Lunedì sera. Un messaggio cordiale da Lanzarote. "Salve! 👋 Per garantire un arrivo senza problemi, deve completare il check-in online nell'app HOOMVIP. A causa delle normative locali, questa registrazione è obbligatoria."
Meraviglioso. Benvenuti in vacanza. Primo punto all'ordine del giorno: un altro modulo. Chi è HOOMVIP? Non è scritto da nessuna parte nell'annuncio con cui ho prenotato. Clicco sul link, e Airbnb stessa mi avverte: "Stai uscendo da Airbnb. Assicurati di fidarti della fonte prima di continuare." Sto dunque lasciando l'azienda con cui ho prenotato per fare il check-in che è la condizione per entrare nell'appartamento che ho pagato tramite Airbnb.
Già questo è assurdo. E peggiora.
Martedì mattina, mi siedo con la mia carta d'identità svizzera e il telefono. Lo scanner non legge il codice sul retro. Inserimento manuale: rifiutato. Di nuovo: rifiutato. Invio le foto del mio documento tramite la chat di Airbnb. La risposta, da una dipendente di nome Gina: "Per motivi di sicurezza e protezione dei dati non possiamo completare il check-in con immagini JPG del documento inviate per messaggio."
Rileggete la frase. Una foto del mio documento sulla chat criptata di Airbnb è troppo insicura. Caricare lo stesso documento più il mio volto in un'app di terzi di cui non avevo mai sentito parlare tre giorni prima — questo è sicuro. Chiedo se posso semplicemente mostrare la carta alla porta, come in qualsiasi hotel. No. La serratura non si apre senza il modulo. Annullo. Airbnb rimborsa inizialmente il 50 percento. Per un appartamento in cui non ho mai messo piede.
Fin qui l'aneddoto. Ora la sostanza — ed è più grande di quanto pensassi.
Su Airbnb l'host appare come "Sarah Y Andrés" — nomi cordiali, una piccola foto profilo. Dietro c'è Country Villas Lanzarote, un marchio di affitti vacanze con sede a Mácher. L'entità giuridica dietro è GESTUR MARAVILLA, S.L.U. (codice fiscale B76202332), fondata nel 2014, sede legale Camino Los Olivos 76, Mácher. Tramite il proprio sito l'azienda gestisce 53 alloggi; su Airbnb, sotto il profilo "Sarah Y Andrés" (host ID 133523114), ci sono circa 45 annunci attivi — con una crescita del 350 percento nell'ultimo anno (fonte: Airbtics, maggio 2026).
E qui diventa una questione di interesse pubblico: il sistema di accesso automatico su cui il mio check-in è fallito non è un progetto privato. In fondo al sito di Country Villas è scritto chiaramente — il progetto "LanzaLock — Acceso Automatizado en Alojamientos" (numero di pratica DUM-030000-2023-578) è stato finanziato dal programma spagnolo "Última Milla" per la digitalizzazione delle imprese turistiche. Quel programma fa parte del Plan de Recuperación, Transformación y Resiliencia — cioè finanziato con fondi UE del programma Next Generation EU. Il registro pubblico del ministero del turismo spagnolo lo conferma: il beneficiario del finanziamento è GESTUR MARAVILLA, S.L.U.
In altre parole: un sistema di accesso finanziato con i soldi dei contribuenti europei ha lasciato un viaggiatore fuori dalla porta perché non riusciva a leggere la sua valida carta d'identità svizzera — e l'operatore non offriva alcuna alternativa.
Ed è esattamente qui che sta il difetto di progettazione. La Svizzera non fa parte dell'UE. La carta d'identità svizzera è un documento di viaggio pienamente valido in tutta Europa — ma non segue gli stessi modelli dei documenti UE standard su cui sono addestrati questi sistemi di scansione. Chi arriva con un documento svizzero, britannico o di un altro paese europeo non-UE corre, proprio per questo, un rischio maggiore che l'automazione fallisca. Un sistema senza via d'uscita umana alla porta è un sistema che svantaggia strutturalmente questi viaggiatori.
Che esista un'alternativa non è la mia opinione. È la dichiarazione dello stesso fornitore del software. Interpellata da CITA News, HOOMVIP ha risposto in poche ore, in modo chiaro e diretto: "Hoomvip acts as a data processor, NOT AS THE DATA CONTROLLER. It is the responsibility of the accommodation owner to comply with the GDPR principles." E, alla domanda su cosa succede quando lo scanner non riesce a leggere un documento: "Guest can fulfil a form and the owner may check the identity at the guest's arrival."
Quindi l'override esiste. Country Villas Lanzarote avrebbe potuto registrarmi alla porta con il passaporto. È stata una scelta. Non l'hanno fatta.
Country Villas Lanzarote, l'azienda dietro la cordiale coppia di nomi, non è un piccolo privato. Sede a Mácher, fondata nel 2014, un team di cinque persone, sito proprio, annunci paralleli su Booking, Vrbo, Expedia. Alla chiusura della redazione Sarah e Andrés avevano lasciato senza risposta due richieste dettagliate di CITA News — anche la domanda se la procedura sia identica in tutti i 45 appartamenti. Poiché non è arrivata alcuna smentita, si deve presumere che il sistema standardizzato sia applicato in modo identico ovunque. Un gestore immobiliare professionale che usa un software uniforme e finanziato dallo Stato non gestisce 45 procedure di check-in diverse.
Anche la legge spagnola è dalla parte dell'ospite. L'autorità spagnola per la protezione dei dati AEPD ha chiarito il 17 giugno 2025: per adempiere alla legge sulla registrazione degli ospiti (Real Decreto 933/2021), l'ispezione visiva del documento fisico alla porta è sufficiente. Gli operatori non possono richiedere copia o scansione — ciò viola il principio di minimizzazione dei dati del GDPR. Un hotel è già stato multato di 30.000 euro per questo.
Cosa diceva in realtà l'annuncio con cui ho prenotato? L'unico passaggio sul check-in recita: "Once you confirm your booking, we will ask you to complete an online check-in through our app… you will receive a personal access code for the electronic lock." Nessuna menzione di HOOMVIP. Nessuna menzione di trattamento biometrico. Nessuna menzione che il modulo sia obbligatorio. Nessuna menzione che la verifica visiva alla porta sarà negata. Niente di ciò che il GDPR richiede di comunicare prima della raccolta dei dati personali.
Parallelamente a questo articolo, CITA News ha presentato una denuncia formale all'AEPD.
Ciò in cui sarei entrato alla porta è la nuova architettura del business spagnolo degli affitti brevi. L'ospite vede Airbnb. Dietro Airbnb c'è Avantio, una società di software di Valencia. Dietro Avantio c'è HOOMVIP, che gestisce le chiavi, il modulo e la scansione biometrica, e invia i dati al Ministero dell'Interno. Prenoti con un'azienda. Quattro finiscono per trattare i tuoi dati. Una sola l'hai scelta tu.
E Airbnb? Dopo tre escalation scritte, una senior supervisor di nome Laura ha concesso il rimborso completo — con una frase notevole: "As a one-time exception." Un'eccezione una tantum. Non l'applicazione della propria politica di rimborso, che tratta un mancato check-in causato dall'host come un Travel Issue con diritto al rimborso completo. Un'eccezione — per l'ospite che fa escalation tre volte.
La lettera di Laura difende la prassi sostenendo che "the host did disclose the registration requirement within the listing description." Il testo dell'annuncio citato sopra lo smentisce. Airbnb incassa la commissione su ognuna di quelle 45 prenotazioni, crea la fiducia che rende possibili le prenotazioni — e lascia l'ospite alla porta a un'app che non ha certificato, e a un override che l'host non usa.
Un marchio quando prenoti. Un intermediario quando paghi. Non è questo che si paga con la commissione.
Cosa puoi fare prima di prenotare
Verifica l'operatore. Se l'annuncio è sotto "Sarah Y Andrés" (host ID 133523114) o contiene il nome "Country Villas Lanzarote", sai quale procedura di check-in ti aspetta.
Leggi attentamente la sezione check-in. "Online check-in", "digital key", "our app" sono parole in codice per una procedura di terzi con scansione del documento ed eventuale verifica biometrica.
Conosci i tuoi diritti. Il 17 giugno 2025 l'AEPD ha chiarito: l'ispezione visiva del documento fisico alla porta è sufficiente. Gli operatori non possono richiedere copia o scansione. Puoi pretendere la verifica visiva — anche quando l'app fallisce.
Se tutto va storto: i reclami vanno all'AEPD (sede.aepd.gob.es), all'autorità dei consumatori delle Canarie (Dirección General de Consumo), o tramite la piattaforma UE di risoluzione delle controversie online. Fai escalation per iscritto, con scadenza e data. Ai sensi dell'articolo 20 del Digital Services Act dell'UE, Airbnb è tenuta a fornire un sistema interno di reclami efficace.
CITA News ha chiesto un commento a Country Villas Lanzarote / GESTUR MARAVILLA S.L.U., Airbnb, Avantio e HOOMVIP. HOOMVIP e Airbnb hanno risposto; le loro dichiarazioni sono citate nel testo. Country Villas Lanzarote non aveva risposto alla chiusura della redazione. Una denuncia formale contro l'azienda è stata presentata all'autorità spagnola per la protezione dei dati AEPD. Questo articolo sarà aggiornato man mano che arriveranno ulteriori dichiarazioni.