Vazamento de dados no hotel: o que fazer nas primeiras 48 horas
A LGPD dá ao hotel uma janela muito curta para reagir a um incidente de segurança: a regulamentação da ANPD fixa 3 dias úteis para a comunicação, contados a partir do momento em que a equipe toma ciência do problema. Veja o que precisa acontecer nas primeiras horas para cumprir esse prazo sem improviso.
O relógio começa na ciência do incidente, não na confirmação técnica
Um erro comum em hotéis que enfrentam um incidente de segurança pela primeira vez é esperar a equipe de TI "ter certeza" do que aconteceu antes de envolver a direção ou pensar em notificação. A LGPD não funciona assim. O Art. 48 exige que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e, quando cabível, aos titulares, em prazo razoável a partir do momento em que toma ciência do incidente, e a Resolução CD/ANPD nº 15/2024 fixa esse prazo em 3 dias úteis quando o incidente pode acarretar risco ou dano relevante aos titulares (agentes de pequeno porte têm prazo em dobro). As informações podem ser complementadas depois, de forma fundamentada, em até 20 dias úteis.
Na prática, isso significa que a decisão de notificar precisa ser tomada com base no que se sabe nas primeiras horas, mesmo que a investigação completa ainda esteja em andamento. Hotéis que só formalizam essa decisão dias depois, aguardando um relatório técnico definitivo, podem já estar fora do prazo quando finalmente decidem agir.
As primeiras 2 horas: conter sem destruir evidências
O instinto mais comum diante de um sistema comprometido é desligá-lo, reinstalar ou apagar arquivos suspeitos. Isso é exatamente o que não deve acontecer antes de preservar o essencial:
- Isole sem desligar, quando possível: desconecte o sistema afetado da rede (cabo de rede ou Wi-Fi) em vez de desligá-lo, preservando o estado da memória para uma eventual análise forense. Há situações em que desligar é a contenção certa, e essa decisão cabe a quem conduz a resposta ao incidente.
- Revogue credenciais comprometidas: troque senhas e revogue tokens de acesso de contas que possam ter sido usadas no incidente, incluindo contas de serviço e integrações com o PMS.
- Preserve logs: copie logs de acesso, VPN, firewall e do próprio PMS antes que sejam sobrescritos pela rotação automática, que em alguns sistemas tem um ciclo curto.
- Não reinstale ainda: reinstalar o sistema operacional ou restaurar um backup limpo destrói evidências necessárias para entender o que foi acessado, informação que a própria notificação à ANPD exige descrever.
- Acione contratos e seguro: se o hotel tem seguro cibernético, verifique as condições da apólice, que podem exigir aviso imediato e o uso de empresas de resposta e de assessoria jurídica indicadas pela seguradora. Se o incidente envolve o PMS, uma OTA ou um serviço em nuvem, acione o fornecedor pelo canal de escalonamento previsto em contrato e registre o horário do aviso.
As primeiras 8 horas: montar o quadro do que aconteceu
Antes de notificar qualquer autoridade, o hotel precisa de respostas mínimas, mesmo que provisórias, para três perguntas: o que foi acessado, quantos titulares foram potencialmente afetados, e o incidente já foi contido. Isso normalmente envolve:
- Levantar quais sistemas foram comprometidos (PMS, e-mail, backup, site) e quais tabelas ou categorias de dados eles armazenam.
- Estimar, mesmo que por faixa, quantos hóspedes ou funcionários tiveram dados potencialmente expostos.
- Verificar se há indícios de exfiltração de dados (tráfego de saída incomum, acessos a grandes volumes de registros) versus apenas acesso não autorizado sem cópia de dados.
- Registrar linha do tempo: quando o incidente começou, quando foi detectado, e quando a equipe tomou ciência formal, esse último marco é o que inicia a contagem do prazo de notificação.
Decidir se a notificação à ANPD é obrigatória
Nem todo incidente de segurança precisa ser formalmente notificado. A obrigação nasce quando o incidente pode acarretar risco ou dano relevante aos titulares. Pela Resolução CD/ANPD nº 15/2024, isso acontece quando o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares e envolve, por exemplo, dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, como os de pagamento, dados de autenticação em sistemas, dados protegidos por sigilo ou dados em larga escala. Um acesso indevido contido rapidamente, sem evidência de exfiltração e sem dados sensíveis envolvidos, pode não exigir notificação formal, mas essa decisão deve ser documentada com a justificativa técnica, e não presumida pela equipe de TI sob pressão. A mesma resolução exige que o controlador mantenha registro de todos os incidentes com dados pessoais, inclusive os não comunicados, por no mínimo cinco anos.
Quando a notificação é devida, ela deve incluir, no mínimo: a descrição da natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança já utilizadas para proteção dos dados (observado o segredo comercial), os riscos relacionados ao incidente, e as medidas que foram ou serão adotadas para reverter ou mitigar os efeitos do incidente.
Comunicar os hóspedes afetados
Quando o risco aos titulares é relevante, o hotel também precisa comunicar os hóspedes afetados, não apenas a ANPD, no mesmo prazo de 3 dias úteis. Essa comunicação deve ser redigida em linguagem simples e direta, sem minimizar o ocorrido nem gerar alarme desnecessário, e cobrir os mesmos pontos exigidos na notificação à autoridade: o que aconteceu, quais dados foram afetados, o que o hotel já fez, e o que o hóspede pode fazer para se proteger (por exemplo, monitorar movimentações no cartão usado na reserva).
Comunicar tarde, ou só depois que o incidente vaza para a imprensa ou redes sociais, tende a ter um custo reputacional maior do que uma comunicação transparente e tempestiva feita pelo próprio hotel.
Por que hotéis perdem essa janela
Muitas vezes, o problema não é técnico. É a ausência de um plano de resposta a incidentes definido antes da crise: quem decide notificar, quem redige a comunicação, quem é o ponto de contato jurídico, e qual fornecedor de segurança é acionado para a investigação técnica. Sem isso definido com antecedência, essas decisões são tomadas pela primeira vez durante o próprio incidente, com o prazo legal já correndo e sob pressão, exatamente as piores condições para decidir bem.
Um plano de resposta a incidentes testado, com papéis claros e um roteiro de comunicação pronto, é o que separa um hotel que cumpre o prazo de 3 dias úteis de um que ainda está debatendo internamente o que aconteceu quando o prazo já venceu.
Próximos passos
Preparar essa resposta antes de precisar dela é o trabalho mais eficaz que um hotel pode fazer nessa área. Isso inclui um plano de resposta a incidentes documentado, papéis definidos, e um checklist técnico de contenção alinhado com as obrigações da LGPD. Nossa equipe estrutura esse plano junto com o hotel e, em um incidente real, coordena a resposta entre o hotel, os fornecedores e os especialistas em perícia e contenção. Fale com a nossa equipe.
Fontes
- ANPD, Resolução CD/ANPD nº 15, Regulamento de Comunicação de Incidente de Segurança (abril de 2024), in.gov.br
- ANPD, Resolução CD/ANPD nº 2, Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte (janeiro de 2022), in.gov.br
- ANPD, Comunicação de Incidente de Segurança, gov.br/anpd
Resposta a incidentes para hotéis
Plano de resposta a incidentes, papéis definidos e coordenação da resposta em caso de vazamento de dados real.
Ver serviço- Plano de resposta a incidentes
- Suporte à notificação à ANPD
- Coordenação da contenção e da perícia
- Modelo de comunicação a hóspedes
Artigos relacionados
Em quanto tempo o hotel precisa notificar a ANPD sobre um vazamento de dados?
O Art. 48 da LGPD exige que o controlador comunique a ANPD e o titular dos dados, e a Resolução CD/ANPD nº 15/2024 fixou o prazo: 3 dias úteis a partir do momento em que o hotel toma ciência de um incidente de segurança que possa acarretar risco ou dano relevante aos titulares (agentes de pequeno porte têm prazo em dobro). Esse prazo conta a partir da ciência do incidente, não da sua confirmação técnica completa, por isso a decisão de notificar precisa ser tomada rápido, com base no que já se sabe.
Todo incidente de segurança precisa ser notificado à ANPD?
Não. A obrigação de notificar se aplica quando o incidente pode acarretar risco ou dano relevante aos titulares dos dados, por exemplo quando envolve dados financeiros, como os de pagamento, dados de autenticação, dados sensíveis ou dados em larga escala. Incidentes menores, contidos rapidamente e sem exposição real de dados pessoais, podem não exigir notificação formal, mas essa avaliação deve ser documentada: a Resolução CD/ANPD nº 15/2024 exige manter registro de todos os incidentes com dados pessoais por no mínimo cinco anos.
O hotel também precisa avisar os hóspedes afetados, além da ANPD?
Sim, quando o risco aos titulares for relevante, no mesmo prazo de 3 dias úteis. A comunicação aos hóspedes deve ser clara, em linguagem acessível, e descrever a natureza dos dados afetados, as medidas técnicas e de segurança adotadas para reverter ou mitigar os efeitos, e os riscos relacionados ao incidente, seguindo os mesmos princípios exigidos na comunicação à ANPD.
Quais são as primeiras ações técnicas ao suspeitar de um vazamento de dados?
Conter o acesso sem apagar evidências: isolar o sistema afetado da rede, revogar credenciais comprometidas e preservar logs antes de qualquer reinstalação ou limpeza. Apagar ou reinstalar um sistema comprometido antes de entender o que aconteceu destrói as evidências necessárias tanto para a investigação quanto para a notificação à ANPD, que exige uma descrição dos dados afetados.
O hotel precisa de um plano de resposta a incidentes por escrito?
Sim. Um plano de resposta a incidentes define, antes que a crise aconteça, quem decide, quem comunica, quem contata a ANPD e em que prazo, evitando que essas decisões sejam tomadas pela primeira vez durante o próprio incidente, sob pressão e com prazo legal já correndo. Hotéis sem esse plano tendem a perder as primeiras horas críticas apenas decidindo por onde começar.
Não espere um incidente para ter um plano
Fale com a nossa equipe e estruture agora o plano de resposta a incidentes do seu hotel, antes que o relógio da LGPD comece a correr.