Come conservare le copie dei documenti dei clienti senza violare il GDPR

Come conservare le copie dei documenti dei clienti senza violare il GDPR

La maggior parte delle agenzie immobiliari, degli amministratori di condominio e degli studi di consulenza tiene una cartella — fisica o digitale — piena di copie dei documenti dei clienti. Carte d'identità, passaporti, permessi di soggiorno, tutto scansionato "non si sa mai che serva più avanti".

È proprio questa abitudine che le autorità stanno sanzionando. Nel 2022 l'Autorità spagnola per la protezione dei dati (AEPD) ha multato un hotel per 30.000 euro per aver scansionato l'intero passaporto di un cliente al check-in, ritenendo che conservare l'immagine completa fosse eccessivo e privo di base giuridica.

La verità scomoda: conservare la copia di un documento è un trattamento diverso dal verificare l'identità, e quasi sempre ti serve solo il secondo. Questo articolo spiega cosa richiede davvero il GDPR, quando puoi tenere una copia e come identificare i clienti senza crearti un rischio che non ti serve.

La regola che frega tutti: la minimizzazione dei dati

L'articolo 5.1.c) del GDPR stabilisce che i dati personali devono essere "adeguati, pertinenti e limitati a quanto necessario" rispetto alla finalità perseguita. È il principio di minimizzazione dei dati, ed è il motivo per cui la maggior parte delle prassi con copie dei documenti è illecita.

Un documento d'identità è un fascio denso di dati. Una carta d'identità o un passaporto contiene la fotografia, il numero del documento, la data di scadenza, i nomi dei genitori, il numero CAN, a volte un riferimento all'impronta. Quando fotocopi o scansioni tutto, raccogli ogni cosa — anche se la tua finalità reale (confermare che questa persona sia chi dice di essere) raramente ha bisogno di più del nome e del numero.

L'AEPD lo ha ripetuto senza giri di parole: chiedere e conservare una copia del documento non può diventare una prassi generalizzata. Se nessuna norma lo impone espressamente, conservare la copia è un trattamento eccessivo e illecito ai sensi dell'articolo 5.1.c).

"Ma io devo identificare i clienti" — sì, e sono due cose diverse

Verificare l'identità e conservare una copia non sono lo stesso atto. Puoi essere obbligato per legge a fare il primo senza avere alcun diritto al secondo.

Un buon esempio arriva dal settore ricettivo spagnolo. Il Real Decreto 933/2021 obbliga hotel e case vacanza a raccogliere determinati dati del viaggiatore e a comunicarli. Ma nel giugno 2025 l'AEPD ha chiarito che quell'obbligo non autorizza a richiedere una copia del documento d'identità: raccogli i campi richiesti, non l'immagine della tessera.

La stessa logica vale in tutti i settori:

• KYC nell'immobiliare — la normativa antiriciclaggio può imporre di identificare e registrare il cliente, ma "registrare i dati" non equivale a "tenere una foto del passaporto a tempo indeterminato".
• Reception / assistenza clienti — verificare che qualcuno sia chi dice di essere si può fare per ispezione, senza che nessuna copia lasci il bancone.
• Contratti — di solito ti servono il nome e il numero del documento nel contratto, non una tessera scansionata su un disco condiviso.

Quindi, prima di conservare qualsiasi cosa, rispondi a una domanda: *esiste una legge precisa che mi obbliga a tenere la copia, o mi basta aver identificato la persona?* Se è la seconda, non conservare la copia.

Quando puoi davvero tenere una copia del documento

Conservare una copia non è vietato in assoluto: è vietato quando è superflua. Sei su un terreno solido quando sono vere tutte queste condizioni:

1. Hai una base giuridica per la copia in sé — non solo per il rapporto. Consenso, un obbligo legale o un legittimo interesse documentato che superi il bilanciamento.
2. Una finalità concreta richiede l'immagine stessa, non solo i dati che contiene. "Traccia di audit di un'operazione regolamentata" può valere; "non si sa mai", no.
3. Minimizzi anche all'interno della copia — oscura o evita i campi che non ti servono. Se contano solo nome e numero, non conservare la foto né i nomi dei genitori.
4. Hai fissato un periodo di conservazione legato a quella finalità, e cancelli alla scadenza.
5. L'hai protetta — controllo degli accessi, cifratura a riposo, nessuna copia di documento sparsa nelle email o nella galleria aperta di WhatsApp.

Se non puoi spuntare tutte e cinque le caselle, stai portando un rischio, non dei documenti.

Una checklist pratica per una conservazione conforme

Usala come procedura operativa, non come saggio giuridico:

• Associa ogni campo a un motivo. Per ogni dato del documento che conservi, annota la legge o la finalità che lo giustifica. Ciò che resta senza riga, si elimina.
• Separa "identificato" da "archiviato". Dove la legge chiede solo di identificare, registra un'annotazione che l'identità è stata verificata (chi, quando, tipo e numero del documento) invece dell'immagine.
• Imposta la conservazione per finalità. Un fascicolo KYC e un contratto di locazione non hanno la stessa durata. Assegna a ciascuno una data di cancellazione basata su una regola e automatizza la cancellazione.
• Blinda l'archiviazione. Le copie dei documenti vanno in un sistema con controllo degli accessi e cifratura, mai nella posta personale, nelle chat o in una cartella cloud disordinata.
• Documenta la base. Metti per iscritto la tua base giuridica e le decisioni sulla conservazione; a un'ispezione "abbiamo sempre fatto così" non è una risposta, un registro mappato sì.
• Prevedi una via d'uscita. Quando ti basi sul consenso, deve essere davvero facoltativo e revocabile.

La buona notizia: trasformare un documento in dati strutturati oggi è banale. Invece di archiviare l'immagine grezza, puoi estrarre solo i campi che ti servono da una carta d'identità o da un passaporto e scartare il resto. Così "identificare il cliente" produce un record pulito — nome, numero, timestamp di verifica — invece di una scansione ad alto rischio che ora devi custodire e infine cancellare.

L'opzione più sicura: guardarlo, non tenerlo

Nel dubbio, la posizione più difendibile è quella che l'AEPD continua a raccomandare: ispeziona il documento, cattura solo i dati che puoi conservare e non trattenere l'immagine.

In pratica significa che la persona mostra il documento, un addetto lo conferma e il tuo sistema conserva i campi necessari più una nota che la verifica è avvenuta — non una fotografia della tessera. Per i flussi online, lo stesso risultato si ottiene con firme digitali, verifica del metodo di pagamento o codici usa e getta.

È qui che estrarre dati batte scansionare documenti. Se il tuo passaggio di identificazione legge la tessera e restituisce dati strutturati che puoi riversare direttamente in Excel o nel tuo CRM, ottieni il vantaggio di conformità (solo campi necessari, nessuna immagine persistente) ed elimini al contempo la digitazione manuale. Per il settore ricettivo in particolare, lo stesso approccio ti permette di registrare i viaggiatori in SES.Hospedajes senza conservare copie del documento: catturi i campi obbligatori e ti fermi lì.

Conservare di meno non è solo più economico e più rapido. Con il GDPR, di solito è l'opzione lecita.

WhappScan trasforma il documento che un cliente ti invia su WhatsApp nei soli campi strutturati che puoi conservare, così identifichi le persone senza accumulare documenti. Scoprilo su whappscan.com.