Ley DPDP de la India: cumplimiento para WiFi de invitados en espacios de la India

India DPDP Act: cumplimiento de WiFi para invitados en centros de la India Un informe técnico de Purple - Aproximadamente 10 minutos [INTRODUCCIÓN Y CONTEXTO - 1 minuto] Bienvenidos al informe técnico de Purple. Soy su anfitrión, y hoy nos adentraremos en algo que debería estar en el radar de todos los directores de TI y responsables de cumplimiento normativo en este momento: la Ley de Protección de Datos Personales Digitales de la India - la DPDP Act - y lo que significa específicamente para los despliegues de WiFi para invitados en los centros de la India. Tanto si gestiona una cadena hotelera en Bombay, una red de tiendas en Bangalore, un estadio en Hyderabad o la filial india de una multinacional, si ofrece WiFi para invitados y recopila datos de registro a través de un Captive Portal, esta legislación le afecta directamente. Las normas ya están vigentes, la aplicación de la ley se está intensificando y las sanciones son cuantiosas. Estamos hablando de hasta doscientos cincuenta millones de rupias (250 crore) solo por fallos de seguridad. Así que entremos en materia. Durante los próximos diez minutos, le guiaré a través de las obligaciones principales, le mostraré en qué se diferencia esto de la GDPR en la práctica, le proporcionaré un marco de retención práctico y señalaré los tres errores más comunes que los centros están cometiendo en este momento. [INMERSIÓN TÉCNICA - 5 minutos] Empecemos con lo fundamental. La ley Digital Personal Data Protection Act se promulgó en agosto de 2023, y las normas de aplicación se concretaron a finales de 2025. Los plazos de cumplimiento se ejecutan de forma gradual en un periodo de doce a dieciocho meses a partir de la entrada en vigor de las normas; por lo tanto, si aún no ha iniciado su programa de cumplimiento, ya llega tarde. Lo primero que hay que entender es la terminología. Conforme a la DPDP Act, su centro es el Fideicomisario de Datos (Data Fiduciary): usted decide por qué y cómo se procesan los datos personales. Su proveedor de plataforma WiFi - ya sea Purple o cualquier otro proveedor - es el Procesador de Datos (Data Processor). Y su invitado es el Titular de los Datos (Data Principal). Esta distinción es sumamente importante porque bajo la DPDP Act, a diferencia de la GDPR, toda la responsabilidad del cumplimiento recae en el Fideicomisario de Datos. El DPA de su proveedor de plataforma no transfiere su riesgo. Usted lo asume. Ahora, hablemos del consentimiento. Aquí es donde tropiezan la mayoría de los centros. La Sección 6 de la ley exige que el consentimiento sea libre, específico, informado, incondicional e inequívoco, mediante una acción afirmativa clara. Esa palabra "incondicional" es exclusiva de la DPDP Act - no figura en la GDPR - y tiene implicaciones de peso. Significa que no se puede establecer el consentimiento de marketing como condición para recibir acceso a la WiFi. Punto final. ¿Cómo se traduce esto en la práctica en un Captive Portal? Necesita tres cosas. Primero, un aviso que cumpla con la DPDP visible antes de recopilar cualquier dato; este debe indicar qué datos está recopilando, por qué, cuánto tiempo los conservará, cómo puede el invitado retirar su consentimiento y cómo puede ponerse en contacto con su Delegado de Protección de Datos o la persona responsable designada. Segundo, casillas de verificación de consentimiento granulares: una para el acceso a la red (que es el tratamiento necesario) y casillas opcionales separadas para comunicaciones de marketing y análisis o elaboración de perfiles. Estas deben estar desmarcadas por defecto. Tercero, debe registrar el consentimiento (marca de tiempo, dirección IP, versión del consentimiento y exactamente qué se acordó) y debe poder presentar ese registro si se le solicita. Una nota práctica sobre el funcionamiento del Captive Portal: si realiza la implementación en dispositivos Apple iOS, Android o equipos Windows, el asistente de red cautiva (o CNA) se comporta de forma diferente en cada plataforma. El CNA de Apple abre un minimavegador que presenta limitaciones en torno a las cookies y los redireccionamientos. Debe asegurarse de que su mecanismo de consentimiento funcione dentro de esas limitaciones. La guía de Purple sobre la detección de Captive Portal cubre la implementación técnica al detalle; vale la pena leerla junto con este informe de cumplimiento. Hablemos ahora de la retención de datos, porque aquí es donde veo la mayor confusión. El enfoque de la Ley DPDP está orientado a la finalidad. Según la Sección 8(7), debe eliminar los datos personales cuando el titular de los datos retire el consentimiento o cuando ya no se cumpla la finalidad especificada, lo que ocurra primero. La Regla 8 añade entonces dos capas importantes. En primer lugar, para ciertas plataformas de gran volumen (comercio electrónico con más de dos millones de usuarios, redes sociales, juegos online), el Tercer Anexo establece un periodo de cese estimado de tres años. Si no ha habido interacción durante tres años, se considera que la finalidad ya no se cumple. Para la mayoría de los operadores de establecimientos (hoteles, comercios, estadios), no entrará en estas categorías específicas del Tercer Anexo, por lo que aplicará el principio general de la Sección 8(8): si el invitado no ha interactuado con usted ni ha ejercido sus derechos durante un periodo razonable, debe eliminar sus datos. En segundo lugar, la Regla 8(3) crea un límite mínimo: debe conservar los registros de tratamiento y los datos asociados durante al menos un año a partir de la fecha de tratamiento, independientemente del cese de la finalidad. Esto es para fines de auditoría y regulación. Por tanto, para una política práctica de retención en establecimientos, este es el marco que recomendaría: conserve los perfiles activos de WiFi de invitados durante la duración de la relación más un año. Si un invitado no se ha conectado ni ha interactuado durante veinticuatro meses, active un flujo de trabajo de nuevo consentimiento o eliminación. Mantenga los registros de tratamiento durante un mínimo de un año. Para los huéspedes de hoteles, la estancia crea una relación de tratamiento legítima, pero el marketing posterior a la estancia requiere un consentimiento independiente, y ese consentimiento tiene su propio plazo de retención. Ahora, las transferencias internacionales de datos. En realidad, esto es más sencillo bajo la DPDP que bajo el GDPR. La Ley utiliza un enfoque de lista negra: las transferencias están permitidas a todos los países a menos que el Gobierno Central restrinja específicamente un país o territorio particular mediante notificación. Compare esto con el enfoque de lista blanca del GDPR, donde necesita una decisión de adecuación, Cláusulas Contractuales Tipo o Normas Corporativas Vinculantes para cada transferencia a un país no adecuado. Para los establecimientos multinacionales que utilizan plataformas de WiFi basadas en la nube con centros de datos fuera de India, actualmente tiene más flexibilidad bajo la DPDP, pero preste atención a este espacio, porque los poderes de notificación del Gobierno significan que el panorama puede cambiar. Permítame cubrir también los derechos que tienen sus clientes bajo la DPDP, porque sus equipos de TI y de operaciones deben ser capaces de responder a ellos. Los titulares de los datos tienen derecho a acceder a la información sobre su tratamiento, derecho de rectificación y supresión, y derecho a la resolución de reclamaciones, con un plazo de respuesta obligatorio de noventa días. Lo que no tienen, a diferencia del GDPR, es el derecho a la portabilidad de los datos, el derecho a oponerse a decisiones automatizadas o el derecho a la limitación del tratamiento. Se trata de un marco de derechos más estrecho, lo que simplifica un poco sus obligaciones de respuesta. Los datos de menores son una categoría aparte y de mayor riesgo. Bajo la DPDP, se requiere el consentimiento parental verificable para procesar datos de cualquier persona menor de dieciocho años. Si el WiFi de su establecimiento se encuentra en un entorno familiar - un centro comercial, un parque temático, un hotel familiar - necesita un mecanismo para identificar y gestionar a los usuarios menores de edad. Este es un desafío técnico y operativo no menor que muchos establecimientos aún no han abordado. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 minutos] Permítame presentarle los tres errores más comunes que veo y cómo evitarlos. Error uno: consentimiento empaquetado. Esta es la infracción más frecuente. Los establecimientos presentan una única casilla de verificación de "Acepto los términos y condiciones" que cubre tanto el acceso a la red como el marketing. Bajo el Artículo 6 de la DPDP, esto no cumple con la normativa. La solución es sencilla: separe su consentimiento en casillas de verificación distintas y específicas para cada propósito, y asegúrese de que la de marketing sea opcional y esté desmarcada por defecto. Error dos: falta de registro de auditoría de consentimiento. Si el Consejo de Protección de Datos le pide que demuestre que un cliente específico dio su consentimiento en una fecha concreta para un propósito específico, ¿puede presentar ese registro? La mayoría de los establecimientos no pueden. Su plataforma de WiFi debe almacenar los registros de consentimiento con suficiente granularidad: marca de tiempo, ID de sesión, dirección IP, versión del consentimiento y los propósitos específicos consentidos. La plataforma de Purple captura esto de forma nativa, pero si utiliza un sistema heredado, este es un vacío que debe solucionar urgentemente. Tercer error: falta de acuerdo con el encargado del tratamiento. Según la Sección 8(2), debe tener un contrato válido con cualquier encargado de tratamiento que contrate. Si su proveedor de plataforma WiFi no tiene un Acuerdo de Tratamiento de Datos vigente que haga referencia a las obligaciones de DPDP, estará desprotegido. Esto no es solo un trámite legal - es un requisito previo para la defensa de cumplimiento del fiduciario de datos. Por el lado de la implementación, la decisión arquitectónica clave es dónde se almacenan los datos de consentimiento y cómo se integran con su CRM o plataforma de automatización de marketing. Necesita una única fuente de verdad para el estado del consentimiento que su equipo de marketing no pueda eludir. La retirada del consentimiento debe propagarse a todos los sistemas secundarios en un plazo razonable - recomendaría un máximo de setenta y dos horas como su acuerdo de nivel de servicio operativo. Para establecimientos con múltiples propiedades - cadenas hoteleras, complejos comerciales - debe decidir si el consentimiento otorgado en una propiedad se extiende a las demás. Bajo el requisito de especificidad de DPDP, la postura más segura es el consentimiento a nivel de propiedad, a menos que su aviso cubra explícitamente al grupo y los clientes hayan consentido el tratamiento a nivel de grupo. [PREGUNTAS Y RESPUESTAS RÁPIDAS - 1 minuto] Permítame repasar algunas preguntas que recibo con frecuencia. "¿Puedo utilizar analíticas WiFi - recuento de visitas, tiempo de permanencia - sin consentimiento?". Si los datos se anonimizan de forma real y no se pueden vincular a un individuo, quedan fuera del ámbito de la Ley DPDP. Pero la aleatorización de direcciones MAC significa que el seguimiento a nivel de dispositivo es cada vez más inestable de todos modos. Para analíticas identificadas, necesita el consentimiento. "¿Necesito un delegado de protección de datos?". Un DPO completo solo es obligatorio para los Fiduciarios de Datos Significativos - una clasificación que notificará el Gobierno. Para la mayoría de los operadores de establecimientos, necesita una persona responsable designada cuyos datos de contacto estén publicados. Es un listón más bajo, pero aun así debe ser alguien que realmente pueda responder a preguntas sobre protección de datos. "¿Cuál es la exposición a sanciones para una cadena de hoteles de tamaño medio?". Un fallo de seguridad que provoque una brecha conlleva hasta doscientos cincuenta millones de rupias. No notificar una brecha a la Junta conlleva otros doscientos millones. Estos son límites máximos fijos, no porcentajes de facturación - lo que significa que afectan a las organizaciones más pequeñas de forma proporcionalmente más dura que lo que las sanciones basadas en la facturación del GDPR afectan a las grandes multinacionales. [RESUMEN Y SIGUIENTES PASOS - 1 minuto] Para terminar, aquí tiene sus cinco acciones inmediatas. Primero: audite hoy mismo su flujo de consentimiento del Captive Portal. Si tiene una sola casilla de verificación o agrupa el marketing con el acceso, debe rediseñarlo. Segundo: implemente un registro de auditoría de consentimiento. Cada evento de consentimiento debe registrarse con marca de tiempo, IP, finalidad y versión. Tercero: establezca una política de retención de datos. Para la mayoría de los establecimientos, un activador de inactividad de veinticuatro meses para el nuevo consentimiento o la supresión es un punto de partida razonable, con un mínimo de un año para los registros de tratamiento. Cuarto: revise sus Acuerdos de Tratamiento de Datos con su proveedor de plataforma WiFi y cualquier otro proveedor secundario de marketing o analítica. Cinco: designe a una persona responsable para las consultas sobre protección de datos y publique sus datos de contacto en su Captive Portal y sitio web. La Ley DPDP no es tan compleja como el GDPR en cuanto al alcance de las obligaciones, pero es igual de seria en cuanto a su intención de aplicación. El Consejo de Protección de Datos tiene un poder real y la estructura de sanciones está diseñada para ser significativa incluso para las grandes organizaciones. Para profundizar en la arquitectura de Captive Portal, las guías técnicas de Purple cubren detalladamente los aspectos específicos de la implementación. Y si está analizando cómo se integra el análisis de WiFi para invitados con su conjunto de herramientas de inteligencia de espacios más amplio, la plataforma Purple WiFi Analytics está diseñada con la captura de datos basada en el consentimiento previo como elemento central. Gracias por escucharnos. Hasta la próxima.