GDPR and WiFi: A Compliance Guide for Businesses

GDPR Y WIFI: UNA GUÍA DE CUMPLIMIENTO PARA EMPRESAS Un informe de inteligencia de Purple — aproximadamente 10 minutos [INTRODUCCIÓN Y CONTEXTO — 1 minuto] Bienvenido al informe de inteligencia de Purple. Soy su anfitrión, y hoy iremos directo al grano sobre uno de los desafíos de cumplimiento más incomprendidos que enfrentan los operadores de recintos y los equipos de TI en este momento: GDPR y WiFi. Si ofrece WiFi para invitados en un complejo hotelero, una cadena de tiendas, un estadio o un edificio del sector público, está recopilando datos personales. Punto final. Y se dé cuenta o no, esa recopilación está sujeta al Reglamento General de Protección de Datos (GDPR). La ICO ha estado cada vez más activa en este ámbito, y las consecuencias de cometer errores van desde avisos de cumplimiento hasta multas de hasta el cuatro por ciento de la facturación anual global. Pero aquí está el detalle: el cumplimiento de GDPR para WiFi no es tan complicado como los equipos legales a veces lo hacen parecer. Se reduce a cuatro preguntas principales: ¿Qué datos está recopilando? ¿Bajo qué base legal? ¿Durante cuánto tiempo los conserva? ¿Y quién es el responsable? Responda correctamente a esas cuatro preguntas y tendrá la mayor parte del camino recorrido. Comencemos. [ANÁLISIS TÉCNICO DETALLADO — 5 minutos] Empecemos por los datos que recopila realmente una implementación típica de WiFi para invitados. Cuando un invitado se conecta a su red a través de un Captive Portal (esa es la página de bienvenida que ven antes de tener acceso a Internet), usted está capturando potencialmente una dirección MAC, una dirección IP, una marca de tiempo de conexión, la duración de la sesión y, si ha integrado un flujo de registro, una dirección de correo electrónico, un nombre y preferencias de marketing. Ahora bien, las direcciones MAC y las direcciones IP se clasifican como datos personales según el GDPR porque pueden utilizarse para identificar a un individuo. Eso sorprende a muchos arquitectos de red. Piensan en ellos como identificadores técnicos, no como datos personales. Pero el reglamento es claro: si puede utilizarse, directa o indirectamente, para identificar a una persona física, son datos personales. Por lo tanto, los registros de su red están dentro del alcance desde el momento en que se conecta un dispositivo. La siguiente pregunta es la base legal. Según el Artículo 6 del GDPR, se necesita una de las seis bases legales para procesar datos personales. Para el WiFi de invitados, las dos que más importan son el consentimiento y los intereses legítimos. El consentimiento es la opción más clara cuando se recopilan direcciones de correo electrónico con fines de marketing. Según el GDPR, el consentimiento debe ser libre, específico, informado e inequívoco. Eso significa que no se permiten casillas previamente marcadas. No se debe incluir el consentimiento de marketing dentro de los términos y condiciones. El invitado debe optar por participar activamente, y usted debe ser capaz de demostrar que lo hizo, con una marca de tiempo y un registro de lo que consintió en ese momento específico.El interés legítimo es la base que la mayoría de los operadores utilizan para los datos de conexión de red subyacentes, como las direcciones MAC y los registros de sesión. El argumento es que operar una red segura y funcional es un interés legítimo de la empresa, y ese interés no se ve anulado por los derechos de privacidad del individuo. Pero —y esto es importante— aún es necesario realizar y documentar una Evaluación de Interés Legítimo (LIA, por sus siglas en inglés). No se puede simplemente afirmar el interés legítimo y continuar. La ICO espera ver la prueba de tres partes: propósito, necesidad y equilibrio. Ahora hablemos del diseño de la splash page, porque aquí es donde la mayoría de las organizaciones tropiezan. La splash page es su interfaz de consentimiento principal y debe hacer varias cosas simultáneamente. Debe identificar quién recopila los datos (ese es el nombre de su organización). Debe explicar qué datos se recopilan y por qué. Debe presentar cualquier opción de suscripción de marketing como una casilla de verificación separada y sin marcar. Y debe incluir un enlace a un aviso de privacidad completo que cubra los derechos del interesado. Lo que no debe hacer es condicionar el acceso a la red al consentimiento de marketing. Si bloquea el WiFi detrás de un registro de correo electrónico donde la única forma de conectarse es aceptar recibir correos de marketing, ese consentimiento no se otorga libremente bajo el GDPR. La ICO ha sido explícita al respecto. Puede ofrecer un incentivo por proporcionar una dirección de correo electrónico (un punto de lealtad, un cupón de descuento), pero el acceso básico a la red debe estar disponible de todos modos. Pasando a la retención de datos. El Artículo 5(1)(e) del GDPR establece el principio de limitación de almacenamiento: los datos personales no deben conservarse por más tiempo del necesario para el propósito para el cual fueron recopilados. Para el WiFi de invitados, eso significa que necesita un programa de retención documentado. Los registros de seguridad de la red —como las direcciones MAC y las marcas de tiempo de la sesión— se retienen normalmente durante 90 días para fines de investigación de seguridad y fraude. Esa es una postura defendible. Las direcciones de correo electrónico recopiladas para marketing se pueden conservar por más tiempo, pero debe definir ese período, comunicarlo en su aviso de privacidad y aplicarlo técnicamente, no solo como una política en papel. Aquí es donde la pila tecnológica importa. Una plataforma como la solución de WiFi de invitados de Purple automatiza la aplicación de la retención. Usted configura una ventana de retención y el sistema purga los registros automáticamente. Esa es la diferencia entre una política de cumplimiento y un programa de cumplimiento. La política dice lo que hará. El programa demuestra que lo hizo. Hablemos de los Acuerdos de Procesamiento de Datos, o DPA. Si utilizas una plataforma de terceros para gestionar tu WiFi de invitados —como lo hace la mayoría de las organizaciones—, esa plataforma actúa como procesador de datos en tu nombre. Según el Artículo 28 del GDPR, debes contar con un Acuerdo de Procesamiento de Datos por escrito con dicho procesador. El DPA debe especificar qué datos se procesan, con qué propósito, bajo qué instrucciones y qué medidas de seguridad tiene implementadas el procesador. Si utilizas una plataforma de analítica de WiFi basada en la nube y no tienes un DPA firmado, no estás cumpliendo. Así de simple. Para las organizaciones que operan en varios estados miembros de la UE o que atienden a residentes de la UE desde una base en el Reino Unido tras el Brexit, también deben considerar el GDPR del Reino Unido —que es esencialmente el GDPR de la UE retenido en la legislación del Reino Unido— y si existen transferencias internacionales de datos. Si tu plataforma de WiFi almacena datos en servidores fuera del Reino Unido o del EEE, necesitas un mecanismo de transferencia adecuado: ya sea una decisión de adecuación, cláusulas contractuales estándar o normas corporativas vinculantes. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — 2 minutos] Bien, pasemos a la práctica. Aquí tienes los cuatro pasos de implementación que recomendaría a cualquier equipo de TI o proveedor de espacios que inicie este proceso. Primero: realiza un ejercicio de mapeo de datos. Antes de modificar tu página de inicio o tu aviso de privacidad, mapea cada dato que recopila tu despliegue de WiFi, a dónde va, quién tiene acceso a él y cuánto tiempo se conserva. Este es tu Registro de Actividades de Procesamiento según el Artículo 30, y es la base de todo lo demás. Segundo: audita tu página de inicio frente a los requisitos de consentimiento. Verifica que no haya casillas premarcadas. Asegúrate de que el consentimiento de marketing esté separado de la aceptación de los términos. Comprueba que el enlace a tu aviso de privacidad sea visible y funcione. Si utilizas una plataforma como Purple, las herramientas de gestión de consentimiento ya están integradas, pero aún así debes configurarlas correctamente y revisar los textos. Tercero: formaliza tus DPA. Contacta a cada proveedor externo que tenga acceso a tus datos de WiFi —tu proveedor de plataforma, tu herramienta de analítica, tu CRM— y confirma que exista un DPA firmado. Si no es así, obtén uno antes de continuar. Cuarto: implementa controles técnicos de retención. No dependas de procesos manuales para eliminar datos antiguos. Configura la depuración automatizada en tu plataforma y documenta la configuración como prueba de cumplimiento. El error más común que veo es que las organizaciones tratan el GDPR como un proyecto de una sola vez en lugar de un programa continuo. Hacen la auditoría, actualizan la página de inicio, archivan el DPA y, dos años después, la plataforma se ha actualizado, el equipo de marketing ha cambiado el texto de la página de inicio y nadie ha revisado la configuración de retención. El cumplimiento del GDPR requiere un ciclo de revisión periódica; como mínimo una vez al año, y siempre que haya un cambio significativo en tus actividades de procesamiento de datos. [PREGUNTAS Y RESPUESTAS RÁPIDAS — 1 minuto] Algunas preguntas que me hacen con frecuencia. "¿Necesitamos un DPO?" — Si eres una autoridad pública, o si tus actividades principales implican el monitoreo sistemático a gran escala de personas —lo cual podría calificar para un despliegue grande de WiFi para invitados— entonces sí, necesitas un Delegado de Protección de Datos designado. Para despliegues más pequeños, es una buena práctica incluso si no es estrictamente obligatorio. "¿Podemos usar direcciones MAC para analíticas de afluencia?" — Sí, pero solo si estás utilizando datos anonimizados o agregados. Si estás rastreando direcciones MAC individuales a lo largo de las sesiones para crear perfiles de movimiento, eso constituye un procesamiento de datos personales y necesitas una base legal y una declaración en tu aviso de privacidad. "¿Qué pasa con los niños?" — Si es probable que a tu establecimiento accedan niños menores de 13 años, debes considerar el Código de los Niños de la ICO. Eso significa que no se debe realizar un perfilado de comportamiento de los niños y se deben ofrecer avisos de privacidad adecuados para su edad. [RESUMEN Y PRÓXIMOS PASOS — 1 minuto] Para concluir: el cumplimiento de GDPR y WiFi es totalmente alcanzable. La regulación no está diseñada para evitar que ofrezcas un servicio de WiFi para invitados o que recopiles datos para mejorar tus operaciones. Está diseñada para garantizar que, cuando recopiles datos, lo hagas de manera transparente, sobre una base legal válida, con la seguridad adecuada y respetando los derechos de las personas. Las cuatro conclusiones de esta sesión: establece tu base legal y documéntala; diseña tu splash page para obtener un consentimiento genuino; firma tus DPA; y aplica la retención de manera técnica, no solo en papel. Si deseas profundizar en cualquiera de estas áreas, Purple cuenta con un conjunto completo de guías de implementación sobre la recopilación de datos de origen (first-party data) a través de WiFi, y la plataforma en sí está diseñada para admitir despliegues que cumplen con GDPR de forma nativa. Gracias por escuchar. Hasta la próxima.