Privacy hotel: responsabilità per il sito web

Una struttura ricettiva è stata sanzionata dal Garante della Privacy per due violazioni: la mancanza di un’informativa sul sito web e la conservazione eccessiva dei dati di videosorveglianza. Il Tribunale ha annullato la seconda sanzione. La Corte di Cassazione, con l’ordinanza in esame, ha rigettato sia il ricorso del Garante che quello dell’hotel, confermando la sanzione per la mancata informativa online. La decisione sottolinea che la responsabilità sulla privacy hotel per il sito web rimane in capo al titolare, anche se la gestione è affidata a fornitori esterni.

A cura di Carmine Paul Alexander TEDESCO - Avvocato

Prenota un appuntamento

Per una consulenza legale o per valutare una possibile strategia difensiva prenota un appuntamento.

La consultazione può avvenire in studio a Milano, Pesaro, Benevento, oppure in videoconferenza.

PRENOTA

02.37901052

8:00 – 20:00
(Lun - Sab)

Pubblicato il 20 gennaio 2026 in Diritto Civile, Giurisprudenza Civile, Procedura Civile

Privacy hotel: La Cassazione sulla Responsabilità per il Sito Web

La gestione della privacy hotel è un tema cruciale per gli operatori del settore, specialmente per quanto riguarda gli strumenti digitali come i siti web. Un’ordinanza recente della Corte di Cassazione ha ribadito un principio fondamentale: il titolare della struttura ricettiva è sempre responsabile della conformità alla normativa privacy del proprio sito, anche quando la gestione tecnica è affidata a un fornitore esterno. Analizziamo insieme questa importante decisione.

I Fatti di Causa

Una società di gestione alberghiera riceveva un’ordinanza-ingiunzione dal Garante per la Protezione dei Dati Personali, con una sanzione complessiva di 14.400 euro. Le contestazioni erano due:
1. Mancata informativa privacy: Sul sito internet della struttura non era presente l’informativa per gli utenti sul trattamento dei loro dati personali (sanzione da 2.400 euro).
2. Conservazione illecita dei dati: Le immagini di videosorveglianza venivano conservate per un periodo superiore ai sette giorni consentiti (sanzione da 12.000 euro).

La società si opponeva davanti al Tribunale, che accoglieva parzialmente il ricorso. I giudici di primo grado annullavano la sanzione relativa alla videosorveglianza, ritenendo che la norma contestata (art. 154 del vecchio Codice Privacy) fosse applicabile solo in caso di inosservanza di prescrizioni specifiche impartite dal Garante a seguito di un’istruttoria, e non per una violazione generale. Di conseguenza, la sanzione veniva ridotta ai soli 2.400 euro per la violazione legata al sito web.

Il Giudizio in Cassazione: Doppio Ricorso sulla Privacy Hotel

La vicenda è approdata in Corte di Cassazione con un doppio ricorso.
Da un lato, il Garante per la Privacy ha impugnato la sentenza, sostenendo che l’obbligo di non conservare le immagini oltre i termini fosse una regola generale e che la sua violazione dovesse essere sanzionata a prescindere da un’istruttoria specifica.

Dall’altro, la società alberghiera ha presentato un ricorso incidentale, contestando la sanzione residua di 2.400 euro. A sua difesa, sosteneva che il sito fosse ancora in fase di allestimento, che l’informativa fosse comunque presente nei locali fisici dell’hotel e di aver delegato la gestione a un fornitore esterno, attivandosi subito per risolvere il problema una volta segnalato.

Le Motivazioni della Corte di Cassazione

La Suprema Corte ha rigettato entrambi i ricorsi, confermando integralmente la decisione del Tribunale.

Per quanto riguarda il ricorso del Garante, i giudici hanno condiviso l’interpretazione del Tribunale. La struttura dell’art. 154 del D.Lgs. 196/2003 (nel testo applicabile all’epoca dei fatti) era tale da sanzionare la mancata osservanza di specifiche prescrizioni impartite a un determinato soggetto all’esito di un’attività ispettiva, e non una violazione generica delle norme sulla data retention.

Ben più rilevanti per gli operatori sono le motivazioni con cui è stato rigettato il ricorso dell’hotel. La Corte ha stabilito che:
1. Irrilevanza dell’affissione fisica: Il fatto che l’informativa fosse affissa nei locali della struttura era irrilevante. L’obbligo informativo deve essere adempiuto attraverso lo stesso canale con cui vengono raccolti i dati. Per gli utenti che accedevano via internet, l’unica informazione valida era quella presente sul sito.
2. Responsabilità del titolare: Affidare la gestione del sito a un fornitore esterno non esonera il titolare del trattamento dalla propria responsabilità. Anzi, la negligenza omissiva (la cosiddetta culpa in vigilando) consiste proprio nel non aver verificato adeguatamente l’operato del fornitore. La responsabilità per illecito amministrativo, che si fonda sulla semplice colpa, sussiste pienamente in questi casi.

Le Conclusioni: Implicazioni Pratiche per gli Operatori

Questa pronuncia della Cassazione è un monito importante per tutte le imprese, in particolare nel settore turistico-alberghiero. La gestione della privacy hotel non può essere delegata a cuor leggero. Il titolare del trattamento dei dati (l’albergatore) ha il dovere di supervisionare e verificare che i fornitori esterni, come le web agency o i gestori di software, operino nel pieno rispetto della normativa. La mancanza di un’informativa privacy su un sito web funzionante e accessibile al pubblico costituisce un illecito, e la responsabilità ricade direttamente sull’impresa, anche se l’errore materiale è del fornitore.

Un hotel è responsabile per la mancanza dell’informativa privacy sul proprio sito internet se la gestione è affidata a un fornitore esterno?
Sì. La Corte di Cassazione ha confermato che la responsabilità per la conformità alla normativa privacy del sito web ricade sul titolare del trattamento (l’hotel), anche se la gestione tecnica è delegata a terzi. Il titolare ha un dovere di vigilanza sull’operato del fornitore.

Affiggere l’informativa privacy solo nei locali fisici dell’hotel è sufficiente se i dati vengono raccolti anche tramite il sito web?
No, non è sufficiente. Secondo la Corte, l’informativa deve essere fornita attraverso lo stesso canale utilizzato per la raccolta dei dati. Per gli utenti che interagiscono con la struttura tramite internet, l’informativa deve essere presente e accessibile direttamente sul sito web.

La sanzione per la violazione dell’art. 154 del vecchio Codice Privacy poteva essere applicata per una violazione generale, come la conservazione eccessiva di dati, senza un’istruttoria specifica?
No. La Corte ha stabilito che, per la sua formulazione, la sanzione prevista da tale articolo presupponeva la violazione di una prescrizione specifica impartita dal Garante a un determinato soggetto a seguito di un’istruttoria, e non una violazione generica delle regole sulla privacy.

Testo del provvedimento

Ordinanza di Cassazione Civile Sez. 2 Num. 19550 Anno 2024

Civile Ord. Sez. 2 Num. 19550 Anno 2024

Presidente: COGNOME NOME

Relatore: NOME COGNOME

Data pubblicazione: 16/07/2024

ORDINANZA

sul ricorso 15571-2021 proposto da:

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, in persona del legale rappresentante pro tempore, domiciliato in ROMA, INDIRIZZO, presso l’RAGIONE_SOCIALE, che lo rappresenta e difende

– ricorrente –

contro

PENSIONE LA RAGIONE_SOCIALE, in persona del legale rappresentante pro tempore, rappresentata e difesa dall’AVV_NOTAIO NOME AVV_NOTAIO NOME COGNOME e domiciliata presso la cancelleria della Corte di Cassazione

– controricorrente e ricorrente incidentale –

avverso la sentenza n. 158/2020 del TRIBUNALE di NAPOLI, depositata il 30/11/2020;

udita la relazione della causa svolta in camera di consiglio dal Consigliere COGNOME

FATTI DI CAUSA

Con ricorso ritualmente depositato la RAGIONE_SOCIALE proponeva opposizione avverso l’ordinanza -ingiunzione n. 464/2017, con la quale le era stata contestata la violazione degli artt. 13 e 154 del codice per la protezione dei dati personali ed irrogata la sanzione complessiva di € 14.400, di cui € 2.400 a fronte della mancata informativa della propria clientela in relazione al trattamento dei dati personali pervenuti nella disponibilità della società tramite il sito internet della stessa, ed € 12.000 a fronte della conservazione delle immagini videoregistrate presso la struttura ricettiva per un periodo superiore a sette giorni.
Con sentenza n. 158/2020 il Tribunale di Napoli accoglieva in parte l’opposizione, annullando l’ordinanza -ingiunzione limitatamente alla contestazione della violazione dell’art. 154, riducendo di conseguenza la sanzione al solo importo di € 2.400.

Propone ricorso per la cassazione di tale pronuncia il RAGIONE_SOCIALE per la protezione dei RAGIONE_SOCIALE RAGIONE_SOCIALE, affidandosi ad un unico motivo.

Resiste con controricorso la RAGIONE_SOCIALE di RAGIONE_SOCIALE RAGIONE_SOCIALE, spiegando a sua volta ricorso incidentale affidato a due motivi.

In prossimità dell’adunanza camerale, la parte ricorrente incidentale ha depositato memoria.

RAGIONI DELLA DECISIONE

Con l’unico motivo del ricorso principale, il RAGIONE_SOCIALE lamenta la violazione o falsa applicazione degli artt. 154, 143 e 162 del D. Lgs. n. 196 del 2003 e del provvedimento dell’8.4.2010 del RAGIONE_SOCIALE, in relazione all’art. 360, primo comma, n. 3, c.p.c., perché il Tribunale

avrebbe erroneamente accolto l’opposizione ritenendo che l’obbligo di non conservare le immagini acquisite dalle apparecchiature di videosorveglianza per più di 24 ore presupponesse l’individuazione di un soggetto determinato, e non fosse quindi riferito alla pluralità dei destinatari.

La censura è infondata.

Il Tribunale ha ritenuto che la disposizione di cui all’art. 154, primo comma, lettera c) del cd. codice per la protezione dei dati personali sia rivolta nei confronti di un soggetto specifico, valorizzando la sua collocazione, all’interno del predetto codice, nella sezione destinata ai reclami, la sua rubrica ( ‘Procedimento per i reclami’ ), la struttura della norma, che presuppone, quale condizione per l’adozione del provvedimento sanzionatorio, l’esaurimento dell’istruttoria, nonché il suo tenore letterale, che fa riferimento all’emanazione di prescrizioni dirette al titolare del trattamento dei dati personali ed alla loro inosservanza (cfr. pagg. 8 e 9 della sentenza impugnata). Tali considerazioni non sono adeguatamente attinte dalla censura in esame, con la quale il RAGIONE_SOCIALE propone una diversa opzione interpretativa, ritenendo la disposizione rivolta nei confronti di tutti i consociati, senza tuttavia confrontarsi in modo specifico con i vari argomenti valorizzati dal giudice di merito. La statuizione del Tribunale, peraltro, appare condivisibile, poiché la disposizione di cui all’art. 154, per la sua struttura, formulazione letterale, rubrica e collocazione sistematica nell’ambito del cd. codice della privacy allude alla mancata osservanza di specifiche prescrizioni che, nell’ambito di una determinata istruttoria, vengano impartite ad un destinatario determinato, in relazione ad una specifica ipotesi di trattamento dei dati personali. Non è quindi possibile comminare la sanzione prevista per la violazione della predetta disposizione senza la preventiva apertura di un’istruttoria, eventualmente conseguente
ad un reclamo, nell’ambito della quale siano impartite disposizioni che il destinatario ometta di osservare.

Passando all’esame del ricorso incidentale, con il primo motivo la società RAGIONE_SOCIALE denunzia la violazione o falsa applicazione degli artt. 113, 115, 116 c.p.c., 2697 c.c., mancanza ed apparenza della motivazione ed omessa valutazione di una prova decisiva, in relazione all’art. 360, primo comma, nn. 3, 4 e 5, c.p.c., perché il Tribunale avrebbe erroneamente confermato la sanzione prevista per la mancata informativa alla clientela del trattamento dei dati personali acquisiti dalla società mediante il sito internet , senza considerare che lo stesso era ancora in fase di allestimento, al momento della verifica; che comunque l’informativa era stata fornita mediante affissione del prescritto avviso dei locali della struttura ricettiva; che il titolare si era immediatamente attivato presso il proprio fornitore di servizi per segnalare il disservizio, prontamente risolto. Tutto ciò avrebbe dovuto condurre il giudice di merito a ritenere assente il requisito soggettivo prescritto per la contestazione della sanzione amministrativa in commento.
La censura è infondata.

Il Tribunale ha ritenuto che il sito internet fosse regolarmente funzionante ed accessibile agli utenti, nei confronti dei quali a nulla rilevava il fatto che l’avviso prescritto in relazione al trattamento dei dati personali fosse affisso nei locali della struttura o inserito in altro materiale pubblicitario, posto che ciò non dimostrava l’effettiva informazione ai clienti che avevano esercitato l’accesso mediante internet né escludeva l’assenza del prescritto avviso sul canale internet , oggetto della contestazione impugnata. Quanto poi alla condotta del titolare della struttura ricettiva, il giudice di merito ha evidenziato che la responsabilità può escludersi soltanto in presenza della dimostrazione di aver fatto tutto il possibile, cosicché nessun addebito possa esser mosso al destinatario della
sanzione, neppure sotto il profilo della negligenza omissiva. Nella fattispecie, tuttavia, la negligenza omissiva è rappresentata dall’aver affidato la gestione del proprio sito internet ad un fornitore di servizi esterno, facendo affidamento sulle sue capacità e senza verificare adeguatamente il risultato della sua attività. Va di conseguenza ribadito, sul punto, il principio secondo cui ‘ In tema di violazioni amministrative, poiché, ai sensi dell’art. 3 della legge 24 novembre 1981, n. 689, per integrare l’elemento soggettivo dell’illecito è sufficiente la semplice colpa, per cui l’errore sulla liceità della relativa condotta, correntemente indicato come buona fede, può rilevare in termini di esclusione della responsabilità amministrativa, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando esso risulti inevitabile, occorrendo a tal fine un elemento positivo, estraneo all’autore dell’infrazione, idoneo ad ingenerare in lui la convinzione della sopra riferita liceità, oltre alla condizione che da parte dell’autore sia stato fatto tutto il possibile per osservare la legge e che nessun rimprovero possa essergli mosso, così che l’errore sia stato incolpevole, non suscettibile cioè di essere impedito dall’interessato con l’ordinaria diligenza’ (Cass. Sez. L, Sentenza n. 16320 del 12/07/2010, Rv. 614381; conf. Cass. Sez. 6 – 2, Ordinanza n. 19759 del 02/10/2015, Rv. 636814; Cass. Sez. 2, Ordinanza n. 33441 del 17/12/2019, Rv. 656323).
Con il secondo motivo, la ricorrente incidentale denunzia la violazione o falsa applicazione dell’art. 112 c.p.c., in relazione all’art. 360, primo comma, n. 5, c.p.c., perché il Tribunale avrebbe omesso di pronunciarsi sulla doglianza con la quale la società aveva contestato l’infrazione concernente il trattamento dei dati acquisiti mediante l’impianto di videosorveglianza, evidenziando che l’esistenza dello stesso era stata debitamente resa pubblica mediante appositi avvisi affissi presso la struttura ricettiva, e che la sua attivazione si era resa necessaria per prevenire atti dannosi a
carico degli utenti della struttura stessa e dei loro beni. Inoltre, il giudice di merito non aveva tenuto conto che anche in questo caso, non appena ricevuta la segnalazione, il titolare della struttura ricettiva si era attivato per eliminare la violazione.

Il motivo va dichiarato assorbito dal rigetto del ricorso principale.

In definitiva, vanno rigettati tanto il ricorso principale che quello incidentale. Le spese del presente giudizio di legittimità, in ragione della reciproca soccombenza, vanno compensate per intero.

Si dà atto che sussistono i presupposti per il versamento dell’ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, se dovuto.

PQM

la Corte rigetta il ricorso principale ed il ricorso incidentale e compensa tra le parti le spese del presente giudizio di legittimità.

Dà atto che sussistono i presupposti per il versamento dell’ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, se dovuto.

Così deciso in Roma, nella camera di consiglio della Seconda

La selezione delle sentenze e la raccolta delle massime di giurisprudenza è a cura di Carmine Paul Alexander TEDESCO, Avvocato a Milano, Pesaro e Benevento.

Desideri approfondire l'argomento ed avere una consulenza legale?

Prenota un appuntamento. La consultazione può avvenire in studio a Milano, Pesaro, Benevento, oppure in videoconferenza / conerence call e si svolge in tre fasi.

Prima dell'appuntamento: analisi del caso prospettato. Si tratta della fase più delicata, perché dalla esatta comprensione del caso sottoposto dipendono il corretto inquadramento giuridico dello stesso, la ricerca del materiale e la soluzione finale.

Durante l’appuntamento: disponibilità all’ascolto e capacità a tenere distinti i dati essenziali del caso dalle componenti psicologiche ed emozionali.

Al termine dell’appuntamento: ti verranno forniti gli elementi di valutazione necessari e i suggerimenti opportuni al fine di porre in essere azioni consapevoli a seguito di un apprezzamento riflessivo di rischi e vantaggi. Il contenuto della prestazione di consulenza stragiudiziale comprende, difatti, il preciso dovere di informare compiutamente il cliente di ogni rischio di causa. A detto obbligo di informazione, si accompagnano specifici doveri di dissuasione e di sollecitazione.

Il costo della consulenza legale è di € 150,00.