LGPD para hotéis: o que a lei exige na prática

Hotéis coletam dados pessoais em quase toda interação com o hóspede: cadastro na reserva, check-in, pagamento, preferências de quarto, solicitações de serviço, programas de fidelidade. É um volume diversificado de dados pessoais, tratado de forma rotineira por várias equipes e sistemas.

A Lei Geral de Proteção de Dados (LGPD) se aplica a essa coleta com a mesma força que se aplica a qualquer outro segmento. As obrigações não mudam por conta do setor. O que muda é como elas se aplicam na prática do dia a dia de um hotel.

O que a LGPD exige, na prática

A LGPD estabelece que todo tratamento de dados pessoais precisa de uma base legal. Para hotéis, as bases mais relevantes são a execução do contrato de hospedagem (reserva, estadia, cobrança e as comunicações operacionais ligadas a elas), o cumprimento de obrigação legal (como a FNRH e a emissão de nota fiscal), o legítimo interesse (por exemplo, a segurança patrimonial com CFTV) e o consentimento (em geral, para marketing e comunicações não relacionadas ao serviço contratado).

Isso significa que você pode usar o e-mail do hóspede para enviar a confirmação de reserva e a nota fiscal sem pedir consentimento explícito. Já para newsletter ou promoções, a base mais segura é o consentimento documentado, com opção de opt-out a qualquer momento. O interesse legítimo até pode, em tese, amparar contato comercial pontual, mas exige um teste de proporcionalidade caso a caso e é mais fácil de contestar. Por isso, para marketing, é mais seguro não depender dele.

Além da base legal, a LGPD exige:

Transparência: Os hóspedes precisam saber quais dados você coleta, para que fins e por quanto tempo os mantém. Isso vai para a política de privacidade, que precisa estar acessível antes da reserva.

Direitos dos titulares: Qualquer hóspede pode solicitar acesso aos seus dados, correção de informações incorretas, ou exclusão dos dados que não sejam necessários para obrigações legais. Você precisa ter um processo para atender essas solicitações.

Notificação de incidentes: Se houver um incidente de segurança que possa causar risco ou dano relevante aos titulares, você precisa comunicá-lo à ANPD e aos titulares afetados em até 3 dias úteis a partir do conhecimento (Resolução CD/ANPD nº 15/2024; agentes de pequeno porte têm prazo em dobro). Sem um processo de resposta a incidentes documentado, isso se torna caótico na prática.

Onde os hotéis costumam ter lacunas

Lacunas frequentes em hotéis incluem:

Dados de hóspedes espalhados por sistemas desconectados: PMS, planilhas da recepção, e-mail da equipe, sistema de reservas online e canal do WhatsApp guardando conversas com dados pessoais. Sem um mapa de onde os dados estão, você não consegue cumprir obrigações de exclusão nem responder a solicitações de titulares com precisão.

Ausência de contratos adequados com fornecedores: Fornecedores que processam dados de hóspedes em nome do hotel, geralmente o PMS, o sistema de reservas, a plataforma de marketing por e-mail e o sistema de pagamento, costumam se enquadrar como operadores de dados nos termos da LGPD. Os contratos com eles precisam incluir cláusulas específicas de proteção de dados.

Marketing sem base legal clara: E-mails promocionais enviados para hóspedes antigos sem consentimento documentado são um ponto de exposição frequente: sem base legal documentada, o hotel tem dificuldade de justificar o envio se o titular ou a ANPD questionar.

Nossa equipe de conformidade para hotelaria pode fazer um diagnóstico da sua situação atual e orientar o processo de adequação.

Que dados o seu hotel processa, sistema por sistema

Para saber se a sua operação está de fato adequada, ajuda menos falar em "dados pessoais" de forma abstrata e mais mapear onde eles estão. Em um hotel típico, isso passa por:

PMS: nome, documento, endereço, dados de contato, histórico de estadias e preferências do hóspede, além dos dados da FNRH.

Motor de reservas e OTAs: os mesmos dados de identificação, mais dados de pagamento parciais e, no caso das OTAs, um repasse de dados que ocorre fora do site do hotel, mas ainda sob responsabilidade compartilhada quando o hotel usa esses dados para o check-in.

Provedores de pagamento: dados de cartão e transação, tratados sob PCI DSS além da LGPD (veja o guia de PCI DSS para hotéis).

CFTV: imagem de hóspedes e visitantes nas áreas comuns, também é dado pessoal sob a LGPD, com sua própria política de retenção e controle de acesso às gravações.

Wi-Fi de hóspedes: registros de conexão, que o Marco Civil da Internet (art. 13) obriga provedores de conexão a guardar por um ano. Se essa obrigação alcança o Wi-Fi do hotel é algo a avaliar com o jurídico, e esses registros precisam do mesmo cuidado que qualquer outro dado pessoal.

Marketing: e-mail, telefone e, cada vez mais, o número de WhatsApp do hóspede, usados para reengajamento e promoções, tratados em geral com base em consentimento documentado e opção de opt-out.

WhatsApp da recepção: conversas com hóspedes contendo documentos, comprovantes e preferências, um dos canais mais difíceis de mapear e mais fáceis de esquecer numa auditoria.

Ferramentas de IA: chatbots e assistentes de atendimento que processam mensagens e, às vezes, dados de reserva do hóspede; veja o nosso guia sobre IA no atendimento e a LGPD.

Dados de funcionários e fornecedores: dados de RH da equipe e informações de contato e contratuais de fornecedores, muitas vezes deixados de fora do mapeamento porque a atenção se concentra apenas nos dados do hóspede.

Em muitos fluxos, o hotel atua como controlador dos dados (quem decide a finalidade do tratamento) e o fornecedor de tecnologia (PMS, motor de reservas, plataforma de marketing, fornecedor de IA) pode atuar como operador, desde que trate os dados em nome do hotel e conforme suas instruções. Se o fornecedor usar os dados para finalidades próprias, passa a ser controlador nesse tratamento. A classificação depende de quem toma as decisões, como detalha o guia da ANPD sobre agentes de tratamento. Definido o papel de cada um, o contrato com cada fornecedor, incluindo cláusulas de proteção de dados e, quando aplicável, um acordo de tratamento de dados (DPA), passa a ser uma peça central da conformidade, não um detalhe jurídico. Vale também saber onde cada fornecedor processa os dados: se o PMS, a plataforma de marketing ou a ferramenta de IA trata dados fora do Brasil, há transferência internacional, que precisa de um dos mecanismos previstos no art. 33 da LGPD, como as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024. E se um desses sistemas sofrer um incidente, o prazo de comunicação começa a contar quando o hotel toma ciência do incidente: veja o que fazer nas primeiras 48 horas após um vazamento de dados.

FNRH e termo de consentimento: a base documental do check-in

Dois documentos concentram boa parte da base legal do tratamento de dados no check-in. A Ficha Nacional de Registro de Hóspedes (FNRH), exigida pelo Ministério do Turismo para fins de segurança pública e estatística, é uma obrigação hoteleira antiga, mas também precisa ser tratada como um documento de dados pessoais sob a LGPD: quem tem acesso a ela, onde fica armazenada e por quanto tempo é retida antes do descarte seguro.

Desde 20 de abril de 2026, a FNRH é enviada exclusivamente pela plataforma FNRH Digital do Ministério do Turismo, e a ficha em papel deixou de ser aceita. O hotel pode integrar o PMS à plataforma por API ou usar o sistema gratuito do governo na recepção, e precisa manter o Cadastur regular, com um responsável pela FNRH designado. Para a LGPD, a mudança é relevante: os dados do hóspede passam a ser transmitidos a um órgão público, e essa transmissão deve constar no mapeamento de dados e na política de privacidade do hotel. Vale também revisar o contrato com o fornecedor do PMS para deixar claro quem responde por falhas na integração e por dados enviados com erro.

Já o termo de consentimento é a base mais comum para usos de dados do hóspede que vão além da hospedagem, como envio de promoções, uso de imagem em redes sociais ou compartilhamento com parceiros comerciais. Alguns desses usos podem se apoiar em outra base legal, como o legítimo interesse, mas só com uma avaliação documentada caso a caso. O que não vale é presumir que a FNRH preenchida no check-in cobre esses usos: ela não cobre.

Encarregado de dados (DPO)

A LGPD (art. 41) exige que o controlador indique um encarregado pelo tratamento de dados pessoais (o equivalente ao Data Protection Officer, DPO, do GDPR). A ANPD dispensa dessa indicação os agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte, desde que não realizem tratamento de alto risco, mas eles ainda precisam oferecer um canal de comunicação com os titulares. Na prática, um hotel que não se enquadra como agente de pequeno porte, pelo faturamento ou por fazer tratamento de alto risco, deve indicar o encarregado, que pode ser um responsável interno ou um serviço externo. Mesmo quando a indicação é dispensada, a Resolução CD/ANPD nº 2/2022 a considera uma boa prática.

Um encarregado de dados recepciona solicitações de titulares, orienta a equipe sobre boas práticas de privacidade e é o ponto de contato com a ANPD em caso de fiscalização. A HotelTI oferece esse serviço de forma terceirizada como parte dos serviços de conformidade.

Fontes

• ANPD, Resolução CD/ANPD nº 15, Regulamento de Comunicação de Incidente de Segurança (abril de 2024), in.gov.br
• ANPD, Resolução CD/ANPD nº 2, Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte (janeiro de 2022), in.gov.br
• ANPD, Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado (versão 2.0, 2022), gov.br/anpd
• Ministério do Turismo, Portaria MTur nº 41, que institui a FNRH em meio digital (novembro de 2025), gov.br/turismo