Per un agriturismo, la privacy policy non è un adempimento puramente formale. La struttura raccoglie dati personali durante la richiesta di informazioni, la prenotazione, il soggiorno e, in alcuni casi, la gestione di servizi aggiuntivi. Spiegare con chiarezza come vengono utilizzate queste informazioni consente agli ospiti di compiere scelte consapevoli e ai titolari di dimostrare il rispetto del Regolamento generale sulla protezione dei dati, il cosiddetto GDPR.
Quali dati possono essere raccolti
Le informazioni trattate dipendono dai rapporti instaurati con l’ospite. In fase di contatto possono essere richiesti nome, indirizzo email, numero di telefono e contenuto della richiesta. Per una prenotazione diventano normalmente necessari anche i dati relativi al soggiorno, agli estremi della fatturazione e, quando previsto dalla legge, alle informazioni richieste per gli adempimenti connessi alla pubblica sicurezza.
Eventuali dati relativi ad allergie, intolleranze o esigenze particolari devono essere raccolti con particolare attenzione, perché possono rientrare in categorie meritevoli di una tutela rafforzata. La struttura dovrebbe limitarsi alle informazioni effettivamente necessarie, evitando di acquisire dati eccedenti rispetto allo scopo dichiarato.
Consenso e altre basi giuridiche
Il consenso non è l’unico fondamento che consente di trattare i dati personali. La gestione di una prenotazione può basarsi sulla necessità di eseguire un contratto o misure precontrattuali; l’emissione di documenti fiscali e alcuni obblighi di comunicazione derivano invece dalla legge. Per inviare newsletter, offerte o comunicazioni promozionali, di regola è necessario un consenso separato, libero, specifico e revocabile in qualsiasi momento.
Una privacy policy chiara dovrebbe distinguere queste finalità, indicando per ciascuna la base giuridica applicabile. Non è corretto subordinare la prenotazione all’accettazione di comunicazioni commerciali non indispensabili al soggiorno. Il consenso deve inoltre essere documentabile e formulato con un linguaggio comprensibile, senza caselle preselezionate o formule ambigue.
Informazioni essenziali nell’informativa
L’informativa deve identificare il titolare del trattamento e fornire i relativi recapiti. Deve inoltre chiarire quali dati vengono raccolti, per quali finalità, con quali basi giuridiche e se il conferimento sia obbligatorio o facoltativo. È importante indicare anche le categorie di destinatari, inclusi eventuali fornitori che gestiscono software di prenotazione, pagamenti, posta elettronica o servizi informatici.
La documentazione dovrebbe spiegare se i dati vengono trasferiti fuori dallo Spazio economico europeo e quali garanzie vengono adottate. Un riferimento alla privacy policy della struttura può essere inserito nei moduli di contatto, nelle comunicazioni di prenotazione e nelle pagine dedicate ai servizi, purché l’informativa resti facilmente accessibile e aggiornata.
Conservazione e sicurezza delle informazioni
I dati non possono essere conservati indefinitamente. Il periodo deve essere collegato alla finalità: le informazioni necessarie per la prenotazione vengono mantenute per il tempo utile alla gestione del rapporto, mentre i documenti contabili seguono i termini previsti dalla normativa fiscale. I dati utilizzati per il marketing dovrebbero essere conservati per un periodo proporzionato, con verifiche periodiche e possibilità di revoca.
La struttura deve adottare misure adeguate al rischio, come accessi autorizzati, password robuste, aggiornamento dei sistemi, copie di sicurezza e formazione del personale. Anche i fornitori esterni che trattano dati per conto dell’agriturismo devono essere selezionati con cura e disciplinati mediante accordi conformi al GDPR.
Come esercitare i diritti
L’ospite può chiedere l’accesso ai propri dati, la rettifica di informazioni inesatte, la cancellazione quando applicabile, la limitazione del trattamento e la portabilità dei dati nei casi previsti. Può inoltre opporsi al trattamento fondato su un interesse legittimo e revocare il consenso senza che ciò renda il trattamento precedente illecito.
La richiesta dovrebbe essere indirizzata ai recapiti indicati nell’informativa. Il titolare deve rispondere, di norma, entro un mese, prorogabile in presenza di richieste complesse. Se ritiene che i propri diritti siano stati violati, l’interessato può presentare un reclamo al Garante per la protezione dei dati personali. Una gestione trasparente delle richieste rafforza la fiducia e rende la relazione con gli ospiti più corretta e verificabile.