O que muda na hotelaria no inicio da aplicação das sanções LGPD
Artigo de Josmar Lenine Giovannini Júnior* – Nos últimos meses, temos discutido a respeito de uma série de questões relativas às influências que a vigência da LGPD – Lei Geral de Proteção de Dados pessoais, – Lei nº 13.709/2018 traria para o setor hoteleiro e para o trade turístico como um todo. Discutimos aspectos gerais e específicos da Lei a serem considerados nos tratamentos de dados pessoais realizados em terra, como é o caso dos tratamentos realizados pelos hotéis, no ar, como o tratamento realizado pelas empresas aéreas, e, inclusive, no mar, como os tratamentos realizados pelos cruzeiros marítimos.
A LGPD entrou em vigor no Brasil a fim de estabelecer diretrizes para a coleta, tratamento, compartilhamento, armazenamento e descarte de dados pessoais utilizados pelas empresas, impondo uma série de obrigações para os seus tratamentos, ao mesmo tempo assegurando uma série de direitos fundamentais para os titulares dos dados.
O setor hoteleiro se destaca como um dos mais afetados pela LGPD, devido ao grande volume de dados pessoais que trata, não apenas dos seus clientes, mas também dos seus colaboradores e prestadores de serviços, incluindo, dentre outros, nome, endereço, CPF, telefone, e-mail, histórico de reservas e informações sobre dependentes. Caso não sejam implementadas as medidas de proteção de dados adequadas, um hotel pode estar sujeito a penalidades estipuladas pela LGPD, além de enfrentar uma série de consequências resultantes da ausência dessas precauções.
A LGPD passou a viger em agosto de 2020, em meio ao auge da pandemia de COVID-19. Contudo, as sanções administrativas se tornaram efetivas apenas em agosto de 2021. Foi a partir desta data que as violações de segurança relacionadas ao tratamento de dados pessoais começaram a ser oficialmente relatadas conforme a Lei e as correspondentes investigações pela ANPD foram iniciadas. No entanto, até então, não havia um instrumento que permitisse calibrar a aplicação das sanções. Essa lacuna só foi preenchida no início de 2023, com a publicação do regulamento de aplicação de sanções administrativas pela ANPD – Autoridade Nacional de Proteção de Dados, tendo como principais objetivos:
- definir os critérios e parâmetros para as sanções pecuniárias e não pecuniárias pela ANPD, bem como as formas e dosimetrias para o cálculo do valor-base das multas;
- aprimorar o processo administrativo sancionador e de fiscalização, permitindo-se que a ANPD evolua na atividade repressiva, respeitados o devido processo legal e o contraditório, de modo a proporcionar segurança jurídica e transparência para todos os envolvidos.
Conforme a ANPD, o Regulamento de Dosimetria e Aplicação de Sanções Administrativas é a norma que vai estabelecer as circunstâncias, as condições e os métodos de aplicação das sanções, considerando, dentre outros aspectos, o dano ou o prejuízo causado aos titulares de dados pelo descumprimento à LGPD – Lei Geral de Proteção de Dados Pessoais.
Sanções que poderão ser aplicadas
Poderão ser aplicadas todas as sanções previstas na Lei Geral de Proteção de Dados Pessoais – LGPD, que são:
- Advertência;
- Multa simples, de até 2% (dois por cento) do faturamento da empresa, limitada, no total, a R$ 50 milhões, por infração;
- Multa diária, com limite total de R$ 50 milhões
- Publicização da infração;
- Bloqueio dos dados pessoais;
- Eliminação dos dados pessoais;
- Suspensão parcial do funcionamento do banco de dados por no máximo de seis meses, prorrogável por igual período, até que se regularize a situação;
- Suspensão do exercício da atividade de tratamento dos dados pessoais por no máximo de seis meses, prorrogável por igual período;
- Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
De acordo com a ANPD, a Autoridade poderá aplicar também punições bastante severas aos infratores que não se adequarem às disposições da Lei Geral de Proteção de Dados Pessoais, como o bloqueio ou a eliminação definitiva dos dados pessoais irregularmente tratados, o que deve ser levado em consideração sem dúvida alguma pelos hotéis que ainda não começaram as suas jornadas de adequação, assim como por aqueles que a iniciaram, mas ainda não a concluíram. As adequações realizadas pelos hotéis devem ser também constantemente revisadas para garantir que o tratamento de dados pessoais esteja rigorosamente em conformidade com os requisitos da Lei. Além disso, é crucial manter atualizados os registros de todos os tratamentos de dados pessoais realizados, conforme exige a Lei.
Além das sanções administrativas exemplificadas anteriormente, os hotéis que não cumprirem a LGPD também poderão sofrer danos reputacionais. Isso ocorre porque os clientes podem perder a confiança em um hotel que não protege seus dados pessoais. Uma pesquisa realizada pela empresa PSAFE (https://www.psafe.com/blog/wp-content/uploads/2022/05/pesquisa-sobre-vazamento-de-dados-2022.pdf) retrata que mais de 85% dos entrevistados não confia em empresas com histórico de vazamento de dados ou que sofreram ataques de hackers, e que mais de 73% não volta a fazer negócio com as empresas impactadas, o que reflete a grande preocupação do mercado com o tema de proteção de dados pessoais e privacidade, tendo como possível resultado uma queda nas vendas, a perda de clientes e até mesmo a falência da empresa.
Adequação legalmente necessária
O setor hoteleiro deve tomar medidas para se adequar (e para se manter adequado) à LGPD o mais rápido possível. Algumas das medidas que devem ser tomadas incluem, de forma genérica, as seguintes:
- Identificação de todos os tipos de tratamentos de dados pessoais que são realizados em cada um dos processos internos de cada departamento que lida com dados pessoais em cada hotel;
- Identificação das eventuais inconsistências relativas aos tratamentos de dados pessoais realizados, de acordo com os ditames legais da LGPD;
- Implementação das medidas técnicas necessárias visando proteger os dados pessoais tratados, bem como prevenir eventuais episódios de violação de segurança;
- Implementação das medidas administrativas necessárias a fim de corrigir e adequar as eventuais inconsistências apontadas nos tratamentos de dados pessoais realizados pela empresa;
- Manutenção do hotel adequado à LGPD, mediante ao monitoramento constante das atividades de tratamento de dados pessoais realizadas e ajustes adequados se/quando necessário.
Além disso, os hotéis deverão assegurar que todos os direitos dos titulares de dados sejam garantidos, bem como que todos os princípios legais da LGPD sejam rigidamente implementados nas suas operações com dados pessoais.
A adequação à LGPD sem dúvida nenhuma é um processo complexo e multidisciplinar, que deve ser customizado a partir do modelo de negócios e necessidades internas da operação de cada hotel, mas é essencial se ser realizado para proteger os dados pessoais tratados e evitar sanções e danos reputacionais sérios decorrentes de episódios de violação de segurança.
O que muda para o setor hoteleiro com o início da aplicação das sanções da LGPD?
Para os hotéis que já se encontram completamente e corretamente adequados à LGPD, não haverá mudanças. No entanto, para os estabelecimentos que realizaram apenas algumas ações iniciais, como publicação de avisos de cookies ou políticas de privacidade muitas vezes não personalizadas para seus modelos de negócio, o início da aplicação das sanções pode representar diversos desafios. Algumas das principais alterações que tais hotéis deverão enfrentar incluem:
- Investimento na conformidade com a LGPD: Hotéis que ainda não se adequaram à LGPD terão de alocar recursos para processos de conformidade customizados às suas necessidades e realidades de tratamento de dados pessoais. Esses processos são multidisciplinares e devem ser realizados obrigatoriamente por profissionais capacitados tanto em aspectos técnicos quanto jurídicos. É importante evitar investimentos em adequações duvidosas, que podem levar à duplicação de esforços e custos – um problema atualmente comum no mercado, onde empresas que acreditavam estar em conformidade com a lei acabam tendo de reinvestir em novas adequações.
- Implementação de medidas de segurança: Para proteger os dados pessoais que são tratados, serão necessárias medidas de segurança adicionais, o que pode acarretar aumento dos custos operacionais.
- Maior rigor nos processos internos: Os hotéis precisarão adotar uma série de novos processos e procedimentos para cumprir os requisitos da LGPD. Isso pode acarretar um aumento na burocracia interna, o que é essencial para que o hotel esteja em conformidade com os requisitos da Lei.
Apesar dos desafios, a LGPD apresenta uma série de oportunidades que podem ser aproveitadas pelo setor hoteleiro. Alguns dos principais benefícios que podem ser explorados incluem:
- Melhoria da relação com os clientes. O setor hoteleiro pode melhorar a relação com seus clientes ao mostrar que está comprometido com a proteção de seus dados pessoais.
- Aumento da confiança dos clientes. O setor hoteleiro pode aumentar a confiança dos clientes ao mostrar que está cumprindo os requisitos da LGPD.
- Aumento das vendas. O setor hoteleiro pode aumentar as vendas ao mostrar aos clientes que seus dados pessoais estão seguros.
O setor hoteleiro deve aproveitar as oportunidades que a LGPD oferece para melhorar a relação com seus clientes, aumentar a confiança e as vendas. O setor também deve estar preparado para os desafios que a LGPD traz, como o aumento dos custos, da burocracia, do risco de sanções e da gestão dos dados pessoais que são tratados.
Para mais informações consulte:
- Lei Geral De Proteção de Dados – https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
- ANPD – https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-regulamento-de-dosimetria
Aviso Legal: Este texto sobre a LGPD é fornecido apenas para fins informativos e não deve ser considerado como aconselhamento jurídico ou orientação profissional. As informações aqui contidas não se destinam a ser uma interpretação abrangente ou exaustiva da LGPD. A aplicação da LGPD pode variar dependendo de circunstâncias individuais, e os leitores são encorajados a buscar aconselhamento profissional especializado para entender como a lei se aplica em seus casos específicos. O autor e o editor deste texto não se responsabilizam por quaisquer danos ou perdas decorrentes do uso das informações aqui contidas.
*Josmar Lenine Giovannini Júnior é Diretor da empresa Conformidados, especializada na LGPD – Contato: josmar.giovannini@conformidados.com.br
