Retenção de dados ao abrigo do GDPR para operadores de WiFi partilhado: quanto tempo pode reter dados de início de sessão de convidados e registos de rede

Ao abrigo do UK GDPR, guarde os dados identificáveis de login de WiFi de convidados e os registos de rede apenas para a finalidade documentada e não por mais tempo. A maioria dos registos de segurança operacional pode justificar um período curto e testado, não uma regra universal. Aplica-se um período de IPA de 12 meses apenas nos casos em que um aviso de retenção de dados aplicável exija a manutenção de dados específicos.1 7 9

O que é uma política defensável de retenção de dados de WiFi?

Uma política defensável associa cada categoria de dados a uma finalidade, uma parte responsável, uma base legal, um período de retenção e um evento de eliminação. Essa é a expressão operacional do Artigo 5(1)(e): os dados pessoais não devem permanecer identificáveis por mais tempo do que o necessário. O ICO não prescreve períodos fixos. Deve justificar o período, documentá-lo, revê-lo e apagar ou anonimizar os dados quando estes já não forem necessários.1

Nota jurídica. Este documento é um guia de conformidade técnica, não um aconselhamento jurídico formal. Solicite a um consultor qualificado que valide o seu modelo de propriedade, os contratos com inquilinos e qualquer aviso de IPA antes de confiar num plano de retenção.

Por que razão o WiFi partilhado é um problema de conformidade diferente?

O Multi-Tenant WiFi cria camadas que uma rede de convidados de local único não possui. Pode operar uma camada de acesso partilhado para residentes, membros, convidados e visitantes, ao mesmo tempo que fornece um serviço de WiFi para funcionários a uma empresa inquilina. Para as suas próprias finalidades, tais como segurança de rede, garantia de serviço e gestão de litígios de faturação, pode ser um responsável pelo tratamento. Para a autenticação de funcionários processada apenas de acordo com as instruções documentadas do inquilino, pode ser um subcontratante. A designação num acordo comercial não decide a questão.

O ICO afirma que a função acompanha a atividade de processamento específica. A parte que decide a razão pela qual os dados são recolhidos, a base legal, as categorias de dados, os destinatários, as informações de privacidade, a gestão de direitos ou a retenção é, provavelmente, o responsável pelo tratamento. Um subcontratante pode escolher métodos técnicos, controlos de segurança e mecanismos de eliminação sem se tornar responsável pelo tratamento, desde que não tome as decisões globais. O mesmo conjunto de dados pode, portanto, ser separado por finalidade e função. Se ambas as partes determinarem conjuntamente as finalidades e os meios, utilize um acordo de cotitularidade ao abrigo do Artigo 26, em vez de tratar a relação como um simples serviço de subcontratação.4

Esta análise é particularmente importante para propriedades de Hotelaria, Retalho, Saúde e Transportes, onde uma rede partilhada pode servir várias empresas independentes no mesmo edifício.

Como deve classificar as 5 categorias de dados de WiFi?

Os metadados de ligação incluem o endereço IP atribuído, o endereço MAC de origem, as horas de início e fim da sessão, os bytes transferidos, os registos de concessão DHCP e a contabilidade RADIUS. Num serviço de início de sessão nominal, estes campos serão normalmente dados pessoais porque podem ser associados a um indivíduo. Conserve os campos necessários para os fins definidos de segurança e resolução de problemas. Uma janela operacional sugerida de 30 a 90 dias é uma política inicial, não um porto seguro estatutário. O seu tempo de deteção de incidentes, o modelo de ameaças e a capacidade de investigação devem determinar o período aprovado.1 6

Os dados de autenticação de convidados incluem o endereço de e-mail, nome, número de telefone e identificador de autenticação. Se os recolher apenas para admitir uma pessoa no Guest WiFi, a finalidade do acesso termina com a sessão. Conserve um histórico curto e documentado de diferendos ou fraudes apenas quando o puder justificar. Se também recolher uma opção de consentimento expresso para marketing, separe o registo de marketing dos dados de acesso. O consentimento pode ser retirado, sendo que o marketing eletrónico também tem as suas próprias regras. Em caso de retirada ou oposição, pare o marketing e conserve apenas a informação mínima de supressão necessária para respeitar a escolha.2 6

Os dados de localização e presença necessitam de uma distinção clara entre rastos brutos identificáveis e resultados agregados. Um token não é anónimo se o puder associar novamente a um início de sessão. O ICO afirma que os dados pseudonimizados continuarão, geralmente, a ser dados pessoais, enquanto os dados que já não permitam a identificação podem ser conservados fora da regra de limitação de armazenamento. Um período de rastreio bruto de 30 dias seguido de uma agregação irreversível é um padrão de política sensato quando necessita de análises operacionais a curto prazo. Documente o método de agregação e teste se a reidentificação continua a ser possível.1O histórico de comunicações de marketing inclui envios, aberturas, cliques e alterações de preferências. Não herde o temporizador de registo de segurança. Retenha-o apenas para o fim de marketing declarado, com base na base legal aplicável e com uma data de revisão documental. O ponto de revisão de 24 meses abaixo é um limite operacional sugerido, não um prazo regulamentar. Nunca retenha um perfil de interação apenas porque a pessoa não retirou o consentimento. Se o consentimento for retirado, elimine ou descaracterize o histórico de marketing, a menos que se aplique uma necessidade separada e documentada. Uma entrada de supressão por autoexclusão é diferente: evita mensagens futuras.2 6

Os registos de abusos e segurança podem incluir negações de firewall, eventos de segurança de DNS e faturação RADIUS. A segurança de redes e de informação pode sustentar interesses legítimos, mas não o faz de forma automática. Conclua os testes de finalidade, necessidade e ponderação antes de iniciar o período de retenção. Um plano de 365 dias pode ser justificável quando um endereço IP público partilhado significa que necessita de provas de atribuição para lidar com incidentes, reclamações ou intimações tardias. Não é um mínimo do GDPR. Reduza os campos, restrinja o acesso, registe as pesquisas e reveja a avaliação de interesses legítimos sempre que a arquitetura ou o risco mudem.1 6

Fluxo de decisão: determine a identificabilidade, a função, a base legal e qualquer notificação legal antes de definir a regra de purga automática.

Que plano de retenção pode adotar?

O plano abaixo é uma base pronta a adaptar para uma rede de WiFi partilhada no Reino Unido. Está deliberadamente dividido por finalidade. Adote-o apenas após o responsável pelo tratamento ter documentado a finalidade, a base legal e a avaliação de risco da rede. Uma notificação da IPA, retenção legal ou reclamação ativa pode anular uma data de purga normal, mas apenas para os registos específicos e pela duração que a exceção justifica.1 7 9

O período de ligação de 90 dias e o período de abuso de 365 dias são opções de política e não valores obrigatórios. Só são úteis quando a sua LIA escrita, o aviso de privacidade, as evidências dos sistemas e o design de eliminação automatizada coincidirem. Uma autoridade pública também deve verificar se está a realizar uma tarefa pública, porque não pode basear-se em interesses legítimos para essa tarefa.6

A IPA exige que um operador de WiFi partilhado retenha registos por 12 meses?

Não, não por defeito. A definição de operador de telecomunicações da IPA é ampla. O código de avisos de 2025 do governo refere que este pode incluir uma pessoa que forneça a convidados ou membros do público acesso a serviços de comunicações que sejam secundários a outro serviço, incluindo instalações comerciais como hotéis. Isto torna a questão relevante para um operador de MDU, co-working ou de WiFi gerido.8 9

Mas o mesmo código é claro ao referir que a posição por defeito é a inexistência de dever de retenção ao abrigo da Lei até que seja emitido um aviso de retenção de dados. Ao abrigo do artigo 87.º da IPA, o Secretário de Estado só pode emitir um aviso quando o requisito for necessário e proporcionado e um Comissário Judicial o tiver aprovado. O aviso deve identificar o operador, os dados e o período. Não pode exigir a retenção por mais de 12 meses. Não crie uma política genérica de "manter tudo por 12 meses" apenas porque o serviço pode satisfazer uma definição ampla de operador de telecomunicações.7 9

Sempre que um aviso válido crie uma obrigação legal, o Artigo 6.º, n.º 1, alínea c) pode fornecer a base jurídica do UK GDPR para o processamento necessário para cumprir essa obrigação. Essa não é uma base contratual. O ICO refere que deve identificar a disposição legal específica, documentar a decisão e explicar a finalidade e a base jurídica nas informações de privacidade. O aviso não autoriza a utilização para marketing secundário ou a recolha por tempo indeterminado.3

O que deve conter um contrato de inquilino ao abrigo do Artigo 28.º?

Se processar dados de funcionários de inquilinos apenas com base nas instruções documentadas do inquilino, deve existir um acordo de processamento de dados ao abrigo do Artigo 28.º antes do início desse processamento. O acordo deve descrever o objeto e a duração, a natureza e a finalidade, os tipos de dados, as categorias de titulares de dados e os direitos e obrigações do responsável pelo tratamento. Deve depois conter os compromissos operacionais abaixo.5

Não utilize um acordo do Artigo 28 para ocultar um acordo de cotitularidade de tratamento. Se o operador e o inquilino decidirem conjuntamente por que razão a análise de dados dos colaboradores será utilizada, quais os campos recolhidos e durante quanto tempo permanecem disponíveis, avalie antes o Artigo 26.4

Como deve lidar com um pedido de apagamento?

O apagamento do Artigo 17 não é uma função de eliminação com um único clique. Comece com uma verificação de identidade proporcional. Em seguida, procure os dados por finalidade e função: acesso de convidados, marketing, segurança, instruções do inquilino e qualquer retenção específica de avisos. O ICO afirma que deve responder sem demora injustificada e, o mais tardar, no prazo de um mês. Sempre que os dados já não sejam necessários, ou o consentimento tenha sido retirado, apague-os dos registos ativos e notifique os destinatários relevantes quando necessário.2

Sempre que se aplique uma obrigação legal, ou os dados sejam necessários para a declaração, o exercício ou a defesa de direitos num processo judicial, o direito ao apagamento não se aplica nessa medida. Explique claramente o motivo limitado. Mantenha os dados retidos segregados, impeça a utilização não relacionada e aplique a data de fim relevante. As cópias de segurança precisam de uma resposta explícita: a eliminação também deve abranger as cópias de segurança, sempre que viável. Se for impossível uma sobregravação imediata, coloque o registo de cópia de segurança fora de uso e divulgue o calendário de sobregravação.2

Um fluxo de trabalho de apagamento deve separar os dados a eliminar dos registos restritos retidos ao abrigo de uma exceção documentada.

Como é que isto funciona em locais reais?

Cenário de hotelaria: um hotel com acesso de convidados e acesso de funcionários de inquilinos

Um hotel de 200 quartos opera Guest WiFi para visitantes e fornece um SSID Staff WiFi ao seu inquilino do restaurante. O hotel redige dois registos de tratamento separados. Atua como responsável pelo tratamento para a autenticação de convidados, dados de ligação de 90 dias e investigações de segurança. O restaurante decide a população de colaboradores, as condições de acesso e a retenção para o SSID da sua equipa, pelo que o hotel aplica os termos do Artigo 28 a esse tratamento. O controlo mensurável é um relatório mensal que mostra que todas as sessões de convidados com mais de 90 dias foram eliminadas, enquanto qualquer exceção tem uma referência de incidente ou de aviso.

Cenário de retalho: um destino de compras num único endereço público

Um destino de retalho utiliza um único endereço de saída público em várias unidades. A sua LIA de segurança regista o motivo pelo qual as alegações de abuso atrasadas podem exigir a atribuição a uma ligação específica. Define um calendário de evidências de segurança de 365 dias, mas mantém os registos de localização identificáveis em bruto durante 30 dias antes da agregação. O controlo mensurável é uma revisão trimestral da LIA mais um teste para verificar se um analista de segurança consegue reconstruir um incidente permitido sem aceder a dados de localização em bruto expirados.

Cenário de eventos: um recinto de conferências com públicos pertencentes a patrocinadores

Um centro de conferências fornece acesso aos participantes enquanto os patrocinadores recolhem consentimentos (opt-ins) através de percursos com marcas separadas. O recinto continua a ser o responsável pelo tratamento dos dados de serviço e segurança. Cada patrocinador controla a sua própria finalidade de marketing e deve receber apenas os consentimentos a que tem direito. O controlo mensurável é um teste pré-evento que prova que a retirada de consentimento num percurso de um patrocinador suprime as comunicações desse patrocinador sem eliminar as evidências de segurança estreitamente retidas pelo recinto.

O que deve fazer a seguir?

Comece com um workshop de retenção de 60 minutos, não com um modelo de política. Reúna o seu DPO, arquiteto de rede, responsável de operações do recinto e cada representante de inquilino relevante. Construa uma tabela de campos fluindo a partir do splash page, DHCP, RADIUS, firewall, DNS e componentes de analytics. Para cada campo, decida a finalidade, a função de responsável pelo tratamento ou subcontratante, o fundamento jurídico, o temporizador de retenção, a ação de eliminação, o proprietário da auditoria e o processo de retenção legal.

Depois, configure o sistema para fazer o trabalho. A Purple fornece períodos de retenção configuráveis, agendamentos de eliminação automatizados, ferramentas de pedido de acesso e fluxos de trabalho de eliminação que suportam este modelo operacional. Mantenha o seu ambiente de Guest WiFi distinto de quaisquer finalidades de WiFi de Funcionários dos inquilinos. Onde utilizar WiFi Analytics, agregue ou descaracterize os dados antes que a janela de retenção identificável termine. Uma sobreposição de nuvem deve facilitar a aplicação consistente de políticas numa propriedade distribuída, não prolongar a vida útil dos registos por predefinição.

Para controlos relacionados, compare o design de retenção de dados com Hardening RADIUS against MD5 collision attacks (BlastRADIUS), Privacy by design: anonymising WiFi data for GDPR compliance e MDU WiFi tenant session tracking and abuse attribution. Para um contexto mais amplo, consulte The definitive timeline of WiFi: from ALOHAnet to WiFi 7 and beyond, Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026 e Purple appoints Imani Butler as Growth Director, North America.

Perguntas frequentes

Durante quanto tempo posso reter os dados de início de sessão de WiFi de convidados ao abrigo do GDPR?

Retenha-os apenas enquanto o acesso, disputa, segurança ou outra finalidade declarada permanecerem necessários. Um ponto de partida prático para a autenticação apenas de acesso é o fim da sessão acrescido de um curto período de disputa documentado, como 30 dias. Essa é uma escolha de política interna, não uma regra do GDPR. Registe a finalidade, a base jurídica e o evento de eliminação e, em seguida, teste a eliminação definitiva.

A lei britânica "Investigatory Powers Act" exige 12 meses de registos de ligação WiFi?

Não. A IPA não cria uma obrigação automática de 12 meses para todos os operadores de WiFi partilhado. A obrigação de retenção só se inicia quando é entregue uma notificação de retenção de dados aplicável. A notificação define os dados de comunicações relevantes e o período de retenção, que não pode exceder os 12 meses. Obtenha aconselhamento especializado imediatamente se receber uma.7 9

Sou responsável pelo tratamento (controller) ou subcontratante (processor) relativamente aos colaboradores de um inquilino no WiFi da equipa?

Depende da atividade de tratamento. Se o inquilino decidir a população de colaboradores, a finalidade, o aviso, a gestão de direitos e a retenção enquanto o utilizador opera o serviço com base em instruções documentadas, é provável que seja o subcontratante dessa atividade. Se tomar essas decisões para a sua própria finalidade, é o responsável pelo tratamento. Quando ambas as partes decidem conjuntamente as finalidades e os meios essenciais, avalie a corresponsabilidade pelo tratamento.4

Qual é o período de retenção correto para registos de endereços IP numa rede WiFi partilhada?

Não existe um período prescrito no UK GDPR. Defina um período proporcionado e associado à necessidade declarada de segurança e resolução de problemas. Este guia sugere 90 dias como predefinição para metadados de ligação. Alargue para 365 dias apenas quando uma LIA documentada fundamentar uma necessidade real de atribuição de endereços partilhados ou de litígios, com minimização de campos e controlos de acesso.1 6

O que devo fazer com um pedido de apagamento quando tenho a obrigação legal de reter dados de tráfego?

Apague os registos que já não sejam necessários, mas retenha apenas os dados estritos e o período exigido pela obrigação legal. Responda no prazo de um mês, explique a isenção aplicável e evite que os dados retidos sejam utilizados para finalidades não relacionadas. Aplique a mesma decisão às cópias de segurança, eliminando-as ou colocando-as fora de utilização até à respetiva substituição programada.2 3

Preciso de um DPA com todas as organizações de inquilinos?

Precisa de um acordo de tratamento de dados (DPA) nos termos do Artigo 28.º sempre que tratar dados de colaboradores de um inquilino com base nas instruções documentadas desse mesmo inquilino. Não necessita de um apenas por partilharem um edifício. Se ambas as partes determinarem conjuntamente as finalidades e os meios essenciais, poderá ser necessário um acordo de corresponsabilidade nos termos do Artigo 26.º.4 5

Posso guardar o histórico de marketing até que um convidado retire o consentimento?

Não. O consentimento ativo não remove a obrigação de limitação de conservação. Defina e documente um período de revisão para o histórico de marketing, como uma revisão de 24 meses, e remova ou descaracterize os dados que já não servem o propósito declarado. Em caso de retirada ou oposição, pare o marketing e retenha apenas os dados mínimos de supressão necessários para respeitar a escolha.1 2

Referências