GDPR and WiFi: A Compliance Guide for Businesses

GDPR E WI-FI: UM GUIA DE COMPLEMENTO E CONFORMIDADE PARA EMPRESAS Um Briefing de Inteligência da Purple — aproximadamente 10 minutos [INTRODUÇÃO E CONTEXTO — 1 minuto] Boas-vindas ao Briefing de Inteligência da Purple. Eu sou o seu anfitrião e, hoje, vamos direto ao ponto sobre um dos desafios de conformidade mais incompreendidos que os operadores de locais e equipes de TI enfrentam atualmente: GDPR e WiFi. Se você gerencia WiFi para convidados em uma rede de hotéis, de varejo, em um estádio ou em um prédio do setor público — você está coletando dados pessoais. Ponto final. E quer você perceba ou não, essa coleta está sujeita ao Regulamento Geral de Proteção de Dados (GDPR). O ICO tem estado cada vez mais ativo nesse espaço, e as consequências de cometer erros variam de avisos de fiscalização a multas de até quatro por cento do faturamento anual global. Mas a questão é a seguinte: a conformidade com o GDPR para WiFi não é tão complicada quanto as equipes jurídicas às vezes fazem parecer. Tudo se resume a quatro perguntas fundamentais: Quais dados você está coletando? Sob qual base legal? Por quanto tempo você os mantém? E quem é o responsável? Responda a essas quatro perguntas corretamente e você estará no caminho certo. Vamos começar. [APROFUNDAMENTO TÉCNICO — 5 minutos] Então, vamos começar com quais dados uma implantação típica de WiFi para convidados realmente coleta. Quando um convidado se conecta à sua rede por meio de um Captive Portal — que é a página de login que ele vê antes de obter acesso à internet — você está potencialmente capturando um endereço MAC, um endereço IP, um registro de data/hora de conexão, a duração da sessão e, se você tiver integrado um fluxo de registro, um endereço de e-mail, um nome e preferências de marketing. Agora, endereços MAC e endereços IP são classificados como dados pessoais sob o GDPR porque podem ser usados para identificar um indivíduo. Isso surpreende muitos arquitetos de rede. Eles pensam neles como identificadores técnicos, não como dados pessoais. Mas o regulamento é claro: se puder ser usado, direta ou indiretamente, para identificar uma pessoa física, são dados pessoais. Portanto, seus logs de rede estão no escopo a partir do momento em que um dispositivo se conecta. A próxima pergunta é sobre a base legal. De acordo com o Artigo 6 do GDPR, você precisa de uma das seis bases legais para processar dados pessoais. Para WiFi de convidados, as duas que mais importam são o consentimento e os interesses legítimos. O consentimento é a opção mais clara quando você está coletando endereços de e-mail para fins de marketing. Sob o GDPR, o consentimento deve ser livre, específico, informado e inequívoco. Isso significa que não deve haver caixas de seleção previamente marcadas. Nada de agrupar o consentimento de marketing nos termos e condições. O convidado deve optar ativamente (opt-in), e você deve ser capaz de demonstrar que ele o fez — com um registro de data/hora e um histórico do que ele consentiu naquele momento.Legítimo interesse é a base que a maioria dos operadores utiliza para os dados subjacentes de conexão de rede — itens como endereços MAC e logs de sessão. O argumento é que operar uma rede segura e funcional é um legítimo interesse do negócio, e esse interesse não se sobrepõe aos direitos de privacidade do indivíduo. Mas — e isso é importante — você ainda precisa realizar e documentar uma Avaliação de Legítimo Interesse, ou LIA. Você não pode simplesmente alegar legítimo interesse e seguir em frente. O ICO espera ver o teste em três partes: finalidade, necessidade e balanceamento. Agora vamos falar sobre o design da splash page, porque é aqui que a maioria das organizações comete erros. A splash page é a sua interface principal de consentimento, e ela precisa fazer várias coisas simultaneamente. Ela precisa identificar quem está coletando os dados — que é o nome da sua organização. Ela precisa explicar quais dados estão sendo coletados e por quê. Ela precisa apresentar qualquer opção de adesão de marketing como uma caixa de seleção separada e desmarcada. E ela precisa ter um link para um aviso de privacidade completo que cubra os direitos do titular dos dados. O que ela não deve fazer é condicionar o acesso à rede ao consentimento de marketing. Se você bloquear o WiFi atrás de um cadastro de e-mail onde a única maneira de se conectar é concordando em receber e-mails de marketing, esse consentimento não é dado livremente sob o GDPR. O ICO tem sido explícito sobre isso. Você pode oferecer um incentivo para o fornecimento de um endereço de e-mail — um ponto de fidelidade, um cupom de desconto — mas o acesso básico à rede deve estar disponível de qualquer maneira. Passando para a retenção de dados. O Artigo 5(1)(e) do GDPR estabelece o princípio da limitação de armazenamento: os dados pessoais não devem ser mantidos por mais tempo do que o necessário para a finalidade para a qual foram coletados. Para o WiFi de convidados, isso significa que você precisa de um cronograma de retenção documentado. Os logs de segurança de rede — itens como endereços MAC e carimbos de data/hora de sessão — são normalmente retidos por 90 dias para fins de segurança e investigação de fraudes. Essa é uma posição defensável. Os endereços de e-mail coletados para marketing podem ser retidos por mais tempo, mas você precisa definir esse período, comunicá-lo em seu aviso de privacidade e aplicá-lo tecnicamente — não apenas como uma política no papel. É aqui que a stack de tecnologia importa. Uma plataforma como a solução de WiFi para convidados da Purple automatiza a aplicação da retenção. Você configura uma janela de retenção e o sistema elimina os registros de forma automática. Essa é a diferença entre uma política de conformidade e um programa de conformidade. A política diz o que você fará. O programa prova que você fez. Vamos falar sobre Acordos de Processamento de Dados, ou DPAs. Se você usa uma plataforma de terceiros para gerenciar o seu WiFi de visitantes — o que é o caso da maioria das organizações —, essa plataforma está agindo como processadora de dados em seu nome. Sob o Artigo 28 do GDPR, você deve ter um Acordo de Processamento de Dados por escrito com esse processador. O DPA deve especificar quais dados estão sendo processados, com qual finalidade, sob quais instruções e quais medidas de segurança o processador tem adotadas. Se você usa uma plataforma de analytics de WiFi baseada em nuvem e não tem um DPA assinado, você está em não conformidade. É simples assim. Para organizações que operam em múltiplos estados-membros da UE ou que atendem a residentes da UE a partir de uma base no Reino Unido pós-Brexit, você também precisa considerar o GDPR do Reino Unido — que é essencialmente o GDPR da UE mantido na lei do Reino Unido — e se há transferências internacionais de dados envolvidas. Se a sua plataforma de WiFi armazena dados em servidores fora do Reino Unido ou do EEE, você precisa de um mecanismo de transferência adequado: seja uma decisão de adequação, cláusulas contratuais padrão ou regras corporativas vinculativas. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS — 2 minutos] Certo, vamos à prática. Aqui estão as quatro etapas de implementação que eu recomendaria para qualquer equipe de TI ou operador de local que esteja iniciando este processo. Primeiro: realize um mapeamento de dados. Antes de mexer na sua página de captura ou no seu aviso de privacidade, mapeie cada dado que a sua implantação de WiFi coleta, para onde ele vai, quem tem acesso a ele e por quanto tempo é mantido. Este é o seu Registro de Atividades de Processamento sob o Artigo 30, e é a base de tudo o mais. Segundo: audite a sua página de captura em relação aos requisitos de consentimento. Verifique se há caixas pré-marcadas. Verifique se o consentimento de marketing é separado do aceite dos termos. Verifique se o link do seu aviso de privacidade está visível e funcional. Se você estiver usando uma plataforma como a Purple, as ferramentas de gerenciamento de consentimento já vêm integradas — mas você ainda precisa configurá-las corretamente e revisar o texto. Terceiro: formalize os seus DPAs. Entre em contato com todos os fornecedores terceiros que tocam nos seus dados de WiFi — o seu provedor de plataforma, a sua ferramenta de analytics, o seu CRM — e confirme se há um DPA assinado. Se não houver, providencie um antes de prosseguir. Quarto: implemente controles técnicos de retenção. Não dependa de processos manuais para excluir dados antigos. Configure a exclusão automatizada na sua plataforma e documente a configuração como evidência de conformidade. A armadilha mais comum que vejo são as organizações tratarem o GDPR como um projeto pontual em vez de um programa contínuo. Você faz a auditoria, atualiza a página de captura, arquiva o DPA e, dois anos depois, a plataforma foi atualizada, o texto da página de captura foi alterado pela equipe de marketing e ninguém revisou as configurações de retenção. A conformidade com o GDPR exige um ciclo de revisão periódica — no mínimo anualmente, e sempre que houver uma alteração significativa nas suas atividades de processamento de dados. [PERGUNTAS E RESPOSTAS RÁPIDAS — 1 minuto] Algumas perguntas que me fazem regularmente. "Precisamos de um DPO?" — Se você for uma autoridade pública ou se suas atividades principais envolverem monitoramento sistemático de indivíduos em grande escala — o que uma implantação de grande porte de WiFi de visitantes poderia qualificar — então sim, você precisa de um Encarregado de Proteção de Dados (DPO) designado. Para implantações menores, é uma prática recomendada, mesmo que não seja estritamente obrigatória. "Podemos usar endereços MAC para análise de fluxo de pessoas?" — Sim, mas apenas se você estiver usando dados anonimizados ou agregados. Se você estiver rastreando endereços MAC individuais em diferentes sessões para criar perfis de movimento, isso é considerado processamento de dados pessoais e você precisa de uma base legal e de uma declaração de aviso de privacidade. "E quanto às crianças?" — Se o seu estabelecimento puder ser acessado por crianças menores de 13 anos, você precisa considerar o Children's Code do ICO. Isso significa que não deve haver criação de perfil comportamental de crianças e os avisos de privacidade devem ser adequados para a idade. [RESUMO E PRÓXIMOS PASSOS — 1 minuto] Para concluir: a conformidade com o GDPR e WiFi é totalmente alcançável. O regulamento não foi criado para impedir que você ofereça um serviço de WiFi de visitantes ou colete dados para melhorar suas operações. Ele foi projetado para garantir que, quando você coletar dados, faça-o de forma transparente, com uma base legal válida, com segurança apropriada e respeitando os direitos dos indivíduos. Os quatro pontos principais a serem retidos deste briefing são: estabeleça sua base legal e documente-a; projete sua splash page para um consentimento genuíno; assine seus DPAs; e aplique a retenção de forma técnica, não apenas no papel. Se você quiser se aprofundar em qualquer uma dessas áreas, a Purple possui um conjunto completo de guias de implementação sobre coleta de dados primários (first-party) por meio de WiFi, e a própria plataforma foi desenvolvida para oferecer suporte a implantações em conformidade com o GDPR de forma nativa. Obrigado por ouvir. Até a próxima.