LGPD na hotelaria: reservas, check-in e FNRH Digital

Aplicar a LGPD na hotelaria exige acompanhar o mesmo dado em lugares diferentes. O telefone recebido na reserva pode chegar ao sistema de gestão, à recepção, a uma agência e à equipe comercial. Cada circulação precisa de finalidade, acesso compatível e critério de encerramento. A FNRH Digital acrescenta um fluxo público obrigatório, mas não transforma todos esses usos em uma única operação.

Para o gestor, a decisão prática é identificar o que pertence ao registro oficial, o que sustenta a hospedagem e o que atende a iniciativas comerciais. Essa separação orienta formulários, contratos e permissões sem criar uma nova exigência documental a cada etapa.

LGPD na hotelaria começa na origem da reserva

Na reserva direta, identifique quais informações são necessárias para cotar, confirmar e executar a hospedagem. Nome, contato, período e composição da ocupação têm funções distintas de preferências promocionais. Os artigos 6º e 7º da LGPD sobre princípios e bases legais exigem finalidade e necessidade; execução contratual e obrigação legal podem fundamentar operações diferentes, sem depender de consentimento genérico.

Quando a reserva chega de uma OTA, a agência de viagens on-line, verifique os dados efetivamente compartilhados. Não solicite novamente informações já disponíveis apenas porque outro formulário sempre foi utilizado. Também não pressuponha que uma autorização obtida pela agência permite ao hotel incluir o hóspede em qualquer campanha.

A LGPD na hotelaria pede uma análise própria para marketing: finalidade, base legal, transparência e mecanismo adequado de interrupção. Se a escolha for consentimento, ele deve ser específico e demonstrável. O aceite da hospedagem não deve esconder uma autorização promocional obrigatória. Registre separadamente a origem da reserva e a decisão sobre comunicações comerciais.

Check-in: conferir documentos sem multiplicar arquivos

A recepção precisa distinguir preenchimento, conferência e armazenamento. Os artigos 32, 33 e 38 da Portaria MTur nº 41/2025 preveem conferência dos dados e documentos, correção de divergências e confirmação do check-in. O pré-check-in antecipa informações, mas não elimina essa responsabilidade do estabelecimento.

Conferir a identidade não equivale, por si só, a uma obrigação de guardar cópia integral do documento. Para aplicar a LGPD na hotelaria, avalie separadamente qualquer fotografia, digitalização ou envio por mensagem: qual necessidade concreta justifica a cópia, quem poderá consultá-la e quando será eliminada? Uma conveniência interna não deve ser apresentada ao hóspede como exigência legal.

O Anexo I da portaria relaciona os campos da FNRH, inclusive condições como “quando aplicável”. Reduzir excessos não significa declarar todos os campos opcionais. A equipe deve seguir a norma e a documentação operacional vigente, sem acrescentar formulários paralelos sem justificativa.

No balcão, a LGPD na hotelaria também depende de cuidados simples: evitar leitura de CPF em voz alta, posicionar telas fora da visão de terceiros e encerrar sessões em dispositivos compartilhados. São controles recomendados para reduzir exposição, não uma lista de equipamentos que a lei imponha indistintamente.

FNRH Digital: obrigação pública e papéis delimitados

A Portaria MTur nº 41/2025, alterada pela Portaria MTur nº 4/2026, institui a ficha digital em substituição ao papel, ressalvadas as contingências previstas. O estabelecimento deve manter informações atualizadas, orientar o hóspede, assegurar o envio e proteger credenciais. Ter um fornecedor de tecnologia não transfere automaticamente esses deveres.

No âmbito da plataforma, o artigo 4º identifica o Ministério do Turismo como controlador e o meio de hospedagem como operador. Essa definição é relevante para a LGPD na hotelaria, mas não torna o hotel operador em todas as suas atividades. Nas decisões próprias sobre reservas, cobrança e relacionamento comercial, seu papel deve ser examinado conforme o tratamento efetivamente realizado.

A conta gov.br não é obrigatória para o hóspede: o artigo 34 admite acesso com ou sem essas credenciais. O acesso institucional do estabelecimento tem regras próprias. O FAQ oficial da FNRH Digital orienta o preenchimento assistido pela recepção quando necessário. Não condicione o atendimento à criação de conta pessoal gov.br.

Para crianças e adolescentes, observe as regras de documentação e representação, o melhor interesse e os controles adicionais previstos na portaria. O vínculo com o responsável não autoriza reutilização indiscriminada dos dados familiares.

Matriz de finalidade, responsabilidade e retenção

Uma matriz de LGPD na hotelaria deve descrever operações, não apenas fornecedores. Use este ponto de partida e valide os papéis com os contratos e a prática:

O artigo 12 remete a definição de prazos de anonimização a portaria específica. Não copie uma orientação sobre guarda estatal para a base comercial do hotel, nem presuma um prazo único para todos os arquivos.

Essa distinção evita um erro recorrente de LGPD na hotelaria: conservar exportações locais indefinidamente porque os registros também estão em um sistema público.

Quem pode consultar cada informação

A recepção precisa dos dados necessários à identificação e à estada; governança e manutenção normalmente precisam de informações operacionais, não de documentos completos. O financeiro requer elementos de cobrança, enquanto uma equipe comercial deve trabalhar apenas com dados autorizados para sua finalidade. Ajuste essas fronteiras à operação real.

A gestão de acessos materializa a LGPD na hotelaria. Recomenda-se usar contas individuais, revisar permissões após mudança de função e retirar acessos no desligamento. Na FNRH, os artigos 26 e 27 atribuem ao estabelecimento a gestão de usuários e perfis; no PMS, essa rotina precisa ser configurada e acompanhada com o fornecedor.

Pedidos que revelem saúde, como certas necessidades de acessibilidade, podem envolver dados sensíveis. Restrinja a informação ao necessário para prestar o atendimento e avalie a hipótese legal pertinente do artigo 11 da LGPD. Evite observações médicas abertas a todos os setores.

Integrações, mensagens e fornecedores

O PMS é o sistema que administra reservas e operações da estada. A integração com a FNRH pode ocorrer por API, uma interface de comunicação entre sistemas. A portaria também permite operar diretamente na plataforma, sem PMS; contratar integração não é requisito universal.

Para a LGPD na hotelaria, automatizar o envio exige verificar campos transmitidos, permissões e tratamento de erros. A credencial de integração deve permanecer protegida. Combine com o fornecedor quem corrige falhas, como confirma a transmissão e quais dados aparecem nos registros técnicos. Uma reserva salva no PMS não prova, isoladamente, que o registro público foi recebido.

Mensagens internas merecem a mesma atenção. Oriente a equipe a não encaminhar documentos para grupos amplos ou aparelhos pessoais sem controle. Se o fornecedor utilizar infraestrutura estrangeira, examine também a transferência internacional de dados em SaaS e serviços de nuvem, sem confundir essa avaliação contratual com as responsabilidades específicas do MTur.

Checkout, retenção e pedidos dos hóspedes

Encerrar a estada não apaga automaticamente todos os dados. Tampouco justifica guardar tudo. A LGPD na hotelaria requer uma tabela por categoria: comprovantes financeiros, dados operacionais, preferências, conversas e cópias excepcionais de documentos podem ter justificativas e prazos diferentes. Os artigos 15 e 16 da LGPD disciplinam término e conservação do tratamento.

Inclua exportações, pastas compartilhadas e backups nessa tabela. Para cada conjunto, indique responsável, fundamento da conservação, evento que inicia a contagem e procedimento de descarte. No PMS, verifique se a exclusão solicitada alcança as cópias sob gestão do fornecedor e como funciona o ciclo de backup.

Os pedidos de acesso, correção ou eliminação precisam de triagem proporcional à identidade do solicitante. Na LGPD na hotelaria, o canal do hotel trata suas operações; solicitações relativas à plataforma pública seguem o canal indicado no artigo 40 da portaria. A OTA responde pelos tratamentos sob sua responsabilidade. Explique essa divisão sem simplesmente abandonar o pedido ou prometer exclusões fora de seu controle.

Checklist operacional com responsáveis e evidências

Para revisar a LGPD na hotelaria, selecione uma reserva de teste com dados fictícios e percorra a jornada. Este checklist é uma recomendação de controle, não uma obrigação de produzir cópias adicionais:

• Reservas: identificar origem, destinatários e campos duplicados. Evidência: mapa do fluxo com justificativas para coleta.
• Recepção: conferir o roteiro de atendimento, as alternativas sem gov.br e a correção de divergências. Evidência: procedimento atualizado e registro de treinamento.
• Tecnologia: testar permissões e confirmação do envio à FNRH. Evidência: resultado do teste sem exposição de documentos reais.
• Gestão de fornecedores: revisar papéis, acessos, retenção e exclusão no PMS e na OTA. Evidência: contratos e pendências atribuídas.
• Privacidade: testar atendimento a titulares e encaminhamento de incidentes. Evidência: responsáveis definidos e histórico das decisões.

Se houver exposição indevida, acione o fluxo de resposta, preserve registros pertinentes e avalie as comunicações cabíveis. A obrigação de comunicar depende dos requisitos legais e regulamentares; nem toda falha operacional produz a mesma consequência.

Como a TOGETHER pode apoiar a operação

A TOGETHER pode apoiar a LGPD na hotelaria por meio de consultoria em LGPD voltada ao mapeamento da jornada, à revisão de formulários e contratos e à definição de acessos e retenção. O trabalho deve envolver recepção, reservas, tecnologia e gestão, para que decisões documentadas sejam executáveis durante o atendimento.

O DPO as a Service pode sustentar a análise de pedidos, a orientação das equipes e o acompanhamento de fornecedores e incidentes, dentro do escopo contratado. Essas rotinas se conectam a um programa de governança em privacidade com responsabilidades definidas.

Para priorizar a LGPD na hotelaria, comece pelos pontos em que documentos se multiplicam ou ninguém consegue explicar quem acessa o quê. Converse com a TOGETHER para transformar esse diagnóstico em controles proporcionais à sua operação, com acompanhamento e revisão das decisões.

Referências

• Lei Geral de Proteção de Dados Pessoais: texto compilado.
• Portaria MTur nº 41/2025, com alteração pela Portaria nº 4/2026: FNRH Digital.
• Perguntas e respostas oficiais do Ministério do Turismo sobre a FNRH Digital.