A grande maioria dos meios de hospedagens no Brasil ainda não se adequaram a lei que trata da proteção de dados de seus hóspedes e nem treinaram seus colaboradores, pois acham um custo desnecessário e ficam contando com a sorte de não sofre ataques de hackers

Ao se hospedar em um hotel, você já deve ter se deparado com a seguinte situação: Preenche a FNRH – Ficha Nacional de Registro de Hóspedes, uma exigência legal da EMBRATUR, e lá estão muitos dados sensíveis e pessoais que os hotéis tem a obrigação de guardar e proteger contra vazamento. Essas fichas muitas vezes ficam expostas nos balcões do check-in podendo ser subtraídas. E dias após o check-out você começa a receber uma série de mensagens do hotel em seu e-mail oferecendo vantagens para uma nova hospedagem, ou pacotes promocionais, mas fica a questão: Você autorizou o uso desses dados? E qual a garantia que possui do tratamento desses dados? Para disciplinar a questão, entrou em vigor no dia 18 de setembro de 2019, uma das leis mais discutidas em todo o nosso ordenamento jurídico. Trata-se da Lei 13.709 que regulamenta a proteção de dados pessoais dos cidadãos brasileiros, conhecida pelo acrônimo LGPD. Ela teve como base de estudo o GDPR – General Data Protection Regulation, da União Europeia e com isso o Brasil passou a ter uma das leis mais avançadas no mundo. Essa lei regulamenta a política de proteção de dados pessoais e privacidade, modifica alguns dos artigos do Marco Civil da Internet e ainda estabelece novos marcos para o modo como empresas e órgãos públicos tratam a privacidade e a segurança das informações de usuários e clientes.

A partir do dia 18 de setembro de 2019, todas as empresas que lidam com o armazenamento e tratamento de dados, incluindo dados pessoais, deveriam ter se enquadrado e estar obedecendo os requisitos do texto da lei. E o próprio cidadão, detentor das informações, pode ser o principal fiscal dessa conduta. A LGPD está em vigor e tem de ser cumprida sob risco de sanções de até 2% do faturamento da empresa, podendo chegar até R$ 50 milhões. Mas prestes a completar seis anos no próximo mês de setembro, o que se nota no mercado é que práticas abusivas continuam sendo realizadas por muitos hotéis com o uso dos dados dos hóspedes e a grande maioria ainda não se adequou. E por incrível que pareça, muitos hotéis ainda desconhecem essa tal “sopa de letrinhas chamada LGPD”. Ou ainda acham que investir na segurança dos dados dos hóspedes é custo desnecessário e contam com fator sorte.

Dura realidade do setor

Essa é a realidade que Jorge Muniz, especialista em segurança da informação do setor hoteleiro tem encontrado em suas consultorias ou cursos, no qual é contratado. “Eu ainda me surpreendo com a falta de conhecimento de mais de 90% do setor hoteleiro a nível nacional em relação a LGPD. E quando trago esse número não falo apenas da parte operacional, me refiro também a gestores, stakeholders e proprietários. Muitos sequer ouviram falar da lei, não se preocupam, deixam para segundo ou último plano. Mas quando realmente começam a entender do assunto, os impactos que isso causará no hotel que trabalham e que esse conhecimento lhe protegerá e aos seus, a visão começa a ficar diferenciada, mais apurada para o assunto. Os resultados mais perceptíveis pós curso é a mudança de comportamento em relação a segurança da informação e a privacidade de dados. Por se tratar de um assunto que impacta a vida profissional e a pessoal, e quando se veem dentro dos cenários exemplificados no curso, começam a entender a importância da pauta. Com isso, começam a aplicar os conhecimentos em suas vidas e consequentemente no hotel que trabalham e estão mais preparadas para evitarem incidentes de segurança e consequentemente vazamentos de dados. Mas ainda temos um longo caminho a seguir”, assegura Muniz.

Jorge Muniz: “Mesmo tendo hotéis que já sofreram ataques hackers, eles ainda contam com a sorte e sequer tem a preocupação de tentar evitar que novos ataques ocorram novamente” (Foto - Divulgação)

Segundo ele, a LGPD para milhares de hotéis ainda é de longe sua maior prioridade. “Mesmo tendo hotéis que já sofreram ataques hackers nesse ano de 2025, eles ainda contam com a sorte e sequer tem a preocupação de tentar evitar que novos ataques ocorram novamente. Já tenho conhecimento de hotéis que sofreram ataques no Nordeste e Centro-Oeste e mesmo assim os hotéis ainda não dão a devida importância para esse assunto. Mas tenho certeza de que essa atitude se dá, seja por falta de conhecimento, por falta de fiscalizações mais rigorosas ou por acharem que um ataque virtual nunca irá acontecer no seu hotel. Para efeito de comparação, em dez hotéis que visito, todos pecam por desconhecimento de assuntos tão triviais e que nem imaginam que um simples clique de um mouse pode paralisar toda a operação por dias ou até mesmo permanentemente.  Se os hoteleiros descobrissem como o compliance com a legislação é importante e benéfica, todos os hotéis estariam em processo de adequação, pois a LGPD, junto aos controles de segurança da informação, irão mitigar riscos e garantirão a continuidade da operação do seu hotel” afirma Muniz.

Investimento desnecessário?

Como a maioria dos gestores hoteleiros possuem o péssimo hábito de achar que todo investimento é um custo desnecessário, milhares de hotéis espalhados pelo Brasil afora nunca treinaram seus colaboradores nesse quesito, pois acham que treinamento é custo. Mas é um risco assumido que pode impactar os serviços prestados e paralisar toda a operação, caso aconteça um ataque de hacker. Somado a isso, haverá uma série de sanções e aplicações jurídicas. Segundo a pesquisa da PWC 2018, 30% dos colaboradores e 28% de ex-colaboradores são as duas principais causas de incidentes em segurança da informação. “Nos meus cursos e treinamentos hoteleiros pelo Brasil afora tenho encontrados muitas situações adversas e absurdas como: ausência de um manual de boas práticas relacionadas à segurança de dados; política de privacidade genérica (copia e cola) de outro site e colocaram nos seus; ausência do encarregado de dados (esse profissional precisa ter o conhecimento das legislações de proteção e privacidade de dados, segurança da informação, leis setoriais) pois ele será a pessoa que conduzirá o hotel a manter a conformidade; descarte de papéis com dados pessoais no lixo comum; compartilhamento de logins e senhas; ausência de redes segmentadas (hóspedes, eventos e administrativo); falta controle de acessos; utilização de sistemas falsificados; os emails phishing ainda continuam sendo os mais comuns para os hackers roubarem os dados que os hotéis deveriam proteger. Mas ele é apenas mais um dos conjuntos de falhas processuais que os hotéis enfrentam diariamente em sua operação”, esclarece Muniz.

Josmar Giovannini Jr, especialista em privacidade e proteção de dados pessoais, lembra que como toda nova cultura implementada, a LGPD também enfrenta desafios no Brasil. “Muitos deles associados ao desconhecimento das empresas sobre suas responsabilidades enquanto agentes de tratamento de dados pessoais ou aos custos envolvidos na execução de adequações completas e corretas exigidas pela LGPD. Na área hoteleira, quando os hotéis decidem não seguir as normas que orientam suas adequações à LGPD, eles passam a assumir um grande risco. Os hotéis flertam com consequências reputacionais e financeiras ao negligenciarem estas questões, principalmente em razão do volume de dados pessoais, inclusive sensíveis, que tratam. Os colaboradores nem percebem que manuseiam dados pessoais que deveriam ser tratados conforme procedimentos internos de proteção e os princípios legais da LGPD”, revela Josmar.

Josmar Giovannini Jr: “Os hotéis flertam com consequências reputacionais e financeiras ao negligenciarem estas questões” (Foto - Divulgação)

Ele apresenta a planilha abaixo em que traz alguns casos de violações que resultaram em sanções aplicadas pelas respectivas autoridades de proteção de dados locais. “O setor hoteleiro brasileiro tem uma chance ímpar de aprender com essas ocorrências globais e tomar as medidas necessárias de adequação. Cabe aos hotéis decidirem se transformarão a conformidade em diferencial competitivo para seus hóspedes — ou se preferirão “pagar para ver”.

Hospitalidade responsável

Hotéis que se preocupam com o bem estar dos hóspedes deveriam levar também em consideração treinamento das equipes para assegurar uma prestação de serviços seguros. E um bom exemplo de quem já se adequou, há bastante tempo as normas da LGPD, é a Morada dos Canyons, localizada em Praia Grande (SC), na divisa com o Rio Grande do Sul. De acordo com o Diretor e Consultor dessa pousada, Messias Fernandes, a decisão de investir na adequação à LGPD não foi apenas uma resposta à legislação, mas um movimento coerente a cultura de hospitalidade responsável, ética e centrada nas pessoas.  “Iniciamos o processo em 2022, participando do Projeto Caminhos da LGPD na Hotelaria realizado pela Web Security Consultoria. Nosso trabalho em sustentabilidade já nos colocava em contato com a Lei e nossa responsabilidade com a proteção de dados pessoais era uma extensão natural do cuidado que sempre tivemos com nossos hóspedes. Organizamos treinamento para todos os gerentes de departamentos, tanto através de workshop como treinamento presencial na Morada para os colaboradores. Através da Web Security Consultoria, trouxemos também para a cidade o Jorge Muniz, que realizou uma palestra para todo o trade, a entrada era um quilo de alimento, que foi doado para a APAE, uma maneira de proporcionar conhecimento ao trade e impactar de maneira positiva a comunidade”, revela Messias.

E para o gestor hoteleiro que acha que esse investimento demanda um alto custo, Messias assegura que não e diz que: “O investimento inicial da capacitação da equipe (com foco nos setores de governança, reservas, recepção e marketing) foi de cerca de R$ 20 mil. Um custo pequeno levando em consideração a importância da segurança — o maior valor está no ganho de confiança, reputação e na segurança conquistada. Entre os resultados conseguidos é que houve uma maior percepção dos hóspedes quanto à seriedade e profissionalismo da Morada, mais segurança da equipe na comunicação com os hóspedes sobre os dados. Mais do que cumprir uma exigência legal, escolhemos reforçar nosso compromisso com a transparência e o respeito à privacidade de nossos visitantes”, destaca Messias.

Messias Fernandes: “Investir na adequação à LGPD não foi apenas uma resposta à legislação, mas um movimento coerente à cultura de hospitalidade responsável, ética e centrada nas pessoas” (Foto - Divulgação)

Ele explica como a Morada dos Cânyons trabalha com a coleta, armazenamento, tratamento e compartilhamento de dados pessoais dos hóspedes para atender a legislação da LGPD. “A coleta de dados ocorre prioritariamente em nossos canais oficiais: site, e-mail, WhatsApp corporativo e telefone. Toda informação é obtida com consentimento claro e com a devida finalidade previamente informada — como para confirmação de reserva, personalização da experiência ou comunicação institucional. O armazenamento é feito em sistema próprio com camadas de proteção digital e restrição de acessos. Práticas como criptografia, autenticação em duas etapas e backups automáticos fazem parte da rotina. O compartilhamento de dados com terceiros é minimizado ao máximo e ocorre apenas com parceiros homologados (como operadoras de cartão e contabilidade), mediante contrato com cláusulas de confidencialidade. Não compartilhamos listas com parceiros comerciais ou instituições sem finalidade explícita e consentida”, assegura Messias.

Em relação aos golpes mais frequentes que eles recebem na tentativa de obter dados, é através de e-mails com phishing. “Recebemos mensagens aparentemente institucionais — como falsas cobranças, notificações de bancos ou serviços em nome de órgãos oficiais — que tentam induzir o colaborador ao erro. Por isso, reforçamos práticas e temos processos bem definidos para navegação, redes sociais e WhatsApp: checagem de remetentes, atenção a links suspeitos, não abertura de anexos duvidosos, dupla confirmação de dados bancários e jamais fornecer senhas ou informações por telefone. Além disso, implementamos filtros de e-mail, atualizações periódicas de antivírus e restrições de acessos administrativos. A vigilância digital precisa ser constante, pois a engenharia social tem se tornado cada vez mais sofisticada”, garante Messias. E ele finaliza deixando uma dica preciosa para os gestores hoteleiros: “Infelizmente, ainda há muitos empreendimentos que encaram a LGPD como um ‘peso regulatório’ ou um custo que pode ser adiado. Essa postura é arriscada não só pela vulnerabilidade jurídica e financeira, mas também porque afeta a credibilidade do negócio em um setor onde a confiança do cliente é o maior ativo. A hotelaria lida com dados extremamente sensíveis: documentos, informações bancárias, hábitos de consumo e preferências pessoais. Ignorar o tratamento adequado dessas informações é abrir brechas para vazamentos, fraudes e desgastes de imagem que podem ser irreversíveis. Por outro lado, os hotéis que compreendem o valor da conformidade ganham vantagem competitiva. A LGPD é, em essência, uma oportunidade de elevar o padrão de relacionamento com o cliente, demonstrando responsabilidade, ética e profissionalismo”.

Escassez de profissionais qualificados

Essa foi a constatação do Maceió Mar Hotel em Maceió (AL) quando necessitou contratar serviços especializados para atender as normas da LGPD – Lei Geral de Proteção de Dados. “Apesar de já ter decorrido quase seis anos de existência da LGPD a escassez de profissionais no mercado que assessore as empresas nesta área ainda é muito grande. Isso nos fez demandar um bom tempo até a implantação definitiva da segurança da informação no hotel. O que sabíamos e praticávamos era muito elementar e sem um assessoramento muita coisa precisava ser adaptada e melhorada inclusive no quesito de qualificação dos funcionários. Hoje, finalmente o Maceió Mar hotel está adequado ao que determina a LGPD inclusive com uma política de privacidade em nosso site e com um DPO nomeado. Curiosamente o investimento não foi tão alto quando comparado aos benefícios que tivemos com as implementações. O maior gasto nesse processo foi com os treinamentos dos funcionários, que por termos uma quantidade grande, com 379, foram necessárias cinco turmas distintas em dias diferentes tratando do mesmo tema. Além disso adquirimos alguns equipamentos como fragmentadoras e TVs e gastos gráficos com placas informativas”, revela Clóvis do Amaral, Gerente geral do hotel.

Clóvis do Amaral: “Para adequar nosso hotel à LGPD o investimento não foi tão alto quando comparado aos benefícios que tivemos com as implementações” (Foto - Divulgação)

De acordo com ele, após o treinamento da equipe e implantação de procedimentos operacionais para atender a LGD, os resultados já foram vistos nos dias seguintes, principalmente no que se refere aos cuidados com seus próprios dados que circulam dentro do hotel. “Um exemplo disso são os descartes do comprovante de registro do ponto eletrônico. Esses documentos eram encontrados em todos os cantos do hotel desde sala de descanso até corredores. Depois da aplicação do curso de qualificação e do entendimento da importância dessas informações essa prática de descartar os comprovantes acabou. Fazendo uma comparação do antes e depois, eu posso dizer que hoje o Maceió Mar Resort está muito mais preparado se for vítima de um ataque cibernético. Hoje temos políticas bem alinhadas, funcionários instruídos e processos adequadamente desenhados. O maior ganho foi de fato o conhecimento através da capacitação de todos quanto importância da lei e sua aplicabilidade. Quando começamos a implantação me deparei com funcionários que sequer conheciam a LGPD e os riscos para a empresa por não atender os padrões exigidos. Além disso o conhecimento adquirido em termos de segurança da informação não é apenas para a empresa e sim para a vida pessoal, o que facilitou o entendimento e adesão”, concluiu Amaral.

Os dados do hotel vazaram e agora?

São várias sanções que o hotel pode receber. Advertência, proibição do exercício da atividade, suspensão parcial ou total das atividades, multas e a publicização da infração. Esta última causará prejuízos enormes, pois com a publicização da infração, os hóspedes perderão a confiança com a marca, perderá vantagens competitivas e abrirá espaço para a concorrência. Esses fatores irão causar prejuízos financeiros incalculáveis. Outro fator grave oriundo de um incidente de segurança ou vazamento de dados, é a falta de um plano de continuidade de negócios. Como os gestores não possuem conhecimento da lei, dificilmente entre seus colaboradores terá algum devidamente preparado para ajudar o hotel a sair desse cenário de crise. Ou seja, além das sanções, a operação pode ficar paralisada temporariamente ou definitivamente. Para preparar um hotel preventivamente, os processos precisam estar mapeados, os riscos devem ser monitorados, o hotel precisa de um plano de continuidade de negócios, políticas de segurança da informação e backups e o ponto zero: treinar e capacitar os colaboradores.

De acordo com a Advogada Rubia Ferrão, que também é Professora de Direito Digital e Proteção de Dados Pessoais e Sócia do escritório Pigão/Ferrão/Fioravante, a ocorrência de incidentes de segurança não é uma questão de “se”, mas de “quando”. Por isso, é fundamental identificar os riscos específicos do negócio, adotar medidas de salvaguarda como backups, firewalls e protocolos de segurança, além de promover ações educativas voltadas tanto aos colaboradores quanto aos clientes, especialmente para prevenção de golpes e ataques de engenharia social, que têm sido cada vez mais sofisticados. “O setor hoteleiro, por exemplo, tem sofrido com páginas falsas que acabam usando a marca de hotéis, pousadas e resorts para coletar dados dos clientes e aplicar golpes. Embora as empresas também sejam vítimas desse tipo de crime, a exposição da marca pode gerar impactos negativos. Em razão disso, monitorar o uso indevido da marca na Internet e criar alertas preventivos ao público são estratégias essenciais para mitigar esse tipo de risco. A questão dos incidentes passou recentemente a contar com regulamentação específica da ANPD - Autoridade Nacional de Proteção de Dados, o que reforça a necessidade de as empresas se prepararem para eventuais falhas ou vazamentos, os quais, quando causarem risco e dano relevante aos titulares, precisarão ser reportados a autoridade e aos próprios titulares. Nesse cenário, a adoção de boas práticas não é apenas uma exigência legal, mas uma medida estratégica para preservar a confiança do cliente e proteger a reputação da marca. Além disso, a ANPD considera a existência de políticas de boas práticas e de governança como critério relevante na fixação das sanções, o que reforça ainda mais a importância da conformidade proativa”, menciona.

Rubia Ferrão: “A LGPD ‘pegou’ e hoje está no radar de empresas de todos os portes e segmentos” (Foto - Divulgação)

Para quem ainda acredita que a LGPD ainda não pegou no Brasil, a Advogada Rubia diz que: “Sim, a LGPD ‘pegou’ e hoje está no radar de empresas de todos os portes e segmentos. Além disso, os titulares de dados pessoais têm se mostrado cada vez mais conscientes de seus direitos, cobrando das organizações um tratamento ético, seguro e transparente de suas informações. O número de denúncias perante a ANPD também cresceu exponencialmente. No entanto, a efetividade da lei depende não apenas da sua existência formal, mas da implementação concreta por parte das entidades públicas e privadas, bem como da atuação contínua e estruturada da ANPD - Autoridade Nacional de Proteção de Dados, responsável por zelar, implementar e fiscalizar o cumprimento da LGPD no Brasil. A ANPD tem se mostrado progressivamente mais atuante. Já foram aplicadas sanções reais, como advertências, multas, bloqueios de uso de dados e determinações de publicização das infrações, atingindo tanto entes públicos quanto empresas privadas. Esses casos demonstram que a fiscalização existe e que a adequação à LGPD deve ser tratada como prioridade estratégica pelas organizações".

Para estar em conformidade com a LGPD, a Advogada Rubia diz que é essencial que as empresas sigam ao menos esses 10 passos:

1. Registrem suas operações de tratamento de dados pessoais. Isso significa mapear, em cada departamento, quais tipos de dados são tratados, qual a finalidade de uso, qual a base legal que fundamenta esse tratamento e com quem essas informações são eventualmente compartilhadas;
2. Cumpram os princípios da LGPD, como finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas;
3. Respeitem os direitos dos titulares, como o direito de confirmação da existência do tratamento, acesso aos dados, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação das entidades públicas e privadas com quem é feito uso compartilhado, oposição ao tratamento de seus dados e revisão de decisões automatizadas;
4. Estabeleçam um canal de comunicação com os titulares, ou seja, com clientes, hóspedes ou funcionários, para atendimento de solicitações relacionadas aos seus direitos;
5. Incluam cláusulas específicas sobre proteção de dados nos contratos com colaboradores, parceiros comerciais, fornecedores e clientes;
6. Nomeiem um encarregado pelo tratamento de dados pessoais (DPO), por ato formal e por escrito, com a divulgação de seus dados de contato de forma acessível;
7. Adotem e documentem as medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;
8. Revisem os prazos de guarda dos dados;
9. Criem políticas internas que documentem a Governança em Proteção de Dados Pessoais, assim como eleve a transparência em Avisos de Privacidade constantes nos sites;
10. Realizem ações educativas e treinamentos da equipe sobre o tema de proteção de dados e de segurança.

Ações de conscientização e fiscalização

A ANPD - Autoridade Nacional de Proteção de Dados tem realizado um trabalho importantíssimo junto a outros órgãos em prol da sociedade brasileira, entretanto a ANPD não possui braços suficientes para poder realizar ações de conscientização e fiscalização em todos os tipos de empresas. Por ser uma lei relativamente nova, ainda existem muitos pontos a serem melhorados (dar mais clareza) em alguns artigos e nas ações educativas pela própria autoridade. Entretanto, o serviço que realizam está sendo muito eficiente, embora não tenhamos ações diretas para o setor de turismo. De acordo com Fabrício Guimarães Madruga Lopes, Coordenador-Geral de Fiscalização da ANPD (CGF/ANPD), a fiscalização prevê as seguintes atividades: monitoramento, orientação, prevenção e repressão das infrações à LGPD. “A aplicação de cada instrumento ocorre de acordo com o nível de engajamento e a resposta do agente regulado. Para o exercício de tal competência, a ANPD utiliza como instrumento os processos de fiscalização – mecanismo essencial para apurar a conformidade das condutas de um controlador de dados pessoais em relação à LGPD. Esses processos podem ser de natureza responsiva (como é o caso do Procedimento de Fiscalização, do Procedimento de Monitoramento e dos Procedimentos de Apuração de Incidente de Segurança e de Comunicação de Incidente de Segurança) ou repressiva (Procedimento Preparatório e o Processo Administrativo Sancionador). As medidas a serem adotadas pela ANPD (seja em sua atuação responsiva, seja na atuação repressiva) exigem o cumprimento de etapas elementares de processos administrativos, incluindo contraditório e ampla defesa”, explica Fabrício.

Fabrício Guimarães Madruga Lopes: “O rito do processo de fiscalização é dinâmico e varia conforme o comportamento da empresa fiscalizada” (Foto - Divulgação)

Ele finaliza informando que o processo de fiscalização tem por finalidade avaliar determinado tratamento de dados pessoais. Para isso, a depender do objetivo da fiscalização, podem ser analisados vários aspectos do tratamento, por exemplo: a finalidade do tratamento; a origem dos dados pessoais tratados; quais dados são tratados; o nível de transparência que o controlador dá a esse tratamento; ferramentas para exercícios de direito do titular; medidas de segurança da informação; e compartilhamento dos dados pessoais.  “É a partir da análise dessas informações que a fiscalização avalia a conformidade do tratamento e informa ao controlador sobre a necessidade de medidas para corrigir falhas no tratamento. As exigências, em sua maior parte, variam segundo a finalidade, a hipótese legal e os riscos associados ao tratamento de dados pessoais. O rito do processo de fiscalização é dinâmico e varia conforme o comportamento da empresa fiscalizada. No que diz respeito às certificações, é importante esclarecer que não há previsão na LGPD para a criação de certificações oficiais ou obrigatórias pela ANPD, exceto no caso específico das transferências internacionais. As certificações atualmente oferecidas por empresas privadas não têm qualquer relação, validação, endosso ou aceitação pela ANPD”, concluiu Fabrício.

Fabrício Guimarães Madruga Lopes: “É a partir da análise dessas informações que a fiscalização avalia a conformidade do tratamento e informa ao controlador sobre a necessidade de medidas para corrigir falhas no tratamento” (Foto - jcomp/Freepik)