India DPDP Act: Cumplimiento de WiFi de invitados para establecimientos en India

India DPDP Act: Guest WiFi Compliance for Indian Venues Una sesión informativa técnica de Purple - Aproximadamente 10 minutos [INTRODUCCIÓN Y CONTEXTO - 1 minuto] Le damos la bienvenida a la sesión informativa técnica de Purple. Soy su anfitrión, y hoy nos adentraremos en algo que debería estar en el radar de todo director de TI y responsable de cumplimiento en este momento: la Ley de Protección de Datos Personales Digitales de la India - la DPDP Act - y lo que significa específicamente para las implementaciones de guest WiFi en los establecimientos de la India. Ya sea que administre una cadena hotelera en Bombay, una red de retail en Bangalore, un estadio en Hyderabad o la filial india de una multinacional - si opera un servicio de guest WiFi y captura datos de registro a través de un captive portal, esta legislación le afecta directamente. Las normas ya están vigentes, la aplicación de la ley se está intensificando y las sanciones son sustanciales. Estamos hablando de hasta doscientos cincuenta millones de rupias (250 crore) solo por fallas de seguridad. Así que entremos en materia. Durante los próximos diez minutos, le guiaré a través de las obligaciones principales, le mostraré en qué se diferencia esto de GDPR en la práctica, le proporcionaré un marco de retención práctico y señalaré los tres errores más comunes que los establecimientos están cometiendo en este momento. [ANÁLISIS TÉCNICO DETALLADO - 5 minutos] Comencemos con los fundamentos. La Ley de Protección de Datos Personales Digitales se promulgó en agosto de 2023, y las normas de aplicación se finalizaron a finales de 2025. Los plazos de cumplimiento se ejecutan de manera escalonada en un periodo de doce a dieciocho meses a partir de la entrada en vigor de las normas - por lo que, si aún no ha iniciado su programa de cumplimiento, ya lleva retraso. Lo primero que debe comprender es la terminología. Conforme a la DPDP Act, su establecimiento es el Fiduciario de Datos - usted decide por qué y cómo se procesan los datos personales. El proveedor de su plataforma de WiFi - ya sea Purple o cualquier otro proveedor - es el Procesador de Datos. Y su invitado es el Titular de los Datos. Esta distinción es sumamente importante porque bajo la DPDP, a diferencia de GDPR, toda la responsabilidad de cumplimiento recae en el Fiduciario de Datos. El DPA de su proveedor de plataforma no transfiere su riesgo. Usted lo asume por completo. Ahora hablemos del consentimiento. Aquí es donde la mayoría de los establecimientos tropiezan. La Sección 6 de la Ley exige que el consentimiento sea libre, específico, informado, incondicional e inequívoco, acompañado de una acción afirmativa clara. Esa palabra "incondicional" es exclusiva de la DPDP - no existe en GDPR - y tiene implicaciones muy serias. Significa que no puede condicionar el acceso a WiFi a que el usuario otorgue su consentimiento para fines de marketing. Punto final. ¿Cómo se ve eso en la práctica en un Captive Portal? Necesita tres cosas. Primero, un aviso que cumpla con la DPDP visible antes de recopilar cualquier dato; este debe indicar qué datos está recopilando, por qué, cuánto tiempo los conservará, cómo puede el invitado retirar su consentimiento y cómo puede ponerse en contacto con su Delegado de Protección de Datos o la persona responsable designada. Segundo, casillas de verificación de consentimiento detalladas: una para el acceso a la red (que es el procesamiento necesario) y casillas de verificación opcionales y separadas para comunicaciones de marketing y análisis o elaboración de perfiles. Estas deben estar desmarcadas de forma predeterminada. Tercero, debe registrar el consentimiento (marca de tiempo, dirección IP, versión del consentimiento y exactamente lo que se acordó) y debe poder presentar ese registro a petición. Una nota práctica sobre el funcionamiento del Captive Portal: si realiza la implementación en dispositivos Apple iOS, Android o equipos Windows, el Captive Network Assistant - o CNA - se comporta de manera diferente en cada plataforma. El CNA de Apple abre un mini navegador que tiene limitaciones con las cookies y los redireccionamientos. Debe asegurarse de que su mecanismo de consentimiento funcione dentro de esas restricciones. La guía de Purple sobre detección de Captive Portal cubre la implementación técnica a detalle - vale la pena leerla junto con este informe de cumplimiento. Ahora hablemos de la retención de datos, porque aquí es donde veo la mayor confusión. El enfoque de la Ley DPDP está orientado al propósito. Según la Sección 8(7), debe eliminar los datos personales cuando el Titular de los Datos retire su consentimiento o cuando el propósito especificado ya no se cumpla, lo que ocurra primero. La Regla 8 luego agrega dos capas importantes. Primero, para ciertas plataformas de gran volumen (comercio electrónico con más de dos millones de usuarios, redes sociales, juegos en línea), el Tercer Anexo establece un periodo de cese estimado de tres años. Si no ha habido interacción durante tres años, se considera que el propósito ya no se cumple. Para la mayoría de los operadores de recintos (hoteles, comercios, estadios), no entrarán en estas categorías específicas del Tercer Anexo, por lo que se aplica el principio general de la Sección 8(8): si el invitado no ha interactuado con usted ni ha ejercido sus derechos durante un periodo razonable, debe eliminar sus datos. Segundo, la Regla 8(3) crea un límite mínimo: debe conservar los registros de procesamiento y los datos asociados durante al menos un año a partir de la fecha de procesamiento, independientemente del cese del propósito. Esto es para fines de auditoría y regulación. Por lo tanto, para una política práctica de retención en recintos, este es el marco que recomendaría: conserve los perfiles activos de WiFi de los invitados durante la duración de la relación más un año. Si un invitado no se ha conectado ni interactuado durante veinticuatro meses, active un flujo de trabajo de nuevo consentimiento o de eliminación. Mantenga los registros de procesamiento durante un mínimo de un año. Para los huéspedes del hotel, la estancia crea una relación de procesamiento legítima, pero el marketing posterior a la estancia requiere un consentimiento por separado, y ese consentimiento tiene su propio plazo de retención.Ahora, las transferencias transfronterizas de datos. En realidad, esto es más sencillo bajo la DPDP que bajo el GDPR. La Ley utiliza un enfoque de lista negra: las transferencias están permitidas a todos los países a menos que el Gobierno Central restrinja específicamente un país o territorio particular mediante notificación. Compare eso con el enfoque de lista blanca del GDPR, donde necesita una decisión de adecuación, Cláusulas Contractuales Estándar o Normas Corporativas Vinculantes para cada transferencia a un país no adecuado. Para los establecimientos multinacionales que utilizan plataformas de WiFi basadas en la nube con centros de datos fuera de la India, actualmente tienen más flexibilidad bajo la DPDP, pero sigan de cerca este tema, porque los poderes de notificación del Gobierno significan que el panorama puede cambiar. Permítanme también cubrir los derechos que sus invitados tienen bajo la DPDP, porque sus equipos de TI y operaciones deben ser capaces de responder a ellos. Los Titulares de los Datos tienen el derecho de acceder a la información sobre su procesamiento, el derecho de rectificación y supresión, y el derecho a la reparación de agravios, con una ventana de respuesta obligatoria de noventa días. Lo que no tienen, a diferencia del GDPR, es el derecho a la portabilidad de datos, el derecho a oponerse a la toma de decisiones automatizada o el derecho a la limitación del procesamiento. Ese es un marco de derechos más estrecho, lo que simplifica un poco sus obligaciones de respuesta. Los datos de los niños son una categoría separada y de mayor riesgo. Bajo la DPDP, se requiere el consentimiento paterno verificable para procesar datos de cualquier persona menor de dieciocho años. Si el WiFi de su establecimiento se encuentra en un entorno familiar - un centro comercial, un parque temático, un hotel familiar - necesita un mecanismo para identificar y manejar a los usuarios menores de edad. Este es un desafío técnico y operativo no menor que muchos establecimientos aún no han abordado. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 minutos] Permítanme compartirles los tres errores más comunes que veo y cómo evitarlos. Error uno: consentimiento empaquetado. Esta es la infracción más frecuente. Los establecimientos presentan una única casilla de verificación de "Acepto los términos y condiciones" que cubre tanto el acceso a la red como el marketing. Bajo la Sección 6 de la DPDP, esto no cumple con la norma. La solución es sencilla: separe su consentimiento en casillas de verificación distintas y específicas para cada propósito, y asegúrese de que la de marketing sea opcional y esté desmarcada por defecto. Error dos: no contar con un historial de auditoría de consentimiento. Si la Junta de Protección de Datos le pide demostrar que un invitado específico otorgó su consentimiento en una fecha específica para un propósito específico, ¿puede generar ese registro? La mayoría de los establecimientos no pueden. Su plataforma de WiFi debe almacenar registros de consentimiento con suficiente granularidad: marca de tiempo, ID de sesión, dirección IP, versión del consentimiento y los propósitos específicos consentidos. La plataforma de Purple captura esto de forma nativa, pero si utiliza un sistema heredado, esta es una brecha que debe cerrar con urgencia. Tercer peligro: sin acuerdo de procesamiento de datos. Según la Sección 8(2), debe tener un contrato válido con cualquier procesador de datos que contrate. Si su proveedor de plataforma WiFi no tiene un Acuerdo de Procesamiento de Datos vigente que haga referencia a las obligaciones de DPDP, quedará expuesto. Esto no es solo una formalidad legal - es un requisito previo para la defensa de cumplimiento del Fiduciario de Datos. Por el lado de la implementación, la decisión de arquitectura clave es dónde se almacenan los datos de consentimiento y cómo se integran con su CRM o plataforma de automatización de marketing. Necesita una única fuente de verdad para el estado del consentimiento que su equipo de marketing no pueda anular. La retirada del consentimiento debe propagarse a todos los sistemas descendentes dentro de un plazo razonable - recomendaría un máximo de setenta y dos horas como su SLA operativo. Para lugares con múltiples propiedades - cadenas hoteleras, propiedades comerciales - debe decidir si el consentimiento otorgado en una propiedad se extiende a las demás. Bajo el requisito de especificidad de DPDP, la posición más segura es el consentimiento a nivel de propiedad, a menos que su aviso cubra explícitamente al grupo y los huéspedes hayan consentido el procesamiento a nivel de grupo. [Preguntas y respuestas rápidas - 1 minuto] Permítame repasar algunas preguntas que recibo regularmente. "¿Puedo usar analíticas de WiFi - conteo de visitas, tiempo de permanencia - sin consentimiento?" Si los datos se anonimizan de forma genuina y no se pueden vincular a un individuo, quedan fuera del alcance de la Ley DPDP. Pero la aleatorización de direcciones MAC significa que el rastreo a nivel de dispositivo es cada vez más inseguro de todos modos. Para analíticas identificadas, necesita consentimiento. "¿Necesito un Oficial de Protección de Datos?" Un DPO completo es obligatorio solo para los Fiduciarios de Datos Significativos - una clasificación que el Gobierno notificará. Para la mayoría de los operadores de establecimientos, necesita una persona responsable designada cuyos detalles de contacto estén publicados. Ese es un estándar más bajo, pero aún debe ser alguien que realmente pueda responder preguntas sobre protección de datos. "¿Cuál es la exposición a sanciones para una cadena hotelera de tamaño mediano?" Una falla de seguridad que resulte en una filtración conlleva hasta doscientos cincuenta millones de rupias. No notificar la filtración a la Junta es otra sanción de doscientos millones. Estos son límites máximos fijos, no porcentajes de facturación - lo que significa que afectan a las organizaciones más pequeñas de manera proporcionalmente más dura de lo que las sanciones basadas en la facturación de GDPR afectan a las grandes multinacionales. [RESUMEN Y PRÓXIMOS PASOS - 1 minuto] Para concluir, aquí están sus cinco acciones inmediatas. Primero: audite hoy mismo su flujo de consentimiento de Captive Portal. Si tiene una sola casilla de verificación o combina el marketing con el acceso, debe rediseñarse. Segundo: implemente un registro de auditoría de consentimiento. Cada evento de consentimiento debe registrarse con marca de tiempo, IP, propósito y versión. Tercero: establezca una política de retención de datos. Para la mayoría de los establecimientos, un activador de inactividad de veinticuatro meses para solicitar de nuevo el consentimiento o proceder a la eliminación es un punto de partida razonable, con un mínimo de un año para los registros de procesamiento. Cuarto: revise sus Acuerdos de Procesamiento de Datos con su proveedor de plataforma WiFi y cualquier otro proveedor descendente de marketing o analíticas. Cinco: designe a una persona responsable para las consultas de protección de datos y publique sus datos de contacto en su Captive Portal y sitio web. La ley DPDP no es tan compleja como el GDPR en términos de la amplitud de las obligaciones, pero es igualmente seria en términos de intención de cumplimiento. El Data Protection Board tiene un poder real y la estructura de sanciones está diseñada para ser significativa incluso para las grandes organizaciones. Para profundizar en la arquitectura de Captive Portal, las guías técnicas de Purple cubren detalladamente los aspectos específicos de la implementación. Y si está analizando cómo se integran los análisis de WiFi para invitados con su conjunto más amplio de inteligencia de las instalaciones, la plataforma Purple WiFi Analytics está diseñada teniendo en su núcleo la captura de datos basada en el consentimiento. Gracias por escucharnos. Hasta la próxima.