Self check-in e automazione dell’accoglienza: cosa consente la normativa italiana

L’automazione del check-in è diventata una delle leve più ricercate per contenere i costi del personale e semplificare la gestione delle strutture ricettive, sia alberghiere sia extralberghiere. Al tempo stesso, è uno degli ambiti in cui il quadro normativo ha generato maggiore incertezza. Dopo un biennio di interventi ministeriali e pronunce giurisdizionali contrastanti, la sentenza del Consiglio di Stato del novembre 2025 ha fissato i confini entro i quali il self check-in può ritenersi legittimo. Comprendere dove passa la linea di confine è oggi essenziale per ogni gestore che voglia automatizzare l’accoglienza senza esporsi a responsabilità penali.

L’obbligo di identificazione: l’articolo 109 del TULPS

Il riferimento normativo è l’articolo 109 del Testo Unico delle Leggi di Pubblica Sicurezza (Regio Decreto 18 giugno 1931, n. 773), che impone ai gestori di strutture ricettive due adempimenti distinti: dare alloggio esclusivamente a persone munite di un documento di identità valido e comunicare le generalità degli alloggiati all’autorità di pubblica sicurezza, tramite il portale Alloggiati Web della Polizia di Stato.

La finalità della norma è di ordine pubblico: consentire alle forze dell’ordine di disporre di un quadro aggiornato di chi soggiorna nelle strutture, così da impedire che persone ricercate o sospette possano trovarvi rifugio. Un elemento spesso sottovalutato riguarda l’ambito di applicazione: dal 2018, per effetto dell’articolo 19-bis del D.L. 113/2018 (convertito nella Legge 132/2018), l’obbligo si estende anche ai locatori che affittano immobili con contratti di durata inferiore ai trenta giorni. Case vacanza, B&B, affittacamere e locazioni brevi sono dunque soggetti alla stessa disciplina degli alberghi, senza distinzioni.

Va inoltre ricordato che l’inadempimento non configura un semplice illecito amministrativo: l’omessa o falsa comunicazione delle generalità è una contravvenzione punita con l’arresto fino a tre mesi o con l’ammenda fino a 206 euro per ciascun ospite non identificato.

La circolare del 2024 e il contenzioso che ne è seguito

Il punto controverso non ha mai riguardato l’obbligo di comunicazione, quanto le modalità con cui verificare che la persona che accede alla struttura corrisponda effettivamente al documento esibito. Su questo aspetto è intervenuto il Capo della Polizia con la circolare n. 38138 del 18 novembre 2024, indirizzata a tutti i Prefetti e Questori. La circolare, motivata dall’intensificarsi delle locazioni brevi in vista del Giubileo e dalla delicatezza del contesto internazionale, ha chiarito che le procedure di check-in interamente da remoto — trasmissione telematica della copia del documento e accesso ai locali tramite codice automatizzato o key box — non soddisfano gli adempimenti previsti dall’articolo 109. L’identificazione, secondo il Ministero, deve avvenire “de visu”, ossia mediante verifica della corrispondenza tra la persona alloggiata e la fotografia del documento.

La reazione del comparto extralberghiero è stata immediata. La circolare è stata impugnata dinanzi al TAR Lazio, che con la sentenza n. 10210/2025 (maggio 2025) l’ha annullata, ritenendo che l’obbligo di identificazione in presenza fosse stato superato dalla semplificazione degli adempimenti introdotta nel 2011 e che le tecnologie disponibili consentissero ormai una verifica anche a distanza.

La posizione del Consiglio di Stato

Il Ministero dell’Interno ha proposto appello e il Consiglio di Stato, con la sentenza n. 9101/2025 della Sezione III, depositata il 21 novembre 2025, ha riformato la decisione di primo grado, definendo il quadro di riferimento attualmente vigente. Tre sono i principi da trattenere.

In primo luogo, la circolare ha natura interpretativa e non innovativa: non introduce un obbligo nuovo, ma ribadisce un dovere già previsto dal TULPS. Non si tratta quindi di una prescrizione che possa essere disapplicata come eccessiva o sopravvenuta.

In secondo luogo, il self check-in privo di controllo è illegittimo: l’identificazione che si esaurisce nel caricamento del documento e in un codice di apertura automatizzato non soddisfa la ratio di sicurezza pubblica della norma. La verifica deve accertare la corrispondenza tra la persona fisica che accede e il documento, con certezza su luogo, tempo e riscontro visivo.

In terzo luogo — ed è il passaggio di maggiore rilievo pratico — la verifica “de visu” non coincide necessariamente con la presenza fisica del gestore. Il Collegio ha riconosciuto espressamente che l’identificazione può avvenire anche mediante appositi dispositivi di videocollegamento predisposti all’ingresso della struttura, a condizione che consentano un accertamento effettivo e immediato dell’identità. Il self check-in, in altri termini, non viene vietato, ma ricondotto entro una procedura che garantisca il riconoscimento dell’ospite.

Cosa significa in concreto

Il criterio dirimente, alla luce della pronuncia, è la contestualità della verifica all’arrivo: il controllo dell’identità deve avvenire nel momento in cui l’ospite si presenta alla struttura e comunque prima che gli venga concesso l’accesso, non in un momento anteriore né successivo.

Restano quindi non conformi le procedure basate sul solo invio anticipato di un codice o sull’impiego di una key box senza alcun riscontro visivo, così come la semplice acquisizione della copia del documento tramite messaggistica o posta elettronica: raccogliere il documento non equivale a verificare chi effettivamente entra.

Sono invece conformi sia l’accoglienza in presenza da parte del gestore o di un suo incaricato, sia la verifica a distanza in tempo reale, effettuata tramite videochiamata, videocitofono digitale o strumenti equivalenti che permettano di confrontare il volto dell’ospite con il documento prima dello sblocco dell’accesso. L’ordine delle operazioni è determinante: prima l’identificazione, poi la consegna del codice o delle chiavi.

Il riconoscimento a distanza tramite webcam

La videochiamata in tempo reale, con esibizione del documento davanti alla telecamera, rappresenta oggi la soluzione che meglio concilia le esigenze di automazione con quelle di sicurezza. Consente il cosiddetto check-in ibrido: l’ospite vive un’esperienza autonoma, ma l’identificazione avviene sotto la supervisione visiva del gestore o di un operatore, anche da postazione remota.

Questa modalità presenta un ulteriore vantaggio sul piano della protezione dei dati. Quando il confronto tra volto e documento è effettuato da un operatore umano, non si configura un trattamento di dati biometrici in senso tecnico: lo aveva già chiarito il Garante per la protezione dei dati personali in una verifica preliminare del 26 luglio 2017, precisando che i dati acquisiti tramite webcam non costituiscono dati biometrici purché la verifica dell’identità sia svolta da un operatore e non automatizzata mediante software. Va segnalato che la giurisprudenza più recente (Corte di Cassazione, ordinanza n. 12967/2024) ha adottato una lettura più rigorosa nei casi in cui un software analizzi comunque le immagini, anche quando l’esito finale è rivisto da una persona. La questione cambia sensibilmente quando il riconoscimento viene affidato a un software.

Il riconoscimento tramite intelligenza artificiale

Diversi fornitori propongono sistemi che confrontano automaticamente, tramite algoritmo, il volto dell’ospite ripreso in tempo reale con la fotografia del documento, spesso associati a controlli di liveness detection per accertare la presenza effettiva della persona. Si tratta di soluzioni efficienti, ma che mutano il regime giuridico applicabile e richiedono un’analisi preventiva su due fronti.

Sul piano del Regolamento europeo sull’intelligenza artificiale (AI Act, Reg. UE 2024/1689), l’impiego di questi sistemi non rientra tra le pratiche vietate. Il divieto previsto dal Regolamento riguarda l’identificazione biometrica remota a fini di attività di contrasto negli spazi pubblici, mentre la verifica biometrica “uno-a-uno” — finalizzata a confermare che una persona è chi dichiara di essere per accedere a un servizio o a dei locali — è espressamente esclusa da tale divieto. Il confronto tra volto e documento al momento del check-in ricade in questa categoria consentita.

Sul piano del Regolamento generale sulla protezione dei dati (GDPR), invece, si entra nel trattamento di dati biometrici, che appartengono alle categorie particolari di dati e godono di una tutela rafforzata. Nel momento in cui un algoritmo estrae i tratti geometrici del volto e li converte in un modello matematico confrontabile, il trattamento è di regola vietato, salvo il ricorrere di specifiche condizioni di liceità. In concreto, l’adozione di un sistema di riconoscimento facciale automatizzato presuppone l’individuazione di una base giuridica idonea — rispetto alla quale il semplice consenso dell’ospite si è più volte rivelato fragile —, lo svolgimento di una valutazione d’impatto sulla protezione dei dati (DPIA) e l’adozione di adeguate garanzie di sicurezza e conservazione. È opportuno, in sede di scelta del fornitore, verificare formalmente come vengano gestiti questi profili, senza affidarsi a generiche dichiarazioni di conformità: il Garante ha già sanzionato realtà che vi avevano fatto affidamento in assenza dei presupposti richiesti.

Gli adempimenti che restano invariati

Indipendentemente dalla modalità di accoglienza adottata, alcuni obblighi permangono in ogni caso. La comunicazione ad Alloggiati Web deve avvenire entro 24 ore dall’arrivo, ridotte a 6 ore per i soggiorni non superiori a un giorno, previa abilitazione presso la Questura competente. La responsabilità dell’identificazione resta in capo al gestore, con le conseguenze penali già richiamate. Va infine considerato che numerosi Comuni — tra cui Firenze, Roma e Milano — hanno regolamentato o vietato l’installazione di key box su suolo pubblico o su parti di edificio visibili dalla strada, con sanzioni amministrative (fino a 400 euro per dispositivo) e rimozione d’ufficio; Firenze, in particolare, si è spinta oltre, vietandone l’uso anche in ambito privato per ragioni di sicurezza pubblica. Si tratta di un profilo distinto dalla disciplina del TULPS, di natura urbanistica e di decoro, ma con impatto concreto sull’operatività quotidiana.

Prospettive

Il quadro dei principi è ormai definito, ma manca ancora un elenco ufficiale di tecnologie riconosciute come conformi: nessuno standard tecnico certifica, allo stato, quali dispositivi di videoidentificazione soddisfino il requisito di legge. Le associazioni di categoria sollecitano l’apertura di un tavolo tecnico con il Ministero per colmare questa lacuna, e non è escluso un intervento normativo dedicato ai sistemi di videocollegamento. Sul piano europeo, il Regolamento (UE) 2024/1028 sulle locazioni brevi, applicabile dal 20 maggio 2026, riguarda il segmento delle locazioni turistiche offerte tramite piattaforme online (e non le strutture alberghiere in senso stretto) e non incide sulle modalità di identificazione degli ospiti — che restano di competenza nazionale — ma introduce un sistema armonizzato di registrazione degli alloggi e di trasmissione dei dati che si aggiunge agli adempimenti esistenti.

Conclusioni

La direzione tracciata dal Consiglio di Stato non penalizza l’automazione, ma la ricolloca entro un perimetro preciso. Tutto ciò che è ripetitivo — raccolta dei dati, gestione documentale, trasmissione ad Alloggiati Web — può e deve essere automatizzato; la verifica dell’identità, invece, richiede un controllo effettivo, in tempo reale e riferibile al gestore, che ne conserva la piena responsabilità. Per le strutture ricettive, alberghiere ed extralberghiere, la conformità non impone il ritorno a un presidio fisico permanente, ma la progettazione di un flusso di check-in in cui la tecnologia supporti il riconoscimento dell’ospite senza mai sostituirlo del tutto. In questa prospettiva, il self check-in non scompare: si trasforma in una procedura automatizzata ma identificata, capace di coniugare efficienza gestionale e sicurezza pubblica.

Fonti (riferimenti istituzionali e normativi)

• Art. 109, Regio Decreto 18 giugno 1931, n. 773 – Testo Unico delle Leggi di Pubblica Sicurezza (TULPS).

• Art. 19-bis, D.L. 4 ottobre 2018, n. 113, conv. Legge 1° dicembre 2018, n. 132 – estensione dell’obbligo alle locazioni brevi.

• D.M. Interno 7 gennaio 2013 – modalità di comunicazione degli alloggiati tramite il portale Alloggiati Web (Polizia di Stato); art. 5 del D.L. 14 giugno 2019, n. 53, conv. Legge 8 agosto 2019, n. 77 – termine di 6 ore per i soggiorni non superiori alle 24 ore.

• Circolare del Capo della Polizia n. 38138 del 18 novembre 2024 – identificazione degli ospiti nelle strutture ricettive.

• TAR Lazio – Roma, Sez. I, sentenza n. 10210/2025 (maggio 2025) – annullamento della circolare, poi riformato in appello.

• Consiglio di Stato, Sezione III, sentenza n. 9101/2025, depositata il 21 novembre 2025 – conferma dell’identificazione “de visu”, ammessa anche mediante videocollegamento in tempo reale. (In alcune banche dati compare il numero di ruolo del ricorso — 05732 — anziché quello della sentenza; il numero ufficiale è 9101/2025.)

• Regolamento (UE) 2016/679 (GDPR) – in particolare artt. 4, n. 14; 9; 35 – e D.Lgs. 196/2003 (Codice Privacy), artt. 2-sexies e 2-septies.

• Garante per la protezione dei dati personali – verifica preliminare del 26 luglio 2017 (riconoscimento via webcam) e provvedimenti in materia di dati biometrici.

• Regolamento (UE) 2024/1689 (AI Act) – distinzione tra identificazione biometrica remota (vietata alle forze dell’ordine) e verifica/autenticazione biometrica (esclusa dal divieto).

• Regolamento (UE) 2024/1028 dell’11 aprile 2024 – raccolta e condivisione dei dati sui servizi di locazione di alloggi a breve termine; applicabile dal 20 maggio 2026.

Il presente contributo ha finalità informative e non costituisce consulenza legale. Data la rapidità con cui evolve la materia e i profili penali e di protezione dei dati coinvolti, si raccomanda di verificare gli atti nella loro versione ufficiale e di rivolgersi a un professionista prima di adottare una specifica soluzione di check-in.