Sua agência está protegendo corretamente os dados dos passageiros?
Para organizar uma viagem, uma agência precisa coletar diversas informações pessoais.
Nome completo, CPF, número de passaporte, data de nascimento, telefone, endereço e dados de contato são exemplos de informações frequentemente utilizadas para emitir passagens, confirmar hotéis e contratar serviços turísticos.
Em determinadas situações, também são coletadas informações sobre necessidades de acessibilidade, condições de saúde e restrições alimentares.
O que muitos profissionais ainda não percebem é que o tratamento dessas informações está sujeito à Lei Geral de Proteção de Dados Pessoais (LGPD).
A Lei nº 13.709/2018 estabelece regras sobre coleta, utilização, armazenamento, compartilhamento e proteção de dados pessoais.
Para as agências de viagens, o cumprimento dessas regras exige atenção especial porque a atividade envolve diferentes fornecedores, plataformas digitais e, frequentemente, empresas localizadas no exterior.
A agência pode solicitar cópia do passaporte do cliente?
Sim, desde que exista finalidade legítima e fundamento legal adequado.
A coleta de informações do passaporte pode ser necessária para emitir bilhetes aéreos, organizar reservas e atender a exigências de fornecedores ou autoridades.
O artigo 7º da LGPD prevê diferentes bases legais para o tratamento de dados pessoais, incluindo a execução de contrato ou procedimentos preliminares relacionados à contratação.
Isso significa que nem todo tratamento de dados depende do consentimento do passageiro.
Entretanto, a agência deve observar o princípio da necessidade, previsto no artigo 6º, inciso III, da LGPD.
Na prática, deve solicitar apenas as informações necessárias para a finalidade informada, evitando a coleta excessiva de documentos.
Se determinados dados do passaporte forem suficientes, por exemplo, pode não ser necessário manter uma cópia integral do documento por prazo indeterminado.
É permitido enviar documentos de passageiros pelo WhatsApp?
O uso do WhatsApp não é automaticamente proibido pela LGPD.
Entretanto, o compartilhamento de documentos por aplicativos de mensagens exige cuidados de segurança e controle de acesso.
Uma agência que recebe passaportes, documentos de menores e informações pessoais por WhatsApp deve avaliar os riscos envolvidos.
Entre as medidas recomendáveis estão a utilização de contas corporativas, a limitação de acesso aos documentos, a autenticação em duas etapas e a definição de políticas de armazenamento e eliminação.
Também é importante evitar que documentos de passageiros permaneçam indefinidamente em celulares pessoais de colaboradores.
O artigo 46 da LGPD exige a adoção de medidas técnicas e administrativas destinadas à proteção dos dados contra acessos não autorizados e outras situações de tratamento inadequado ou ilícito.
Sim, desde que sejam observadas as regras aplicáveis.
Imagine uma agência brasileira organizando uma viagem para a França.
Para confirmar os serviços, ela poderá precisar compartilhar dados dos passageiros com hotéis em Paris, transportadoras, empresas receptivas e outros prestadores locais.
Esse compartilhamento pode caracterizar uma transferência internacional de dados pessoais.
A LGPD, especialmente em seu artigo 33, estabelece mecanismos para a realização dessas transferências.
A Resolução CD/ANPD nº 19/2024 regulamenta a matéria, incluindo mecanismos de adequação e garantias contratuais, como cláusulas-padrão.
Portanto, a agência não deve presumir que o simples fato de a transferência ser necessária à viagem dispensa toda análise jurídica.
É necessário verificar a base legal do tratamento e o mecanismo aplicável à transferência internacional, considerando a operação concreta.
Sim, especialmente quando revelam informações relacionadas à saúde.
Considere um grupo turístico no qual determinados passageiros precisam de atendimento especial, possuem alergias graves ou apresentam limitações de mobilidade.
Informações referentes à saúde são classificadas como dados pessoais sensíveis pela LGPD.
Seu tratamento exige a observância das hipóteses específicas previstas no artigo 11 da lei.
Nem toda preferência alimentar, isoladamente, constitui dado sensível. Contudo, determinadas informações podem revelar condições médicas ou convicções religiosas, exigindo maior cautela.
A agência deve limitar o acesso a esses dados e compartilhá-los apenas com quem efetivamente necessita das informações para executar o serviço, observando a base legal correspondente.
O que acontece se a agência sofrer um vazamento de dados?
Um incidente de segurança pode envolver, por exemplo, o acesso indevido a uma lista de passageiros contendo documentos, contatos e informações de viagem.
A LGPD prevê responsabilidades relacionadas ao tratamento inadequado de dados pessoais.
Além disso, a Resolução CD/ANPD nº 15/2024 disciplina a comunicação de incidentes de segurança.
Quando o incidente puder acarretar risco ou dano relevante aos titulares, a regulamentação estabelece obrigações de comunicação à ANPD e aos titulares, observados os prazos aplicáveis.
Como regra geral, o prazo é de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvadas hipóteses específicas e disposições diferenciadas para agentes de pequeno porte.
Pequenas agências também precisam cumprir a LGPD?
Sim.
A legislação também se aplica a pequenas empresas e profissionais que realizam tratamento de dados pessoais no âmbito de suas atividades econômicas.
Entretanto, a Resolução CD/ANPD nº 2/2022 prevê determinadas flexibilizações para agentes de tratamento de pequeno porte que preencham seus requisitos.
Essas flexibilizações não representam uma dispensa geral do cumprimento da LGPD.
A Autoridade Nacional de Proteção de Dados disponibiliza orientações e materiais específicos para auxiliar pequenas empresas na implementação de medidas de segurança.
A adequação à LGPD não precisa começar por sistemas complexos.
Algumas providências básicas já contribuem para reduzir riscos:
-
Mapeie os dados coletados: identifique quais informações são necessárias em cada etapa da viagem.
-
Revise sua política de privacidade: explique de maneira clara como os dados são utilizados e compartilhados.
-
Controle o acesso: restrinja documentos e informações pessoais aos colaboradores e fornecedores autorizados.
-
Estabeleça critérios de retenção: defina por quanto tempo os dados devem ser conservados, considerando obrigações legais e contratuais.
-
Revise os contratos com fornecedores: estabeleça responsabilidades e medidas de segurança adequadas ao compartilhamento de informações.
Conclusão: proteger dados também é proteger a confiança do cliente
A proteção de dados pessoais deixou de ser um tema exclusivo das grandes empresas de tecnologia.
No turismo, a circulação de informações entre agências, hotéis, transportadoras e receptivos internacionais faz parte da operação diária.
Por isso, compreender a LGPD é essencial para reduzir riscos jurídicos e fortalecer a confiança dos passageiros.
Uma agência que protege os dados dos clientes demonstra profissionalismo, responsabilidade e compromisso com a qualidade dos serviços.
Leia também no R4PBrazil
Fontes jurídicas
André Raynaud | Advogado — OAB/SP
Este artigo possui caráter informativo e não substitui a análise jurídica das operações de tratamento de dados realizadas por cada empresa.