Un hotel deve verificare gli ospiti rispetto alle sanzioni?

Le sanzioni UE riguardano il tuo hotel direttamente — che tu gestisca un ostello, un hotel boutique o un centro congressi. La maggior parte degli albergatori presume che le sanzioni siano un problema delle banche. La realtà è diversa: il divieto di mettere risorse a disposizione delle persone iscritte nelle liste sanzionatorie deriva da un regolamento UE che si applica direttamente a tutti i soggetti che operano nel territorio dell’Unione. Una camera d’albergo è una risorsa economica ai sensi di questa normativa. Se la metti a disposizione di una persona inserita in una lista sanzionatoria, violi il regolamento — non una raccomandazione, non una linea guida, ma un atto giuridico vincolante senza necessità di recepimento nel diritto nazionale.

Questo articolo spiega quando e chi devi verificare, quali liste utilizzare e come si presenta il flusso di lavoro pratico della verifica al check-in.

In breve

• Ogni hotel in Italia ha l’obbligo di non mettere risorse a disposizione delle persone iscritte nelle liste sanzionatorie — deriva dall’art. 2, par. 2 del Regolamento (UE) n. 269/2014 ¹, non dalla normativa antiriciclaggio.
• Un hotel di norma NON è un «destinatario degli obblighi» (soggetto obbligato) ai sensi della normativa antiriciclaggio italiana (d.lgs. 231/2007) — ma questo non lo protegge dalle norme sanzionatorie, che costituiscono un regime giuridico distinto.
• Una camera d’albergo, una sala congressi, un appartamento con servizi = «risorsa economica» ai sensi dell’art. 1, lett. d) del Regolamento 269/2014 ². Metterla a disposizione di una persona in elenco = violazione del divieto.
• Il rischio maggiore: ospiti individuali provenienti da Paesi sottoposti a sanzioni (RU, BY, IR, SY, KP), prenotazioni aziendali con un socio in elenco, soggiorni long-stay di diverse settimane, eventi MICE con sponsor esteri.
• Lo screening si esegue prima del soggiorno — non dopo il check-in.
• Sanzione amministrativa: da 5 000 a 500 000 euro per la violazione degli obblighi di congelamento, ai sensi dell’art. 13 del d.lgs. 22 giugno 2007, n. 109 ³.
• La Direttiva (UE) 2024/1226 del 24 aprile 2024 criminalizza le violazioni dolose delle sanzioni. Il termine di recepimento era il 20 maggio 2025 ⁴; l’Italia ha recepito la direttiva con il d.lgs. 30 dicembre 2025, n. 211, in vigore dal 24 gennaio 2026.

Un hotel è un destinatario degli obblighi antiriciclaggio?

Partiamo da un equivoco frequente. Il decreto legislativo 21 novembre 2007, n. 231 (normativa antiriciclaggio, di seguito: d.lgs. AML) contiene all’art. 3 un elenco chiuso dei destinatari degli obblighi antiriciclaggio. Il settore alberghiero come categoria non figura, di per sé, in tale elenco — un hotel che svolge la normale attività ricettiva non è un destinatario degli obblighi (soggetto obbligato) ai sensi di tale normativa. ⁵

C’è un’eccezione che vale la pena di notare: il d.lgs. AML include tra i destinatari degli obblighi anche i soggetti che svolgono attività di commercio di cose/oggetti quando l’operazione avviene in contanti per un valore pari o superiore alle soglie previste dalla normativa antiriciclaggio. La parola chiave è «cose/beni» — la disposizione riguarda le operazioni su beni, non i servizi. Un hotel eroga essenzialmente un servizio ricettivo e perciò, in linea di principio, non rientra in questa categoria per il solo fatto di gestire un albergo. Situazioni particolari — ad esempio la vendita di arredi, di prodotti in hotel o di prestazioni analoghe di natura merceologica — possono modificare la valutazione. La decisione su questo punto va lasciata a uno studio legale. ⁵

Per completezza: anche se il tuo hotel rientrasse eccezionalmente tra i destinatari degli obblighi, le soglie applicabili alle operazioni occasionali in contanti previste dal d.lgs. AML — e gli obblighi di adeguata verifica che ne derivano — vanno valutate caso per caso secondo la normativa antiriciclaggio. ⁶

L’assenza dello status di destinatario degli obblighi significa nessun obbligo di adeguata verifica della clientela (la cosiddetta KYC — Know Your Customer), di segnalazione delle operazioni sospette all’Unità di Informazione Finanziaria per l’Italia (UIF) o di iscrizione nel registro dei titolari effettivi. Si tratta però di una questione del tutto separata dagli obblighi sanzionatori.

Antiriciclaggio e sanzioni — due regimi giuridici distinti

Vale la pena tenere a mente questa distinzione, perché viene confusa di continuo. Il regime antiriciclaggio derivante dal d.lgs. 231/2007 riguarda esclusivamente i destinatari degli obblighi e impone loro: l’adeguata verifica della clientela, la segnalazione delle operazioni sospette all’UIF, le procedure interne. Il regime sanzionatorio derivante dai regolamenti UE 269/2014 e 833/2014 e dal d.lgs. 109/2007 riguarda tutti i soggetti che operano nel territorio dell’UE e dell’Italia — indipendentemente dallo status di destinatario degli obblighi. Non sono norme per le banche. Sono norme per tutti. Una spiegazione più completa di questa differenza è disponibile nell’articolo sulla differenza tra antiriciclaggio e sanzioni.

Su quale base giuridica un hotel deve verificare gli ospiti?

La base centrale è il Regolamento (UE) n. 269/2014 del Consiglio, del 17 marzo 2014, concernente misure restrittive relative ad azioni che compromettono o minacciano l’integrità territoriale, la sovranità e l’indipendenza dell’Ucraina (di seguito: reg. 269/2014). L’art. 2, par. 2 del reg. 269/2014 stabilisce espressamente: «Nessun fondo o risorsa economica è messo a disposizione, direttamente o indirettamente, delle persone fisiche o giuridiche, delle entità o degli organismi elencati nell’allegato I o a loro beneficio.» ¹

Cos’è una «risorsa economica»? L’art. 1, lett. d) del reg. 269/2014 definisce le risorse economiche come «attività di qualsiasi tipo, materiali o immateriali, mobili o immobili, che non sono fondi ma che possono essere utilizzate per ottenere fondi, beni o servizi». ² Una camera d’albergo è un’attività materiale che può procurare un beneficio economico all’ospite. Una sala congressi, un parcheggio, un appartamento con servizi — allo stesso modo. Mettere una qualsiasi di queste risorse a disposizione di una persona iscritta in una lista sanzionatoria costituisce una violazione dell’art. 2, par. 2 del reg. 269/2014.

Va osservato che il Regolamento (UE) n. 833/2014 del Consiglio, del 31 luglio 2014, concernente misure restrittive in considerazione delle azioni della Russia — nelle versioni consolidate analizzate — non contiene un divieto di servizi ricettivi o di alloggio come categoria autonoma. I divieti settoriali del reg. 833/2014 riguardano l’energia, la finanza, i prodotti a duplice uso e la logistica marittima. L’obbligo sanzionatorio dell’hotel deriva quindi anzitutto dal reg. 269/2014, non dal reg. 833/2014.

Una base nazionale integrativa è data dal decreto legislativo 22 giugno 2007, n. 109, recante misure per prevenire, contrastare e reprimere il finanziamento del terrorismo e l’attività dei Paesi che minacciano la pace e la sicurezza internazionale (di seguito: d.lgs. 109/2007). L’art. 5 del d.lgs. 109/2007 disciplina gli obblighi di congelamento dei fondi e delle risorse economiche e il divieto di metterli a disposizione dei soggetti designati; l’art. 3 istituisce presso il Ministero dell’Economia e delle Finanze il Comitato di Sicurezza Finanziaria (CSF), che coordina in Italia l’attuazione delle misure di congelamento adottate da ONU, Unione europea e a livello nazionale. ⁷ L’Italia non tiene una lista sanzionatoria nazionale autonoma e applica la lista consolidata UE. Le sanzioni per la violazione degli obblighi di congelamento sono previste dall’art. 13 dello stesso decreto. ³

Una questione a sé è la cosiddetta regola della proprietà del 50%. Un’entità controllata per oltre il 50% da un soggetto colpito da sanzioni è essa stessa considerata soggetta a sanzioni — anche se la società in quanto tale non figura nominativamente in alcuna lista. ⁸ Ciò ha rilevanza diretta per le prenotazioni aziendali e gli eventi MICE: società «pulita», ma proprietario in elenco = società soggetta a sanzioni. Puoi approfondire questa regola nell’articolo dedicato alla regola della proprietà del 50% nelle sanzioni UE.

Le basi giuridiche complete dell’obbligo di sanction screening per le imprese al di fuori del settore finanziario sono trattate in un articolo pilastro a parte.

Quali situazioni in un hotel generano il rischio più alto?

Non tutte le prenotazioni richiedono una verifica approfondita — ma alcuni scenari dovrebbero attivare automaticamente la procedura di screening. Ecco i più rilevanti.

Soggiorno individuale da un Paese sottoposto a sanzioni. Un ospite con passaporto russo, bielorusso, iraniano, siriano o nordcoreano (RPDC) non è automaticamente una persona sanzionata — le sanzioni riguardano soggetti specifici, non le nazionalità. Tuttavia, il solo fatto della cittadinanza di un Paese ad alto rischio è un trigger legittimo per la verifica nella lista sanzionatoria prima del check-in.

Prenotazione aziendale o corporate. L’impresa che dispone il soggiorno può essere pulita nel registro, ma il suo socio — no. In base alla regola di proprietà del 50% ⁸ è sufficiente che un soggetto in elenco detenga oltre la metà dei diritti di proprietà di quell’impresa perché l’impresa stessa diventi soggetta a sanzioni. In una prenotazione corporate verifichi l’impresa e i suoi soci.

Long-stay e appartamenti con servizi. Un soggiorno di diverse settimane ha natura simile alla messa a disposizione di un immobile in uso — analogamente al leasing o alla locazione di lungo periodo. Il rischio è tanto più alto quanto maggiore è il valore economico del servizio prestato. Un meccanismo analogo nel trasporto e nella spedizione è descritto nell’articolo sulle sanzioni nel trasporto e nella spedizione.

Eventi MICE (Meeting, Incentive, Conference, Exhibition). Negli eventi congressuali o incentive il rischio riguarda non solo i partecipanti, ma soprattutto l’organizzatore, gli sponsor e i soggetti che finanziano l’evento. Nei grandi eventi con delegazioni estere — la verifica è indispensabile già in fase di firma del contratto con l’organizzatore.

Prenotazione tramite intermediario (OTA, agenzia di viaggi). Quando la prenotazione è effettuata da una piattaforma OTA o da un’agenzia di viaggi e l’hotel non conosce direttamente i dati dell’ospite, emerge la questione della responsabilità. La risposta del diritto UE è univoca: l’obbligo deriva dal rapporto giuridico in cui l’hotel mette a disposizione la risorsa — indipendentemente dal canale di prenotazione. L’assenza dei dati dell’ospite non esonera il tuo hotel dalla responsabilità. È opportuno regolare questo aspetto nel contratto con l’OTA o l’agenzia.

Pagamenti con bonifico da una banca o da un conto di un Paese sottoposto a sanzioni. Un bonifico da un conto estero non è automaticamente una violazione, ma è un trigger per la verifica dell’identità del pagatore.

Tabella: Scenari di rischio nel settore alberghiero

Chi verificare e con quale lista?

La lista di base che ogni hotel in Italia dovrebbe conoscere è la lista consolidata delle sanzioni dell’UE (EU Consolidated Sanctions List). È gestita dalla Commissione europea — comprende persone ed entità di tutti i regimi sanzionatori dell’UE, incluso quello del reg. 269/2014. Per saperne di più su come utilizzare questa lista, vedi l’articolo sulla lista consolidata delle sanzioni dell’UE.

In Italia non esiste una lista sanzionatoria nazionale autonoma: si applica la lista consolidata UE, il cui rispetto è coordinato a livello nazionale dal Comitato di Sicurezza Finanziaria (CSF) istituito presso il MEF ai sensi dell’art. 3 del d.lgs. 109/2007. ⁷ La lista consolidata UE è consultabile sulla EU Sanctions Map e nella Financial Sanctions Database della Commissione europea.

Facoltativamente — se il tuo hotel accetta pagamenti in USD o serve clienti dagli USA — vale la pena considerare la lista OFAC SDN (Specially Designated Nationals and Blocked Persons List) gestita dal Dipartimento del Tesoro statunitense.

Chi verificare:

• La persona che prenota (nome, cognome) — sempre
• La persona che effettua il check-in, se diversa da quella che prenota — sempre
• Chi paga il soggiorno, se diverso dall’ospite — sempre
• L’impresa che sponsorizza il soggiorno (in caso di prenotazione corporate) + i suoi soci (regola del 50%) ⁸
• L’organizzatore e gli sponsor dell’evento (in caso di MICE) — prima della firma del contratto

Quando verificare: in fase di prenotazione con anticipo o, al più tardi, prima del check-in. Lo screening dopo il check-in è tecnicamente possibile, ma operativamente tardivo — se l’ospite si trova già in hotel, il problema si complica.

La lista viene aggiornata a ogni successivo pacchetto di sanzioni UE — un argomento a favore dell’automazione dello screening rispetto alla ricerca manuale. Una descrizione dei metodi di verifica è disponibile nell’articolo su come effettuare tecnicamente la verifica della controparte.

Passo per passo — come implementare lo screening in un hotel

Il flusso di lavoro che segue puoi implementarlo in reception fin da subito, anche senza un software di screening automatico.

Passo 1 — Raccogli i dati in fase di prenotazione. Ti servono: nome e cognome dell’ospite, cittadinanza, denominazione dell’impresa che sponsorizza il soggiorno (in caso di prenotazione corporate). Per gli eventi MICE: i dati dell’organizzatore e dei soggetti finanziatori. Senza questi dati lo screening è impossibile.

Passo 2 — Verifica prima del soggiorno. Verifica l’ospite nella lista consolidata UE. Nelle prenotazioni corporate — verifica anche l’impresa e i suoi soci. ⁸ Per i pagamenti in USD o i clienti dagli USA — in aggiunta la lista OFAC SDN. Come funziona lo screening sanzionatorio dal punto di vista tecnico è spiegato nell’articolo come funziona il sanction screening.

Passo 3 — Valuta l’esito. Tre possibili esiti della verifica: CLEAR (nessuna corrispondenza — gestione standard), POSSIBLE (somiglianza dei dati senza certezza — richiedi un documento di identità aggiuntivo e distingui dalla persona in elenco), MATCH (corrispondenza — rifiuta la prestazione del servizio).

Passo 4 — In caso di esito MATCH: rifiuta ed escala internamente. Non hai poteri di polizia — non trattieni l’ospite. L’azione corretta è: rifiuto del servizio ricettivo, immediata escalation interna al management o alla persona designata responsabile della compliance, consulenza legale. La comunicazione dei fondi o la segnalazione delle circostanze sospette all’organo competente (UIF o altro organo competente) avviene secondo la politica interna dell’hotel.

Passo 5 — Documenta l’esito della verifica. Registra: l’esito del controllo (CLEAR / POSSIBLE / MATCH), data e ora, i dati dell’ospite, chi ha effettuato la verifica, quali liste sono state controllate. Questa documentazione è la prova dell’adeguata diligenza (due diligence) in caso di controllo o procedimento amministrativo.

Passo 6 — Per gruppi ed eventi MICE. Organizza una verifica batch sulla base dell’elenco dei partecipanti fornito prima dell’evento — non il giorno dell’apertura. Il minimo è la verifica dell’organizzatore e degli sponsor. Per i grandi gruppi corporate — la verifica di tutti i partecipanti.

Passo 7 — Regola la responsabilità con gli intermediari. Se il tuo hotel opera tramite OTA o agenzie di viaggi, stabilisci per iscritto (contratto, addendum) chi effettua lo screening e quale ambito di dati richiede. Ricorda: l’hotel rimane comunque responsabile del fatto di aver messo la risorsa a disposizione di una persona sanzionata.

Cosa NON è richiesto: non devi rifiutare il servizio a ogni cittadino russo, bielorusso o iraniano. Verifichi dati personali specifici in una banca dati specifica — non la nazionalità.

Specificità degli eventi MICE e dei soggiorni di lungo periodo

I segmenti MICE e long-stay meritano una trattazione a parte, perché il loro profilo di rischio differisce dal soggiorno individuale standard.

Nel caso degli eventi MICE il rischio non risiede principalmente nei partecipanti — risiede nella struttura di finanziamento dell’evento. Sponsor esteri, imprese che coprono i costi della conferenza, organizzatori che operano tramite un’entità giuridica di un Paese sottoposto a sanzioni — questi sono i vettori di rischio. Prima di firmare il contratto con l’organizzatore dell’evento, verifica i suoi dati e la struttura proprietaria secondo la regola del 50%. ⁸ L’elenco dei partecipanti fornito una settimana prima dell’evento è il minimo — nelle grandi manifestazioni corporate dovrebbe arrivarti prima.

Un soggiorno in un appartamento con servizi che supera il mese si avvicina, per natura, alla messa a disposizione di un immobile in uso. Sul piano del rischio sanzionatorio l’argomento è analogo: trasferisci una risorsa economica di valore rilevante per un periodo prolungato. È opportuno trattare tali prenotazioni come operazioni a rischio elevato — con la piena verifica dell’ospite e dell’impresa che lo sponsorizza.

Le organizzazioni di settore del comparto alberghiero (IH&RA, HOTREC) non hanno finora pubblicato linee guida dedicate alla compliance sanzionatoria per il settore alberghiero. L’assenza di una guida centrale significa che ogni operatore della struttura deve definire autonomamente la propria procedura interna — basandosi direttamente sulle norme UE e italiane.

Cosa rischi se non verifichi?

Le sanzioni e le conseguenze è bene conoscerle — non per avere paura, ma per comprendere la posta in gioco.

Sanzione amministrativa da 5 000 a 500 000 euro. Ai sensi dell’art. 13 del d.lgs. 22 giugno 2007, n. 109, la violazione degli obblighi di congelamento di cui all’art. 5 (mancata applicazione del congelamento o messa a disposizione di fondi e risorse economiche ai soggetti designati) è punita con una sanzione amministrativa pecuniaria da 5 000 euro a 500 000 euro, salvo che il fatto costituisca reato. ³ La sanzione non richiede la prova del dolo — è sufficiente il fatto oggettivo della messa a disposizione della risorsa a una persona sanzionata. Una panoramica completa delle sanzioni è disponibile nell’articolo sulle pene per la violazione delle sanzioni UE.

Rischio di responsabilità penale. La Direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio, del 24 aprile 2024, relativa alla definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell’Unione (CELEX 32024L1226) ha imposto agli Stati membri l’obbligo di criminalizzare le violazioni dolose delle sanzioni. ⁴ Il termine di recepimento era il 20 maggio 2025 ⁴; l’Italia ha completato il recepimento con il d.lgs. 30 dicembre 2025, n. 211, in vigore dal 24 gennaio 2026, che ha introdotto nel codice penale un autonomo apparato penale (artt. 275-bis e seguenti). La violazione dolosa delle sanzioni è quindi reato per le persone fisiche — incluso il management dell’hotel. I dettagli della direttiva sono trattati nell’articolo sulla direttiva 2024/1226 sulla criminalizzazione delle violazioni delle sanzioni.

Rischio bancario e reputazionale. La banca che serve il tuo hotel può bloccare il conto se rileva un’operazione con un soggetto sanzionato — anche prima che venga avviato un procedimento amministrativo. Il blocco del conto operativo dell’hotel è un effetto pratico immediato, indipendente dal procedimento amministrativo.

FAQ — domande degli albergatori sulle sanzioni

Devo verificare ogni ospite, o solo i cittadini russi? Verifichi i dati personali, non il passaporto. L’obbligo sanzionatorio riguarda soggetti specifici iscritti nelle liste — la loro nazionalità è secondaria. In pratica, per ragioni di efficienza, conviene adottare un approccio basato sul rischio: gli ospiti provenienti da Paesi ad alto rischio (RU, BY, IR, SY, KP) e le prenotazioni corporate da tali Paesi richiedono la verifica in via prioritaria. Una verifica basata esclusivamente sulla nazionalità è insufficiente e giuridicamente problematica (discriminazione). La verifica basata sui dati presenti nelle liste sanzionatorie — corretta.

Chi risponde quando la prenotazione è effettuata da un’OTA e l’hotel non conosce l’ospite? L’hotel mette a disposizione la risorsa — ed è l’hotel a sostenere la responsabilità sanzionatoria per questo fatto. Il canale di prenotazione è operativamente irrilevante dal punto di vista del reg. 269/2014. È opportuno regolare per iscritto con ciascuna OTA o agenzia: chi raccoglie i dati dell’ospite e chi effettua lo screening. L’hotel deve comunque essere in grado di dimostrare che la verifica è stata effettuata.

Devo tenere un registro degli esiti dello screening? Non esiste un obbligo di legge di tenere un registro delle verifiche per gli hotel (a differenza dei destinatari degli obblighi antiriciclaggio). Tuttavia, la documentazione degli esiti dello screening è la migliore prova dell’adeguata diligenza in caso di controllo o procedimento amministrativo. L’assenza di documentazione non protegge — la messa a disposizione della risorsa è comunque avvenuta.

Cosa fare quando l’esito è POSSIBLE — somiglianza di nomi, ma nessuna certezza? Non rifiutare automaticamente il servizio. Chiedi un documento di identità aggiuntivo e confronta i dati di dettaglio con la voce in elenco: data di nascita, cittadinanza, indirizzo. Se dopo la verifica aggiuntiva non c’è corrispondenza — CLEAR. Se permangono dubbi — consulenza legale prima del check-in.

Con quale frequenza vengono aggiornate le liste sanzionatorie? La lista consolidata UE viene aggiornata a ogni successivo pacchetto di sanzioni — regolarmente, anche se gli intervalli tra gli aggiornamenti possono variare. È uno dei motivi per cui il controllo manuale nel motore di ricerca sul sito EUR-Lex è inefficiente in presenza di un flusso regolare di ospiti.

Come Sanqto può aiutarti

Sanqto è un software per il sanction screening installato nella rete del cliente (on-premise) — i dati dei tuoi ospiti non lasciano l’infrastruttura dell’hotel. La verifica restituisce un esito in tre stati: MATCH, POSSIBLE, CLEAR, con un tempo di risposta inferiore a 30 ms , il che consente di integrarla nel flusso di lavoro della reception senza disturbare il servizio agli ospiti. Per il settore alberghiero questo aiuta ad automatizzare la fase di verifica alla prenotazione o al check-in e a ridurre il rischio di una svista umana in presenza di un flusso elevato. I dettagli sull’implementazione negli hotel sono descritti nella pagina dedicata al settore alberghiero.

Base giuridica

• Regolamento (UE) n. 269/2014 del Consiglio, del 17 marzo 2014, concernente misure restrittive relative ad azioni che compromettono o minacciano l’integrità territoriale, la sovranità e l’indipendenza dell’Ucraina — CELEX 32014R0269
• Regolamento (UE) n. 833/2014 del Consiglio, del 31 luglio 2014, concernente misure restrittive in considerazione delle azioni della Russia che destabilizzano la situazione in Ucraina — CELEX 32014R0833
• Decreto legislativo 22 giugno 2007, n. 109 — misure per prevenire, contrastare e reprimere il finanziamento del terrorismo e l’attività dei Paesi che minacciano la pace e la sicurezza internazionale — art. 5 (obblighi di congelamento) e art. 13 (sanzione amministrativa da 5 000 a 500 000 euro) — normattiva
• Decreto legislativo 21 novembre 2007, n. 231 — normativa antiriciclaggio (AML); art. 3 (destinatari degli obblighi) e disciplina dell’UIF presso la Banca d’Italia — Banca d’Italia
• Decreto legislativo 30 dicembre 2025, n. 211 — attuazione della direttiva (UE) 2024/1226; in vigore dal 24 gennaio 2026 — normattiva
• Direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio, del 24 aprile 2024, relativa alla definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell’Unione — CELEX 32024L1226
• DG FISMA — Sanctions adopted following Russia’s military aggression against Ukraine (sezione Ownership rule) — finance.ec.europa.eu

Footnotes

Informazione, non consulenza legale. Il presente articolo ha finalità esclusivamente informative e non costituisce consulenza legale. La valutazione giuridica del singolo caso va effettuata con un avvocato esperto in diritto delle sanzioni internazionali e del commercio estero. Stato del diritto: 27 maggio 2026.