Dari check-in hotel hingga web gelap: pencurian data di fasilitas akomodasi Italia

Pada tanggal 6 Agustus 2025, Tim Tanggap Darurat Komputer dari Administrasi Publik memberikan peringatan: lebih dari 70.000 dokumen identitas, termasuk paspor dan kartu identitas, telah dicuri dari sistem TI di setidaknya sepuluh hotel di Italia dan dijual di web gelap.

Pada hari-hari berikutnya, Badan tersebut melaporkan bahwa tingkat pelanggaran mungkin lebih besar dari yang diperkirakan dan, pada tanggal 14 Agustus, mengkonfirmasi bahwa kelompok kriminal yang sama telah menerbitkan 9.300 dokumen lagi dari fasilitas akomodasi baru.

Intervensi Otoritas

Penjamin perlindungan data pribadi secara resmi melakukan intervensi pada 13 Agustus, mengumumkan dimulainya pemeriksaan mendesak.

Beberapa fasilitas akomodasi telah memberitahukan pelanggaran sebagaimana disyaratkan oleh GDPR, oleh karena itu Otoritas juga meminta mereka yang belum melaporkannya, mengingat kewajiban untuk segera memberi tahu pelanggan yang terkena dampak. Dalam siaran persnya, Penjamin juga merekomendasikan kepada operator wisatapentingnya meninggalkan praktik berisiko seperti menyimpan salinan dokumen dan untuk menggunakan secara eksklusif metode pemrosesan data yang aman melalui penggunaan portal “Web yang Dihosting” dari Kepolisian Negara.

Kemungkinan konsekuensi dari pencurian

Perdagangan dokumen gelap bukan hanya masalah teknis, namun merupakan bahaya nyata bagi orang-orang yang terlibat.

Perdagangan data di web gelap memicu pasar bawah tanah yang menguntungkan, yang menggunakan pemindaian berkualitas tinggi sebagai sumber dayanya kegiatan kriminal yang semakin canggih. Dengan puluhan ribu dokumen yang dicuri dan ditawarkan untuk dijual secara online, risikonya beragam mulai dari pencurian identitas hingga pembuatan barang palsu, hingga penipuan keuangan atau permintaan kredit atas nama korban.

Bagaimana fasilitas akomodasi harus diaktifkan

Hotel dan B&B memiliki tanggung jawab khusus terkait pengelolaan data pribadi.

Penjamin mengingatkan bahwa, jika terjadi pelanggaran, struktur memiliki waktu 72 jam untuk memberitahukan pelanggaran data tersebut kepada Otoritas, selain itu segera informasikan kepada pelanggan jika kondisi ditentukan oleh seni. 34 dari GDPR. Umumnya, undang-undang melarang penyimpanan salinan dokumen dalam bentuk kertas atau digital: kewajiban hukum hanya menyangkut pendaftaran data di portal Web Alloggiati dalam waktu 24 jam setelah kedatangan. Setiap salinan yang diperoleh demi kenyamanan harus segera dihapus setelah memasukkan data. Penggunaan perangkat lunak manajemen yang aman atau sistem pra-check-in dapat membantu memenuhi persyaratan ini dengan menghindari akumulasi materi sensitif, namun penting untuk memastikan bahwa proses dan alat yang digunakan atau yang akan diadopsi memastikan tingkat perlindungan informasi yang memadai.

Bagaimana seharusnya para tamu berperilaku

Menyadari hak-hak mereka, pelanggan juga dapat berkontribusi untuk mengurangi risiko dan menentang pelanggaran apa pun.

Siapapun yang mencurigai bahwa dokumen mereka telah dibobol harus meminta konfirmasi dari fasilitas tempat mereka tinggal, memantau transaksi perbankan mereka dan mungkin melaporkan segala anomali kepada pihak berwenang. Sebaiknya minta pembekuan atau penggantian dokumen yang disusupi dan perkuat keamanan digital Anda dengan kata sandi yang kuat dan autentikasi dua faktor. Senang juga mengetahui hal itu tidak ada struktur yang dapat memaksa pelanggan untuk memfotokopi dokumen tersebut: verifikasi visual oleh staf sudah cukup. Jika terjadi penyalahgunaan, Anda dapat mengajukan pengaduan kepada Penjamin atau melaporkan kejadian tersebut ke Polisi Pos.

Peraturan perundang-undangan

Undang-undang dengan jelas mengatur apa yang diperbolehkan dan apa yang tidak boleh dilakukan dalam pengumpulan dokumen.

Pasal 109 Undang-Undang Konsolidasi Keamanan Publik mewajibkan pelaku bisnis perhotelan untuk mengidentifikasi tamu dan mengomunikasikan rincian pribadi mereka ke kantor polisi, namun tidak mengizinkan penyimpanan salinan dokumen. GDPR memperkuat prinsip ini dengan menerapkan “minimalkan” data: penyimpanan hanya diperbolehkan jika benar-benar diperlukan, yaitu dengan adanya ketentuan yang tegas. Data yang disimpan hanyalah data yang terdapat dalam daftar hadir sesuai dengan ketentuan yang ditetapkan undang-undang, namun salinan dokumen identitas baik digital maupun kertas tidak disertakan. Praktik pemindaian atau fotokopi kartu identitas tidak memiliki dasar hukum dan menyebabkan fasilitas dikenakan denda yang berat.

Untuk manajemen operasional yang ketat

Selama prosedur identifikasi dan registrasi tamu, cukup patuhi instruksi berikut untuk memastikan kepatuhan terhadap peraturan dan meminimalkan risiko:

• Penerimaan: menerima dokumen digital hanya jika penting untuk entri data. Jika diterima melalui email, obrolan, atau saluran lainnya, gunakan secara eksklusif untuk pendaftaran dan hindari menyimpannya di perangkat Anda.
• Pendaftaran: mengirimkan data ke Mabes Polri dengan memasukkannya ke portal Web Alloggiati dalam waktu 24 jam setelah kedatangan tamu, tanpa mengarsipkan gambar atau scan.
• Pembatalan: Menghapus semua salinan dari perangkat, email, dan obrolan, juga memeriksa folder cadangan, sampah, dan unduhan.
• Memeriksa: Periksa apakah tidak ada jejak yang tersisa di sistem pengarsipan otomatis, layanan cloud, atau folder bersama, untuk memastikan bahwa dokumen tidak dapat dipulihkan atau diduplikasi.
• Komunikasi: memberi tahu tamu bahwa datanya digunakan secara eksklusif untuk komunikasi ke Mabes Polri dan salinannya tidak akan disimpan; bila memungkinkan, lebih baik hanya menunjukkan dokumen pada saat check-in, hindari pengiriman digital.

Perlindungan privasi: antara tanggung jawab dan hak

Kasus ini dengan jelas menunjukkan betapa perlindungan data pribadi merupakan sebuah kebutuhan nyata.

Pencurian besar-besaran dokumen identitas yang dicuri dari hotel-hotel Italia merupakan peringatan yang jelas: pengelolaan data pribadi yang kasar berisiko menjadikannya alat tawar-menawar di tangan kejahatan dunia maya. Kasus ini menunjukkan betapa pentingnya, dalam konteks dimana teknologi semakin meluas, untuk melindungi privasi masyarakat. Ini bukan aspek opsional, tapi satu aspek tanggung jawab penting bagi mereka yang menawarkan jasa dan a hak yang tidak dapat dicabut bagi mereka yang menggunakannya.

Apakah Anda ingin memastikan bahwa bisnis Anda mematuhi undang-undang privasi? Hubungi Spazio88 untuk menerima dukungan yang disesuaikan dengan kebutuhan.