Um hotel pode enviar e-mail marketing para todos os hóspedes que já se hospedaram?

Não, sem consentimento específico e documentado para essa finalidade. A confirmação de uma reserva autoriza o uso do dado para prestar o serviço contratado, não para incluir automaticamente o hóspede em campanhas de marketing futuras.

Todo hotel é obrigado a ter um DPO (encarregado de dados)?

Não necessariamente um DPO dedicado em tempo integral, mas a LGPD recomenda fortemente que exista alguém formalmente designado como ponto de contato para questões de proteção de dados, seja um funcionário interno com dedicação parcial ou um serviço terceirizado, desde que a designação seja formal e publicamente identificável.

Quais dados pessoais um hotel coleta que estão sujeitos à LGPD?

Nome, CPF, endereço e dados de pagamento na reserva, placa do veículo no estacionamento, imagem capturada pelas câmeras de segurança e, em alguns casos, dados de saúde declarados para acomodação especial. Todos exigem uma base legal específica de tratamento.

O que um hotel precisa fazer em caso de vazamento de dados de hóspedes?

Incidentes que possam gerar risco ou dano relevante aos hóspedes precisam ser comunicados à ANPD e, quando cabível, aos próprios titulares, dentro de prazo razoável. Isso exige ter um plano de resposta a incidentes pronto com antecedência, não algo criado no momento do vazamento.

Por que a gestão de fornecedores é importante para a conformidade com a LGPD em hotéis?

Porque o PMS, o motor de reservas, o gateway de pagamento e a ferramenta de marketing também processam dados pessoais de hóspedes em nome do hotel. Sem um contrato formal de tratamento de dados com cada um, o hotel não tem garantia de como esses fornecedores protegem e usam essas informações, e continua responsável perante a LGPD por qualquer falha deles.

LGPD na Hospedagem: O que Hotéis e Pousadas São Obrigados a Fazer

Principais conclusões

Cada finalidade de tratamento de dados do hóspede precisa de uma base legal específica: contrato, legítimo interesse ou consentimento
Marketing para a base de hóspedes exige consentimento específico e documentado, nunca presumido pela confirmação da reserva
Dado de hóspede disperso entre PMS, planilhas e WhatsApp torna quase impossível responder a um pedido de exclusão de dados
PMS, motor de reservas, gateway de pagamento e ferramenta de marketing precisam de contrato formal de tratamento de dados
Um DPO dedicado nem sempre é exigido, mas um ponto de contato formalmente designado para proteção de dados é fortemente recomendado

O que a LGPD exige de um hotel, na prática

Um hotel ou pousada coleta dados pessoais em quase todo ponto de contato com o hóspede: nome, CPF, endereço e dados de pagamento na reserva; placa do veículo no estacionamento; imagem nas câmeras de segurança; e, em alguns casos, dados de saúde declarados para acomodação especial. A LGPD (Lei Geral de Proteção de Dados) não proíbe essa coleta, mas exige uma base legal específica para cada finalidade:

Execução de contrato: cobre os dados necessários para confirmar a reserva, emitir nota fiscal e prestar o serviço de hospedagem contratado.
Legítimo interesse: cobre operações internas razoáveis, como manter histórico de estadias para atendimento futuro, desde que não avance para finalidades que o hóspede não esperaria.
Consentimento: é a única base válida para uso de dados em marketing, como envio de ofertas por e-mail ou WhatsApp para quem já se hospedou, e precisa ser específico e documentado, não presumido pela reserva.

Além da base legal, a lei exige transparência sobre o que é coletado e por quê, o respeito aos direitos do hóspede sobre os próprios dados (acesso, correção, exclusão, portabilidade) e a notificação à Autoridade Nacional de Proteção de Dados (ANPD) em caso de incidente de segurança relevante, dentro do prazo aplicável.

As lacunas mais comuns em hotéis de médio porte

Ponto de atenção

Na maioria dos hotéis que já passaram por avaliação, o dado do hóspede não está em um único sistema: está espalhado entre o PMS, planilhas de controle paralelo, caixas de e-mail da recepção e conversas de WhatsApp com o time comercial. Essa dispersão torna praticamente impossível responder com precisão a um pedido de exclusão de dados feito por um hóspede.

Duas outras lacunas aparecem com frequência. A primeira é a ausência de contrato de tratamento de dados (DPA) com fornecedores que também processam dados do hóspede, como o próprio PMS, o motor de reservas, o gateway de pagamento e a ferramenta de e-mail marketing. Sem esse contrato, o hotel não tem garantia formal de como esses fornecedores protegem e usam os dados que recebem. A segunda é o envio de campanhas de marketing para toda a base de e-mails coletados nas reservas, sem consentimento específico e documentado para essa finalidade, tratando a base de hóspedes como se fosse automaticamente uma lista de marketing.

Gestão de fornecedores: o ponto mais negligenciado

Mapeie todo fornecedor que toca dados de hóspede

PMS, motor de reservas, gateway de pagamento, ferramenta de e-mail marketing, sistema de câmeras em nuvem e qualquer outro serviço que armazene ou processe dados pessoais de hóspedes.

Formalize contrato de tratamento de dados com cada um

O contrato deve definir finalidade do tratamento, medidas de segurança adotadas pelo fornecedor e responsabilidade em caso de incidente que envolva os dados que ele processa.

Centralize onde os dados de hóspede efetivamente vivem

Reduzir planilhas paralelas e conversas informais como repositório de dados pessoais facilita tanto a segurança quanto a resposta a pedidos de direitos do titular.

Separe consentimento de marketing da confirmação de reserva

A confirmação de reserva não deve, por si só, servir de base para incluir o hóspede em campanhas futuras. O consentimento para marketing precisa ser uma escolha separada e documentada.

O encarregado de dados (DPO) em um hotel de médio porte

A LGPD não exige, na maioria dos casos, que um hotel de médio porte tenha um encarregado de dados dedicado em tempo integral, mas recomenda fortemente que exista alguém formalmente designado como ponto de contato para questões de proteção de dados, tanto para a ANPD quanto para os próprios hóspedes que exerçam seus direitos. Essa função pode ser exercida por alguém da equipe interna com dedicação parcial ou terceirizada, desde que a designação seja formal e publicamente identificável, geralmente através da política de privacidade do hotel.

Prazo crítico

Notificação à ANPD

Incidentes de segurança que possam gerar risco ou dano relevante aos hóspedes devem ser comunicados à ANPD e, quando cabível, aos próprios titulares, em prazo razoável, o que na prática significa ter um plano de resposta a incidentes pronto antes de precisar dele, não improvisado no momento do vazamento.

Conformidade com a LGPD e segurança técnica da rede caminham juntas: dado espalhado em sistemas mal protegidos é o cenário onde um incidente de segurança vira também uma violação de dados pessoais. Veja nossa análise sobre segmentação de rede em hotéis e o panorama de riscos de cibersegurança na hospitalidade. Para orientações oficiais, consulte a Autoridade Nacional de Proteção de Dados (ANPD).

LGPD na hospedagem: o que hotéis e pousadas são obrigados a fazer

O que a LGPD exige de um hotel, na prática

As lacunas mais comuns em hotéis de médio porte

Gestão de fornecedores: o ponto mais negligenciado

O encarregado de dados (DPO) em um hotel de médio porte

Perguntas frequentes

A gestão de dados do seu hotel está em conformidade?