Retención de datos bajo GDPR para operadores de WiFi compartido: cuánto tiempo puede conservar los datos de inicio de sesión de invitados y los registros de red

Bajo el UK GDPR, conserve los datos identificables de inicio de sesión de WiFi para invitados y los registros de red únicamente para el fin documentado y no por más tiempo. La mayoría de los registros de seguridad operativa pueden justificar un periodo breve y probado, no una regla universal. Un periodo de la IPA de 12 meses se aplica solo cuando una notificación de retención de datos aplicable requiera que se conserven datos específicos.1 7 9

¿Qué es una política de retención de datos de WiFi justificable?

Una política justificable vincula cada categoría de datos a un fin, una parte responsable, una base jurídica, un periodo de retención y un evento de eliminación. Esa es la expresión operativa del Artículo 5(1)(e): los datos personales no deben seguir siendo identificables durante más tiempo del necesario. La ICO no prescribe periodos fijos. Usted debe justificar el periodo, documentarlo, revisarlo y borrar o anonimizar los datos cuando ya no sean necesarios.1

Nota legal. Esta es una guía de cumplimiento técnico, no una asesoría legal formal. Solicite a un asesor calificado que valide el modelo de sus propiedades, los contratos de los inquilinos y cualquier notificación de la IPA antes de confiar en un programa de retención.

¿Por qué el WiFi compartido es un problema de cumplimiento diferente?

El WiFi multi-inquilino crea capas que una red de invitados de un solo sitio no tiene. Puede operar una capa de acceso compartido para residentes, miembros, invitados y visitantes, al mismo tiempo que proporciona un servicio de WiFi para el personal a un empleador inquilino. Para sus propios fines, como la seguridad de la red, el aseguramiento del servicio y la gestión de disputas de facturación, usted puede ser un controlador. Para la autenticación de empleados procesada únicamente bajo las instrucciones documentadas del inquilino, puede ser un procesador. La etiqueta en un acuerdo comercial no decide este asunto.

La ICO señala que el rol depende de la actividad de procesamiento específica. La parte que decide por qué se recopilan los datos, la base jurídica, las categorías de datos, los destinatarios, la información de privacidad, el manejo de derechos o la retención probablemente sea el controlador. Un procesador puede elegir métodos técnicos, controles de seguridad y mecánicas de eliminación sin convertirse en controlador, siempre y cuando no tome las decisiones generales. Por lo tanto, el mismo conjunto de datos puede separarse por fin y rol. Si ambas partes determinan conjuntamente los fines y los medios, utilice un acuerdo de controlador conjunto del Artículo 26 en lugar de tratar la relación como un simple servicio de procesador.4

Este análisis es especialmente importante para complejos de Hospitality, Retail, Healthcare y Transport, donde una red compartida puede dar servicio a varias empresas independientes en el mismo edificio.

¿Cómo debe clasificar las 5 categorías de datos de WiFi?

Metadatos de conexión: incluye la dirección IP asignada, la dirección MAC de origen, las horas de inicio y finalización de la sesión, los bytes transferidos, los registros de concesión DHCP y la contabilidad de RADIUS. En un servicio de inicio de sesión con nombre, estos campos suelen ser datos personales porque pueden vincularse a un individuo. Conserve los campos necesarios para el propósito definido de seguridad y solución de problemas. Una ventana operativa sugerida de 30 a 90 días es una política inicial, no un puerto seguro legal. Su tiempo de detección de incidentes, el modelo de amenazas y la capacidad de investigación deben determinar el período aprobado. 1 6

Datos de autenticación de invitados: incluye la dirección de correo electrónico, el nombre, el número de teléfono y el identificador de autenticación. Si los recopila únicamente para admitir a una persona en el WiFi para invitados, el propósito de acceso finaliza con la sesión. Conserve un registro breve y documentado de disputas o fraudes únicamente cuando pueda justificarlo. Si también recopila un consentimiento de marketing de elección consciente, separe el registro de marketing de los datos de acceso. El consentimiento se puede retirar, mientras que el marketing electrónico también tiene sus propias reglas. En caso de retiro u objeción, detenga el marketing y conserve únicamente la información de supresión mínima necesaria para respetar la elección. 2 6

Datos de ubicación y presencia: requiere una distinción estricta entre los rastros identificables sin procesar y los resultados agregados. Un token no es anónimo si se puede volver a vincular a un inicio de sesión. La ICO señala que los datos seudonimizados generalmente seguirán siendo datos personales, mientras que los datos que ya no permiten la identificación pueden conservarse fuera de la regla de limitación de almacenamiento. Un período de rastreo sin procesar de 30 días seguido de una agregación irreversible es un patrón de política sensato cuando se necesita un análisis operativo a corto plazo. Documente el método de agregación y pruebe si la reidentificación sigue siendo posible. 1El historial de comunicaciones de marketing incluye envíos, aperturas, clics y cambios de preferencias. No herede el temporizador del registro de seguridad. Consérvelo únicamente para el fin de marketing establecido, bajo la base legal que aplique, con una fecha de revisión documentada. El punto de revisión de 24 meses que se muestra a continuación es un límite operativo sugerido, no un plazo de la ICO. Nunca conserve un perfil de interacción solo porque la persona no ha retirado su consentimiento. Si se retira el consentimiento, borre o desidentifique el historial de marketing a menos que aplique una necesidad documentada e independiente. Una entrada de supresión de exclusión es diferente: evita futuros mensajes.2 6

Los registros de abuso y seguridad pueden incluir denegaciones de firewall, eventos de seguridad DNS y contabilidad RADIUS. La seguridad de la red y de la información puede respaldar intereses legítimos, pero no lo hace de forma automática. Complete las pruebas de propósito, necesidad y equilibrio antes de iniciar el periodo de retención. Un esquema de 365 días puede ser defendible cuando una dirección IP pública compartida requiere evidencia de atribución para el manejo de incidentes retrasados, reclamos o citaciones. No es un límite mínimo del GDPR. Reduzca los campos, restrinja el acceso, registre las búsquedas y revise la evaluación de intereses legítimos cuando cambie la arquitectura o el riesgo.1 6

Flujo de decisión: determine la identificabilidad, el rol, la base legal y cualquier notificación legal antes de establecer la regla de depuración automatizada.

¿Qué esquema de retención puede adoptar?

El esquema a continuación es una base lista para adaptarse a un entorno de WiFi compartido en el Reino Unido. Está dividido deliberadamente por propósito. Adóptelo solo después de que el responsable del tratamiento haya documentado el propósito, la base legal y la evaluación de riesgos para el entorno. Una notificación de la IPA, una retención legal o un reclamo activo pueden anular una fecha de depuración normal, pero solo para los registros específicos y la duración que la excepción justifique.1 7 9

El periodo de conexión de 90 días y el periodo de abuso de 365 días son decisiones de política, no cifras obligatorias. Solo son útiles cuando su LIA escrita, su aviso de privacidad, la evidencia de sus sistemas y el diseño de eliminación automatizada coinciden por completo. Una autoridad pública también debe comprobar si está realizando una tarea pública, ya que no puede basarse en intereses legítimos para dicha tarea.6

¿Exige la IPA que un operador de WiFi compartido conserve los registros durante 12 meses?

No, no por defecto. La definición de operador de telecomunicaciones de la IPA es amplia. El código de notificaciones de 2025 del gobierno señala que puede incluir a una persona que proporcione a los huéspedes o miembros del público acceso a servicios de comunicaciones que sean accesorios a otro servicio, incluidos los establecimientos comerciales como los hoteles. Esto hace que el asunto sea relevante para un operador de MDU, de co-working o de WiFi gestionado.8 9

Pero el mismo código es claro al señalar que la posición predeterminada es que no existe obligación de retención en virtud de la ley hasta que se entregue una notificación de retención de datos. Según la sección 87 de la IPA, el Secretario de Estado puede emitir una notificación únicamente cuando el requisito sea necesario y proporcionado y un Comisionado Judicial lo haya aprobado. La notificación debe identificar al operador, los datos y el periodo. No puede exigir la retención por más de 12 meses. No cree una política genérica de "conservar todo durante 12 meses" simplemente porque el servicio pueda cumplir con una definición amplia de operador de telecomunicaciones.7 9

Cuando una notificación válida crea una obligación legal, el Artículo 6(1)(c) puede proporcionar la base jurídica del UK GDPR para el procesamiento necesario para cumplirla. Esa no es una base contractual. La ICO señala que se debe identificar la disposición legal específica, documentar la decisión y explicar el propósito y la base jurídica en la información de privacidad. La notificación no autoriza el uso para marketing secundario ni la recopilación indefinida.3

¿Qué debe contener un acuerdo de inquilino según el Artículo 28?

Si procesa los datos de los empleados del inquilino únicamente bajo las instrucciones documentadas de este, debe existir un acuerdo de procesamiento de datos del Artículo 28 antes de que comience dicho procesamiento. El acuerdo debe describir el objeto y la duración, la naturaleza y el propósito, los tipos de datos, las categorías de interesados y los derechos y obligaciones del responsable del tratamiento. Posteriormente, debe contener los compromisos operativos detallados a continuación.5

No utilice un acuerdo del Artículo 28 para ocultar un esquema de corresponsabilidad del tratamiento. Si el operador y el inquilino deciden conjuntamente por qué se utilizarán los análisis de los empleados, qué campos se recopilan y cuánto tiempo permanecen disponibles, evalúe el Artículo 26 en su lugar.4

¿Cómo debe gestionar una solicitud de supresión?

La supresión del Artículo 17 no es una función de eliminación con un solo clic. Comience con una verificación de identidad proporcional. Luego, busque los datos por finalidad y rol: acceso de invitados, marketing, seguridad, instrucción del inquilino y cualquier retención específica por notificación. La ICO señala que debe responder sin demora indebida y, a más tardar, en el plazo de un mes. Cuando los datos ya no sean necesarios, o se haya retirado el consentimiento, elimínelos de los registros activos y notifique a los destinatarios pertinentes cuando sea necesario.2

Cuando se aplique una obligación legal, o los datos sean necesarios para la formulación, el ejercicio o la defensa de reclamaciones de derechos, el derecho de supresión no se aplicará en esa medida. Explique claramente la razón limitada. Mantenga segregados los datos retenidos, evite el uso no relacionado y aplique la fecha de finalización correspondiente. Los respaldos necesitan una respuesta explícita: la eliminación también debe cubrir los respaldos cuando sea factible. Si un sobrescrito inmediato es imposible, ponga el registro de respaldo fuera de uso y revele el programa de sobrescritura.2

Un flujo de trabajo de supresión debe separar los datos que se van a eliminar de los registros limitados que se conservan bajo una excepción documentada.

¿Cómo funciona esto en espacios físicos reales?

Escenario de hotelería: un hotel con acceso para huéspedes y acceso para el personal del inquilino

Un hotel de 200 habitaciones opera Guest WiFi para visitantes y suministra un SSID de Staff WiFi al inquilino de su restaurante. El hotel redacta dos registros de procesamiento separados. Actúa como responsable del tratamiento para la autenticación de huéspedes, los datos de conexión de 90 días y las investigaciones de seguridad. El restaurante decide la población de empleados, las condiciones de acceso y la retención para su SSID de personal, por lo que el hotel aplica los términos del Artículo 28 a ese procesamiento. El control medible es un reporte mensual que muestra que cada sesión de invitado con más de 90 días de antigüedad se ha depurado, mientras que cualquier excepción cuenta con una referencia de incidente o notificación.

Escenario de retail: un destino de compras en una única dirección pública

Un destino minorista utiliza una única dirección de egreso pública en varias unidades. Su LIA de seguridad registra por qué las denuncias de abuso retrasadas pueden requerir la atribución a una conexión específica. Establece un programa de evidencia de seguridad de 365 días, pero conserva los rastros de ubicación identificables sin procesar durante 30 días antes de la agregación. El control medible es una revisión trimestral de la LIA más una prueba de que un analista de seguridad puede reconstruir un incidente permitido sin acceder a datos de ubicación sin procesar vencidos.

Escenario de eventos: un centro de conferencias con audiencias propiedad de patrocinadores

Un centro de conferencias proporciona acceso a los asistentes mientras los patrocinadores recopilan consentimientos a través de experiencias con marcas independientes. El lugar sigue siendo el controlador de los datos de servicio y seguridad. Cada patrocinador controla su propio propósito de marketing y debe recibir únicamente los consentimientos que tiene derecho a utilizar. El control medible es una prueba previa al evento que demuestra que el retiro del consentimiento en la experiencia de un patrocinador suprime las comunicaciones de ese patrocinador sin eliminar la evidencia de seguridad estrictamente retenida por el lugar.

¿Qué debe hacer a continuación?

Comience con un taller de retención de 60 minutos, no con una plantilla de políticas. Reúna a su DPO, arquitecto de red, líder de operaciones del lugar y a cada representante de inquilino relevante. Construya una tabla de campos que fluyan desde el portal cautivo, DHCP, RADIUS, firewall, DNS y componentes de analítica. Para cada campo, decida el propósito, el rol de controlador o procesador, la base legal, el temporizador de retención, la acción de eliminación, el propietario de la auditoría y el proceso de retención legal.

Luego configure el sistema para que haga el trabajo. Purple proporciona períodos de retención configurables, programas de purga automatizados, herramientas de solicitud de acceso y flujos de trabajo de borrado que respaldan este modelo operativo. Mantenga su entorno de Guest WiFi separado de cualquier propósito de WiFi para el personal de los inquilinos. Cuando utilice WiFi Analytics, agregue o elimine la identidad antes de que finalice la ventana de retención identificable. Una superposición en la nube debería facilitar la aplicación coherente de las políticas en un patrimonio distribuido, no extender la vida útil de los registros de forma predeterminada.

Para controles relacionados, compare el diseño de retención de datos con Hardening RADIUS against MD5 collision attacks (BlastRADIUS), Privacy by design: anonymising WiFi data for GDPR compliance y MDU WiFi tenant session tracking and abuse attribution. Para un contexto más amplio, consulte The definitive timeline of WiFi: from ALOHAnet to WiFi 7 and beyond, Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026 y Purple appoints Imani Butler as Growth Director, North America.

Preguntas frecuentes

¿Cuánto tiempo puedo conservar los datos de inicio de sesión de WiFi de invitados según el GDPR?

Consérvelos únicamente mientras sea necesario para el acceso, la resolución de disputas, la seguridad u otro fin declarado. Un punto de partida práctico para la autenticación de solo acceso es el fin de la sesión más un breve periodo de disputa documentado, como 30 días. Esa es una elección de política, no una regla del GDPR. Registre el propósito, la base legal y el evento de eliminación, y luego pruebe la purga.

¿La ley UK Investigatory Powers Act exige 12 meses de registros de conexión WiFi?

No. La IPA no crea una obligación automática de 12 meses para todos los operadores de WiFi compartido. La obligación de retención comienza únicamente cuando se entrega una notificación de retención de datos aplicable. La notificación define los datos de comunicaciones pertinentes y el periodo de retención, que no puede exceder los 12 meses. Obtenga asesoramiento especializado de inmediato si recibe una.7 9

¿Soy responsable del tratamiento o encargado del tratamiento para los empleados de un inquilino en la WiFi para el personal?

Depende de la actividad de tratamiento. Si el inquilino decide la población de empleados, el propósito, el aviso, la gestión de derechos y la retención mientras usted opera el servicio bajo instrucciones documentadas, es probable que usted sea el encargado del tratamiento para esa actividad. Si usted toma esas decisiones para su propio propósito, es el responsable del tratamiento. Cuando ambas partes deciden conjuntamente los propósitos y medios esenciales, evalúe la corresponsabilidad del tratamiento.4

¿Cuál es el periodo de retención adecuado para los registros de direcciones IP en una red WiFi compartida?

No existe un periodo prescrito por el UK GDPR. Establezca un periodo proporcionado y vinculado a la necesidad declarada de seguridad y resolución de problemas. Esta guía sugiere 90 días como valor predeterminado para los metadatos de conexión. Extiéndalo a 365 días únicamente cuando una LIA documentada respalde una necesidad real de atribución de direcciones compartidas o de reclamaciones, con minimización de campos y controles de acceso.1 6

¿Qué debo hacer con una solicitud de eliminación cuando tengo la obligación legal de conservar los datos de tráfico?

Elimine los registros que ya no sean necesarios, pero conserve únicamente los datos específicos y el periodo requeridos por la obligación legal. Responda en un plazo de un mes, explique la exención aplicable y evite que los datos retenidos se utilicen para fines no relacionados. Aplique la misma decisión a las copias de seguridad eliminándolas o dejándolas fuera de uso hasta su sobrescritura programada.2 3

¿Necesito un DPA con cada organización de inquilinos?

Necesita un acuerdo de procesamiento de datos conforme al Artículo 28 siempre que trate datos de empleados de un inquilino bajo las instrucciones documentadas de ese inquilino. No necesita uno simplemente por compartir un edificio. Si ambas partes determinan juntas los propósitos y los medios esenciales, es posible que en su lugar se requiera un acuerdo de corresponsabilidad conforme al Artículo 26.4 5

¿Puedo conservar el historial de marketing hasta que un invitado retire su consentimiento?

No. El consentimiento activo no elimina la obligación de limitación de almacenamiento. Establezca y documente un periodo de revisión para el historial de marketing, como una revisión de 24 meses, y elimine o desidentifique los datos que ya no sirvan para el propósito establecido. En caso de revocación u oposición, detenga el marketing y conserve únicamente los datos mínimos de supresión necesarios para respetar la elección.1 2

Referencias