GDPR 與 WiFi：企業合規指南

GDPR 與 WIFI：企業合規指南 Purple 智慧簡報 — 長度約 10 分鐘 [引言與背景 — 1 分鐘] 歡迎收聽 Purple 智慧簡報。我是您的主持人，今天我們將直接切入正題，探討目前場域營運商和 IT 團隊面臨最常被誤解的合規挑戰之一：GDPR 與 WiFi。 如果您在飯店物業、零售連鎖、體育場或公共部門建築中營運賓客 WiFi，您就在收集個人數據。毫無疑問。無論您是否意識到，該收集活動都受到《一般資料保護規則》（GDPR）的約束。資訊專員辦公室（ICO）在此領域越來越活躍，出錯的後果從執法通知一直到高達全球年營業額百分之四的罰款。 但重點是 — WiFi 的 GDPR 合規性並沒有法律團隊有時聽起來那麼複雜。它歸結為四個核心問題：您正在收集什麼數據？基於什麼法律基礎？您保留多長時間？以及誰負責？正確回答這四個問題，您就完成大半了。 讓我們開始吧。 [技術深挖 — 5 分鐘] 那麼，讓我們從典型的賓客 WiFi 部署實際收集哪些數據開始。當賓客透過 Captive Portal（即他們在獲得網路存取權限之前看到的 Splash Page）連線到您的網路時，您可能會擷取 MAC 位址、IP 位址、連線時間戳記、工作階段持續時間，如果您建立了註冊流程，還會收集電子郵件地址、姓名和行銷偏好。 現在，MAC 位址和 IP 位址在 GDPR 規範下被歸類為個人數據，因為它們可用於識別個人。這讓許多網路架構師感到驚訝。他們認為這些是技術識別碼，而不是個人數據。但法規很明確：如果它能被直接或間接用於識別自然人，它就是個人數據。因此，從裝置連線的那一刻起，您的網路日誌就納入了監管範圍。 下一個問題是合法基礎。根據 GDPR 第 6 條，您需要六種合法基礎之一來處理個人數據。對於賓客 WiFi，最重要的是「同意」和「正當利益」。 當您出於行銷目的收集電子郵件地址時，同意是較為明確的選擇。根據 GDPR，同意必須是自由給予、具體、知情且毫不含糊的。這意味著不能有預先勾選的方塊。不能將行銷同意捆綁到條款和條件中。賓客必須主動選擇加入，且您必須能夠證明他們確實做到了 — 附帶時間戳記和當時他們同意內容的記錄。 正當利益是大多數營運商用於底層網路連線數據（例如 MAC 位址和工作階段日誌）的基礎。其論點是，營運一個安全、功能正常的網路是企業的正當利益，且該利益不會被個人的隱私權所覆蓋。但是 — 這很重要 — 您仍然需要進行並記錄正當利益評估（LIA）。您不能只聲稱正當利益就帶過。ICO 期望看到三部分測試：目的性、必要性和平衡性。 現在讓我們談談 Splash Page 設計，因為這是大多數組織出錯的地方。Splash Page 是您的主要同意介面，它需要同時執行幾項操作。它需要識別誰在收集數據 — 即您的組織名稱。它需要解釋正在收集什麼數據以及原因。它需要將任何行銷選擇加入呈現為獨立且未勾選的核取方塊。它還需要連結到涵蓋當事人權利的完整隱私權聲明。 它絕不能做的是將網路存取作為行銷同意的條件。如果您將 WiFi 限制在電子郵件註冊之後，且連線的唯一方法是同意接收行銷電子郵件，那麼在 GDPR 規範下，該同意就不是自由給予的。ICO 對此非常明確。您可以為提供電子郵件地址提供誘因 — 例如會員點數、折扣券 — 但無論如何都必須提供基準網路存取。 接下來談談數據保留。GDPR 第 5(1)(e) 條規定了儲存限制原則：個人數據的保留時間不得超過收集目的所需的時間。對於賓客 WiFi，這意味著您需要一個文件化的保留時程表。網路安全日誌（例如 MAC 位址和工作階段時間戳記）通常出於安全和詐欺調查目的保留 90 天。這是一個合理的立場。出於行銷目的收集的電子郵件地址可以保留更長時間，但您需要定義該期限，在隱私權聲明中進行溝通，並在技術上執行它 — 而不僅僅是紙面上的政策。 這就是技術架構發揮作用的地方。像 Purple 的賓客 WiFi 解決方案這樣的平台可以自動執行保留。您設定一個保留窗口，系統就會自動清除記錄。這就是合規政策與合規執行計畫之間的區別。政策說明您將做什麼。執行計畫證明您做到了。 讓我們談談資料處理協議（DPA）。如果您使用第三方平台來管理您的賓客 WiFi（大多數組織都是如此），該平台將代表您充當資料處理者。根據 GDPR 第 28 條，您必須與該處理者簽署書面資料處理協議。DPA 必須具體說明正在處理什麼數據、出於什麼目的、在什麼指示下，以及處理者採取了哪些安全措施。如果您使用的是雲端 WiFi 分析平台且沒有簽署 DPA，您就是不合規。就這麼簡單。 對於跨多個歐盟成員國營運或在脫歐後從英國基地為歐盟居民提供服務的組織，您還需要考慮英國 GDPR（本質上是保留在英國法律中的歐盟 GDPR），以及是否涉及任何國際數據傳輸。如果您的 WiFi 平台將數據儲存在英國或歐洲經濟區（EEA）以外的伺服器上，您需要適當的傳輸機制：適當性決定、標準契約條款或約束性企業規則。 [實施建議與常見陷阱 — 2 分鐘] 好，讓我們切入實際操作。以下是我向開始此流程的任何 IT 團隊或場域營運商推薦的四個實施步驟。 第一：進行數據對照工作。在修改您的 Splash Page 或隱私權聲明之前，規劃出您的 WiFi 部署收集的每件數據、其流向、誰有權存取以及保留多長時間。這是您根據第 30 條制定的處理活動記錄，也是其他一切的基礎。 第二：根據同意要求審查您的 Splash Page。檢查是否有預先勾選的方塊。檢查行銷同意是否與接受條款分開。檢查您的隱私權聲明連結是否清晰可見且功能正常。如果您使用的是像 Purple 這樣的平台，同意管理工具是內建的 — 但您仍需要正確設定它們並審查文案。 第三：簽署您的 DPA。聯絡接觸您 WiFi 數據的每個第三方供應商 — 您的平台提供商、您的分析工具、您的 CRM — 並確認已簽署 DPA。如果沒有，在繼續之前先簽署一份。 第四：實施技術保留控制。不要依賴手動流程來刪除舊數據。在您的平台中設定自動清除，並記錄該設定以作為合規證據。 我見過最常見的陷阱是組織將 GDPR 視為一次性專案，而不是一個持續的計畫。您進行了審查、更新了 Splash Page、存檔了 DPA，然後兩年後平台升級了，Splash Page 文案被行銷團隊修改了，卻沒有人審查保留設定。GDPR 合規需要定期的審查週期 — 至少每年一次，以及每當您的數據處理活動發生重大變化時。 [快速問答 — 1 分鐘] 一些我經常被問到的問題。 「我們需要 DPO 嗎？」 — 如果您是公共機構，或者您的核心活動涉及對個人進行大規模系統性監控（大型賓客 WiFi 部署可能符合此條件），那麼是的，您需要指定一名資料保護官。對於較小的部署，即使不是嚴格強制，這也是最佳實踐。 「我們可以使用 MAC 位址進行人流量分析嗎？」 — 可以，但前提是您使用的是匿名或彙整數據。如果您跨工作階段追蹤個別 MAC 位址以建立移動軌跡，這就是個人數據處理，您需要合法基礎和隱私權聲明揭露。 「兒童怎麼辦？」 — 如果您的場域很可能會有 13 歲以下的兒童存取，您需要考慮 ICO 的《兒童守則》。這意味著不能對兒童進行行為剖析，並需提供適合年齡的隱私權聲明。 [總結與後續步驟 — 1 分鐘] 總結來說：GDPR 與 WiFi 合規是完全可以實現的。該法規並非旨在阻止您營運賓客 WiFi 服務或收集數據以改善營運。它的目的是確保當您收集數據時，是以透明的方式、在有效的法律基礎上、配合適當的安全措施並尊重個人權利來進行。 從本次簡報中汲取的四個重點：確立您的合法基礎並將其記錄存檔；設計真正符合同意規範的 Splash Page；簽署您的 DPA；並在技術上執行保留，而不僅僅是在紙面上。 如果您想深入了解其中任何領域，Purple 提供了一整套關於透過 WiFi 收集第一方數據的實施指南，且平台本身在設計上即支援開箱即用的符合 GDPR 規範之部署。 感謝您的收聽。我們下次再見。