- Cada finalidade de tratamento de dados do hóspede precisa de uma base legal específica: contrato, legítimo interesse ou consentimento
- Marketing para a base de hóspedes exige consentimento específico e documentado, nunca presumido pela confirmação da reserva
- Dado de hóspede disperso entre PMS, planilhas e WhatsApp torna quase impossível responder a um pedido de exclusão de dados
- PMS, motor de reservas, gateway de pagamento e ferramenta de marketing precisam de contrato formal de tratamento de dados
- O art. 41 da LGPD obriga o hotel a indicar um encarregado; só agentes de pequeno porte estão dispensados (Resolução CD/ANPD nº 2/2022, art. 11)
O que a LGPD exige de um hotel, na prática
Um hotel ou pousada coleta dados pessoais em quase todo ponto de contato com o hóspede: nome, CPF, endereço e dados de pagamento na reserva; placa do veículo no estacionamento; imagem nas câmeras de segurança; e, em alguns casos, dados de saúde declarados para acomodação especial. A LGPD (Lei Geral de Proteção de Dados) não proíbe essa coleta, mas exige uma base legal específica para cada finalidade:
- Execução de contrato: cobre os dados necessários para confirmar a reserva, emitir nota fiscal e prestar o serviço de hospedagem contratado.
- Legítimo interesse: cobre operações internas razoáveis, como manter histórico de estadias para atendimento futuro, desde que não avance para finalidades que o hóspede não esperaria.
- Consentimento: é a única base válida para uso de dados em marketing, como envio de ofertas por e-mail ou WhatsApp para quem já se hospedou, e precisa ser específico e documentado, não presumido pela reserva.
Além da base legal, a lei exige transparência sobre o que é coletado e por quê, o respeito aos direitos do hóspede sobre os próprios dados (acesso, correção, exclusão, portabilidade) e a notificação à Agência Nacional de Proteção de Dados (ANPD) em caso de incidente de segurança relevante, dentro do prazo aplicável.
As lacunas mais comuns em hotéis de médio porte
Na maioria dos hotéis que já passaram por avaliação, o dado do hóspede não está em um único sistema: está espalhado entre o PMS, planilhas de controle paralelo, caixas de e-mail da recepção e conversas de WhatsApp com o time comercial. Essa dispersão torna praticamente impossível responder com precisão a um pedido de exclusão de dados feito por um hóspede.
Duas outras lacunas aparecem com frequência. A primeira é a ausência de contrato de tratamento de dados (DPA) com fornecedores que também processam dados do hóspede, como o próprio PMS, o motor de reservas, o gateway de pagamento e a ferramenta de e-mail marketing. Sem esse contrato, o hotel não tem garantia formal de como esses fornecedores protegem e usam os dados que recebem. A segunda é o envio de campanhas de marketing para toda a base de e-mails coletados nas reservas, sem consentimento específico e documentado para essa finalidade, tratando a base de hóspedes como se fosse automaticamente uma lista de marketing.
Gestão de fornecedores: o ponto mais negligenciado
O encarregado de dados em um hotel de médio porte
O art. 41 da LGPD exige que o controlador indique um encarregado, ponto de contato com a ANPD e com os hóspedes que exercem seus direitos. Um hotel de médio porte não se enquadra como agente de pequeno porte e, portanto, não tem a dispensa do art. 11 da Resolução CD/ANPD nº 2/2022. A lei não exige dedicação em tempo integral: a função pode ficar com alguém da equipe interna, com dedicação parcial, ou com um serviço externo, desde que a indicação seja formal e o nome e o contato estejam publicados, geralmente no aviso de privacidade do hotel (art. 41, § 1º).
Incidentes de segurança que possam gerar risco ou dano relevante aos hóspedes devem ser comunicados à ANPD e, quando cabível, aos próprios titulares, em até 3 dias úteis (Resolução CD/ANPD nº 15/2024), o que na prática significa ter um plano de resposta a incidentes pronto antes de precisar dele, não improvisado no momento do vazamento.
Conformidade com a LGPD e segurança técnica da rede caminham juntas: dado espalhado em sistemas mal protegidos é o cenário onde um incidente de segurança vira também uma violação de dados pessoais. Veja nossa análise sobre segmentação de rede em hotéis e o panorama de riscos de cibersegurança na hospitalidade. Para orientações oficiais, consulte a Agência Nacional de Proteção de Dados (ANPD).