La guía de cumplimiento: GDPR y privacidad de datos en el WiFi de invitados

Bienvenido al Informe Técnico de Purple. Soy el Estratega de Contenido Técnico Principal aquí en Purple, y hoy vamos a tratar algo que todo director de TI, arquitecto de redes y director de operaciones de recintos debe implementar correctamente: el cumplimiento de la GDPR para el WiFi de invitados. Permítame situar el escenario. Usted gestiona un hotel, una cadena de tiendas, un estadio o un centro de conferencias. Ofrece WiFi de invitados. En el momento en que un visitante se conecta, usted se convierte en Responsable del Tratamiento de Datos según el Reglamento General de Protección de Datos. Esa es una designación legal específica. Conlleva obligaciones reales, multas reales y un riesgo reputacional real si lo hace mal. La Oficina del Comisionado de Información es explícita al respecto: las direcciones MAC, las direcciones IP, las marcas de tiempo de las sesiones y los datos de ubicación son datos personales si pueden vincularse a una persona identificable. En un entorno de WiFi de invitados, casi siempre se puede. En el momento en que un invitado introduce su dirección de correo electrónico en su página de bienvenida, cualquier otro punto de datos que recopile sobre ese dispositivo se convierte en datos personales. Así que entremos en la arquitectura técnica. Aquí es donde residen los detalles. Su Captive Portal - la página de bienvenida que ven los invitados antes de conectarse - es su interfaz de cumplimiento principal. También es donde la mayoría de los recintos cometen sus errores más graves. El error más común es la vinculación obligatoria. Esto ocurre cuando un recinto exige a un invitado que acepte correos electrónicos de marketing como condición para conectarse. Según el Artículo 7 de la GDPR, el consentimiento debe darse libremente. Si vincula el acceso a la red con el consentimiento de marketing, ese consentimiento no se está dando libremente. Por lo tanto, no es válido. Punto final. Su Captive Portal debe presentar como mínimo dos elementos de consentimiento independientes. El primero es obligatorio: la aceptación de sus condiciones de servicio para el acceso a la red. El segundo es opcional, desmarcado por defecto: el consentimiento para recibir comunicaciones de marketing. Un invitado debe poder conectarse a su WiFi sin tener que aceptar el marketing. Si no puede hacerlo, usted está cometiendo una infracción. El Considerando 32 de la GDPR prohíbe explícitamente las casillas premarcadas. Más allá de la estructura del consentimiento, su portal debe mostrar un aviso de privacidad claro antes de que el usuario envíe cualquier dato. Según el Artículo 13 de la GDPR, este aviso debe explicar qué datos recopila, por qué los recopila, cuánto tiempo los conserva y con quién los comparte. Debe incluir un enlace a su política de privacidad completa. Y lo que es fundamental, su sistema debe registrar cada evento de consentimiento: quién dio su consentimiento, cuándo lo dio, para qué lo dio y la versión exacta del aviso de privacidad que vio en ese momento. Ese registro de auditoría de consentimiento es su prueba de cumplimiento si un regulador realiza una inspección. Ahora hablemos de las cuatro categorías de datos que recopila realmente su red de WiFi de invitados, ya que esto es más amplio de lo que la mayoría de los equipos cree. Primero: datos de registro. Nombre, dirección de correo electrónico, número de teléfono, credenciales de inicio de sesión social. Estos son los datos que los invitados facilitan activamente en su Captive Portal. La base legal es el consentimiento, y este debe ser granular. Segundo: datos de dispositivos y sesiones. Direcciones MAC, direcciones IP, marcas de tiempo de conexión y desconexión, duración de la sesión, datos transferidos. Esto se recopila automáticamente en el momento en que un dispositivo se asocia con su red. El interés legítimo puede cubrir el registro básico de sesiones para la seguridad de la red y la resolución de problemas, pero solo si ha realizado una Evaluación de Interés Legítimo y puede demostrar que sus intereses no prevalecen sobre los derechos de privacidad del usuario. Tercero: datos de ubicación. Si utiliza análisis de WiFi para rastrear la afluencia, medir el tiempo de permanencia o generar mapas de calor, está procesando datos de ubicación. Incluso si se muestran de forma agregada en su panel de control, la recopilación inicial de un dispositivo individual constituye datos personales. Esto requiere una divulgación explícita en su aviso de privacidad y, en muchos casos, un consentimiento explícito. Cuarto: datos de uso. Comportamiento de navegación, patrones de uso de aplicaciones, consumo de ancho de banda. Si está inspeccionando o registrando el contenido del tráfico, necesita una base legal muy clara y controles de seguridad robustos en torno a esos datos. Desde la perspectiva de la arquitectura de red, la segmentación no es negociable. El tráfico de su WiFi de invitados debe estar aislado en una VLAN dedicada - una red de área local virtual - completamente separada de su red corporativa. Utilice listas de control de acceso para bloquear el acceso de los dispositivos de invitados a cualquier subred interna. Habilite el aislamiento de clientes para que los dispositivos de invitados no puedan comunicarse entre sí. Esto no es solo un requisito del GDPR; es una medida básica de higiene de seguridad. Para la autenticación, integre su controlador de LAN inalámbrica con un servidor RADIUS en la nube. El Servicio de Usuario de Marcación de Autenticación Remota - RADIUS - es el protocolo que gestiona la autenticación, autorización y contabilidad en redes empresariales. Cuando un usuario completa el flujo del Captive Portal, la plataforma envía un mensaje de RADIUS Access-Accept al controlador, concediendo el acceso. Esto crea una separación clara entre la capa de autenticación y la capa de recopilación de datos. En cuanto al cifrado: su SSID de invitados debería utilizar WPA3 si su hardware lo admite. WPA3 utiliza la Autenticación Simultánea de Iguales, lo que elimina las vulnerabilidades presentes en el saludo de cuatro vías de WPA2. Como mínimo, aplique WPA2 con cifrado AES. Y su Captive Portal debe servirse a través de HTTPS con un certificado TLS válido. Servir un formulario que recopila datos personales a través de HTTP es un fallo de seguridad grave. La plataforma de Purple funciona con hardware de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Este enfoque agnóstico del hardware significa que puede aplicar controles de cumplimiento consistentes independientemente de los puntos de acceso que tenga instalados en el techo. Pasemos a la retención de datos, porque aquí es donde las organizaciones acumulan riesgos de forma silenciosa con el paso del tiempo. El principio de limitación del plazo de conservación del GDPR - Artículo 5(1)(e) - exige que los datos personales se conserven no más tiempo del necesario para los fines para los que fueron recopilados. Una línea base defendible sería la siguiente. Los registros de sesión - direcciones IP, direcciones MAC, marcas de tiempo de conexión - deben purgarse después de 30 días. Los registros de seguridad de red pueden conservarse hasta 12 meses. Los registros de consentimiento deben guardarse durante la relación del servicio más, habitualmente, dos años después de la última interacción. Los perfiles de marketing deben conservarse solo mientras el consentimiento del usuario sea válido. En el momento en que un usuario retira su consentimiento, su perfil de marketing debe eliminarse. No archivarse. Eliminarse. El desafío es aplicar estas políticas a escala. Si gestiona el WiFi para invitados en decenas o cientos de sedes, la eliminación manual de datos no es viable. Necesita una plataforma que automatice el cumplimiento de la retención. Purple aplica reglas de retención configurables a cada categoría de datos, purgando automáticamente los registros cuando llegan al final de su periodo de retención. En 80.000 sedes activas y 350 millones de usuarios únicos, esa automatización es la única forma de mantener el cumplimiento normativo a escala. Ahora permítame guiarle a través de dos escenarios del mundo real donde se unen estos principios. Escenario uno: un hotel de 200 habitaciones. El equipo del establecimiento quiere recopilar los correos electrónicos de los huéspedes para impulsar las suscripciones a programas de fidelización. Su sistema actual obliga a los huéspedes a aceptar el marketing para poder conectarse a internet. Eso es una infracción clara del GDPR. La solución es sencilla: desplegar un Captive Portal que cumpla la normativa con casillas de consentimiento independientes. La casilla obligatoria cubre los términos de servicio. La casilla opcional y desmarcada cubre el consentimiento de marketing. Es probable que el hotel experimente un volumen bruto menor de suscripciones de marketing en comparación con el enfoque combinado - pero la calidad y la legalidad de la lista mejoran drásticamente. Los huéspedes que optan activamente por participar tienen una probabilidad significativamente mayor de interactuar con las comunicaciones posteriores. Y lo que es más importante, el hotel ya no está expuesto a medidas coercitivas de la ICO. Escenario dos: el equipo de TI de un estadio. Quieren utilizar analíticas de WiFi para supervisar la densidad de la multitud y gestionar la seguridad en los eventos. La preocupación del equipo legal es que el seguimiento de la ubicación de los dispositivos sin consentimiento sea una infracción del GDPR. La solución es doble. En primer lugar, actualizar el aviso de privacidad del Captive Portal para revelar explícitamente que los datos de ubicación se procesan para la gestión de multitudes y fines de seguridad. En segundo lugar, implementar la seudonimización de direcciones MAC en el extremo - en los propios puntos de acceso - antes de que los datos lleguen a la plataforma de analítica en la nube. Esto significa que el sistema de analítica trabaja con identificadores seudónimos en lugar de direcciones MAC sin procesar, reduciendo significativamente el riesgo para la privacidad y la exposición regulatoria. Ahora repasemos los errores de implementación y la mitigación de riesgos - las cosas que hacen tropezar a los equipos incluso cuando creen que lo tienen todo controlado. Error uno: la fatiga del consentimiento. Si su portal es demasiado complejo, los usuarios abandonarán la conexión o harán clic a ciegas en todo. Manténgalo simple. Utilice un lenguaje claro. Explique claramente el intercambio de valor: WiFi rápido y gratuito a cambio de una dirección de correo electrónico y la opción de recibir noticias suyas de vez en cuando. Segundo error: no respetar los derechos de los interesados. Según los artículos 15 a 22 del GDPR, los usuarios tienen derecho a acceder, rectificar, suprimir y portar sus datos. Debe contar con un proceso para ello. El estándar de oro es un centro de preferencias de autoservicio donde los usuarios puedan gestionar su consentimiento y enviar solicitudes de acceso de los interesados (DSAR). La plataforma de Purple proporciona las herramientas para facilitar exactamente esto, lo que simplifica la respuesta a las DSAR sin intervención manual. Tercer error: acuerdos con proveedores sin firmar. Su proveedor de la plataforma de WiFi para invitados es un encargado del tratamiento de datos. Antes de que cualquier dato personal fluya hacia ellos, debe tener un anexo de tratamiento de datos (DPA) firmado. Esto se aplica a su proveedor de análisis de WiFi, su CRM y su plataforma de marketing por correo electrónico. Sin DPA, no hay intercambio de datos. Cuarto error: no disponer de un plan de respuesta ante brechas de seguridad. Según el artículo 33 del GDPR, el plazo de notificación de 72 horas comienza en el momento en que se tiene conocimiento de una brecha de seguridad de datos personales. Debe notificarlo a la autoridad de control en un plazo de 72 horas, incluso si su investigación no ha concluido. Incorpore este plazo a su plan de respuesta ante incidentes ahora mismo, antes de que lo necesite. Bien - preguntas rápidas. Estas son las que recibimos con más frecuencia. ¿Necesitamos el consentimiento si solo recopilamos direcciones MAC para análisis? Sí. Si esos análisis pueden vincularse a un dispositivo y al comportamiento de su usuario, se trata de datos personales. Necesita un consentimiento explícito o un proceso de anonimización sólido que se realice inmediatamente después de la recopilación. ¿Cumple con el GDPR el inicio de sesión a través de redes sociales? Puede cumplirlo, pero debe ser transparente sobre los datos que recibe de la plataforma social y debe obtener un consentimiento independiente para cualquier uso de esos datos que vaya más allá de la autenticación básica. ¿Se aplica el GDPR si somos un establecimiento pequeño? Sí. El GDPR se aplica independientemente del tamaño de la organización. Una sola reclamación ante la autoridad de control puede desencadenar una investigación. La cuantía de cualquier multa puede ser proporcional a su tamaño, pero la obligación de cumplir es absoluta. ¿Necesitamos una evaluación de impacto relativa a la protección de datos? Si su despliegue de WiFi para invitados implica un seguimiento de la ubicación a gran escala, la elaboración de perfiles de comportamiento o el tratamiento de datos de grupos vulnerables, una evaluación de impacto (DPIA) es legalmente obligatoria según el artículo 35 del GDPR. Incluso cuando no es obligatoria, es una buena práctica y demuestra responsabilidad ante un regulador. Permítame concluir con sus próximos pasos. Cuatro acciones que puede realizar esta semana. Primera: audite su Captive Portal actual. Compruebe si el consentimiento de marketing está vinculado a las condiciones de acceso a la red. Si es así, corríjalo antes de su próxima auditoría. Segunda: revise la configuración de retención de datos. Si no tiene implementadas políticas de eliminación automática, acumula riesgos con cada día que pasa. Tercera: compruebe los acuerdos con sus proveedores. Asegúrese de tener un anexo de tratamiento de datos firmado con cada plataforma de terceros que procese datos de invitados en su nombre. Cuatro: implemente un centro de preferencias. Ofrezca a sus invitados una forma de autoservicio para gestionar su consentimiento y presentar solicitudes de acceso a datos de los interesados. Esto reduce drásticamente la carga operativa de gestionar las solicitudes de acceso a datos de forma manual. Purple cuenta con la certificación ISO 27001, cumple con las normativas GDPR y CCPA, y opera en 80.000 establecimientos a nivel mundial. Hemos procesado 440 millones de inicios de sesión solo en 2024 y recopilado 29.000 millones de puntos de datos, todo ello bajo una arquitectura de cumplimiento diseñada para proteger tanto a los establecimientos como a sus visitantes. Nuestra plataforma automatiza el registro de consentimiento, la aplicación de la retención de datos y la gestión de las solicitudes de acceso a datos, para que pueda centrarse en el funcionamiento de su red en lugar de gestionar hojas de cálculo de cumplimiento. Gracias por asistir a este Informe Técnico de Purple. Para obtener más recursos sobre el cumplimiento de WiFi para invitados, visite purple.ai. Cumpla las normas y manténgase seguro.