Quais os impactos da Lei Geral de Proteção de Dados na hotelaria

Dados são o novo petróleo

Como a hotelaria necessita colher dados dos clientes, como no preenchimento da FNRH – Ficha Nacional de Registro de Hóspedes, uma exigência legal da EMBRATUR, o tratamento desses dados de incluir: a coleta, classificação, utilização, processamento, armazenamento, compartilhamento, transferência, a eliminação, entre outros. Esses são os procedimentos da LGPD a fim de que estas informações não caiam em mãos erradas causando prejuízos maiores para ambos os lados. Um dos casos mais notórios de golpe cibernético que resultou na exposição de dados de hóspedes na hotelaria, foi o ocorrido com a Marriott em novembro de 2018, quando hackers invadiram o sistema de reservas da Starwood, marca da Marriott, e tiveram acesso não autorizado aos dados pessoais de cerca de 500 milhões de pessoas que estiveram nos hotéis da rede entre o ano de 2014 até o dia 10 de setembro de 2018.

As empresas deveriam estar se adequando as normas da LGPD desde que ela foi sancionada em 2018 pelo Presidente da República à época, Michel Temer. Houve um grande período de tempo a adequação para que as empresas alinhassem sua operação aos requisitos da lei, como por exemplo, designar um controlador, um operador e um encarregado dessas informações. O período também serviu para que as empresas, assim como os hotéis, tomassem providências práticas como o investimento em ferramentas tecnológicas desenvolvidas para esta função.

Planos em curso

Agora, portanto, é fato: A LGPD já está em vigor e tem de ser cumprida sob risco de sanções de até 2% do faturamento da empresa, podendo chegar até R$ 50 milhões. Segundo Josmar Lenine Giovannini Junior, Presidente Fundador da Conformidados Treinamento, Educação e Consultoria e especialista em LGPD, com a vigência da LGPD, todo o setor hoteleiro, como todos os demais setores do mercado, deverão se adequar aos requisitos legais.

Josmar explica: “É fato que a vigência da Lei já era esperada, porém o que se discutia no Congresso Nacional era a data mais apropriada para tal, uma vez que, com a pandemia da COVID-19, as prioridades gerais (do planeta) foram alteradas, incluindo as de adequação das empresas os requisitos legais da Lei. A LGPD é uma lei moderna, a qual foi inspirada em outros regulamentos de proteção de dados pessoais já vigentes no mundo (como o GDPR: General Data Protection Regulation da União Europeia). O Brasil foi o 128° país a ter a sua própria lei que regula o tema. Assim, tivemos a chance de nos inspirarmos nas melhores práticas já em uso em outras partes do mundo, evitando também que erros já anteriormente cometidos fossem aqui repetidos”.

Uma das questões a serem esclarecidas, e que o especialista considera de suma importância é que a LGPD não proíbe que seja realizado o tratamento de dados pessoais por nenhuma empresa, mas apenas regula a forma para que sejam realizados tais tratamentos. A Lei aponta uma série de direitos para os titulares de dados pessoais (designação conferida aos proprietários de dados pessoais), os quais “entregam” os seus dados para sejam tratados por empresas, que por sua vez decidem o que será feito com estes dados (pelos profissionais conhecidos por controladores de dados pessoais no texto legal), ao mesmo tempo em que descreve uma série de deveres para as empresas controladoras de dados pessoais, os quais devem ser cumpridos à risca.

A verificação se a LGPD está sendo seguida ou não, com a aplicação de sanções administrativas de acordo com a gravidade das ocorrências ficará a cargo da ANPD – Autoridade Nacional de Proteção de Dados Pessoais. Esse órgão regulador já foi criado em dezembro de 2018, mas ainda não instituído, com promessas da sua indicação pelo Poder Executivo para muito em breve. “Felizmente, as sanções previstas em lei serão aplicadas apenas a partir de agosto de 2021, o que não impede que, os titulares de dados que sentirem que os seus direitos foram desrespeitados, busquem pelas devidas reparações nas esferas do Poder Judiciário, o que é possível a partir do momento de vigência da Lei”, ressalta Josmar.

Impacto na hotelaria

A LGPD provocará impactos em todos os setores da economia, uma vez que estes terão que se adequar aos requisitos legais a fim de que possam continuar a tratar dados pessoais. E não será diferente na hotelaria. Josmar detalha: “O segmento hoteleiro trata de uma série de dados pessoais, os quais vão muito além dos presentes na FNRH, e são parte de uma exigência legal e deverão ser tratados como sempre foram. Desde o momento da primeira visita do potencial cliente no site do hotel para conhecer um pouco mais, seus dados já são tratados pelos cookies do site. No momento em que se realiza uma reserva, seja para uma mesa no restaurante, ou para uma sala de reuniões ou espaço de eventos, há a troca de dados entre clientes e hotel, assim como no check-in e no pagamento das despesas efetuadas. Dados pessoais são tratados em diferentes momentos das jornadas dos clientes com os hotéis. Isso sem falar nos hotéis nos quais fechaduras eletrônicas são utilizadas nas portas dos quartos, forçando a recepção a tratar dos dados das biometrias dos hóspedes, as quais pertencem à categoria de dados sensíveis dos hóspedes, devendo serem tratadas com o rigor que esta categoria de dados pessoais exige”.

Investir para prevenir

De acordo ainda com Josmar, a LGPD é uma lei que possui uma abrangência muito extensa, exigindo que atividades multidisciplinares sejam realizadas a fim de se alcançar a conformidade com o texto legal. A Lei é principiológica, exigindo bastante rigor na sua análise e principalmente nas ações de adequação a serem realizadas. “O fato é que a lei passou a viger agora, após mais de dois anos da sua sanção. Por conseguinte, pode ser uma novidade para alguns, mas não para todos. As redes hoteleiras internacionais com presença no Brasil por exemplo, responsáveis pelo tratamento de dados pessoais de cidadãos oriundos de países nos quais leis de proteção de dados pessoais similares já são uma realidade (há muito tempo), já tiveram que se adequar aos requisitos legais das mesmas a fim de tratarem os dados dos seus clientes internacionais, os quais envolvem, inclusive, questões de extraterritorialidade. Ou seja, as redes já possuem essa cultura interna de proteção de dados pessoais e privacidade. Com a LGPD elas devem fazer singelas adequações a essa cultura adotada anteriormente, já que a LGPD possui nuances que não existem na GDPR. Dessa forma, supõe-se que para as redes isso será um processo simples. Mas para os outros hotéis – independentes e outros meios de hospedagem – será um pouco mais difícil, uma vez que nunca houve uma lei que os obrigasse a tratar dados pessoais com o rigor imposto pela LGPD. Nunca tivemos antes no Brasil que desenvolver a cultura pela proteção dos dados pessoais”, observa o especialista.

Para a proteção e a segurança dos dados pessoais que são tratados, a LGPD define que sejam aplicadas “medidas técnicas e administrativas”. Assim, o legislador já deixou “claro” que, além das questões técnicas envolvidas com a proteção de dados pessoais, seriam necessárias medidas administrativas associadas a políticas e procedimentos, a fim de guiar os colaboradores no tratamento dos dados pessoais. Para Josmar, “Tais medidas deverão fazer parte da rotina de todos os hotéis. Cada hotel é único na forma como trata os seus dados, e como único deve ser respeitado na criação da sua política interna de proteção de dados pessoais e privacidade. Tais políticas e procedimentos não são estáticos ou definitivos, e devem ser reavaliados na busca de melhorias contínuas para a preservação da confidencialidade e integridade dos dados pessoais que tratam”.

A forma de relacionamento pós estadia com os clientes deve também ser revista, a fim de que se tenha a certeza de que um cliente tenha autorizado realmente ser contatado para efeitos de campanhas de marketing ou promoções lançadas pelo hotel. “Tais envios de comunicados para os clientes com os quais o hotel já tenha mantido relacionamentos no passado poderão ser utilizados, desde que o cliente consinta. O consentimento, sem dúvida nenhuma é a hipótese legal mais confortável e segura a ser utilizada pelos hotéis para a realização de tais comunicados. Outra base legal, como a do Legítimo Interesse, poderia ser avaliada para ser utilizada em tais casos, a qual requer que seja preparado um relatório de impacto à proteção de dados pessoais para que possa ser avaliada a sua utilização”, destaca.

Panorama Nacional de Proteção de Dados Pessoais

A LGPD é apenas uma das Leis que integram o atual panorama nacional de proteção de dados pessoais, o qual é composto adicionalmente pela PEC N° 17/2019, pela Lei n° 12.965/2014, o Marco Civil da Internet e pela Lei n° 8.078/1990, o Código de Defesa do Consumidor, que unidas, compõem um “ecossistema” de proteção de dados pessoais e privacidade no Brasil.  A PEC n° 17/2019 eleva para a condição de direito fundamental dos cidadãos brasileiros a proteção dos seus dados pessoais, além de fixar a competência privativa da União para legislar sobre a matéria. Direitos fundamentais exigem garantias fundamentais, sendo de responsabilidade do Ministério Público assumir a função de “guardião dos direitos fundamentais dos cidadãos”. Assim, tão logo a PEC seja sancionada, o mercado como um todo deverá respeitar mais um direito fundamental dos cidadãos, também associado à proteção dos seus dados pessoais.

Completando o Panorama, estão o CDC – Código de Defesa do Consumidor (que completa 30 anos de existência em 2020), focando na relação de consumo que existe entre um prestador de serviço e um consumidor e que envolva dados pessoais, sendo este o caso dos hotéis. Além disso, o Marco Civil da Internet também regula o tratamento de dados pessoais no ambiente da Internet.

Todas as leis que compõe o atual panorama nacional de proteção de dados pessoais devem ser harmonizadas entre si, bem como com todo o ordenamento jurídico existente no Brasil. Não existe lei que seja mais forte ou mais fraca que a LGPD. Todas devem ser consideradas, e por isso mesmo a harmonização entre as leis deve prevalecer para que sejam aplicadas de forma conveniente.

Próximos Passos

A fim de que os hotéis possam se adequar, precisarão conhecer bem quais são os dados que tratam, por quê/para que tratam, como tratam, aonde tratam, desde quando e até quando tratam, com quem compartilham e como descartam. Isso além de saberem o principal: Quem tem acesso aos dados que tratam. “Parece uma tarefa simples, a qual reserva várias surpresas. Quando se analisam os volumes de dados tratados, em muitas vezes sequer são conhecidas as razões dos seus tratamentos, bem como por que tantas pessoas podem ter acesso aos mesmos. Essa realidade tem que mudar. É fato que investimentos deverão ser realizados pelos hotéis a fim de que possam se adequar à nova realidade legal imposta pelo Panorama Nacional de Proteção de Dados Pessoais. Porém, tais investimentos não são proibitivos de serem realizados. Sempre arrumamos um modo, uma forma de acomodar as solicitações dos nossos clientes, com relação aos pagamentos”, completa Josmar. “Além disso, comparações de custos devem ser feitas no caso de gastos dos hotéis com eventuais reclamações de direitos não respeitados no tratamento de dados pessoais que poderão ser movidas pelos seus hóspedes, ou, pelo pior, pelo tratamento de episódios de violação de segurança com a exposição de dados pessoais de clientes, os quais poderão causar multas pecuniárias, além, é claro, de grandes prejuízos com a reputação do hotel”, finaliza.

Longa jornada de adequação

Para Carolina Cavalcante Schefer, advogada do CSMV Advogados, o projeto de adequação da LGPD é uma longa jornada, da qual a adequação, sobre a qual todos estão falando, é apenas a primeira fase. Uma vez concluída esta etapa, espera-se que as empresas estejam capacitadas para atuar de forma transparente e responsável perante os titulares de dados. E ela cita como parâmetro os dados obtidos após o primeiro ano de vigência da GDPR, pela International Association of Privacy Professionals, o IAPP. “Eles mostram que 67% dos europeus ouviram algo a respeito da GDPR, 57% sabem que existe uma autoridade pública em seu País responsável pela proteção de seus direitos sobre dados pessoais. Foram reportadas 89.271 notificações de violação de dados pessoais (data breach) perante as autoridades europeias de proteção de dados. Telemarketing, e-mails promocionais e sistemas de vigilância por vídeo (CCTV) foram as atividades para as quais foi registrado o maior número de reclamações/denúncias. O valor aproximado das multas aplicadas pelas autoridades nacionais foi de 56 milhões de euros”, revela Carolina.

Apesar de realidades distintas, a Advogada Carolina acredita que os números dão uma ideia do que é possível esperar desta nova realidade. “Com a LGPD finalmente em vigor, vamos ser obrigados a passar por uma mudança de cultura, tal como se verificou com o Código de Defesa do Consumidor na década de 1990 e, mais recentemente, com as questões atreladas ao compliance e à Lei Anticorrupção (Lei n° 12.846/13). Essa nova realidade vai atingir desde as empresas que tratam os dados, até os próprios titulares, que passam a estar no controle de seus dados pessoais e sobre o que é feito com eles. Nesse sentido, a adequação à nova lei, que é sem dúvida necessária, não deve ser entendida simplesmente como um projeto, com começo, meio e fim, até mesmo porque não existe nenhum modelo que, uma vez implementado, garanta que a empresa estará 100% segura contra violações de dados pessoais”, concluiu a advogada.

LGPD é um avanço

Para Orlando de Souza, Presidente do FOHB – Fórum de Operadores Hoteleiros do Brasil, “A lei é sim um avanço pois informação é cada vez mais o principal ativo estratégico para as empresas, e o tratamento de forma segura desses dados é cada vez mais fundamental”.  O Presidente da entidade também opina sobre o impacto da LGPD sobre a hotelaria neste primeiro momento: “O impacto é que em determinados processos dentro de uma operação hoteleira deverão ser estruturados de modo a ter os dados dos clientes protegidos e/ou autorizados pelos clientes para uma eventual utilização pelo hotel. Muitos desses processos estarão vinculados às plataformas eletrônicas que prestam serviços aos hotéis e essas plataformas é que terão que ter o compliance necessário para dar segurança aos dados. Os hotéis terão que mapear seus processos para poderem atender a essas exigências”, detalha.

Sobre os investimentos necessários para a adequação a nova realidade, Souza enfatiza: “Não será uma questão de ter ou não recursos, mas sim de cumprir com a legislação para não estarem sujeitos a elevadas multas. Como disse anteriormente, muitas dessas exigências deverão ser atendidas por plataformas/fornecedores que prestam serviços aos hotéis”. Souza finaliza com uma jogando uma pouco mais de luz sobre os próximos movimentos da hotelaria para o alinhamento à LGPD: “Em determinados casos poderá ser um processo custoso de estudo, levantamentos, definição de processos, implementação e assim como os protocolos de segurança de higiene passam a ser mandatórios para um hotel ser cadastrado/contratado como um fornecedor para corporações, o protocolo de compliance para proteção de dados também será uma exigência por parte dessas corporações em suas RFP’s”, conclui.

Para o Presidente da ABIH Nacional – Associação Brasileira da Indústria de Hotéis, Manoel Linhares, a LGPD é importante para o setor hoteleiro. “Todas as empresas deverão se adaptar aos requisitos legais da LGPD e, como não haveria de ser diferente, os hotéis estão incluídos. Os meios de hospedagem tratam de uma série de dados pessoais dos seus hóspedes, desde o momento em que são realizadas suas reservas ou quando fazem pagamentos, bem como dos seus funcionários diretos ou terceirizados. Esses dados pessoais, quando tratados, possuem um alto valor e impulsionam o surgimento de negócios e serviços disruptivos. Impulsionados por diversos tipos de tecnologia, mais e mais dados pessoais são coletados e tratados todos os dias, para as mais diversas finalidades e com os mais variados tipos de interesses. Nesse contexto, a Lei Geral de Proteção de Dados é muito importante para o setor de hotelaria, pois regulariza a utilização das informações, coibindo possíveis abusos”.

A responsabilidade e o peso da lei também são destaques para Linhares. “Apesar do objetivo ser importante, a responsabilidade pelo cumprindo da lei poderá ser de uma pessoa física (ou um responsável dentro de um comitê interno), ou de uma pessoa jurídica, com conhecimento profundo da lei, mas também, e sobretudo, da atividade da organização. Ou seja, serão necessários investimentos num momento de crise, quando o setor está precisando de apoio, de ter antigas pautas atendidas que muito ajudariam a retomada mais rápida das atividades”, observa.

Sobre a adesão por parte das empresas – incluindo hotéis e redes – Linhares acredita que o momento de pandemia prejudicou as empresas no que diz respeito a adequação: “O momento de crise que estamos vivendo na hotelaria torna complicada a adequação nesse prazo. Tudo vai depender de como se dará a recuperação e a capacidade de investimentos do setor. Diante da obrigatoriedade imposta pela lei e visando apoiar seus associados com relação a soluções para adequação aos requisitos legais da LGPD, a ABIH homologou uma série de serviços que foram desenvolvidos por especialistas das áreas de perícia forense, proteção de dados, privacidade, segurança da informação e direito digital, a partir do detalhamento da LGPD, e apresentou-os aos seus associados regionais. Tais serviços já se encontram à disposição dos hotéis associados à ABIH, com o diferencial da facilidade de implementação e de descontos especiais para as suas contratações para todos os associados”, conclui.

Sanções podem ocorrer antes de agosto de 2021

Muitas empresas sabem da importância de adequar a LGPD e já estavam começando esse processo, mas a pandemia da COVID-19 provocou um impacto. Com o fluxo de caixa baixo, as empresas começaram a pensar que o momento era de aplicar o que pouco recurso que ainda tinham em questões emergenciais como folha trabalhista ou mesmo aquisição de insumos para a produção.  Isso é o que revela uma pesquisa realizada pela ICTS Protiviti tomando como base um levantamento no Portal LGPD. O grau de maturidade das empresas à Lei, revela que entre agosto de 2019 e março de 2020 havia uma média de 29,8 registros de análise de maturidade. Porém, entre abril e junho deste ano, a média mensal caiu para 3,3 registros por mês. Segundo a ICTS Protiviti, a queda significativa neste período se deveu à conjunção dos problemas ocasionados pela COVID-19 e às indefinições daquele período em relação à vigência da LGPD.

De acordo com o porta-voz da pesquisa e especialista em LGPD, André Cilurzo, as empresas precisam acelerar este processo. “Mesmo que as sanções tenham sido adiadas para agosto de 2021, quando a ANPD passará a aplicar as penalidades, como multa de até 2% do faturamento por incidente, há riscos para as empresas. Os órgãos como o Procon e o Ministério Público podem basear-se nos princípios da LGPD para penalizar infratores”, assegura Cilurzo.

Completando um ano de análise e acompanhamento sobre a adequação das empresas à LGPD (Lei Geral de Proteção de Dados), uma nova pesquisa realizada pela ICTS Protiviti, consultoria de gestão de riscos e compliance, mostra que houve crescimento nas ações das empresas se comparado ao cenário de 2019, mas ainda há muito o que se fazer para que os processos das organizações estejam preparados para os requisitos da nova Lei.

Novo levantamento

O levantamento atual, que contou com a participação de 296 empresas, mostra que mesmo após a sanção da LGPD, 82% das empresas ainda se mantêm atrasadas com as ações de adequação. Quando comparamos períodos, entre outubro de 2019 e março desse ano, apenas 16% das empresas estavam maduras para lidar com os requisitos da Lei, enquanto nos últimos seis meses, entre abril e setembro, esse indicador subiu para 24%. Ou seja, houve um aumento de 50% na quantidade de empresas que estão melhor preparadas para a LGPD.

Segundo André Cilurzo, “Em meio à pandemia, houve uma redução no engajamento das empresas, fruto das preocupações que circulavam o momento, como a criação de ações para a sustentação dos negócios. Somado às indefinições da vigência da Lei, tivemos uma redução de 89% no interesse das organizações avaliarem seus processos para a adoção de medidas exigidas pela Lei. Agora, em vigor e com empresas sendo autuadas a partir de outros órgãos, que não a ANDP – Autoridade Nacional de Proteção de Dados Pessoais, que passará a multar apenas em agosto de 2021, as empresas começaram a correr com seus processos”.

Essa afirmação pode ser comprovada quando analisamos o crescimento neste ano das medidas de adequação. Enquanto em 2019 apenas 34,9% das empresas possuíam políticas e normativos, em 2020 este número saltou para 45,2%. Outro percentual que reflete o avanço no preparo das empresas neste ano é o mapeamento dos dados pessoais sensíveis, que pulou de 23,3% no ano passado para 35,5% neste ano. Outro dado que chama a atenção no comparativo é a estrutura de proteção de dados, que sai de 17,1% para 32,3%.

Confrontando-se o nível de adequação das grandes empresas, que representam 22,1% das organizações pesquisadas, versus as micro e pequenas empresas, que somam 45,1%, nota-se que as grandes empresas estão em média 50,2% mais preparadas do que as micro e pequenas. Esta diferença reflete não apenas na maior capacidade de alocação de recursos para adequação, mas também a compreensão das grandes empresas de que estarão no foco das ações de fiscalização em 2021.

Para apoiar as organizações neste momento, a ICTS Protiviti reforça a importância das empresas conhecerem seu grau de preparação por meio de uma avaliação online e gratuita disponibilizada no Portal LGPD, que pode ser acessado pelo endereço https://www.protiviti.com/BR-por/protecao-de-dados-pessoais

Empresas de qualquer porte e segmento, após responderem a um conjunto de perguntas sobre sua organização, políticas e estruturas de proteção de dados pessoais e sensíveis, recebem automaticamente um relatório com o diagnóstico sobre sua adequação à LGPD e orientações de como iniciar ou evoluir seus esforços de preparação.

Custo para se adequar

O setor produtivo vê com ressalvas a nova lei. O primeiro gargalo, segundo o Presidente da FBHA -Federação Brasileira de Hospedagem e Alimentação, Alexandre Sampaio, é o custo. “Será expressivo o valor para as empresas colocarem seus negócios de informações de dados em ordem e em conformidade, principalmente, considerando que estamos em meio a uma pandemia”, considera. Segundo ele, a adequação demanda tempo e dinheiro. “Como empresas menores tendem a ter menos dados com o que se preocupar, não é tão cara a adaptação, mas para as empresas maiores, é necessário nomear um responsável pela proteção de dados, explica Sampaio.

Outros pontos que merecem atenção, segundo ele é a burocracia no trato com os clientes e as multas. “Havia, e continua a existir, o medo das multas maciças que podem afetar uma empresa se elas não forem compatíveis com a LGPD. A multa equivale a 2% do seu faturamento (limitada ao valor máximo de R$ 50 milhões). Imagine o quanto uma multa desse porte pode causar a uma empresa que é relativamente pequena ou até média? Aqueles que não cumprirem as regras descobrirão que estão enfrentando sérios problemas, pois é possível que haja um processo judicial contra essas empresas, cobrando um passivo impagável”.

A tecnologia e a LGPD

Com a vigência da LGPD, diversas empresas de tecnologia lançaram soluções com o intuito de facilitar o tratamento e armazenamento de dados. A Totvs é uma delas. Gigante do segmento no Brasil com expertise de mercado e tradição como fornecedora de tecnologia para a hotelaria, a empresa está 100% preparada para a nova realidade da indústria. A Totvs entende que a LGPD é um desafio para todas as empresas de todos os portes e setores. Isso porque, para se adequar à Lei, é necessário ir muito além da contratação de novas tecnologias ou consultorias, é primordial a revisão dos processos que envolvem dados de clientes. No caso da hotelaria, a jornada para adequação à LGPD é ainda mais desafiadora, uma vez que informações pessoais constam em praticamente todos processos. As instituições que ainda não iniciaram essa transição precisam se atentar ao novo prazo de vigência da Lei para evitarem maiores problemas. É possível começar com iniciativas simples – e que não requerem alto investimento, considerando as atuais circunstâncias do mercado – como a criação de um comitê responsável pelo processo de adequação; análise de fornecedores que, assim como a TOTVS, já adaptaram seus produtos de acordo com os critérios da Lei ou então realizar o mapeamento de todas as atividades que se baseiam em informações pessoais. Fazendo isso, as instituições hoteleiras estarão ainda mais perto de cumprir com essa demanda”.

Tempo de adaptação

De acordo com Fábio Santana, CEO da Faitec, “Muitos hotéis no Brasil ainda não estão preparados para atender os requisitos no tratamento dos dados conforme a LGPD. Isso porque a COVID-19 derrubou praticamente em 100% a receita de todos os hotéis no Brasil, que já vinham se recuperando de uma crise desde 2014. Sendo assim muitos hotéis provavelmente não terão condições de investimento para adequação da lei”. Na visão de Santana, os governantes e legisladores não deveriam deixar prevalecer as sanções da lei já no próximo ano. “Isso porque o mercado de turismo ainda passa por uma grande recessão que poderá durar por alguns anos, e o risco de multa (que pode chegar a cinquenta milhões de reais) agrava ainda mais a situação deste seguimento tão afetado com a COVID-19”, complementa o executivo.

Segundo Santana, “Além das ferramentas disponíveis para este processo de adequação da LGPD, os hotéis vão precisar contar com uma boa consultoria jurídica com vasto conhecimento no mercado hoteleiro. Podemos falar de ferramentas como LGPD GO, manageengine.com, entre outras, para assegurar que os dados sejam tratados adequadamente. No entanto, além delas, será necessário que cada hotel conte com o auxílio de um Data Protection Officer (da sigla em inglês DPO). Quanto ao processo de captar dados, o primeiro ponto que o hotel deve levar em consideração sobre a manipulação dos dados pessoais e para que possam ser coletados, é o consentimento expresso do hospede ou seja do titular. Este consentimento se aplica sempre a uma finalidade, isso impossibilita o uso de uma aprovação genérica. Caso seja necessário usar os dados do hospede para outros fins é necessário que haja uma nova aprovação”.

Criatividade e inovação

Lembrando que a maioria das bases dos hotéis já possuem dados de diversos hóspedes. Os dados previamente existentes também deverão receber autorização dos hóspedes para serem mantidos, tratados e processados. A Faitec possui uma vasta experiência em tratamento de dados, como também uma equipe de DPO e assessoria jurídica para auxiliar hotéis de todas as categorias.

A LGPD também incentivou a criatividade e a inovação dentro das empresas de tecnologia, que viram na sua chegada, uma oportunidade para novos negócios. A Privacy Tools é uma dessas novidades. Trata-se de uma PrivacyTech, parte do Grupo MVN, que hoje abriga também a Maven Inventing Solutions, em Porto Alegre, no Rio Grande do Sul. Fundada em 2019 pelos sócios Marison Souza, CTO; e Aline Lúcia Deparis, CEO; a start-up visa transformar a forma como as empresas protegem e gerenciam a privacidade de dados pessoais por meio de uma plataforma de gerenciamento da privacidade.

Aline explica: “Há mais ou menos dois anos eu estava na Gartner em busca de novidades e tendências para investimento e aprimoramento das nossas empresas à época, a Maven Inventing e a Trubr. Um dos assuntos que estavam em alta era justamente a privacidade. Estava em alta a discussão sobre o vazamento do Facebook e a Cambridge Analytica, e todas as empresas já estavam preocupadas com a GDPR afetando os negócios em todo o mundo. Voltei de lá com a ideia de olhar o mercado no Brasil pois via uma grande oportunidade de trazer inovação, aliar blockchain e inteligência artificial e resolver o problema de privacidade das empresas. Quase ao mesmo tempo da criação da empresa surgiu a LGPD no Brasil, lei fortemente inspirada no conceito expansionista da GDPR, e assim a Privacy teve seu início com foco na criação de soluções para diversas necessidades específicas das empresas. Eu priorizei aquelas que teriam uma necessidade mais urgente e de rápida implantação como a Gestão de Cookies, Gerenciamento de Consentimento, Data Mapping, Plataforma de Atendimento aos Direitos das Pessoas, entre outros. A nossa premissa foi criar uma plataforma simples mas completa que pudesse tanto atender tanto uma pequena empresa quanto uma holding multinacional, por isso é uma plataforma modular, plug-and-play, que ajuda as empresas a estarem e se manterem em adequação com as leis de privacidade e as novas necessidades de privacidade do mercado”.

Na opinião da executiva, a lei vem para “pacificar o entendimento quanto à privacidade e proteção de dados. Até hoje a matéria estava bastante espalhada em diversas leis e normativas setoriais ou mesmo regionais e embora existisse jurisprudências quanto a alguns aspectos como a remoção de dados, pedidos de desindexação e mesmo pedidos de correções de dados e explicações sobre o score de crédito. Mas até então as empresas sempre puderam coletar e usar de forma indiscriminada e sem qualquer limitação os dados das pessoas e é isso que a lei chega para regulamentar e dar segurança jurídica para seu uso correto. Para regulamentar há de se fiscalizar e garantir o cumprimento da lei, por isso que junto com a LGPD cria-se a ANPD que é a Autoridade Nacional de Proteção de Dados, que tem como missão, dentre outras atribuições, garantir a real aplicação da LGPD no País. As empresas que utilizarem de forma indevida os dados pessoais e sofrerem sanções podem ser punidas com valores que podem chegar a 2% do faturamento anual da empresa, com limite de R$ 50 milhões por infração. Ou seja, uma multa dessa pode inviabilizar um negócio. Além da multa, as empresas podem deixar de usar os dados das pessoas e sofrem uma perda reputacional considerável que pode também gerar danos irreparáveis aos negócios. Somado a isso praticamente todas as empresas globais ou nacionais mas grandes já estão exigindo que seus fornecedores estejam em adequação para poder continuar a atendê-los, o que gera um efeito cascata no mercado até atingir as pequenas empresas e start-ups”.

Disponível para hotéis

Para Aline, “Proteger a privacidade e os dados das pessoas é uma missão de todas as empresas, independente do seu segmento ou tamanho. É sabido que alguns setores como o Marketing, que usam dados de pessoas para campanhas são os mais afetados. Negócios que lidam diretamente com o consumidor final como hotéis, lojas físicas ou virtuais, são os mais visados pois lidam com pessoas de diferentes lugares do mundo, inclusive. Há algum tempo a rede Marriott, por exemplo, levou mais de R$ 500 milhões em multas pelo vazamento de dados dos hóspedes. Como os hotéis estão guardando e usando os dados dos hóspedes depois desse episódio? Os hotéis brasileiros eu não sei se seguiram o exemplo da Marriott, que precisou adequar todos os seus sistemas, fluxos e contou com soluções do mesmo modelo da Privacy Tools para poder voltar a operar garantindo a segurança dos dados dos titulares. A Privacy Tools atua nesse segmento e pode ajudar os hotéis e redes para estarem em adequação com a LGPD”.

Retorno de investimento

A executiva conclui: “Se as empresas visualizarem a LGPD como uma oportunidade de negócio e não como um custo, pode-se colher muitos benefícios. Uma pesquisa recente da Cisco trouxe que, para cada dólar gasto em privacidade, a organização média está recebendo 2,7 dólares em benefícios e retorno de investimento. Ser uma empresa “Privacy Friendly” é legal e os consumidores estão cada vez mais atentos a isso”, finaliza.

Atualmente é quase impossível falar de tecnologia para a hospitalidade sem mencionar a Vega I.T., empresa consolidada entre os principais players do mercado. O CEO Matheus Quincozes também compartilhou sua visão sobre este novo momento. “A grande maioria dos parceiros tecnológicos estão adequados ou se adequando aos novos modelos de tratamento de dados, mas o empreendimento também precisa rever seus processos internamente e os dados que competem a ele mesmo armazenar e tratar. Nesse sentido, vale ressaltar que a LGPD não se aplica apenas a empresas de TI e dados que são armazenados em banco, mas em todos os processos que envolvam pessoas, como vendas, eventos, RH, entre outros”.

Para Quincozes, a LGPD é mais complexa do que se imagina. “Não existem ferramentas específicas para a LGPD, mas consultorias especializadas no tema podem ajudar. A nova lei não é algo que pode ser resolvido facilmente por um software, mas é a soma de processos e atitudes que as empresas precisam adotar em relação aos dados”. O executivo opina: “A operação tende a mudar muito, saber de onde vem e para onde vão os dados das integrações por exemplo, é um dos maiores desafios. Outras medidas importantes em todo o fluxo da jornada do hóspede, desde a distribuição e vendas até o pós-estada, impacta em tudo”.

De acordo com o CEO, “Os dados são um bem valioso para qualquer empreendimento. Com um tratamento adequado, podem transformar-se em insights e benefícios aos próprios clientes. Em uma estratégia, os dados basicamente retroalimentam seu funil de vendas e consequentemente podem gerar mais receita, e claro, é possível fazer tudo isso de forma adequada e correta pela LGPD”.

No entanto, o especialista faz um alerta: “Em contraponto, há muitas formas ruins de manuseá-los, por exemplo, existem empresas no mercado que prestam serviços com custo reduzido em troca dos dados dos hóspedes, para posteriormente monetizar esses dados em ações de Marketing. Neste ponto, como o hotel vai saber o que realmente é feito com esses dados?”.

Não existe almoço grátis

Quincozes explica ainda que esse tipo de contratação “pode ser o declínio de um grande empreendimento, podendo gerar multas de até 2% do faturamento anual. É como diz o ditado: ‘não existe almoço grátis’, se algumas empresas no mercado estão comprando dados, será que você como hoteleiro não está entregando o seu bem mais valioso?”, questiona. “Fora isso, se seu hóspede tem o dado vazado mesmo que um terceiro, você foi o agente captador, ou seja, a multa vai para você, independente se depois um terceiro vazou. Neste momento, todo cuidado é necessário!”, finaliza.

Soluções sob medida

A Nonius, empresa portuguesa de desenvolvimento de soluções tecnológicas para a hospitalidade com forte presença no Brasil, também já vinha se preparando para a vigência da Lei Geral de Proteção de Dados, conforme explica Victor Perucho, Diretor comercial da companhia no Brasil: “As nossas soluções são desenvolvidas para os hotéis proporcionarem uma experiência agradável e única. E para que isso seja possível, é necessário conhecê-los, mas sempre respeitando seus direitos. Por meio das nossas soluções e serviços, asseguramos que os hotéis tenham acesso aos dados críticos para o negócio de acordo com todas as normas e padrões da LGPD”.

Segundo o Diretor, a Nonius já se prepara para a vigência da lei desde o ano de 2018, quando foi implementada da regulamentação de proteção de dados na Europa (GDPR). “Desde então estamos acompanhando a evolução da legislação e regulações que estão sendo implementadas no Brasil como a LGPD, fazendo os ajustes necessários para estar em compliance”, complementa.

Priorizando o hóspede

Segundo Perucho, a Nonius sempre prioriza a satisfação do hóspede e a existência da LGPD para garantir segurança e tranquilidade é “mais uma maneira de entregarmos boa experiência através de nossas soluções. Garantimos a todos os nossos produtos segurança de informação: LGPD, GDPR e PCI-DSS. Desta forma, a captura de dados, com o consentimento e a revogação do hóspede, cumpre os marcos legais e assegura o seu hotel contra todos os problemas que o descumprimento da lei podem gerar”, afirma.

Ele também ressalta como sendo informação de suma importância, o cuidado que a Nonius mantém no que diz respeito a armazenamento de dados. “Sempre foi uma de nossas prioridades prezar pela robustez de nossas soluções, segurança da informação e com certeza proteção de dados dos nossos clientes, nunca tivemos problema com vazamento de informações confidenciais”. E conclui: “Para a Nonius este não é um tema novo a ser considerado, uma vez que já nos preparamos para regras semelhantes da União Europeia. Então as nossas soluções já estão bastante preparadas e adaptadas para o LGPD e GDPR, considerando as peculiaridades de cada uma das regulamentações”.