Vazamento de dados no hotel: o que fazer nas primeiras 48 horas

O relógio começa na ciência do incidente, não na confirmação técnica

Um erro comum em hotéis que enfrentam um incidente de segurança pela primeira vez é esperar a equipe de TI "ter certeza" do que aconteceu antes de envolver a direção ou pensar em notificação. A LGPD não funciona assim. O Art. 48 exige que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e, quando cabível, aos titulares, em prazo razoável a partir do momento em que toma ciência do incidente, e a própria ANPD trata 2 dias úteis como parâmetro para essa comunicação quando há risco ou dano relevante aos titulares.

Na prática, isso significa que a decisão de notificar precisa ser tomada com base no que se sabe nas primeiras horas, mesmo que a investigação completa ainda esteja em andamento. Hotéis que só formalizam essa decisão dias depois, aguardando um relatório técnico definitivo, já estão fora do prazo de referência quando finalmente decidem agir.

As primeiras 2 horas: conter sem destruir evidências

O instinto mais comum diante de um sistema comprometido é desligá-lo, reinstalar ou apagar arquivos suspeitos. Isso é exatamente o que não deve acontecer antes de preservar o essencial:

• Isole, não desligue: desconecte o sistema afetado da rede (cabo de rede ou Wi-Fi) em vez de desligá-lo, preservando o estado da memória para uma eventual análise forense.
• Revogue credenciais comprometidas: troque senhas e revogue tokens de acesso de contas que possam ter sido usadas no incidente, incluindo contas de serviço e integrações com o PMS.
• Preserve logs: copie logs de acesso, VPN, firewall e do próprio PMS antes que sejam sobrescritos pela rotação automática, que em muitos sistemas acontece em poucos dias ou até horas.
• Não reinstale ainda: reinstalar o sistema operacional ou restaurar um backup limpo destrói evidências necessárias para entender o que foi acessado, informação que a própria notificação à ANPD exige descrever.

As primeiras 8 horas: montar o quadro do que aconteceu

Antes de notificar qualquer autoridade, o hotel precisa de respostas mínimas, mesmo que provisórias, para três perguntas: o que foi acessado, quantos titulares foram potencialmente afetados, e o incidente já foi contido. Isso normalmente envolve:

1. Levantar quais sistemas foram comprometidos (PMS, e-mail, backup, site) e quais tabelas ou categorias de dados eles armazenam.
2. Estimar, mesmo que por faixa, quantos hóspedes ou funcionários tiveram dados potencialmente expostos.
3. Verificar se há indícios de exfiltração de dados (tráfego de saída incomum, acessos a grandes volumes de registros) versus apenas acesso não autorizado sem cópia de dados.
4. Registrar linha do tempo: quando o incidente começou, quando foi detectado, e quando a equipe tomou ciência formal, esse último marco é o que inicia a contagem do prazo de notificação.

Decidir se a notificação à ANPD é obrigatória

Nem todo incidente de segurança precisa ser formalmente notificado. A obrigação nasce quando o incidente pode acarretar risco ou dano relevante aos titulares, por exemplo exposição de dados de pagamento, documentos de identidade, ou um volume grande de dados de hóspedes. Um acesso indevido contido rapidamente, sem evidência de exfiltração e sem dados sensíveis envolvidos, pode não exigir notificação formal, mas essa decisão deve ser documentada com a justificativa técnica, e não simplesmente presumida pela equipe de TI sob pressão.

Quando a notificação é devida, ela deve incluir, no mínimo: a descrição da natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança já utilizadas para proteção dos dados (observado o segredo comercial), os riscos relacionados ao incidente, e as medidas que foram ou serão adotadas para reverter ou mitigar os efeitos do incidente.

Comunicar os hóspedes afetados

Quando o risco aos titulares é relevante, o hotel também precisa comunicar os hóspedes afetados, não apenas a ANPD. Essa comunicação deve ser redigida em linguagem simples e direta, sem minimizar o ocorrido nem gerar alarme desnecessário, e cobrir os mesmos pontos exigidos na notificação à autoridade: o que aconteceu, quais dados foram afetados, o que o hotel já fez, e o que o hóspede pode fazer para se proteger (por exemplo, monitorar movimentações no cartão usado na reserva).

Comunicar tarde, ou só depois que o incidente vaza para a imprensa ou redes sociais, tem um custo reputacional muito maior do que uma comunicação transparente e tempestiva feita pelo próprio hotel.

Por que a maioria dos hotéis perde essa janela

O problema raramente é técnico. É a ausência de um plano de resposta a incidentes definido antes da crise: quem decide notificar, quem redige a comunicação, quem é o ponto de contato jurídico, e qual fornecedor de segurança é acionado para a investigação técnica. Sem isso definido com antecedência, essas decisões são tomadas pela primeira vez durante o próprio incidente, com o prazo legal já correndo e sob pressão, exatamente as piores condições para decidir bem.

Um plano de resposta a incidentes testado, com papéis claros e um roteiro de comunicação pronto, é o que separa um hotel que cumpre o prazo de 2 dias úteis de um que ainda está debatendo internamente o que aconteceu quando o prazo já venceu.

Próximos passos

Preparar essa resposta antes de precisar dela é o trabalho mais eficaz que um hotel pode fazer nessa área. Isso inclui um plano de resposta a incidentes documentado, papéis definidos, e um checklist técnico de contenção alinhado com as obrigações da LGPD. Nossa equipe estrutura esse plano junto com o hotel e pode atuar como ponto de contato técnico em caso de incidente real. Fale com a nossa equipe.