilità: allergie gravi, necessità di ossigeno in volo, ausili per la mobilità, intolleranze alimentari di origine medica. I dati relativi alla salute sono definiti all'art. 4, par. 15 del GDPR come quelli "attinenti alla salute fisica o mentale di una persona fisica… che rivelano informazioni relative al suo stato di salute."
- Minori: i dati dei minori non costituiscono una categoria particolare in sé, ma richiedono cautele aggiuntive e, in molti casi, il consenso del genitore o tutore.
Per i dati dell'art. 9, il divieto generale di trattamento ha alcune eccezioni tassative. Quelle rilevanti per le agenzie sono principalmente due:
- Il consenso esplicito dell'interessato (art. 9, par. 2, lett. a): deve essere libero, specifico, informato e inequivocabile; non può essere incorporato nelle condizioni generali di contratto.
- Le finalità di esecuzione del contratto legate alla sicurezza del trasporto (art. 9, par. 2, lett. b e c), che in certi contesti — come la gestione di passeggeri a mobilità ridotta — consentono di trattare dati sanitari senza consenso, a condizione che il trattamento sia strettamente necessario e la conservazione limitata al periodo indispensabile.
Questo secondo punto è stato al centro di un recente intervento del Garante Privacy italiano. Nel maggio 2026, l'Autorità ha sanzionato Emirates per 180.000 euro per il trattamento dei dati sanitari di passeggeri con disabilità o a mobilità ridotta, accertando che la compagnia conservava i moduli medici per sette anni dopo la conclusione del viaggio — ben oltre quanto necessario — e violava i principi di trasparenza sul trattamento. Il principio ribadito dal Garante è chiaro: le informazioni sanitarie dei passeggeri possono essere trattate senza consenso quando necessario per garantire la sicurezza del trasporto, ma devono essere gestite con trasparenza e conservate solo per il tempo strettamente necessario.
Sebbene il caso riguardi un vettore aereo, il principio si applica direttamente alle agenzie che raccolgono e trasmettono informazioni analoghe ai fornitori: il fatto di agire da intermediario non elimina la responsabilità nella fase di raccolta.
Basi giuridiche, informativa e consenso: gli errori più frequenti
L'informativa
L'informativa resa ai sensi dell'art. 13 (dati raccolti direttamente) o dell'art. 14 (dati raccolti presso terzi) è il documento che il Garante esamina per primo. I vizi ricorrenti nelle agenzie di viaggio sono:
- Finalità generiche: scrivere "per gestire la prenotazione e per finalità di marketing" senza distinguere le due basi giuridiche (contratto per la prima, consenso per la seconda) è insufficiente.
- Mancanza dei tempi di conservazione: l'art. 13, par. 2, lett. a richiede di indicare il periodo di conservazione o i criteri per determinarlo. Un'agenzia che conserva i dati di prenotazione "a tempo indeterminato" o "per tutto il tempo necessario" non adempie a quest'obbligo.
- Elenco incompleto dei destinatari: vanno indicati almeno le categorie di destinatari (es. strutture ricettive, vettori, guide, assicurazioni, agenzie riceventi straniere).
- Diritti dell'interessato non elencati correttamente: l'art. 15–22 del GDPR attribuisce diritti specifici (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) che devono essere tutti menzionati, con le relative modalità di esercizio.
Il consenso per il marketing
Il trattamento per finalità di marketing — newsletter, promozioni, profilazione delle preferenze di viaggio — richiede il consenso libero e separato (art. 7 GDPR). Non può essere abbinato al consenso necessario per la prenotazione. Il mancato rispetto di questa regola è una delle violazioni più sanzionate, perché rende il consenso invalido ab origine.
Fornitori e responsabili del trattamento: gli accordi art. 28
Quando un'agenzia trasmette dati dei clienti a un fornitore — una struttura ricettiva, un vettore, un'agenzia ricevente, una guida locale — deve verificare se quel fornitore agisce come titolare autonomo oppure come responsabile del trattamento per conto dell'agenzia stessa.
Nella maggior parte dei casi, hotel, compagnie aeree e vettori sono titolari autonomi: ricevono i dati dei clienti per erogare il proprio servizio secondo le proprie regole. L'agenzia, in questo caso, è tenuta a informare i clienti nell'informativa di questa comunicazione a terzi.
Diverso è il caso di fornitori che agiscono su istruzione dell'agenzia — ad esempio un software di gestione in cloud, un provider di email marketing, un sistema di stampa documenti esternalizzato. In questi casi è obbligatorio stipulare un accordo di trattamento ai sensi dell'art. 28 GDPR, che definisce oggetto, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati e obblighi del responsabile. L'assenza di questo accordo configura una violazione autonoma, indipendentemente da qualsiasi danno effettivo.
Data breach: l'obbligo delle 72 ore e le conseguenze dell'omissione
Il data breach — qualsiasi violazione della sicurezza che comporti distruzione, perdita, alterazione o divulgazione non autorizzata di dati personali — è disciplinato dagli artt. 33 e 34 del GDPR. Per le agenzie di viaggio i rischi concreti includono: attacchi ransomware ai sistemi gestionali, furto di laptop con dati di prenotazione, accesso non autorizzato alle caselle email, invio accidentale di documenti a destinatari errati.
Le regole sono:
- Notifica al Garante entro 72 ore dalla scoperta dell'incidente (art. 33), salvo che la violazione non presenti rischi per i diritti e le libertà degli interessati — un'eccezione da applicare con cautela e sempre documentata.
- Comunicazione agli interessati (art. 34) quando la violazione è suscettibile di provocare un rischio elevato per i loro diritti e libertà: furto di documenti d'identità, dati di carte di credito, dati sanitari.
- Documentazione interna di tutte le violazioni, anche quelle che non raggiungono la soglia della notifica obbligatoria (art. 33, par. 5).
Secondo i dati pubblicati dalla Relazione annuale del Garante per il 2025, nel corso di quell'anno l'Autorità ha adottato 807 provvedimenti collegiali e riscosso sanzioni per oltre 37 milioni di euro, con un aumento del 10% nelle notifiche di data breach rispetto all'anno precedente. La mancata notifica nei termini aggrava sistematicamente la valutazione in sede sanzionatoria: l'Autorità considera la tempestività della segnalazione come fattore attenuante, e la sua assenza come aggravante esplicita.
Conservazione dei dati e periodo di retention: un equilibrio da definire per iscritto
La limitazione della conservazione (art. 5, par. 1, lett. e) richiede che i dati non vengano conservati "per un periodo superiore a quello necessario al conseguimento delle finalità per le quali sono trattati". Per un'agenzia di viaggio, questo significa definire periodi distinti per finalità diverse:
| Finalità | Base giuridica | Periodo orientativo |
|---|---|---|
| Esecuzione del contratto di viaggio | Art. 6, par. 1, lett. b | Durata del contratto + termine prescrizione ordinaria (10 anni, art. 2946 c.c.) per le pretese contrattuali |
| Adempimenti fiscali e contabili | Art. 6, par. 1, lett. c | 10 anni dalla registrazione (D.P.R. 600/1973) |
| Marketing con consenso | Art. 6, par. 1, lett. a | Fino alla revoca del consenso o a un termine definito (es. 24 mesi dall'ultima interazione) |
| Dati sanitari per sicurezza del trasporto | Art. 9, par. 2, lett. b | Solo per il periodo strettamente necessario alla gestione del servizio specifico |
Il punto critico, come ha confermato il caso Emirates, è la conservazione dei dati sanitari: trattenerli sistematicamente per anni dopo la conclusione del viaggio — senza una giustificazione normativa specifica — espone a contestazioni e sanzioni.
La retention policy deve essere scritta, approvata formalmente e tradotta in procedure operative: chi cancella i dati, quando, come verifica che la cancellazione sia avvenuta su tutti i sistemi (gestionale, casella email, backup, archivio fisico).
Il Registro dei Trattamenti e le misure di sicurezza
Registro dei trattamenti (art. 30)
Le agenzie con meno di 250 dipendenti sono esentate dall'obbligo formale del Registro dei Trattamenti, salvo che i trattamenti "possano presentare un rischio per i diritti e le libertà degli interessati", non siano "occasionali" o riguardino "categorie particolari di dati". Trattare sistematicamente dati sanitari dei passeggeri o gestire grandi volumi di dati di viaggiatori è sufficiente a far scattare l'obbligo. Nella pratica, quasi nessuna agenzia di medie dimensioni può permettersi di non tenere il Registro.
Il Registro deve indicare per ogni trattamento: titolare, finalità, categorie di interessati, categorie di dati, destinatari, trasferimenti a paesi terzi, termini di conservazione, misure di sicurezza. Non è un documento burocratico fine a sé stesso: è lo strumento principale per dimostrare la conformità in sede di ispezione.
Misure di sicurezza (art. 32)
Le misure di sicurezza devono essere "adeguate al rischio", senza che il Regolamento imponga una lista tassativa. Per un'agenzia di viaggio, le misure minime da considerare includono:
- Autenticazione a due fattori per l'accesso ai sistemi gestionali e alle caselle email contenenti dati di prenotazione.
- Crittografia dei backup e gestione sicura delle credenziali.
- Politiche di accesso basate sul ruolo (chi consulta i dati di prenotazione non deve necessariamente accedere ai dati di pagamento).
- Procedure di risposta agli incidenti scritte e testate, con l'indicazione del referente interno (o del DPO esterno) da contattare in caso di violazione.
- Formazione periodica del personale: la maggior parte dei breach parte da errori umani — phishing, invio a destinatari sbagliati, dispositivi non protetti.
Rischi concreti in caso di mancato adeguamento
Il GDPR prevede due fasce di sanzione amministrativa (art. 83):
- Fino a 10 milioni di euro o al 2% del fatturato mondiale per violazioni di obblighi di natura organizzativa (es. assenza di accordi art. 28, mancata notifica di data breach, Registro non tenuto).
- Fino a 20 milioni di euro o al 4% del fatturato mondiale per violazioni dei principi fondamentali, delle basi giuridiche del trattamento, dei diritti degli interessati.
Per un'agenzia di viaggio, le violazioni più probabili — e più costose — sono: trattamento di dati sanitari senza base giuridica idonea, conservazione prolungata oltre il necessario, assenza di informativa adeguata, mancata notifica di data breach nel termine. A queste si aggiungono la responsabilità civile nei confronti degli interessati danneggiati (art. 82 GDPR) e, in alcuni casi, la responsabilità penale prevista dal Codice Privacy.
Il rischio reputazionale è ulteriore: un data breach che coinvolge dati di viaggiatori — inclusi passaporti, carte di credito, informazioni sanitarie — è difficilmente gestibile senza effetti sul rapporto di fiducia con la clientela.
Come un gestionale strutturato riduce i rischi operativi
Parte dei rischi GDPR nelle agenzie di viaggio origina da procedure frammentate: dati dei clienti distribuiti tra fogli Excel, caselle email, sistemi di prenotazione e file cartacei. In questa configurazione è praticamente impossibile garantire la cancellazione sistematica alla scadenza del periodo di conservazione, tracciare gli accessi, produrre rapidamente l'elenco dei dati di un interessato che esercita il diritto di accesso ex art. 15.
Un gestionale con audit trail nativo — che registra chi ha acceduto a un record, quando e cosa ha modificato — consente di rispondere a queste esigenze senza processi manuali. TripMaster, ad esempio, integra un audit trail strutturato su prenotazioni e dati del cliente, un sistema di gestione multi-accesso basato su ruoli e un'architettura SaaS con backup e cifratura dei dati gestiti dall'infrastruttura cloud. Non risolve da soli tutti gli adempimenti GDPR — che restano in capo al titolare del trattamento — ma riduce concretamente la superficie di rischio operativo e semplifica la risposta alle richieste degli interessati.
La conformità al GDPR, in ogni caso, non si esaurisce nella scelta di uno strumento: richiede policy interne, formazione del personale, accordi scritti con i fornitori e un'analisi aggiornata dei trattamenti effettuati. Il gestionale è un supporto, non un sostituto dell'adempimento.