Alberghi, legittima la pratica per tutelarsi dal «no show»

Tramite posta elettronica, ho effettuato la prenotazione di una camera d’albergo, fornendo, su richiesta dell’esercente, il numero della mia carta di debito, la data di scadenza e il nominativo dell’intestatario (ma non il numero di sicurezza a tre cifre, riportato sul retro). Prima del check-in, l’albergo ha effettuato l’addebito dell’intera somma, anziché operarne il semplice blocco a titolo di garanzia, come avvenuto in casi analoghi. Ho chiesto delucidazioni in merito e l’esercente ha spiegato che la prenotazione era stata effettuata entro 48 ore dalla data del soggiorno, e che per questo motivo - anche in caso di disdetta del cliente - sarebbe stata addebitata l’intera somma. Dato che le direttive della Banca centrale (Mifid e simili) impongono parametri stringenti per quanto attiene ai pagamenti online (per esempio l'utilizzo di token e codici di sicurezza per autorizzare un'operazione), come è possibile che i dati forniti all'esercente, da soli, consentano a chiunque di prelevare denaro dal conto? La procedura adottata dall’esercente è regolare?