Le normative sull'identificazione degli ospiti e sul self check-in sono cambiate in modo sostanziale tra la fine del 2025 e il 2026. In Italia la sentenza del Consiglio di Stato n. 9101/2025 del 21 novembre 2025 ha chiuso il dibattito aperto dal TAR Lazio: il self check-in è legittimo, ma l'identificazione dell'ospite deve avvenire "de visu", con un riscontro visivo in tempo reale. A livello europeo, dal 20 maggio 2026 è pienamente applicabile il Regolamento UE 2024/1028 sulla raccolta e condivisione dei dati delle locazioni brevi. E molti comuni — da Firenze a Milano — hanno vietato le key box su suolo pubblico.
Questa guida, aggiornata a luglio 2026, riassume gli obblighi di registrazione, i metodi di verifica consentiti e gli strumenti ufficiali richiesti nei principali Paesi europei, con indicazioni pratiche per organizzare un check-in autonomo pienamente conforme.
In breve: cosa devi sapere nel 2026
- Il self check-in è legale in Italia, ma l'identificazione deve essere de visu: di persona o con verifica video/biometrica in tempo reale al momento dell'arrivo (Consiglio di Stato n. 9101/2025).
- Non è conforme l'accesso autonomo basato sul solo invio del documento prima dell'arrivo, senza riscontro visivo contestuale.
- I dati di tutti gli ospiti vanno inviati alla Questura tramite Alloggiati Web entro 24 ore (art. 109 TULPS).
- Il CIN (Codice Identificativo Nazionale) è obbligatorio negli annunci e all'ingresso della struttura: sanzioni fino a 8.000 €.
- Dal 20 maggio 2026 il Regolamento UE 2024/1028 impone il numero di registrazione in ogni annuncio e la trasmissione mensile dei dati dalle piattaforme alle autorità.
- Le key box su suolo pubblico sono vietate in molti comuni (Milano dal 1° gennaio 2026, Firenze dal 2025), con sanzioni e rimozione.
Il quadro normativo europeo
Nell'area Schengen la maggior parte degli Stati impone la registrazione degli ospiti, in particolare stranieri, con trasmissione dei dati alle autorità di pubblica sicurezza entro termini stabiliti. Il GDPR fornisce la base giuridica per il trattamento dei dati identificativi, fondato sull'obbligo legale, con i principi di minimizzazione e sicurezza.
Le modalità operative restano però disciplinate dalle singole normative nazionali — e, sempre più spesso, da regolamenti comunali — creando un panorama variegato che richiede attenzione specifica per ogni mercato. A questo si aggiunge ora un livello europeo comune: il Regolamento UE 2024/1028, pensato per dare alle autorità dati affidabili su chi affitta, dove e per quanto tempo.
Italia: il self check-in è legale, ma l'identificazione è de visu
L'Italia impone l'identificazione di tutti gli ospiti con invio telematico alla Questura entro 24 ore tramite la piattaforma Alloggiati Web (art. 109 del TULPS, R.D. 773/1931). Sulla modalità di verifica il percorso è stato tortuoso:
- Novembre 2024 — la circolare del Ministero dell'Interno impone il riconoscimento "de visu" e di fatto blocca il check-in da remoto.
- 27 maggio 2025 — il TAR Lazio annulla la circolare, riaprendo temporaneamente alla verifica a distanza.
- 21 novembre 2025 — il Consiglio di Stato (sentenza n. 9101/2025) riforma la decisione del TAR: il riscontro visivo dell'identità è un presidio sostanziale di pubblica sicurezza e resta obbligatorio.
Il punto di equilibrio fissato dal Consiglio di Stato è chiaro: la verifica può avvenire anche con strumenti digitali, purché sia effettiva, in tempo reale e contestuale all'arrivo dell'ospite.
Cosa è consentito:
- Accoglienza di persona con controllo del documento
- Videochiamata al momento dell'arrivo, con confronto tra volto e documento
- Sistemi con riscontro biometrico attivato all'ingresso in struttura
- Consegna del codice di accesso o della card dopo la verifica
Cosa non è consentito:
- Invio del documento prima dell'arrivo con recapito automatico del codice, senza alcun riscontro visivo
- Consegna anonima delle chiavi tramite key box senza identificazione
- Delegare l'identificazione alla verifica d'identità della piattaforma di prenotazione
Il responsabile resta sempre il gestore della struttura, che deve garantire l'invio dei dati ad Alloggiati Web qualunque sia la modalità adottata.
CIN e divieti sulle key box
Dal 2025 ogni struttura ricettiva e unità destinata a locazione breve deve avere il CIN (Codice Identificativo Nazionale), da esporre all'ingresso e da indicare in ogni annuncio: le sanzioni arrivano fino a 8.000 €. Il CIN è anche il numero di registrazione che l'Italia usa per adempiere al Regolamento UE 2024/1028.
Sul fronte urbano, molti comuni hanno vietato le key box (cassette portachiavi) su suolo pubblico e arredo urbano: Firenze già dal 2025, Milano dal 1° gennaio 2026, con sanzioni da 100 a 400 € e obbligo di rimozione. La direzione è evidente: la consegna anonima delle chiavi è considerata incompatibile con l'obbligo di identificazione e con il decoro urbano. Le alternative indicate dagli stessi comuni sono videocitofoni, serrature elettroniche e accoglienza in presenza.
Regolamento UE 2024/1028: cosa cambia dal 20 maggio 2026
Il Regolamento UE 2024/1028 introduce il primo quadro comune europeo per la raccolta e la condivisione dei dati delle locazioni brevi. Dal 20 maggio 2026:
- Ogni unità offerta in locazione breve deve avere un numero di registrazione univoco (in Italia il CIN), visibile in ogni annuncio online.
- Le piattaforme (Airbnb, Booking.com, Vrbo e simili) trasmettono mensilmente alle autorità nazionali i dati di ogni unità: notti prenotate, numero di ospiti, URL dell'annuncio, numero di registrazione e indirizzo.
- Gli annunci privi di numero di registrazione valido devono essere rimossi dalle piattaforme.
Per i gestori in regola l'impatto operativo è limitato, ma il regolamento rende molto più difficile operare senza registrazione: i dati incrociati tra piattaforme e autorità fanno emergere rapidamente le strutture non conformi.
Spagna: piattaforma centralizzata SES.Hospedajes
Dal 2 dicembre 2024 è a regime la piattaforma SES.Hospedajes del Ministero dell'Interno spagnolo: registrazione di tutti gli ospiti over 14 con trasmissione entro 24 ore, secondo il RD 933/2021, raccolta dati estesa e conservazione per 3 anni. Le piattaforme di prenotazione sono coinvolte come intermediari, ma la responsabilità dell'adempimento resta del gestore.
Portogallo: focus sugli stranieri
Il Portogallo richiede la comunicazione dei soli ospiti stranieri entro 3 giorni tramite il sistema SIBA. Gli ospiti nazionali non devono essere comunicati: un'impostazione che semplifica la gestione per le strutture con clientela prevalentemente domestica.
Francia: fiche de police con digitalizzazione
La Francia richiede la fiche individuelle de police solo per i turisti stranieri, con conservazione presso la struttura per 6 mesi e trasmissione alle autorità su richiesta. Il sistema ammette la dematerializzazione, aprendo alle soluzioni digitali e riducendo gli oneri quotidiani.
Germania: semplificazione per ospiti domestici
Dal 2025 il Meldeschein è stato abolito per gli ospiti tedeschi: l'obbligo di registrazione resta solo per gli stranieri, con possibilità di firma elettronica qualificata e sistemi eID NFC (AusweisIDent) per il check-in contactless.
Regno Unito: continuità post-Brexit
Resta in vigore l'Hotel Records Order 1972: registrazione di nome e nazionalità per gli ospiti over 16; per i cittadini non UK/IRL/Commonwealth anche tipo e numero di documento e prossima destinazione, con conservazione del registro per 12 mesi.
Come organizzare un self check-in a norma nel 2026
Le nuove regole non eliminano il check-in autonomo: lo trasformano. Il flusso conforme per l'Italia è questo:
- Prima dell'arrivo — raccolta dei dati e del documento dell'ospite (pre-check-in online).
- All'arrivo — verifica de visu: di persona oppure in videochiamata, confrontando volto e documento in tempo reale.
- Dopo la verifica — invio dei dati ad Alloggiati Web entro 24 ore e consegna del mezzo di accesso: un codice temporaneo valido solo per il periodo di soggiorno o una card RFID.
La tecnologia di accesso fa la differenza sulla parte finale del flusso. I sistemi GEVA per B&B e affitti brevi generano codici d'accesso temporanei legati alle date della prenotazione e card RFID per gli ingressi successivi, funzionano offline e senza cloud (nessun disservizio di rete, nessun canone) e permettono di consegnare il codice solo a identificazione avvenuta: l'automazione riguarda la porta, la conformità resta sotto il controllo del gestore. Per strutture più grandi — hotel, villaggi turistici, alberghi diffusi — le linee Easy Hotel e Full Hotel estendono lo stesso approccio all'intera struttura, con controllo accessi e risparmio energetico in camera.
Il ruolo delle piattaforme di prenotazione
Le piattaforme (Airbnb, Booking, etc.) non sostituiscono mai gli obblighi del gestore verso la pubblica sicurezza. Possono effettuare verifiche d'identità per finalità proprie (trust & safety), ma la responsabilità legale dell'identificazione e della trasmissione dei dati resta sempre in capo alla struttura ricettiva.
Raccomandazioni operative
- Verifica i regolamenti comunali oltre alle norme nazionali: i divieti sulle key box e i limiti alle locazioni brevi sono decisi a livello locale.
- Esponi il CIN all'ingresso e in tutti gli annunci prima del controllo incrociato UE.
- Documenta il processo di identificazione (chi verifica, come, quando) per eventuali controlli.
- Scegli tecnologie di accesso con codici a scadenza e funzionamento offline, per non dipendere da cloud e connettività.
- Forma il personale e aggiorna le procedure: il quadro normativo continua a evolvere.
Domande frequenti
Il self check-in è legale in Italia nel 2026?
Sì. Il Consiglio di Stato (sentenza n. 9101/2025) ha confermato che il self check-in è legittimo, ma l'identificazione dell'ospite deve avvenire de visu: di persona oppure tramite videochiamata o verifica biometrica in tempo reale, contestuale all'arrivo. Non è conforme la sola trasmissione del documento con invio automatico del codice.
Cosa significa identificazione "de visu"?
Verificare visivamente, al momento dell'arrivo, che la persona corrisponda al documento fornito. Il controllo può essere fisico o digitale (videochiamata, riscontro biometrico), purché effettivo e contestuale all'ingresso. I dati vanno poi inviati ad Alloggiati Web entro 24 ore.
Le key box sono vietate?
Su suolo pubblico e arredo urbano sì, in un numero crescente di comuni (Firenze dal 2025, Milano dal 1° gennaio 2026), con sanzioni da 100 a 400 € e rimozione. In ogni caso la key box non esonera dall'obbligo di identificazione de visu.
Cosa cambia con il Regolamento UE 2024/1028?
Dal 20 maggio 2026 ogni alloggio in locazione breve deve avere un numero di registrazione univoco (in Italia il CIN) esposto negli annunci; le piattaforme trasmettono mensilmente i dati delle prenotazioni alle autorità e rimuovono gli annunci senza registrazione valida.
La verifica dell'identità di Airbnb o Booking è sufficiente?
No. Le verifiche delle piattaforme servono per finalità proprie. L'identificazione per la pubblica sicurezza e l'invio dei dati alle autorità restano obblighi del gestore.
Posso ancora usare codici di accesso temporanei e card RFID?
Sì: sono le alternative raccomandate alle key box. L'importante è consegnare codice o card solo dopo la verifica de visu dell'identità. Sistemi con codici monouso legati alle date del soggiorno e funzionamento offline aggiungono sicurezza e continuità operativa.
Le informazioni di questo articolo sono aggiornate a luglio 2026 e hanno carattere divulgativo: non costituiscono consulenza legale. Per casi specifici consulta un professionista o le fonti ufficiali.