Retenção de dados GDPR para operadores de WiFi compartilhado: por quanto tempo você pode manter dados de login de convidados e logs de rede

Sob o UK GDPR, mantenha os dados de login de WiFi de convidados identificáveis e os logs de rede apenas para a finalidade documentada e não por mais tempo. A maioria dos logs de segurança operacional pode justificar um período curto e testado, não uma regra universal. Um período de 12 meses do IPA aplica-se apenas onde um aviso de retenção de dados aplicável exige que dados específicos sejam mantidos.1 7 9

O que é uma política defensável de retenção de dados de WiFi?

Uma política defensável vincula cada categoria de dados a uma finalidade, uma parte responsável, uma base legal, um período de retenção e um evento de exclusão. Essa é a expressão operacional do Artigo 5(1)(e): os dados pessoais não devem permanecer identificáveis por mais tempo do que o necessário. O ICO não prescreve períodos fixos. Você deve justificar o período, documentá-lo, revisá-lo e apagar ou anonimizar os dados quando eles não forem mais necessários.1

Nota jurídica. Este é um guia de conformidade técnica, não um conselho jurídico formal. Peça a um consultor qualificado para validar seu modelo de propriedade, contratos de inquilinos e qualquer aviso do IPA antes de confiar em um cronograma de retenção.

Por que o WiFi compartilhado é um problema de conformidade diferente?

O Multi-Tenant WiFi cria camadas que uma rede de convidados de site único não possui. Você pode operar uma camada de acesso compartilhado para residentes, membros, convidados e visitantes, enquanto fornece um serviço de WiFi para funcionários a um empregador inquilino. Para suas próprias finalidades, como segurança de rede, garantia de serviço e gerenciamento de disputas de faturamento, você pode ser um controlador. Para a autenticação de funcionários processada apenas sob as instruções documentadas do inquilino, você pode ser um operador. O rótulo em um contrato comercial não decide a questão.

O ICO afirma que a função segue a atividade de processamento específica. A parte que decide por que os dados são coletados, a base legal, as categorias de dados, os destinatários, as informações de privacidade, o tratamento de direitos ou a retenção é provavelmente o controlador. Um operador pode escolher métodos técnicos, controles de segurança e mecanismos de exclusão sem se tornar controlador, desde que não tome as decisões mais amplas. O mesmo conjunto de dados pode, portanto, ser separado por finalidade e função. Se ambas as partes determinarem conjuntamente as finalidades e os meios, use um acordo de co-controlador do Artigo 26 em vez de tratar a relação como um simples serviço de operador.4

Esta análise é particularmente importante para propriedades de Hospitality, Retail, Healthcare e Transport, onde uma rede compartilhada pode atender a várias empresas independentes no mesmo edifício.

Como você deve classificar as 5 categorias de dados de WiFi?

Metadados de conexão incluem o endereço IP atribuído, endereço MAC de origem, horários de início e término da sessão, bytes transferidos, registros de concessão DHCP e contabilidade RADIUS. Em um serviço de login nominal, esses campos geralmente serão dados pessoais porque podem ser vinculados a um indivíduo. Mantenha os campos necessários para a finalidade definida de segurança e solução de problemas. Uma janela operacional sugerida de 30 a 90 dias é uma política inicial, não um porto seguro estatutário. O tempo de detecção de incidentes, o modelo de ameaças e a capacidade de investigação devem determinar o período aprovado.1 6

Dados de autenticação de convidados incluem endereço de e-mail, nome, número de telefone e identificador de autenticação. Se você coletar esses dados apenas para admitir uma pessoa no Guest WiFi, a finalidade de acesso termina com a sessão. Retenha um histórico curto e documentado de disputas ou fraudes apenas onde for possível justificar. Se você também coletar um consentimento explícito de marketing, separe o registro de marketing dos dados de acesso. O consentimento pode ser retirado, enquanto o marketing eletrônico também possui regras próprias. Em caso de retirada ou objeção, interrompa o marketing e retenha apenas as informações mínimas de supressão necessárias para respeitar a escolha.2 6

Dados de localização e presença exigem uma distinção rígida entre rastros brutos identificáveis e resultados agregados. Um token não é anônimo se for possível vinculá-lo novamente a um login. O ICO afirma que dados pseudonimizados geralmente continuarão sendo dados pessoais, enquanto dados que não permitem mais a identificação podem ser retidos fora da regra de limitação de armazenamento. Um período de rastreamento bruto de 30 dias seguido por uma agregação irreversível é um padrão de política sensato onde há necessidade de análise operacional de curto prazo. Documente o método de agregação e teste se a reidentificação continua sendo possível.1Histórico de comunicações de marketing inclui envios, aberturas, cliques e alterações de preferência. Não herda o timer do registro de segurança. Retenha-o apenas para fins de marketing declarados, com base na base legal aplicável, e com uma data de revisão documentada. O ponto de revisão de 24 meses abaixo é um limite operacional sugerido, não um prazo regulatório. Nunca retenha um perfil de engajamento apenas porque a pessoa não retirou o consentimento. Se o consentimento for retirado, apague ou desidentifique o histórico de marketing, a menos que uma necessidade documentada separada se aplique. Um registro de supressão de opt-out é diferente: ele evita o envio de novas mensagens.2 6

Registros de abuso e segurança podem incluir negações de firewall, eventos de segurança de DNS e bilhetagem RADIUS. A segurança da rede e das informações pode fundamentar interesses legítimos, mas não faz isso de forma automática. Conclua os testes de finalidade, necessidade e balanceamento antes de iniciar o período de retenção. Um cronograma de 365 dias pode ser justificável onde um endereço IP público compartilhado significa que você precisa de evidências de atribuição para lidar com incidentes tardios, reivindicações ou intimações judiciais. Não é um piso do GDPR. Reduza campos, restrinja o acesso, registre pesquisas e revise a avaliação de interesses legítimos sempre que a arquitetura ou o risco mudarem.1 6

Fluxo de decisão: determine a identificabilidade, o papel, a base legal e qualquer aviso estatutário antes de definir a regra de exclusão automática.

Qual cronograma de retenção você pode adotar?

O cronograma abaixo é uma linha de base pronta para ser adaptada para uma rede de WiFi compartilhado. Ele é deliberadamente dividido por finalidade. Adote-o apenas após o controlador documentar a finalidade, a base legal e a avaliação de risco da rede. Uma notificação legal ou reivindicação ativa pode anular uma data de exclusão normal, mas apenas para os registros específicos e pela duração que a exceção justifica.1 7 9

O período de conexão de 90 dias e o período de abuso de 365 dias são escolhas de política, não números obrigatórios. Eles são úteis apenas quando sua LIA por escrito, aviso de privacidade, evidência de sistemas e design de exclusão automatizada coincidem. Uma autoridade pública também deve verificar se está realizando uma tarefa pública, pois não pode contar com interesses legítimos para essa tarefa.6

A IPA exige que um operador de WiFi compartilhado retenha registros por 12 meses?

Não, não por padrão. A definição de operador de telecomunicações da IPA é ampla. O código de avisos de 2025 do governo diz que isso pode incluir uma pessoa que fornece a convidados ou membros do público acesso a serviços de comunicação que são complementares a outro serviço, incluindo instalações comerciais, como hotéis. Isso torna a questão relevante para um operador de MDU, co-working ou WiFi gerenciado.8 9

Mas o mesmo código é claro de que a posição padrão é nenhum dever de retenção sob a Lei até que um aviso de retenção de dados seja emitido. Sob a seção 87 da IPA, o Secretário de Estado pode emitir um aviso apenas onde a exigência for necessária e proporcional e um Comissário Judicial o tiver aprovado. O aviso deve identificar o operador, os dados e o período. Ele não pode exigir a retenção por mais de 12 meses. Não crie uma política genérica de "manter tudo por 12 meses" meramente porque o serviço pode satisfazer uma definição ampla de operador de telecomunicações.7 9

Onde um aviso válido cria uma obrigação legal, o Artigo 6(1)(c) pode fornecer a base jurídica do UK GDPR para o processamento necessário para conformidade. Essa não é uma base contratual. O ICO diz que você deve identificar a disposição legal específica, documentar a decisão e explicar a finalidade e a base jurídica nas informações de privacidade. O aviso não autoriza o uso de marketing secundário ou a coleta ilimitada.3

O que deve conter um contrato de inquilino do Artigo 28?

Se você processa dados de funcionários de inquilinos apenas sob as instruções documentadas do inquilino, um contrato de processamento de dados do Artigo 28 deve estar em vigor antes que o processamento comece. O contrato deve descrever o assunto e a duração, a natureza e a finalidade, os tipos de dados, as categorias de titulares dos dados e as obrigações e direitos do controlador. Ele deve então conter os compromissos operacionais abaixo.5

Não use um contrato do Artigo 28 para ocultar um arranjo de controladores conjuntos. Se o operador e o cliente decidirem conjuntamente por que a análise de funcionários será usada, quais campos serão coletados e por quanto tempo eles permanecerão disponíveis, avalie o Artigo 26 em vez disso.4

Como você deve lidar com uma solicitação de exclusão?

A exclusão do Artigo 17 não é uma função de exclusão em um clique. Comece com uma verificação de identidade proporcional. Em seguida, consulte os dados por finalidade e função: acesso de convidados, marketing, segurança, instrução do cliente e qualquer retenção específica de aviso. O ICO afirma que você deve responder sem atrasos indevidos e, no máximo, em até um mês. Quando os dados não forem mais necessários ou o consentimento tiver sido retirado, exclua-os dos registros ativos e notifique os destinatários relevantes quando necessário.2

Sempre que se aplicar uma obrigação legal, ou quando os dados forem necessários para a declaração, o exercício ou a defesa de direitos em processos judiciais, o direito à exclusão não se aplica a essa extensão. Explique claramente o motivo limitado. Mantenha os dados retidos segregados, impeça o uso não relacionado e aplique a data de término relevante. Os backups precisam de uma resposta explícita: a exclusão também deve abranger os backups sempre que viável. Se uma substituição imediata for impossível, coloque o registro de backup fora de uso e divulgue o cronograma de substituição.2

Um fluxo de trabalho de exclusão deve separar os dados a serem excluídos dos registros restritos retidos sob uma exceção documentada.

Como isso funciona em locais reais?

Cenário de hospitalidade: um hotel com acesso de convidados e acesso de funcionários de clientes

Um hotel de 200 quartos opera Guest WiFi para visitantes e fornece um SSID Staff WiFi para o restaurante parceiro que aluga o espaço. O hotel preenche dois registros de processamento separados. Ele atua como controlador para a autenticação de convidados, dados de conexão de 90 dias e investigações de segurança. O restaurante decide a população de funcionários, as condições de acesso e a retenção para o seu SSID de funcionários, de modo que o hotel aplica os termos do Artigo 28 a esse processamento. O controle mensurável é um relatório mensal mostrando que todas as sessões de convidados com mais de 90 dias foram eliminadas, enquanto qualquer exceção possui uma referência de incidente ou aviso.

Cenário de varejo: um destino de compras em um único endereço público

Um destino de varejo utiliza um único endereço de saída público em várias unidades. Seu LIA de segurança registra por que alegações de abuso tardias podem exigir atribuição a uma conexão específica. Ele define um cronograma de evidência de segurança de 365 dias, mas mantém registros de localização identificáveis brutos por 30 dias antes da agregação. O controle mensurável é uma revisão trimestral do LIA somada a um teste de que um analista de segurança pode reconstruir um incidente permitido sem acessar dados brutos de localização expirados.

Cenário de eventos: um local de conferência com públicos de propriedade dos patrocinadores

Um centro de conferências oferece acesso aos participantes enquanto os patrocinadores coletam opt-ins por meio de jornadas com marcas separadas. O local permanece como controlador dos dados de serviço e segurança. Cada patrocinador controla sua própria finalidade de marketing e deve receber apenas os opt-ins que tem o direito de usar. O controle mensurável é um teste pré-evento que comprova que a recusa em uma jornada de patrocinador suprime as comunicações daquele patrocinador sem excluir as evidências de segurança estritamente retidas do local.

O que você deve fazer a seguir?

Comece com um workshop de retenção de 60 minutos, não com um modelo de política. Reúna seu DPO, arquiteto de rede, líder de operações do local e cada representante de inquilino relevante. Construa uma tabela de campos fluindo da splash page, DHCP, RADIUS, firewall, DNS e componentes de análise. Para cada campo, decida a finalidade, a função de controlador ou operador, a base legal, o temporizador de retenção, a ação de exclusão, o proprietário da auditoria e o processo de retenção legal.

Depois, configure o sistema para fazer o trabalho. O Purple fornece períodos de retenção configuráveis, cronogramas de limpeza automatizados, ferramentas de solicitação de acesso e fluxos de trabalho de exclusão que apoiam este modelo operacional. Mantenha seu ambiente de Guest WiFi distinto de quaisquer finalidades de WiFi de funcionários de inquilinos. Onde você usar WiFi Analytics, agregue ou desidentifique antes que a janela de retenção identificável termine. Uma sobreposição de nuvem deve facilitar a aplicação consistente de políticas em uma propriedade distribuída, e não estender o tempo de vida dos registros por padrão.

Para controles relacionados, compare o design de retenção de dados com Hardening RADIUS against MD5 collision attacks (BlastRADIUS), Privacy by design: anonymising WiFi data for GDPR compliance e MDU WiFi tenant session tracking and abuse attribution. Para um contexto mais amplo, consulte The definitive timeline of WiFi: from ALOHAnet to WiFi 7 and beyond, Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026 e Purple appoints Imani Butler as Growth Director, North America.

``` Oscar="none"></audio`

Perguntas frequentes

Por quanto tempo posso reter dados de login de WiFi de visitantes sob a GDPR?

Mantenha-os apenas enquanto o acesso, disputa, segurança ou outra finalidade declarada permanecerem necessários. Um ponto de partida prático para a autenticação apenas de acesso é o fim da sessão mais um curto período de disputa documentado, como 30 dias. Essa é uma escolha de política, não uma regra da GDPR. Registre a finalidade, a base legal e o evento de exclusão, depois teste a eliminação.

O UK Investigatory Powers Act exige 12 meses de registros de conexão WiFi?

Não. O IPA não cria uma obrigação automática de 12 meses para todo operador de WiFi compartilhado. O dever de retenção começa apenas quando uma notificação de retenção de dados aplicável é enviada. A notificação define os dados de comunicações relevantes e o período de retenção, que não pode exceder 12 meses. Obtenha orientação especializada imediatamente caso receba uma.7 9

Sou controlador ou operador para os funcionários de um inquilino no WiFi da equipe?

Depende da atividade de processamento. Se o inquilino decide a população de funcionários, a finalidade, a notificação, o gerenciamento de direitos e a retenção enquanto você opera o serviço sob instruções documentadas, você provavelmente é o operador dessa atividade. Se você toma essas decisões para sua própria finalidade, você é o controlador. Nos casos em que ambas as partes decidem conjuntamente as finalidades e os meios essenciais, avalie o controle conjunto.4

Qual é o período de retenção correto para logs de endereço IP em uma rede WiFi compartilhada?

Não há um período prescrito pela UK GDPR. Defina um período proporcional associado à necessidade declarada de segurança e resolução de problemas. Este guia sugere 90 dias como padrão para metadados de conexão. Estenda para 365 dias apenas onde uma LIA documentada apoie uma necessidade real de atribuição de endereço compartilhado ou reivindicações, com minimização de campos e controles de acesso.1 6

O que devo fazer com uma solicitação de exclusão de dados quando tenho o dever legal de reter dados de tráfego?

Exclua os registros que não são mais necessários, mas retenha apenas os dados estritos e o período exigido pela obrigação legal. Responda em até um mês, explique a isenção aplicável e evite que os dados retidos sejam usados para finalidades não relacionadas. Aplique a mesma decisão aos backups, excluindo-os ou deixando-os fora de uso até a substituição programada.2 3

Preciso de um DPA com cada organização inquilina?

Você precisa de um acordo de processamento de dados do Artigo 28 sempre que processar dados de funcionários de um inquilino sob as instruções documentadas desse inquilino. Você não precisa de um apenas por compartilhar um edifício. Se ambas as partes determinarem os objetivos e os meios essenciais juntas, um acordo de controladores conjuntos do Artigo 26 poderá ser exigido.4 5

Posso manter o histórico de marketing até que um visitante retire o consentimento?

Não. O consentimento ativo não elimina a obrigação de limitação de armazenamento. Defina e documente um período de revisão para o histórico de marketing, como uma revisão de 24 meses, e remova ou descaracterize os dados que não servem mais à finalidade declarada. Em caso de retirada ou objeção, interrompa o marketing e retenha apenas os dados mínimos de supressão necessários para respeitar a escolha.1 2

Referências