LGPD para hotéis: o que a lei exige na prática

Hotéis coletam dados pessoais em quase toda interação com o hóspede: cadastro na reserva, check-in, pagamento, preferências de quarto, solicitações de serviço, programas de fidelidade. Poucos setores têm acesso a um volume tão diversificado de dados pessoais de forma tão rotineira.

A Lei Geral de Proteção de Dados (LGPD) se aplica a essa coleta com a mesma força que se aplica a qualquer outro segmento. As obrigações não mudam por conta do setor. O que muda é como elas se aplicam na prática do dia a dia de um hotel.

O que a LGPD exige, na prática

A LGPD estabelece que todo tratamento de dados pessoais precisa de uma base legal. Para hotéis, as bases mais relevantes são o contrato de hospedagem (necessário para executar o serviço), o interesse legítimo (para comunicações operacionais) e o consentimento (para marketing e comunicações não relacionadas ao serviço contratado).

Isso significa que você pode usar o e-mail do hóspede para enviar a confirmação de reserva e a nota fiscal sem pedir consentimento explícito. Para enviar uma newsletter ou promoções, você precisa de consentimento documentado e precisa oferecer a possibilidade de opt-out a qualquer momento.

Além da base legal, a LGPD exige:

Transparência: Os hóspedes precisam saber quais dados você coleta, para que fins e por quanto tempo os mantém. Isso vai para a política de privacidade, que precisa estar acessível antes da reserva.

Direitos dos titulares: Qualquer hóspede pode solicitar acesso aos seus dados, correção de informações incorretas, ou exclusão dos dados que não sejam necessários para obrigações legais. Você precisa ter um processo para atender essas solicitações.

Notificação de incidentes: Se houver uma violação de dados, você tem a obrigação de notificar a ANPD e os titulares afetados em prazo razoável. Sem um processo de resposta a incidentes documentado, isso se torna caótico na prática.

Onde os hotéis costumam ter lacunas

Os problemas mais comuns que encontramos na avaliação de hotéis são:

Dados de hóspedes espalhados por sistemas desconectados: PMS, planilhas da recepção, e-mail da equipe, sistema de reservas online e canal do WhatsApp guardando conversas com dados pessoais. Sem um mapa de onde os dados estão, você não consegue cumprir obrigações de exclusão nem responder a solicitações de titulares com precisão.

Ausência de contratos adequados com fornecedores: Todo fornecedor que tem acesso a dados de hóspedes é um operador de dados nos termos da LGPD. Isso inclui o PMS, o sistema de reservas, a plataforma de marketing por e-mail e o sistema de pagamento. Os contratos precisam incluir cláusulas de proteção de dados.

Marketing sem base legal clara: E-mails promocionais enviados para hóspedes antigos sem consentimento documentado são uma das infrações mais comuns no setor.

O guia da Cyvra sobre conformidade com a LGPD cobre os requisitos em detalhes. Nossa equipe de conformidade para hotelaria pode fazer um diagnóstico da sua situação atual e orientar o processo de adequação.

Encarregado de dados (DPO)

A LGPD exige a indicação de um encarregado de dados (Data Protection Officer, DPO) para algumas categorias de controladores. Para hotéis de médio porte, isso geralmente não é uma obrigação legal direta, mas boas práticas recomendam indicar um responsável interno ou contratar essa função de forma terceirizada.

Um encarregado de dados recepciona solicitações de titulares, orienta a equipe sobre boas práticas de privacidade e é o ponto de contato com a ANPD em caso de fiscalização. A Cyvra oferece esse serviço de forma terceirizada como parte dos serviços de conformidade.