GDPR and WiFi: A Compliance Guide for Businesses

GDPR AND WIFI: A COMPLIANCE GUIDE FOR BUSINESSES Una sesión informativa de Purple Intelligence — aproximadamente 10 minutos [INTRODUCCIÓN Y CONTEXTO — 1 minuto] Bienvenido a la sesión informativa de Purple Intelligence. Soy su anfitrión, y hoy vamos a ir directos al grano sobre uno de los desafíos de cumplimiento más incomprendidos a los que se enfrentan actualmente los operadores de recintos y los equipos de TI: el GDPR y el WiFi. Si ofrece WiFi para invitados en un complejo hotelero, una cadena de tiendas, un estadio o un edificio del sector público, está recopilando datos personales. Punto final. Y lo sepa o no, esa recopilación está sujeta al Reglamento General de Protección de Datos. La ICO se ha mostrado cada vez más activa en este ámbito, y las consecuencias de cometer errores van desde avisos de infracción hasta multas de hasta el cuatro por ciento de la facturación anual global. Pero la cuestión es esta: el cumplimiento del GDPR para el WiFi no es tan complicado como los equipos legales a veces hacen parecer. Se reduce a cuatro preguntas clave: ¿Qué datos está recopilando? ¿Bajo qué base legal? ¿Durante cuánto tiempo los conserva? ¿Y quién es el responsable? Responda a esas cuatro preguntas correctamente y tendrá la mayor parte del camino recorrido. Entremos en materia. [ANÁLISIS TÉCNICO DETALLADO — 5 minutos] Comencemos con qué datos recopila realmente una implementación típica de WiFi para invitados. Cuando un invitado se conecta a su red a través de un Captive Portal (esa es la página de bienvenida que ven antes de tener acceso a Internet), usted está capturando potencialmente una dirección MAC, una dirección IP, una marca de tiempo de conexión, la duración de la sesión y, si ha integrado un flujo de registro, una dirección de correo electrónico, un nombre y preferencias de marketing. Ahora bien, las direcciones MAC y las direcciones IP se clasifican como datos personales según el GDPR porque pueden utilizarse para identificar a un individuo. Eso sorprende a muchos arquitectos de red. Piensan en ellos como identificadores técnicos, no como datos personales. Pero el reglamento es claro: si puede utilizarse, directa o indirectamente, para identificar a una persona física, son datos personales. Por lo tanto, los registros de su red están dentro del alcance desde el momento en que se conecta un dispositivo. La siguiente pregunta es la base legal. Según el Artículo 6 del GDPR, necesita una de las seis bases legales para procesar datos personales. Para el WiFi de invitados, las dos que más importan son el consentimiento y los intereses legítimos. El consentimiento es la opción más limpia cuando recopila direcciones de correo electrónico con fines de marketing. Según el GDPR, el consentimiento debe ser libre, específico, informado e inequívoco. Eso significa que no puede haber casillas marcadas previamente. No se puede incluir el consentimiento de marketing en los términos y condiciones. El invitado debe optar por participar activamente, y usted debe poder demostrar que lo hizo, con una marca de tiempo y un registro de lo que consintió en ese momento específico.El interés legítimo es la base que la mayoría de los operadores utilizan para los datos de conexión de red subyacentes, como las direcciones MAC y los registros de sesión. El argumento es que operar una red segura y funcional es un interés legítimo de la empresa, y que ese interés no queda anulado por los derechos de privacidad del individuo. Pero —y esto es importante— aún así es necesario realizar y documentar una Evaluación de Interés Legítimo (LIA). No basta con afirmar que existe un interés legítimo y seguir adelante. La ICO espera ver la prueba de tres partes: finalidad, necesidad y proporcionalidad. Ahora hablemos del diseño del Captive Portal, porque aquí es donde la mayoría de las organizaciones tropiezan. El Captive Portal es su interfaz principal de consentimiento y debe hacer varias cosas simultáneamente. Debe identificar quién recopila los datos (ese es el nombre de su organización). Debe explicar qué datos se recopilan y por qué. Debe presentar cualquier opción de suscripción de marketing como una casilla de verificación independiente y sin marcar. Y debe incluir un enlace a un aviso de privacidad completo que cubra los derechos de los interesados. Lo que no debe hacer es condicionar el acceso a la red al consentimiento de marketing. Si bloquea el WiFi detrás de un registro de correo electrónico donde la única forma de conectarse es aceptar recibir correos electrónicos de marketing, ese consentimiento no se otorga libremente bajo el GDPR. La ICO ha sido explícita al respecto. Puede ofrecer un incentivo por proporcionar una dirección de correo electrónico (un punto de fidelidad, un cupón de descuento), pero el acceso básico a la red debe estar disponible independientemente de ello. Pasemos a la retención de datos. El artículo 5(1)(e) del GDPR establece el principio de limitación del plazo de conservación: los datos personales no deben conservarse durante más tiempo del necesario para los fines para los que fueron recopilados. Para el WiFi de invitados, eso significa que necesita un programa de retención documentado. Los registros de seguridad de la red (como las direcciones MAC y las marcas de tiempo de las sesiones) se conservan normalmente durante 90 días para fines de investigación de seguridad y fraude. Esa es una postura defendible. Las direcciones de correo electrónico recopiladas para marketing pueden conservarse durante más tiempo, pero debe definir ese período, comunicarlo en su aviso de privacidad y aplicarlo técnicamente, no solo como una política sobre el papel. Aquí es donde la pila tecnológica importa. Una plataforma como la solución de WiFi de invitados de Purple automatiza la aplicación de la retención. Usted configura un período de retención y el sistema purga los registros automáticamente. Esa es la diferencia entre una política de cumplimiento y un programa de cumplimiento. La política dice lo que hará. El programa demuestra que lo hizo. Hablemos de los Acuerdos de Procesamiento de Datos, o DPA. Si utiliza una plataforma de terceros para gestionar su WiFi de invitados —como hace la mayoría de las organizaciones—, esa plataforma actúa como encargado del tratamiento de datos en su nombre. Según el Artículo 28 del GDPR, debe tener un Acuerdo de Procesamiento de Datos por escrito con ese encargado. El DPA debe especificar qué datos se procesan, con qué fin, bajo qué instrucciones y qué medidas de seguridad tiene implementadas el encargado. Si utiliza una plataforma de analítica de WiFi basada en la nube y no tiene un DPA firmado, no cumple con la normativa. Así de sencillo. Para las organizaciones que operan en varios estados miembros de la UE o que prestan servicios a residentes de la UE desde una base en el Reino Unido tras el Brexit, también deben tener en cuenta el GDPR del Reino Unido —que es esencialmente el GDPR de la UE incorporado a la legislación del Reino Unido— y si existen transferencias internacionales de datos. Si su plataforma de WiFi almacena datos en servidores fuera del Reino Unido o del EEE, necesita un mecanismo de transferencia adecuado: ya sea una decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — 2 minutos] Bien, pasemos a la práctica. Estos son los cuatro pasos de implementación que recomendaría a cualquier equipo de TI o gestor de espacios que inicie este proceso. Primero: realice un ejercicio de mapeo de datos. Antes de tocar su página de inicio (splash page) o su aviso de privacidad, mapee cada dato que recopila su despliegue de WiFi, a dónde va, quién tiene acceso a él y cuánto tiempo se conserva. Este es su Registro de Actividades de Tratamiento según el Artículo 30, y es la base de todo lo demás. Segundo: audite su página de inicio (splash page) según los requisitos de consentimiento. Compruebe que no haya casillas premarcadas. Verifique que el consentimiento de marketing esté separado de la aceptación de los términos. Compruebe que el enlace a su aviso de privacidad sea visible y funcione. Si utiliza una plataforma como Purple, las herramientas de gestión del consentimiento ya están integradas, pero aún así debe configurarlas correctamente y revisar los textos. Tercero: formalice sus DPA. Póngase en contacto con cada proveedor externo que tenga acceso a sus datos de WiFi —su proveedor de plataforma, su herramienta de analítica, su CRM— y confirme que hay un DPA firmado. Si no es así, consiga uno antes de continuar. Cuarto: implemente controles técnicos de retención. No dependa de procesos manuales para eliminar datos antiguos. Configure la purga automatizada en su plataforma y documente la configuración como prueba de cumplimiento. El error más común que veo es que las organizaciones tratan el GDPR como un proyecto único en lugar de como un programa continuo. Se hace la auditoría, se actualiza la página de inicio (splash page), se archiva el DPA y, dos años después, la plataforma se ha actualizado, el equipo de marketing ha cambiado el texto de la página de inicio y nadie ha revisado los ajustes de retención. El cumplimiento del GDPR requiere un ciclo de revisión periódico, como mínimo anual, y siempre que haya un cambio significativo en sus actividades de tratamiento de datos. [RONDA RÁPIDA DE PREGUNTAS Y RESPUESTAS — 1 minuto] Algunas preguntas que me hacen con frecuencia. "¿Necesitamos un DPO?" — Si es una autoridad pública o si sus actividades principales implican un seguimiento sistemático a gran escala de personas (lo que podría considerarse una gran implantación de WiFi para invitados), entonces sí, necesita un Delegado de Protección de Datos designado. Para implantaciones más pequeñas, es una buena práctica, aunque no sea estrictamente obligatorio. "¿Podemos utilizar las direcciones MAC para el análisis de afluencia?" — Sí, pero solo si utiliza datos anonimizados o agregados. Si realiza un seguimiento de direcciones MAC individuales a lo largo de las sesiones para crear perfiles de movimiento, se trata de un tratamiento de datos personales y necesita una base jurídica y una declaración en el aviso de privacidad. "¿Qué pasa con los niños?" — Si es probable que a su establecimiento accedan niños menores de 13 años, debe tener en cuenta el Código de la Infancia de la ICO. Esto significa que no se pueden elaborar perfiles de comportamiento de los niños y que los avisos de privacidad deben ser adecuados para su edad. [RESUMEN Y PRÓXIMOS PASOS — 1 minuto] Para terminar: el cumplimiento del GDPR y la WiFi es totalmente viable. El reglamento no está diseñado para impedirle ofrecer un servicio de WiFi para invitados o recopilar datos para mejorar sus operaciones. Está diseñado para garantizar que, cuando recopile datos, lo haga de forma transparente, sobre una base jurídica válida, con la seguridad adecuada y respetando los derechos de las personas. Las cuatro conclusiones de esta sesión informativa: establezca su base jurídica y documéntela; diseñe su portal cautivo para obtener un consentimiento real; firme sus DPA; y aplique la retención de forma técnica, no solo sobre el papel. Si desea profundizar en cualquiera de estas áreas, Purple dispone de un conjunto completo de guías de implantación sobre la recopilación de datos de origen a través de WiFi, y la propia plataforma está diseñada para admitir implantaciones conformes con el GDPR de forma nativa. Gracias por escucharnos. Hasta la próxima.