È sicuro tenere i passaporti dei clienti in un software per itinerari? Cosa chiedere prima di scegliere

In breve: può esserlo, se conservi solo i dati del passaporto che una prenotazione richiede, li cancelli a una data che stabilisci tu e scegli un fornitore che firma un accordo sul trattamento dei dati, ti dice dove sono conservati i dati e come li cancella. Il GDPR rende la tua agenzia responsabile dei dati anche quando li conserva un software, e la maggior parte degli strumenti per itinerari pubblica alcune di queste informazioni, ma pochi le pubblicano tutte.

Il passaporto di un cliente è uno dei documenti che un’agenzia custodisce, quindi questa guida su software per agenzia viaggi, GDPR e passaporto ti spiega le regole in termini semplici, poi cosa dicono nove strumenti sulle proprie pagine, poi le domande da fare prima di caricare qualsiasi cosa. I punti chiave qui sopra riassumono il contenuto, e le sezioni che seguono riportano le regole e le prove. È una checklist, non una consulenza legale.

Cosa chiede il GDPR a un’agenzia che custodisce il passaporto di un cliente?

Ti chiede tre cose: avere un motivo lecito, raccogliere solo ciò che ti serve e conservarlo solo per il tempo che ti serve. La guida dell’EDPB per le piccole imprese dice che un’organizzazione può trattare solo i dati personali «necessari e proporzionati» alla sua finalità, e che la conservazione «deve essere limitata nel tempo» (EDPB, nozioni di base sulla protezione dei dati).

Sono i principi dell’articolo 5 del GDPR, dove la minimizzazione dei dati è la lettera 5(1)(c) e la limitazione della conservazione è la lettera 5(1)(e). Il Garante per la protezione dei dati personali elenca gli stessi principi, insieme a liceità, correttezza e trasparenza, nella sua nota di chiarimento sui documenti d’identità, che cita insieme a un comunicato stampa del 29 aprile 2026. In pratica, per ogni documento scrivi perché lo conservi, quale fornitore ne ha bisogno e quando verrà cancellato.

Chi è responsabile dei dati, tu o il fornitore del software?

Lo sei tu. Un’agenzia che decide perché e come usare i dati dei clienti è il titolare del trattamento, e la guida dell’EDPB dice che una piccola impresa in quella posizione è titolare (FAQ dell’EDPB). La Commissione europea descrive il responsabile come la parte che «tratta i dati personali solo per conto del titolare» (Commissione europea), ed è ciò che fa uno strumento per itinerari che conserva i dati dei tuoi clienti.

Il titolare del trattamento è la persona o l’organizzazione che decide perché e come si usano i dati personali, e il responsabile del trattamento è chi li tratta per conto del titolare. Un accordo sul trattamento dei dati (DPA) è il contratto scritto tra i due. L’EDPB dice che il rapporto «deve essere disciplinato da un contratto» che documenti il trattamento, e nelle sue FAQ, linkate sopra, definisce obbligatorio un contratto valido. L’articolo 28 del GDPR aggiunge che il responsabile agisce solo su tue istruzioni documentate, che cancella o restituisce i dati quando il servizio termina e che il contratto è scritto, anche in forma elettronica.

Quanto di un passaporto devi conservare?

Spesso meno di una copia. L’autorità spagnola per la protezione dei dati (AEPD) ha detto a giugno 2025 che richiedere una copia della carta d’identità o del passaporto nelle strutture ricettive viola la minimizzazione dei dati ai sensi dell’articolo 5(1)(c) (nota dell’AEPD, PDF). Il Garante per la protezione dei dati personali ha detto ad aprile 2026 che gli alberghi devono cancellare le copie dei documenti degli ospiti una volta che i dati sono stati trasmessi alle autorità di pubblica sicurezza, conservando solo la ricevuta di trasmissione (comunicato stampa del Garante).

Entrambe le dichiarazioni riguardano le strutture ricettive, non le agenzie di viaggi, e nessuna cita le agenzie. Nelle fonti elencate non è emersa alcuna indicazione ufficiale scritta per le agenzie. Il principio, però, è lo stesso articolo del GDPR, quindi chiediti cosa serve a ogni prenotazione: un nome come compare sul passaporto, un numero e una data di scadenza non equivalgono a una scansione. Se ti basta controllare le date, il verificatore di validità del passaporto chiede solo la scadenza e le date del viaggio.

Per quanto tempo puoi conservare la copia di un passaporto dopo il viaggio?

Nessuna fonte che abbiamo controllato indica un periodo fisso. L’EDPB dice alle piccole imprese di «cancellare i dati personali delle persone quando non sono più necessari» e osserva che la legge nazionale può obbligarti a conservare alcuni dati, per esempio «per motivi fiscali» (stessa guida dell’EDPB). Il periodo di conservazione spetta a te stabilirlo e difenderlo.

Una regola praticabile è cancellare le copie dei passaporti a breve distanza fissa dalla fine del viaggio e tenere solo le date e i numeri che un fornitore o un obbligo di legge richiedono ancora. Non tenere copie «nel caso il cliente viaggi di nuovo»: chiedere di nuovo il documento al cliente costa un messaggio. Verifica anche che il tuo software possa far rispettare la regola al posto tuo: uno strumento che permette di cancellare un documento solo a mano dipende dalla memoria di qualcuno, mentre uno che cancella in automatico dopo il viaggio no.

Quali misure di sicurezza deve applicare il software ai dati dei passaporti, e cosa succede in caso di violazione?

Deve applicare una sicurezza «adeguata al rischio», e così devi fare tu. L’articolo 32 del GDPR pone questo obbligo sia sul titolare sia sul responsabile (EDPB, sicurezza dei dati personali). L’articolo 33 ti dà, come titolare, 72 ore da quando vieni a conoscenza di una violazione per notificarla all’autorità di controllo, a meno che sia improbabile che comporti un rischio per le persone, e devi documentare ogni violazione (EDPB, violazioni dei dati).

Ai sensi dell’articolo 33(2) il responsabile deve informare il titolare «senza ingiustificato ritardo», ma le tue 72 ore decorrono comunque da quando ne vieni a conoscenza. La velocità del fornitore conta quindi: cerca un termine dichiarato nel suo DPA o nella sua pagina sulla sicurezza.

Cosa pubblicano nove strumenti per itinerari sui dati dei clienti?

Sulle proprie pagine pubbliche, uno solo dei nove strumenti pubblicava tutti e cinque i punti che abbiamo contato: TravelJoy. Otto indicavano dove sono conservati i dati, ma solo tre un’ubicazione in Europa. Quattro offrivano un DPA ai clienti, quattro elencavano i sub-responsabili per nome, sette dicevano come i documenti vengono cancellati o conservati e sette descrivevano almeno una misura di sicurezza.

Come leggere la tabella: un trattino significa che nelle pagine aperte non è stata trovata alcuna dichiarazione, non che il fornitore non lo faccia.

Come abbiamo contato e quali sono i limiti?

Abbiamo contato l’11 ottobre 2026 con regole scritte prima di aprire le pagine; due casi limite sono spiegati più sotto. Uno strumento ottiene un punto solo se lo dice una pagina del suo stesso dominio:

1. Ubicazione: indica il paese o la regione in cui sono conservati i dati dei clienti.
2. DPA: dice che un accordo sul trattamento dei dati è a disposizione dei clienti, oppure ne pubblica uno.
3. Sub-responsabili: indica per nome i fornitori che trattano dati per suo conto.
4. Cancellazione: dice per quanto tempo i documenti dei clienti vengono conservati o come cancellarli.
5. Sicurezza: descrive almeno una misura concreta, come la cifratura o l’autenticazione a due fattori.

Il punto di Vamoos sui sub-responsabili è il più debole: una riga dell’informativa sulla privacy che nomina tre servizi di terzi. Le condizioni di Wetu (versione 1, sezione 14) contengono una clausola sul responsabile ai sensi dell’articolo 28, quindi le abbiamo contate come DPA. La sua unica dichiarazione concreta sulla sicurezza si trova nel DPA di un prodotto separato, Wetu Analytics, perciò non abbiamo contato quel punto. La pagina dei sub-responsabili di mTrip dice che il suo DPA con OpenAI è disponibile su richiesta. È un accordo con un sub-responsabile, quindi non l’abbiamo contato come DPA offerto ai clienti. Contandolo, il totale dei DPA salirebbe da 4 a 5.

I limiti del conteggio: legge pagine pubbliche riferite a un solo giorno, non i contratti né le pratiche di sicurezza. Un fornitore può offrire su richiesta un DPA che non pubblicizza. Siamo noi a produrre Viaondo, che non è tra i nove, e l’abbiamo verificato sulle nostre pagine legali: soddisfa tutti e cinque i punti (vedi sotto).

Quali domande fare a un fornitore prima di caricare un passaporto?

Falle otto e aspettati una risposta scritta a ciascuna. Nessuna delle pagine dei nove fornitori che abbiamo letto spiega alle piccole agenzie come valutare un fornitore, quindi questo elenco è nostro, costruito sui punti del GDPR visti sopra.

1. Dove sono conservati i dati dei clienti? Chiedi il paese e se l’assistenza o le funzioni di IA li trattano altrove.
2. Posso firmare un DPA? Deve dire che agisce solo su tue istruzioni e che cancella o restituisce i dati quando il servizio termina.
3. Chi sono i sub-responsabili? Un elenco con i nomi, le ubicazioni e il modo in cui vengono comunicate le modifiche.
4. Come si cancellano i documenti? In automatico dopo il viaggio o a mano? Puoi cancellare il fascicolo di un solo cliente?
5. Quali misure di sicurezza si applicano? Cifratura in transito, accesso limitato per agenzia, link che si possono revocare.
6. Con quanta rapidità mi avvisate di una violazione? Un numero di ore, per iscritto.
7. Cosa succede se disdico? Esportazione e cancellazione, con una scadenza.
8. L’IA legge i miei documenti? Quale fornitore, dove viene eseguita e se conserva i documenti.

Lo stesso consiglio vale per il modo in cui i clienti ti inviano i documenti: la scansione di un passaporto inviata con una semplice email o un messaggio in chat resta in più caselle che non controlli. Ai sensi dell’articolo 32 la tua sicurezza deve essere proporzionata al rischio e un documento d’identità è un bersaglio di alto valore, quindi usa il modulo di caricamento o il link sicuro del tuo software, dove esiste.

Cosa pubblica Viaondo e dove è carente?

Siamo noi a produrre Viaondo, quindi verifica le nostre affermazioni nelle pagine che linkiamo. Il DPA di Viaondo è un accordo sul trattamento dei dati ai sensi dell’articolo 28 del GDPR, incluso nel piano della pagina dei prezzi. Il suo elenco dei sub-responsabili nomina Cloudflare (hosting dell’applicazione sulla sua rete globale, e database e archiviazione privata dei file con giurisdizione dell’Unione Europea), NaN (funzioni di IA, Unione Europea) e Stripe (solo fatturazione).

Per i passaporti, l’informativa sulla privacy dice che le copie dei passaporti e gli altri documenti del viaggio vengono cancellati 30 giorni dopo la fine del viaggio. Il DPA impegna Viaondo ad avvisarti di una violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore. Elenca le sue misure di sicurezza, tra cui l’archiviazione privata dei file senza indirizzi pubblici, link del viaggio da 256 bit casuali dei quali si conserva solo un hash, e link che puoi revocare.

I limiti contano quanto il resto. Stripe può trasferire i dati di fatturazione negli Stati Uniti, e tre servizi di Cloudflare (l’applicazione stessa, l’invio delle email e la verifica anti-bot dell’accesso) funzionano sulla sua rete globale. L’app non può cancellare una copia che un viaggiatore ha già salvato offline finché il telefono non si connette di nuovo, e il DPA dice che il servizio non è progettato per le categorie particolari di dati, come le cartelle cliniche. Anche la regola dei «30 giorni dopo il viaggio» è di Viaondo e potrebbe non essere la tua, quindi confrontala con il periodo di conservazione che hai stabilito. Scopri come funzionano i documenti nell’app del viaggiatore e, se lavori da solo, leggi la pagina per i consulenti di viaggio indipendenti.

Come abbiamo verificato questa guida

Ogni regola proviene da EUR-Lex, dall’EDPB, dalla Commissione europea, dall’AEPD o dal Garante, e ogni dato sui fornitori dalle pagine del fornitore stesso, tutte aperte l’11 ottobre 2026. Ogni regola e ogni dato sui fornitori è stato controllato su queste fonti l’11 ottobre 2026, con un fact-check editoriale affermazione per affermazione. Sono informazioni generali, non una consulenza legale. Se trovi un’affermazione non aggiornata, scrivici; puoi saperne di più su di noi nella pagina chi siamo. Per la scelta più ampia dello strumento, vedi il confronto di dieci strumenti per itinerari.