Affitti brevi, cliente fantasma a San Siro: l'identificazione ospiti è obbligatoria

La notizia è emersa dalla cronaca locale ed è diventata in pochi giorni un monito per chiunque gestisca un bed and breakfast, una casa vacanza o una locazione turistica. A San Siro, piccolo comune della provincia di Como — da non confondere con l’omonimo quartiere di Milano dove sorge lo stadio Giuseppe Meazza — una struttura ricettiva si è trovata al centro di un’indagine partita da una segnalazione automatica del sistema Alloggiati Web. Il caso, ricostruito dalla stampa locale a partire dal 13 agosto 2026, dimostra quanto possa diventare rischioso sottovalutare le modalità di identificazione degli ospiti.

I fatti: un ospite mai arrivato

Secondo la ricostruzione, il portale Alloggiati Web, il sistema della Polizia di Stato che registra le presenze degli ospiti nelle strutture ricettive, ha rilevato tra gli ospiti segnalati da una struttura di San Siro una donna di nazionalità georgiana sulla quale pendeva una notifica da eseguire. Quando i carabinieri della Compagnia di Menaggio si sono presentati in struttura per rintracciarla, hanno scoperto che la donna non era mai arrivata a San Siro — e nemmeno in Italia.

Ricostruendo la vicenda, gli investigatori hanno accertato che la struttura aveva ricevuto via WhatsApp la fotografia del documento d’identità della donna e l’aveva registrata sul portale Alloggiati Web senza mai verificarne la presenza fisica. La camera era stata assegnata sulla sola base del documento trasmesso a distanza, senza alcun controllo di corrispondenza tra il documento e una persona realmente presente.

Le conseguenze: non solo una multa

La vicenda ha prodotto conseguenze ben più pesanti di una semplice contestazione amministrativa. Nei confronti dei due responsabili della struttura sono scattate una denuncia in concorso per falso ideologico in atto pubblico, una denuncia per accesso abusivo a sistema informatico e la contestazione per violazione degli obblighi previsti dal Testo unico delle leggi di pubblica sicurezza (TULPS). A queste si sono aggiunti la richiesta dei carabinieri al Comune di un’ordinanza inibitoria per la cessazione immediata dell’attività e la segnalazione alla Regione Lombardia per la cancellazione dall’anagrafe delle strutture ricettive e la revoca del Codice Identificativo Nazionale (CIN).

Non è un dettaglio da cronaca locale. È la fotografia di cosa può accadere quando una procedura di check-in viene ridotta a un semplice scambio di file su un’app di messaggistica.

Il documento fotografato non è l’identificazione

Per troppo tempo si è diffusa l’idea che il check-in potesse funzionare così: il cliente invia la fotografia del documento, il gestore acquisisce i dati, li trasmette ad Alloggiati Web e comunica il codice per entrare nell’alloggio. Una procedura semplice e veloce, apparentemente efficiente. Ma il punto debole è evidente: chi garantisce che la persona che utilizza quel codice sia realmente il titolare del documento trasmesso?

È questa la domanda alla quale ogni gestore deve essere in grado di rispondere. Un documento inviato a distanza non dimostra, da solo, che la persona che varca la porta dell’alloggio sia effettivamente quella indicata nel documento. Ed è proprio questa distinzione a fare la differenza tra una procedura corretta e una situazione capace di generare conseguenze penali.

La sentenza del Consiglio di Stato n. 5732/2025

Il quadro giuridico è stato chiarito da una pronuncia importante. Il Consiglio di Stato, con la sentenza n. 5732 del 21 novembre 2025, ha ribadito che l’obbligo di verifica dell’identità previsto dall’articolo 109 del TULPS resta pienamente in vigore, ribaltando la precedente pronuncia del TAR Lazio (sentenza n. 10210/2025) che lo aveva sospeso.

La sentenza ha inoltre chiarito che la verifica può essere effettuata anche attraverso strumenti tecnologici, purché consentano un accertamento effettivo e in tempo reale della corrispondenza tra l’ospite e il documento. Non è quindi la tecnologia a essere vietata: è l’assenza di una vera identificazione a rappresentare il problema. I giudici hanno affrontato espressamente le procedure in cui il gestore acquisisce semplicemente il documento e comunica un codice per l’apertura automatizzata della porta o della key box, stabilendo che una simile procedura non garantisce la necessaria verifica della corrispondenza tra documento e persona.

Key box: la comodità non sostituisce l’identificazione

È qui che entra in gioco la questione delle key box. Le ormai diffusissime cassette per le chiavi, utilizzate per consentire l’accesso autonomo agli alloggi attraverso un codice, sono diventate il simbolo del self check-in. Ma una key box non identifica nessuno: permette semplicemente di aprire una porta. Non verifica chi sia la persona che sta entrando, non controlla la corrispondenza tra il volto dell’ospite e il documento e non sostituisce l’obbligo del gestore di verificare l’identità.

Per questo, quando la key box viene utilizzata come elemento centrale di un sistema di self check-in completamente privo di una verifica effettiva dell’ospite, non può essere considerata una soluzione idonea ad assolvere gli obblighi di identificazione. Su questo fronte, il tema si intreccia con le recenti restrizioni comunali, come quelle adottate in diverse città per limitare l’uso delle key box nelle aree a maggiore densità turistica. Per approfondire come impostare correttamente un check-in automatico senza violare gli obblighi di legge, abbiamo preparato una guida completa al check-in automatico.

Il CIN è a rischio

C’è un altro aspetto che non va sottovalutato: il Codice Identificativo Nazionale. Il CIN non è una semplice sigla da inserire negli annunci, ma uno degli elementi che accompagnano la regolarità dell’attività ricettiva o dell’unità destinata alla locazione turistica. Eventuali provvedimenti che incidano sulla possibilità di esercitare l’attività possono avere conseguenze anche sulla posizione della struttura e sul relativo CIN.

Nel caso di San Siro, oltre alle contestazioni penali, è partita la segnalazione alla Regione Lombardia per la cancellazione dall’anagrafe delle strutture ricettive e la revoca del CIN: un provvedimento che, di fatto, può significare la fine dell’attività. Chi vuole capire come funziona il CIN e quali obblighi comporta può consultare la nostra guida completa al Codice CIN.

Attenzione anche alle credenziali di Alloggiati Web

La vicenda richiama un altro tema che tutti i gestori dovrebbero affrontare con attenzione: la gestione delle credenziali di accesso ad Alloggiati Web. Non si tratta di una normale piattaforma commerciale: le credenziali devono essere gestite secondo le regole previste e non possono essere condivise con leggerezza tra titolare, collaboratori e soggetti terzi. Anche questo aspetto deve entrare nella revisione delle procedure interne: una buona gestione dell’ospitalità non significa soltanto consegnare correttamente una chiave, ma poter dimostrare che ogni passaggio è stato organizzato nel rispetto degli obblighi previsti.

Cosa devono fare i gestori: la checklist

Il messaggio per chi opera negli affitti brevi è concreto. Chi utilizza ancora procedure di check-in a distanza dovrebbe verificare attentamente come avviene l’identificazione dell’ospite. Chi utilizza key box dovrebbe chiedersi se la procedura adottata consente realmente di identificare la persona prima o nel momento dell’accesso. Chi riceve fotografie dei documenti via WhatsApp o altri canali dovrebbe verificare anche la corretta gestione di questi dati. Chi delega ad altri collaboratori le operazioni di registrazione dovrebbe controllare le modalità di accesso ad Alloggiati Web.

E soprattutto, nessuno dovrebbe aspettare che sia un controllo delle autorità a rivelare che la procedura adottata non era corretta.

La lezione del caso San Siro

Il caso di San Siro non deve diventare l’ennesimo titolo contro i bed and breakfast o gli affitti brevi. Deve diventare un avvertimento per tutti coloro che operano nell’ospitalità. Perché dietro una procedura apparentemente semplice — documento ricevuto sul telefono, registrazione online, codice inviato al cliente e porta che si apre automaticamente — può nascondersi una responsabilità enorme.

Le conseguenze possono andare ben oltre una sanzione: denunce penali, contestazioni amministrative, provvedimenti di cessazione o sospensione dell’attività e conseguenze sulla posizione della struttura e sul CIN. Sono rischi che nessun gestore dovrebbe affrontare per aver sottovalutato una procedura di identificazione.

La tecnologia può aiutare, può semplificare e rendere più efficiente la gestione, ma non può cancellare gli obblighi previsti dalla legge. Non basta avere la fotografia di un documento, non basta trasmettere correttamente i dati ad Alloggiati Web, non basta avere un CIN e, soprattutto, non basta una key box per poter dire di avere identificato un ospite. La vera sicurezza sta nella correttezza dell’intera procedura.

Se gestisci una struttura ricettiva o una locazione turistica e vuoi capire come mettere in regola le tue procedure di check-in, scopri come funziona la gestione professionale degli affitti brevi o contattaci per una consulenza mirata.