Self check-in legale nel 2026: cosa puoi ancora fare, e come organizzarlo, dopo la sentenza del Consiglio di Stato

Nel 2026 il self check-in negli affitti brevi non è vietato in Italia: è vietato l'accesso dell'ospite senza identificazione. Il Consiglio di Stato (sez. III, sentenza n. 9101 del 21 novembre 2025) ha confermato l'obbligo di verifica "de visu" previsto dall'art. 109 TULPS, ma ha ammesso esplicitamente che la verifica possa avvenire anche a distanza, con videocollegamento in tempo reale al momento dell'accesso. In pratica: la raccolta documenti online prima dell'arrivo resta legittima e utile, ma non sostituisce l'identificazione contestuale — di persona o in video, "qui e ora", quando l'ospite entra.

Questa pagina non ripete la notizia: la traduce in un processo, per chi gestisce decine di arrivi al giorno e deve organizzare verifica, team e prova dell'adempimento. Aggiornata a luglio 2026; a oggi non risultano nuove circolari ministeriali o leggi nazionali successive alla sentenza.

Cosa ha deciso davvero il Consiglio di Stato (la cronologia in 4 passaggi)

In rete circolano ancora contenuti fermi al passaggio sbagliato; la sequenza esatta è questa:

1. 18 novembre 2024 — circolare del Ministero dell'Interno: l'identificazione deve avvenire "de visu"; documenti inviati da remoto più codice di accesso automatico non bastano.
2. 27 maggio 2025 — il TAR Lazio (sent. n. 10210/2025) annulla la circolare. Per qualche mese molti operatori tornano al self check-in senza verifica.
3. 21 novembre 2025 — il Consiglio di Stato (sent. n. 9101/2025) riforma la sentenza del TAR: la circolare è interpretativa, non innovativa, perché l'obbligo di verifica de visu discende direttamente dall'art. 109 TULPS, in vigore dal 1931. Ogni contenuto che citi "il TAR ha liberalizzato il self check-in" come stato attuale è superato.
4. La stessa sentenza apre alla tecnologia: la verifica può avvenire a distanza, in tempo reale, via videocollegamento o videocitofono predisposto dal gestore, purché accerti "qui e ora" la corrispondenza tra la persona presente e il titolare del documento, contestualmente all'accesso.

Il fondamento non è nuovo: chi dà alloggio comunica alla Questura, via Alloggiati Web, i dati di tutti gli ospiti entro 24 ore dall'arrivo (6 ore sotto le 24 ore di soggiorno), e la comunicazione presuppone l'identificazione. L'omissione è un reato, non una semplice multa.

Dopo la sentenza del 21 novembre 2025 il self check-in è vietato del tutto?

No. È vietato il self check-in "cieco": documenti caricati prima dell'arrivo più codice della keybox o della serratura, senza che nessuno verifichi visivamente l'ospite al momento dell'accesso. Restano conformi, per la giurisprudenza attuale:

• il check-in di persona, tuo o di un incaricato;
• la verifica video in tempo reale al momento dell'accesso (videochiamata o videocitofono predisposto dal gestore), seguita dallo sblocco.

Non è conforme il flusso che quasi tutti chiamavano "self check-in" fino al 2024: form online → foto del documento → codice inviato in automatico → nessun contatto visivo. È esattamente il caso che la sentenza esclude.

Attenzione a due formulazioni entrambe sbagliate: "il self check-in è pienamente legale" e "il self check-in è vietato". La formulazione corretta è: il processo automatizzato è legale se include la verifica visiva contestuale all'accesso. Il resto dell'automazione — raccolta dati, documenti, tassa di soggiorno, schedine, codici — resta lecito e consigliabile: prepara l'identificazione, ma non la sostituisce.

La videochiamata vale come identificazione de visu?

Sì, a condizione che sia in tempo reale e contestuale all'accesso. È il punto più citato (e più frainteso) della sentenza 9101/2025: il Consiglio di Stato non impone la presenza fisica; impone che la verifica accerti "qui e ora" che la persona davanti alla porta corrisponda al titolare del documento.

Tradotto in requisiti operativi, una videochiamata conforme:

• avviene al momento dell'arrivo, non il giorno prima né "entro la sera";
• mostra l'ospite in diretta, non un video registrato né un selfie statico;
• permette il confronto con il documento già raccolto (o mostrato in camera);
• precede lo sblocco dell'accesso: prima verifichi, poi l'ospite entra.

Due precisazioni prudenti. Primo: una foto del documento su WhatsApp o email non è un'identificazione — è solo raccolta documentale. Secondo: alcuni commentatori estendono l'apertura della sentenza alla verifica biometrica automatica con controllo di vitalità; questa estensione non è testualmente nella sentenza e non va data per autorizzata. Per questo un processo difendibile oggi tiene un essere umano nel giro: l'automazione prepara, una persona conferma.

Le keybox sono vietate in tutta Italia?

No. Non esiste un divieto nazionale delle keybox: la legge (art. 109 TULPS, come interpretato dal Consiglio di Stato) vieta l'accesso senza identificazione, non lo strumento in sé. È la distinzione che quasi tutti i contenuti in circolazione sbagliano. Esistono però divieti comunali sull'installazione, che colpiscono il "dove" più che il "se":

Quindi: una keybox nell'androne privato, col consenso del condominio, in una città senza divieto resta installabile — ma consegnare il codice senza aver identificato l'ospite in tempo reale ti riporta al self check-in cieco, non conforme ovunque tu sia. La keybox sopravvive come consegna chiavi post-verifica, non come sostituto del check-in. La mappa città per città, con le alternative conformi, è in una pagina dedicata che teniamo aggiornata (vedi link interni).

Posso delegare il check-in a un collaboratore o a un servizio esterno?

Sì, la legge non richiede che l'identificazione la faccia il titolare in persona: può eseguirla un collaboratore o un operatore che lavora per tuo conto, di persona o in videocollegamento. Il punto delicato non è la delega dell'esecuzione, ma la responsabilità: l'obbligo ex art. 109 TULPS resta in capo a chi dà alloggio, e la violazione ha natura penale. Delegare senza organizzare significa rispondere degli errori altrui.

Una delega che regge definisce per iscritto: chi verifica (per nome o per ruolo), con quale procedura, in che finestra oraria, e quale prova resta di ogni verifica eseguita. Vale lo stesso principio delle schedine: puoi farti aiutare da persone e software, ma davanti alla Questura l'adempimento è tuo. Su chi sia formalmente l'"obbligato" nei diversi assetti (proprietario, gestore con mandato, co-host) le prassi delle Questure non sono uniformi: fai validare il tuo assetto da un legale.

Il playbook per chi gestisce decine di arrivi al giorno

Con 2 appartamenti la sentenza si risolve con una videochiamata dal telefono. Con 20, 30, 50 arrivi al giorno no: la verifica in tempo reale diventa un processo di squadra, con picchi serali e voli che atterrano alle 23. Un check-in di persona porta via circa 45 minuti tra attesa e spostamenti (stima di settore, 2025); dopo la sentenza quel tempo non si azzera con l'automazione, si sposta sulla verifica remota — che va organizzata. Ecco come.

1. La raccolta documenti prima dell'arrivo prepara, non sostituisce

Tutto ciò che può avvenire prima dell'arrivo deve avvenire prima: dati di tutti gli ospiti (non solo il capogruppo — le schedine li richiedono tutti), documenti, tassa di soggiorno, regole della casa, eventuale cauzione. Al momento dell'accesso resta una sola cosa da fare: verificare che la persona davanti alla porta sia il titolare del documento. Ben preparata, la verifica contestuale dura 1-2 minuti; non preparata, diventa 20 minuti di frizione sul pianerottolo.

2. La verifica in tempo reale come coda di revisione, non come telefonate sparse

Il modello artigianale — "quando arriva l'ospite mi chiama su WhatsApp" — non scala e non lascia traccia. Il modello che scala è una coda di revisione: ogni arrivo attraversa una sequenza di stati (documenti da approvare → verifica visiva → accesso sbloccato); l'operatore di turno vede in un unico posto cosa è in attesa, apre la sessione, confronta ospite e documento, approva o rifiuta. I vantaggi: i picchi si assorbono con i turni, non con la reperibilità di una persona sola; nessun arrivo "scivola via" non verificato, perché uno stato non approvato resta in coda; ogni transizione ha autore e orario. Come dimensionare i turni su 30 arrivi al giorno, notti incluse, lo trattiamo nella pagina dedicata alla verifica in team (vedi link interni).

3. Sblocco fail-closed: il codice parte solo dopo la verifica

La regola tecnica che rende il processo difendibile è una sola: nessuna verifica, nessun codice. Il codice della serratura (o l'indicazione della chiave) non deve poter partire in automatico al pagamento o alla vigilia dell'arrivo: parte solo a check-in completato e verifica approvata. L'automazione resta — generazione, invio, revoca dei codici — ma condizionata allo stato della verifica. Se il tuo stack attuale invia i codici a prescindere, è lì che oggi sei esposto.

4. La prova: cosa conservare (e cosa cancellare)

Se un controllo arriva a sei mesi di distanza, "abbiamo fatto la videochiamata" non basta: serve la traccia. Un processo maturo conserva, per ogni arrivo, chi ha eseguito la verifica, quando, con che esito — e la ricevuta di trasmissione delle schedine, che è la prova dell'adempimento e va conservata per 5 anni.

Attenzione però al fronte opposto, spesso ignorato: il Garante privacy (nota di chiarimento del 29 aprile 2026) ha chiarito che le copie dei documenti d'identità non possono essere conservate dopo l'invio ad Alloggiati Web — vanno cancellate, perché la conservazione è già assicurata sui sistemi del Ministero dell'Interno. Conformità 2026 significa tenere il registro della verifica e la ricevuta del portale, e cancellare le scansioni dopo la trasmissione. Nessun consenso è richiesto per l'identificazione e le schedine: è un obbligo di legge (il consenso serve solo per finalità ulteriori, come il marketing).

Come lo gestisce SmartStay OS

SmartStay OS non nasce in una software house: nasce dentro una società di gestione che questi arrivi li fa ogni giorno. Nato da un gestore reale. Pensato per scalare senza moltiplicare le persone. Il modulo Check-in implementa l'infrastruttura del playbook — raccolta pre-arrivo, coda di revisione, codici fail-closed, schedine e tracciatura. Il passaggio legalmente decisivo, la verifica visiva in tempo reale contestuale all'accesso, resta un atto del tuo processo: il sistema lo orchestra, lo condiziona (nessun codice senza approvazione) e lo registra, ma a eseguirlo sei tu, con le persone della tua organizzazione o gli incaricati che designi. Nel dettaglio:

• check-in online prima dell'arrivo: dati di tutti gli ospiti, documenti, tassa di soggiorno;
• coda di revisione con verifica sempre umana: l'AI aiuta a leggere i documenti e preparare la pratica, ma non approva mai da sola un'identità;
• codici fail-closed: i codici di accesso (oggi su serrature Nuki; altri provider in arrivo) si sbloccano solo a check-in completato e verificato;
• schedine Alloggiati Web trasmesse dopo l'approvazione, con ricevute archiviate per struttura;
• traccia di ogni passaggio: ogni transizione del check-in è registrata, con autore ed esito.

Due cose che SmartStay OS non è: non è un PMS e non lo sostituisce — calendari, tariffe e prenotazioni restano sul tuo gestionale, a cui si collega via API (oggi Octorate, altri su richiesta); e non manda nessuno fisicamente alla porta. In Autonoma tutta la coda la lavora il tuo team; in Affiancata il team remoto SmartStay lavora la parte documentale della coda — controllo dei documenti, preparazione delle pratiche, approvazioni — mentre la verifica visiva contestuale all'accesso resta, come detto sopra, un atto del tuo processo, eseguito dalla tua organizzazione.

Checklist di conformità self check-in 2026 (sintesi)

1. Raccolta pre-arrivo attiva per tutti gli ospiti (dati + documenti), come preparazione, non come identificazione.
2. Verifica visiva contestuale all'accesso: di persona o in video in tempo reale, prima dello sblocco.
3. Niente codici automatici incondizionati: sblocco solo a verifica approvata.
4. Delega scritta se il check-in lo fanno collaboratori: chi, come, quando, con che prova.
5. Schedine per tutti gli ospiti entro 24 ore (6 ore se il soggiorno dura meno di 24 ore).
6. Ricevute Alloggiati conservate 5 anni; registro delle verifiche con autore, data ed esito.
7. Copie dei documenti cancellate dopo l'invio delle schedine (nota Garante 29/4/2026).
8. Keybox: verifica il regolamento del tuo Comune prima di installarla su spazi visibili dalla strada; mai come sostituto della verifica.

La versione estesa e scaricabile della checklist è in preparazione (vedi note per il publisher).

Domande frequenti

Dopo la sentenza del Consiglio di Stato del 21 novembre 2025 il self check-in è vietato del tutto?

No. La sentenza n. 9101/2025 vieta il self check-in "cieco" (documenti online + codice automatico, senza verifica visiva), non l'automazione del check-in. Il processo resta legale se include l'identificazione de visu contestuale all'accesso: di persona oppure in videocollegamento in tempo reale. Raccolta documenti, tassa di soggiorno, schedine e codici possono restare automatizzati, purché lo sblocco avvenga solo dopo la verifica.

La videochiamata vale come identificazione de visu?

Sì. Il Consiglio di Stato ammette espressamente la verifica a distanza, purché in tempo reale e contestuale all'accesso: l'operatore deve vedere l'ospite in diretta al momento dell'arrivo, confrontarlo con il documento comunicato e solo dopo autorizzare l'ingresso. Non valgono equivalenti asincroni: video registrati, selfie inviati in chat o videochiamate fatte il giorno prima non soddisfano il requisito "qui e ora" indicato dalla sentenza.

Le keybox sono vietate in tutta Italia?

No, non esiste un divieto nazionale: la legge vieta l'accesso senza identificazione, non la keybox in sé. Esistono però divieti comunali sull'installazione: a Milano dal 2026 è vietato installarle su suolo pubblico e su elementi affacciati su spazio pubblico (multe 100–400 € più spese di rimozione); Firenze e Roma hanno divieti analoghi su suolo pubblico e aree storiche. La keybox può restare come consegna chiavi dopo la verifica, mai come sostituto del check-in.

Posso delegare il check-in e l'identificazione a un collaboratore?

Sì: l'identificazione può essere eseguita materialmente da un incaricato che lavora per tuo conto, anche in video. La responsabilità dell'adempimento verso la Questura (art. 109 TULPS) resta però in capo a chi dà alloggio, e la violazione ha natura penale: la delega va formalizzata per iscritto, con procedura definita e prova conservata di ogni verifica. Sull'assetto formale del tuo caso (proprietario, mandato, co-host) fatti assistere da un legale.

La foto del documento inviata su WhatsApp vale come identificazione dell'ospite?

No. La foto del documento — su WhatsApp, email o form online — è raccolta documentale: prepara la pratica ma non identifica nessuno. L'identificazione richiede il confronto in tempo reale tra la persona presente e il titolare del documento, di persona o in video al momento dell'accesso. "Documenti prima + codice automatico" è esattamente il flusso che il Consiglio di Stato ha giudicato insufficiente.

Devo conservare le copie dei documenti degli ospiti come prova?

No, al contrario: il Garante privacy (nota del 29 aprile 2026) ha chiarito che le copie dei documenti non possono essere conservate dopo l'invio ad Alloggiati Web e vanno cancellate — i dati restano 5 anni sui sistemi del Ministero dell'Interno. La prova dell'adempimento è la ricevuta di trasmissione del portale, da conservare 5 anni, insieme al registro interno delle verifiche (chi, quando, esito).

Come gestisco gli arrivi a notte fonda se l'ospite va identificato in tempo reale?

Organizzando la verifica come turno di squadra, non come reperibilità di una persona: una coda di revisione unica dove ogni arrivo in attesa è visibile, coperta da operatori della tua organizzazione a rotazione. Se l'ospite completa tutto prima dell'arrivo, la verifica notturna dura 1-2 minuti: videocollegamento, confronto col documento, sblocco del codice — un atto del tuo processo, che il sistema condiziona e registra. Il tema è approfondito nella guida alla verifica in team (OS-02).

Cosa rischio se non comunico gli ospiti alla Questura?

L'omessa comunicazione dei dati degli ospiti via Alloggiati Web è un reato contravvenzionale (artt. 109 e 17 TULPS), punito con l'arresto fino a 3 mesi o con l'ammenda — non una semplice multa amministrativa. La comunicazione riguarda tutti gli ospiti, non solo il capogruppo, entro 24 ore dall'arrivo o 6 ore per soggiorni sotto le 24 ore. Ai rischi concreti e ai controlli è dedicata una pagina specifica (OS-05).