Conservazione dei dati GDPR per operatori di WiFi condiviso: per quanto tempo conservare i dati di accesso degli ospiti e i log di rete

In base al UK GDPR, conserva i dati identificativi di login del WiFi ospiti e i log di rete solo per lo scopo documentato e non oltre. La maggior parte dei log di sicurezza operativa può giustificare un periodo breve e testato, non una regola universale. Un periodo IPA di 12 mesi si applica solo nei casi in cui un avviso di conservazione dei dati applicabile richieda la conservazione di dati specifici.1 7 9

Che cos'è una policy di conservazione dei dati WiFi difendibile?

Una policy difendibile collega ogni categoria di dati a uno scopo, una parte responsabile, una base giuridica, un periodo di conservazione e un evento di cancellazione. Questa è l'espressione operativa dell'Articolo 5(1)(e): i dati personali non devono rimanere identificabili più a lungo del necessario. L'ICO non prescrive periodi fissi. È necessario giustificare il periodo, documentarlo, riesaminarlo e cancellare o anonimizzare i dati quando non sono più necessari.1

Nota legale. Questa è una guida tecnica di conformità, non un parere legale formale. Rivolgiti a un consulente qualificato per convalidare il tuo modello immobiliare, i contratti con i locatari e qualsiasi avviso IPA prima di fare affidamento su un programma di conservazione.

Perché il WiFi condiviso rappresenta un problema di conformità diverso?

Il WiFi multi-tenant crea livelli che una rete ospiti a sito singolo non presenta. Potresti gestire un livello di accesso condiviso per residenti, membri, ospiti e visitatori, fornendo al contempo un servizio WiFi per il personale a un datore di lavoro locatario. Per i tuoi scopi, come la sicurezza della rete, la garanzia del servizio e la gestione delle controversie di fatturazione, potresti essere un titolare del trattamento (controller). Per l'autenticazione dei dipendenti elaborata solo in base alle istruzioni documentate del locatario, potresti essere un responsabile del trattamento (processor). L'etichetta presente in un accordo commerciale non decide la questione.

L'ICO afferma che il ruolo segue la specifica attività di trattamento. La parte che decide perché i dati vengono raccolti, la base giuridica, le categorie di dati, i destinatari, le informazioni sulla privacy, la gestione dei diritti o la conservazione è probabilmente il titolare del trattamento. Un responsabile del trattamento può scegliere metodi tecnici, controlli di sicurezza e meccanismi di cancellazione senza diventare titolare, a condizione che non prenda le decisioni generali. Lo stesso set di dati può quindi essere separato per scopo e ruolo. Se entrambe le parti determinano congiuntamente scopi e mezzi, utilizza un accordo di contitolarità ex Articolo 26 anziché trattare il rapporto come un semplice servizio di elaborazione.4

Questa analisi è particolarmente importante per i settori Hospitality, Retail, Healthcare e Transport, dove una rete condivisa può servire diverse attività indipendenti nello stesso edificio.

Come classificare le 5 categorie di dati WiFi?

I metadati di connessione includono l'indirizzo IP assegnato, l'indirizzo MAC di origine, gli orari di inizio e fine sessione, i byte trasferiti, i record di lease DHCP e il RADIUS accounting. In un servizio con login nominativo, questi campi saranno comunemente dati personali perché possono essere collegati a un individuo. Conserva solo i campi necessari per le finalità definite di sicurezza e risoluzione dei problemi. Una finestra operativa consigliata da 30 a 90 giorni è una politica di partenza, non un porto sicuro legale. Il tempo di rilevamento degli incidenti, il modello di minaccia e la capacità di indagine dovrebbero determinare il periodo approvato.1 6

I dati di autenticazione degli ospiti includono l'indirizzo email, il nome, il numero di telefono e l'identificativo di autenticazione. Se li raccogli esclusivamente per consentire l'accesso al Guest WiFi, la finalità di accesso termina con la sessione. Conserva un breve tracciato documentato per controversie o frodi solo se sei in grado di giustificarlo. Se raccogli anche un opt-in di marketing tramite scelta consapevole, separa il record di marketing dai dati di accesso. Il consenso può essere revocato e il marketing elettronico ha le sue regole specifiche. In caso di revoca o opposizione, interrompi il marketing e conserva solo le informazioni di soppressione minime necessarie per rispettare la scelta.2 6

I dati di posizione e presenza richiedono una netta distinzione tra i tracciati grezzi identificabili e i risultati aggregati. Un token non è anonimo se è possibile ricollegarlo a un login. L'ICO afferma che i dati pseudonimizzati rimarranno solitamente dati personali, mentre i dati che non consentono più l'identificazione possono essere conservati al di fuori della regola di limitazione della conservazione. Un periodo di 30 giorni per i tracciati grezzi seguito da un'aggregazione irreversibile rappresenta un modello di policy sensato laddove sia necessaria un'analisi operativa a breve termine. Documenta il metodo di aggregazione e verifica se la re-identificazione rimane possibile.1La cronologia delle comunicazioni di marketing include invii, aperture, clic e modifiche delle preferenze. Non ereditare il timer del registro di sicurezza. Conservala solo per lo scopo di marketing dichiarato, sulla base giuridica applicabile, con una data di revisione documentata. Il termine di revisione di 24 mesi indicato di seguito è un limite operativo suggerito, non una scadenza ICO. Non conservare mai un profilo di interazione solo perché la persona non ha revocato il consenso. Se il consenso viene revocato, cancella o anonimizza la cronologia di marketing, a meno che non si applichi un'esigenza diversa e documentata. Una registrazione di soppressione dell'opt-out è diversa: impedisce l'invio di ulteriori messaggi.2 6

I registri di abuso e sicurezza possono includere rifiuti del firewall, eventi di sicurezza DNS e accounting RADIUS. La sicurezza delle reti e delle informazioni può supportare legittimi interessi, ma non lo fa automaticamente. Completa i test di finalità, necessità e bilanciamento prima di avviare il periodo di conservazione. Un programma di 365 giorni può essere giustificabile laddove un indirizzo IP pubblico condiviso richieda prove di attribuzione per la gestione ritardata di incidenti, reclami o citazioni in giudizio. Non si tratta di un limite minimo del GDPR. Riduci i campi, limita l'accesso, registra le ricerche e rivedi la valutazione dei legittimi interessi in caso di modifiche all'architettura o ai rischi.1 6

Flusso decisionale: determina l'identificabilità, il ruolo, la base giuridica e qualsiasi notifica legale prima di impostare la regola di eliminazione automatica.

Quale programma di conservazione puoi adottare?

Il programma seguente è una base di partenza pronta per essere personalizzata per una rete WiFi condivisa nel Regno Unito. È deliberatamente suddiviso per finalità. Adottalo solo dopo che il titolare del trattamento ha documentato la finalità, la base giuridica e la valutazione del rischio per la rete. Una notifica IPA, un blocco legale o un reclamo attivo possono prevalere su una normale data di eliminazione, ma solo per i registri specifici e per la durata giustificata dall'eccezione.1 7 9

Il periodo di connessione di 90 giorni e il periodo di abuso di 365 giorni sono scelte di policy, non cifre obbligatorie. Sono utili solo quando la LIA scritta, l'informativa sulla privacy, le prove dei sistemi e il piano di cancellazione automatizzata corrispondono tutti. Un'autorità pubblica deve anche verificare se sta svolgendo un compito pubblico, poiché non può fare affidamento su legittimi interessi per tale compito.6

L'IPA richiede a un operatore WiFi condiviso di conservare i log per 12 mesi?

No, non per impostazione predefinita. La definizione di operatore di telecomunicazioni dell'IPA è ampia. Il codice degli avvisi del governo del 2025 afferma che essa può includere una persona che fornisce a ospiti o membri del pubblico l'accesso a servizi di comunicazione accessori a un altro servizio, inclusi locali commerciali come gli hotel. Ciò rende la questione rilevante per un operatore di MDU, co-working o WiFi gestito.8 9

Ma lo stesso codice è chiaro sul fatto che la posizione predefinita è nessun obbligo di conservazione ai sensi della legge fino a quando non viene emesso un avviso di conservazione dei dati. Ai sensi dell'articolo 87 dell'IPA, il Segretario di Stato può emettere un avviso solo laddove il requisito sia necessario e proporzionato e un Commissario Giudiziario lo abbia approvato. L'avviso deve identificare l'operatore, i dati e il periodo. Non può richiedere la conservazione per più di 12 mesi. Non creare una policy generica di "conservazione di tutto per 12 mesi" semplicemente perché il servizio potrebbe soddisfare un'ampia definizione di operatore di telecomunicazioni.7 9

Laddove un avviso valido crei un obbligo legale, l'Articolo 6(1)(c) può fornire la base giuridica del UK GDPR per il trattamento necessario alla conformità. Questa non è una base contrattuale. L'ICO afferma che è necessario identificare la disposizione legale specifica, documentare la decisione e spiegare la finalità e la base giuridica nelle informazioni sulla privacy. L'avviso non autorizza l'uso di marketing secondario o la raccolta illimitata.3

Cosa deve contenere un accordo con l'inquilino ai sensi dell'Articolo 28?

Se si trattano i dati dei dipendenti dell'inquilino solo in base alle istruzioni documentate dell'inquilino, deve essere in vigore un accordo sul trattamento dei dati ai sensi dell'Articolo 28 prima dell'inizio di tale trattamento. L'accordo deve descrivere l'oggetto e la durata, la natura e la finalità, i tipi di dati, le categorie di interessati, nonché i diritti e gli obblighi del titolare del trattamento. Deve quindi contenere gli impegni operativi indicati di seguito.5

Non utilizzare un accordo ex Articolo 28 per nascondere un accordo di contitolarità del trattamento. Se l'operatore e l'utente decidono congiuntamente perché verranno utilizzati i dati analitici dei dipendenti, quali campi raccogliere e per quanto tempo rimarranno disponibili, valutare invece l'Articolo 26.4

Come gestire una richiesta di cancellazione?

La cancellazione ai sensi dell'Articolo 17 non è una funzione di eliminazione con un solo clic. Iniziare con una verifica dell'identità proporzionata. Successivamente, cercare i dati per finalità e ruolo: accesso ospiti, marketing, sicurezza, istruzioni dell'utente e qualsiasi conservazione specifica indicata nell'informativa. L'ICO afferma che occorre rispondere senza ingiustificato ritardo e, al più tardi, entro un mese. Laddove i dati non siano più necessari o il consenso sia stato revocato, cancellarli dai registri attivi e notificare i destinatari pertinenti, se richiesto.2

Laddove si applichi un obbligo di legge, o i dati siano necessari per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria, il diritto alla cancellazione non si applica in tale misura. Spiegare chiaramente il motivo limitato. Mantenere i dati conservati segregati, impedirne l'uso non correlato e applicare la data di scadenza pertinente. I backup richiedono una risposta esplicita: la cancellazione dovrebbe riguardare anche i backup, laddove possibile. Se una sovrascrittura immediata è impossibile, rendere inutilizzabile il record di backup e comunicare il programma di sovrascrittura.2

Un flusso di lavoro di cancellazione dovrebbe separare i dati da eliminare dai registri limitati conservati in base a un'eccezione documentata.

Come funziona nei luoghi reali?

Scenario Hospitality: un hotel con accesso ospiti e accesso per il personale dell'utente

Un hotel di 200 camere gestisce un servizio WiFi ospiti per i visitatori e fornisce un SSID WiFi per il personale al proprio utente del ristorante. L'hotel redige due registri delle attività di trattamento separati. Agisce in qualità di titolare del trattamento per l'autenticazione degli ospiti, i dati di connessione a 90 giorni e le indagini di sicurezza. Il ristorante decide la popolazione dei dipendenti, le condizioni di accesso e la conservazione per il proprio SSID del personale, pertanto l'hotel applica i termini dell'Articolo 28 a tale trattamento. Il controllo misurabile è un report mensile che mostra che ogni sessione ospite più vecchia di 90 giorni è stata eliminata, mentre qualsiasi eccezione presenta un riferimento all'incidente o all'informativa.

Scenario Retail: una destinazione di shopping su un unico indirizzo pubblico

Una destinazione retail utilizza un unico indirizzo di uscita pubblico per diverse unità. Il suo LIA di sicurezza registra il motivo per cui le accuse di abuso tardive potrebbero richiedere l'attribuzione a una connessione specifica. Stabilisce una pianificazione delle prove di sicurezza di 365 giorni, ma conserva le tracce di localizzazione identificabili grezze per 30 giorni prima dell'aggregazione. Il controllo misurabile è una revisione trimestrale del LIA unita a un test che verifichi che un analista della sicurezza possa ricostruire un incidente consentito senza accedere ai dati di localizzazione grezzi scaduti.

Scenario degli eventi: una sede congressuale con segmenti di pubblico di proprietà degli sponsor

Un centro congressi fornisce l'accesso ai partecipanti mentre gli sponsor raccolgono i consensi (opt-in) tramite percorsi con brand separati. La struttura rimane titolare del trattamento per i dati di servizio e sicurezza. Ciascun sponsor controlla le proprie finalità di marketing e deve ricevere solo i consensi che ha il diritto di utilizzare. Il controllo misurabile è un test pre-evento che dimostra che la revoca del consenso su un percorso di uno sponsor interrompe le comunicazioni di quello sponsor senza eliminare le prove di sicurezza strettamente conservate dalla struttura.

Cosa dovresti fare ora?

Inizia con un workshop sulla conservazione di 60 minuti, non con un modello di policy. Coinvolgi il tuo DPO, l'architetto di rete, il responsabile delle operazioni della struttura e ogni rappresentante pertinente dei locatari. Costruisci una tabella dei campi che provengono da splash page, DHCP, RADIUS, firewall, DNS e componenti di analytics. Per ogni campo, decidi la finalità, il ruolo di titolare o responsabile del trattamento, la base giuridica, il timer di conservazione, l'azione di eliminazione, il proprietario dell'audit e il processo di conservazione legale.

Quindi configura il sistema per svolgere il lavoro. Purple fornisce periodi di conservazione configurabili, pianificazioni di eliminazione automatizzate, strumenti per le richieste di accesso e flussi di lavoro di cancellazione che supportano questo modello operativo. Mantieni il tuo ambiente Guest WiFi distinto da qualsiasi finalità di Staff WiFi dei locatari. Dove utilizzi WiFi Analytics, effettua l'aggregazione o la de-identificazione prima della scadenza della finestra di conservazione dei dati identificabili. Un overlay cloud dovrebbe semplificare l'applicazione coerente della policy in un patrimonio distribuito, non estendere la durata dei record per impostazione predefinita.

Per i controlli correlati, confronta il design della conservazione dei dati con Hardening RADIUS against MD5 collision attacks (BlastRADIUS), Privacy by design: anonymising WiFi data for GDPR compliance e MDU WiFi tenant session tracking and abuse attribution. Per un contesto più ampio, consulta The definitive timeline of WiFi: from ALOHAnet to WiFi 7 and beyond, Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026 e Purple appoints Imani Butler as Growth Director, North America.

Domande frequenti

Per quanto tempo posso conservare i dati di login del WiFi ospiti ai sensi del GDPR?

Conservali solo per il tempo in cui l'accesso, la contestazione, la sicurezza o altri scopi dichiarati rimangono necessari. Un punto di partenza pratico per l'autenticazione di solo accesso è la fine della sessione più un breve periodo di contestazione documentato, come ad esempio 30 giorni. Si tratta di una scelta di policy, non di una regola del GDPR. Registra lo scopo, la base giuridica e l'evento di cancellazione, quindi testa l'epurazione dei dati.

L'Investigatory Powers Act del Regno Unito richiede 12 mesi di registrazioni delle connessioni WiFi?

No. L'IPA non crea un obbligo automatico di 12 mesi per ogni operatore di reti WiFi condivise. Un obbligo di conservazione inizia solo quando viene notificato un avviso di conservazione dei dati applicabile. L'avviso definisce i dati di comunicazione pertinenti e il periodo di conservazione, che non può superare i 12 mesi. Se ne ricevi uno, richiedi immediatamente una consulenza specialistica.7 9

Sono titolare o responsabile del trattamento per i dipendenti di un tenant su un WiFi aziendale?

Dipende dall'attività di trattamento. Se il tenant decide la popolazione dei dipendenti, lo scopo, l'informativa, la gestione dei diritti e la conservazione mentre tu gestisci il servizio in base a istruzioni documentate, probabilmente sei il responsabile del trattamento per tale attività. Se prendi queste decisioni per scopi tuoi, sei il titolare del trattamento. Se entrambe le parti decidono insieme gli scopi e i mezzi essenziali, valuta la contitolarità del trattamento.4

Qual è il periodo di conservazione corretto per i log degli indirizzi IP su una rete WiFi condivisa?

Non esiste un periodo prescritto dal UK GDPR. Stabilisci un periodo proporzionato legato alle esigenze dichiarate di sicurezza e risoluzione dei problemi. Questa guida utilizza 90 giorni come impostazione predefinita suggerita per i metadati di connessione. Estendilo a 365 giorni solo se un LIA documentato supporta un'esigenza reale di attribuzione di indirizzi condivisi o di gestione di reclami, applicando la minimizzazione dei campi e controlli di accesso.1 6

Cosa devo fare con una richiesta di cancellazione se ho l'obbligo legale di conservare i dati di traffico?

Cancella i dati che non sono più necessari, ma conserva solo i dati strettamente necessari e per il periodo richiesto dall'obbligo legale. Rispondi entro un mese, spiega l'esenzione applicabile e impedisci che i dati conservati vengano utilizzati per scopi non correlati. Applica la stessa decisione ai backup eliminandoli o rendendoli inutilizzabili fino alla sovrascrittura pianificata.2 3

Ho bisogno di un DPA con ogni organizzazione tenant?

Hai bisogno di un accordo sul trattamento dei dati ai sensi dell'Articolo 28 ogni volta che tratti i dati dei dipendenti di un tenant in base alle istruzioni documentate di quest'ultimo. Non ne hai bisogno solo perché condividi un edificio. Se entrambe le parti determinano insieme le finalità e i mezzi essenziali, potrebbe essere invece necessario un accordo di contitolarità ai sensi dell'Articolo 26.4 5

Posso conservare la cronologia di marketing fino a quando un ospite non revoca il consenso?

No. Il consenso attivo non elimina l'obbligo di limitazione della conservazione. Stabilisci e documenta un periodo di revisione per la cronologia di marketing, ad esempio una verifica ogni 24 mesi, ed elimina o de-identifica i dati che non servono più allo scopo dichiarato. In caso di revoca o opposizione, interrompi il marketing e conserva solo i dati minimi di esclusione necessari per rispettare la scelta.1 2

References