Screening ospiti affitti brevi: identità, check-in e truffe

Lo screening degli ospiti negli affitti brevi parte da un obbligo di legge: devi identificare ogni ospite con un documento e comunicarne i dati alla Questura tramite Alloggiati Web entro 24 ore dall’arrivo. A ottobre 2026 il self check-in è ammesso solo se verifichi che la persona che entra corrisponde al documento, di persona o con un video in tempo reale. Una foto del documento su WhatsApp e un codice per la keybox non bastano.

Il resto dello screening serve a proteggere casa e incassi: riconoscere le prenotazioni false, non cadere nelle truffe via messaggi e sapere cosa fare se qualcosa va storto. In questa guida trovi tutto, passo per passo.

Cosa dice la legge sull’identificazione degli ospiti

L’obbligo nasce dall’articolo 109 del Testo unico delle leggi di pubblica sicurezza (TULPS). Dal 2018 vale anche per chi affitta casa per meno di 30 giorni, cioè per tutte le locazioni brevi, anche senza partita IVA.

In pratica devi:

1. Accettare solo ospiti con un documento d’identità valido.
2. Verificare che il documento appartenga alla persona che soggiorna da te.
3. Comunicare i dati alla Questura sul portale Alloggiati Web della Polizia di Stato.

I tempi della comunicazione

Il termine delle 6 ore è stato introdotto dal decreto del Ministero dell’Interno del 16 settembre 2021. Se il portale non funziona, lo stesso decreto permette di inviare i dati via PEC o fax alla Questura competente.

Credenziali e conservazione dei dati

Le credenziali di Alloggiati Web le rilascia la Questura. Sono personali: se ti fai aiutare da un collaboratore o da un property manager, usa la procedura di delega prevista dal portale. Non passare semplicemente nome utente e password.

Dopo l’invio, il decreto del 2021 ti obbliga a cancellare i dati digitali trasmessi e a distruggere le copie cartacee appena il sistema genera la ricevuta. La ricevuta va invece conservata per cinque anni. Quindi niente archivi di foto di documenti nel telefono o nella posta.

Le sanzioni

Se non comunichi gli ospiti, commetti un reato. La Questura di Lecco lo riassume così: si applica l’articolo 17 del TULPS, con arresto fino a tre mesi o ammenda fino a 206 euro. Può scattare anche la sospensione temporanea dell’attività ricettiva.

Self check-in: cosa è ammesso a ottobre 2026

La storia recente in breve:

• 18 novembre 2024: una circolare del Capo della Polizia (prot. n. 38138) ricorda che l’identificazione va fatta “de visu”. Il self check-in con keybox e codice inviato a distanza non rispetta l’obbligo.
• Maggio 2025: il TAR del Lazio, con la sentenza n. 10210/2025, annulla la circolare su ricorso di un’associazione di gestori.
• 21 novembre 2025: il Consiglio di Stato (Sezione III, sentenza n. 9101/2025) ribalta il TAR. La circolare torna valida perché, secondo i giudici, conferma un obbligo che c’è già nella legge.

Il punto chiave della sentenza: l’identificazione può avvenire anche a distanza, ma deve permettere di verificare in tempo reale che il volto della persona corrisponda al documento. Secondo i giudici, il semplice caricamento online dei documenti e l’accesso con codici automatici non garantiscono questa verifica. A ottobre 2026 non risultano nuove circolari né modifiche di legge che cambino questo quadro.

Cosa funziona e cosa no

Se usi una serratura smart o una keybox, puoi continuare a farlo. Devi però sbloccare l’accesso solo dopo aver verificato l’ospite in video, e meglio se il codice cambia a ogni soggiorno.

Il caso di San Siro: cosa può succedere

Ad agosto 2026 Il Giorno ha raccontato il caso di un B&B di San Siro, sul lago di Como. Una donna risultava registrata come ospite, ma non era mai arrivata in Italia. La struttura aveva ricevuto la foto del documento su WhatsApp, l’aveva registrata su Alloggiati Web e aveva mandato il codice della keybox con lo stesso mezzo.

Le conseguenze per titolare e gestore:

• denuncia per falso ideologico in atto pubblico;
• denuncia per accesso abusivo a sistema informatico, perché le credenziali del titolare erano usate dal gestore;
• contestazione per violazione del TULPS;
• richiesta al Comune di far cessare l’attività;
• segnalazione alla Regione per cancellare la struttura dall’anagrafe e revocare il CIN.

Se vuoi capire cosa comporta perdere il codice identificativo, leggi la guida completa al codice CIN.

Keybox e regole dei Comuni

Oltre all’obbligo di identificazione, alcuni Comuni limitano le keybox per motivi di decoro:

• Firenze: da febbraio 2025 il regolamento di polizia urbana vieta le keybox, con una sanzione di 400 euro.
• Roma: il Comune rimuove le keybox fissate su suolo e beni pubblici in base al regolamento di polizia urbana. Nel centro storico UNESCO, quelle sulle facciate private richiedono un’autorizzazione che, secondo il Comune, nessuno aveva chiesto (Il Post).

Le regole cambiano spesso e variano da città a città. Per il quadro aggiornato della tua zona consulta la guida alle normative sugli affitti brevi nelle città italiane e verifica sempre sul sito del tuo Comune.

Come impostare un check-in sicuro, passo per passo

1. Subito dopo la prenotazione: manda un messaggio dalla chat della piattaforma. Ricorda le regole della casa e spiega che per legge serve il documento di ogni ospite.
2. Prima dell’arrivo: raccogli i dati dei documenti con un canale sicuro, ad esempio un modulo protetto o il tuo gestionale. Evita le chat personali, come consiglia anche Booking.com.
3. All’arrivo: verifica l’identità di persona o in videochiamata. Controlla che volti e documenti corrispondano e che il numero di ospiti sia quello prenotato.
4. Solo dopo la verifica: comunica il codice di accesso o consegna le chiavi.
5. Entro 24 ore (6 per i soggiorni brevi): invia i dati ad Alloggiati Web, salva la ricevuta e cancella le copie dei documenti.

Ricorda anche gli altri adempimenti locali, come l’imposta di soggiorno e le comunicazioni statistiche alla Regione, dove previsti.

Telecamere: cosa puoi installare

Su Airbnb, dal 30 aprile 2024, le telecamere all’interno dell’alloggio sono vietate, anche se spente. Puoi avere telecamere esterne, ad esempio sull’ingresso, purché le dichiari nell’annuncio e non riprendano zone private. I fonometri, che misurano il rumore senza registrare, sono ammessi se li dichiari e non stanno in camere da letto o bagni. Per qualsiasi telecamera rispetta anche le regole sulla privacy.

Come riconoscere una prenotazione sospetta

Booking.com elenca nel suo centro assistenza per i partner i segnali tipici delle prenotazioni false:

• carta di credito non valida;
• prenotazione last minute;
• più prenotazioni per le stesse date o fatte a pochi minuti di distanza;
• numero di camere o durata del soggiorno insolitamente alti;
• modifiche alla prenotazione subito dopo la conferma;
• l’ospite manda link;
• l’ospite cerca di spostare la conversazione fuori dalla piattaforma.

Anche Airbnb usa un sistema automatico che valuta, tra le altre cose, il tipo di alloggio, la durata, la distanza tra casa dell’ospite e alloggio e le prenotazioni dell’ultimo minuto, per bloccare chi rischia di organizzare feste. Tu puoi aggiungere il buon senso: un profilo nuovo e senza recensioni non è un problema in sé, ma merita qualche domanda in più sul motivo del viaggio.

Cosa fare in caso di dubbio:

• Non cliccare i link e resta nella chat ufficiale.
• Su Booking.com puoi preautorizzare la carta secondo le tue condizioni, segnalare le carte non valide e impostare requisiti per gli ospiti e prepagamenti.
• Segnala la prenotazione dall’Extranet: Posta, Messaggi di Booking.com, opzioni di contatto, argomento Account, voce Altro.
• Se ti serve un filtro più rigido, valuta prepagamento e politiche di cancellazione più severe.

Le truffe più comuni via messaggi e phishing

Account del gestore violato

È la truffa più pericolosa per te. I criminali entrano nel tuo account Booking.com o nel gestionale, leggono le prenotazioni vere e scrivono agli ospiti chiedendo un pagamento urgente. Gli ospiti si fidano perché il messaggio contiene nome, date e numero di prenotazione corretti.

Booking.com indica questi segnali di un accesso non autorizzato:

• ospiti che ricevono richieste di pagamento che non hai mandato tu;
• modifiche che non hai fatto a recapiti, tariffe, disponibilità, foto o channel manager;
• email di accesso da un luogo sconosciuto;
• nuovi numeri per l’autenticazione a due fattori o nuovi utenti che non riconosci.

Per questo dal 28 settembre 2026 Booking.com non invia più i numeri di telefono degli ospiti a channel manager e PMS. Il numero resta visibile nell’Extranet e nell’app Pulse, e la chat interna e l’email mascherata continuano a funzionare. Se automatizzi i messaggi con un gestionale, verifica con il fornitore come si adatta: lo trovi nella nostra guida ai channel manager.

Phishing rivolto all’host

Ricevi un’email o un messaggio che sembra della piattaforma: “account sospeso”, “verifica i dati”, “problema con un pagamento”. Il link porta a una pagina identica a quella vera, dove inserisci le credenziali. Booking.com ricorda che il suo personale non ti chiederà mai password o codici di verifica e non ti chiederà di prendere il controllo del tuo computer.

L’ospite che vuole pagare fuori piattaforma

Un “ospite” ti propone un bonifico, ti manda un link di pagamento o ti chiede di continuare su WhatsApp. Su Airbnb non è consentito chiedere o ricevere pagamenti fuori piattaforma per le prenotazioni, né spostare le comunicazioni prima della prenotazione. Fuori dalla piattaforma perdi anche le tutele.

L’annuncio clonato

La campagna 2026 di Polizia di Stato e Airbnb segnala annunci falsi creati con foto copiate o generate con l’intelligenza artificiale, e perfino video deepfake di finti host. Per te il rischio è vedere le tue foto usate da un truffatore. Ogni tanto fai una ricerca inversa delle immagini del tuo annuncio e segnala subito le copie alla piattaforma e alla Polizia Postale.

Come difenderti

1. Attiva l’autenticazione a due fattori su Extranet, Airbnb, email e gestionale.
2. Usa password lunghe e diverse per ogni servizio. Booking.com consiglia almeno dieci caratteri con maiuscole, minuscole, numeri e simboli.
3. Crea un utente per ogni collaboratore, senza condividere lo stesso accesso.
4. Entra sempre digitando l’indirizzo della piattaforma o dai preferiti, mai dai link nelle email.
5. Tieni aggiornati sistema operativo e antivirus sui dispositivi che usi per gestire le prenotazioni.
6. Comunica con gli ospiti solo dalla piattaforma e avvisali che non chiederai mai pagamenti via WhatsApp o SMS.

Se il tuo account è stato violato

• Cambia subito la password dell’email e poi quella dell’account Booking.com o Airbnb.
• Fai una scansione antivirus di tutti i dispositivi.
• Controlla dati, coordinate bancarie e messaggi preimpostati.
• Segnala l’incidente al team sicurezza della piattaforma: Booking.com chiede di farlo entro 24 ore.
• Avvisa gli ospiti con prenotazioni attive di ignorare richieste di pagamento esterne.
• Se sono stati esposti dati degli ospiti, valuta con un consulente la notifica al Garante Privacy: il GDPR la richiede entro 72 ore quando la violazione comporta un rischio per le persone.

Cosa fare in caso di danni

1. Documenta subito: foto e video datati, prima di qualsiasi riparazione. Conserva preventivi e ricevute.
2. Scrivi all’ospite dalla piattaforma, in modo calmo e preciso.
3. Rispetta le scadenze: su Airbnb la richiesta nel Centro Soluzioni va fatta entro 14 giorni dal check-out; su Booking.com, se hai attivato il programma danni, entro 14 giorni dal check-out.
4. Attiva la tua assicurazione se hai una polizza che copre l’affitto breve.
5. Per furti o danni gravi, valuta la denuncia alle forze dell’ordine.

Coperture, limiti e cauzioni sono spiegati nella guida su come proteggere i guadagni con assicurazioni e garanzie. Per evitare che un guasto diventi una contestazione, aiuta anche una buona manutenzione programmata.

In sintesi

• Identifica ogni ospite e verifica il volto, di persona o in video in tempo reale.
• Comunica i dati ad Alloggiati Web entro 24 ore (6 per i soggiorni brevi) e cancella le copie.
• Non dare il codice d’accesso prima della verifica.
• Proteggi gli account con autenticazione a due fattori e resta sempre nella chat della piattaforma.
• Documenta i danni subito e rispetta i 14 giorni per le richieste.

Se non puoi accogliere gli ospiti di persona, un property manager locale può occuparsi di check-in e registrazioni al posto tuo: trovi quelli della tua città nella directory dei gestori di affitti brevi.

Le regole su identificazione e keybox possono cambiare: per il tuo caso specifico chiedi conferma alla Questura, al tuo Comune o a un legale.