GDPR 與訪客 WiFi：場域行銷人員與 IT 的合規指南

GDPR 與訪客 WiFi：場域行銷人員與 IT 的合規指南 Purple 技術簡報 - 長度約 10 分鐘 --- 導言與背景（約 1 分鐘） 歡迎收聽 Purple 技術簡報。我是 Purple 的資深技術內容策略師，今天我們要探討的是每位 IT 經理、網路架構師和場域營運總監都必須正確處理的事項：訪客 WiFi 的 GDPR 合規性。 在接下來的十分鐘裡，我將帶您了解技術架構、同意機制、資料保留要求，以及會讓組織陷入監管麻煩的具體陷阱。這不是一堂法律課。您可以把它看作是您在參加董事會會議或監管稽核之前，資深顧問對您的簡報。 讓我們從風險開始談起。對於嚴重的 GDPR 違規行為，ICO 最高可處以兩千萬歐元或全球年營業額百分之四的罰鍰。自 2018 年以來，整個歐洲已開出兩千八百多筆 GDPR 罰單，總額超過六十二億歐元。萬豪國際（Marriott International）在發生資料外洩後，收到了 ICO 高達一億兩千四百萬美元的擬定罰單。風險是真實存在的，而訪客 WiFi 是您營運的每個場域中即時的資料收集端點。 --- 技術深挖（約 5 分鐘） 讓我們深入探討架構。 當您在飯店、零售店、體育場或會議中心提供訪客 WiFi 時，根據 GDPR，您就成為了「資料控制者」。這是一個特定的法律定義。這意味著您要對網路收集、儲存和處理的每一位元個人資料負責。您的 WiFi 廠商——無論是 Purple 還是其他任何人——都是您的「資料處理者」。在任何個人資料傳輸給他們之前，您需要簽署一份資料處理增補協議。 ICO 明確指出：當 MAC 位址、IP 位址、工作階段時間戳記和位置資料可以與可識別的個人連結時，它們都是個人資料。在訪客 WiFi 環境中，情況幾乎總是如此。當訪客在登入頁面上輸入其電子郵件地址的那一刻，您收集的關於該裝置的所有其他資料點都會變成個人資料。 那麼您實際上收集了哪些資料？有四個類別需要了解。 第一，註冊資料。這是您在 Captive Portal 上要求提供的資訊：姓名、電子郵件地址、電話號碼或社群媒體登入憑證。根據 GDPR 第 6 條，這需要明確的同意。資料最小化原則適用於此。只要求絕對必要的資訊。 第二，裝置與工作階段資料。這涵蓋 MAC 位址、IP 位址、連線和斷線時間以及工作階段持續時間。出於網路安全和疑難排解的目的，基本的工作階段記錄可以基於正當利益進行合理化，但您必須進行正當利益評估並將其記錄下來。 第三，位置資料。如果您使用 WiFi 分析來產生人流熱圖或測量停留時間，您就是在處理位置資料。即使經過彙整，從個別裝置進行的初始收集仍屬於個人資料。這需要明確的揭露，且在大多數情況下需要明確的同意。 第四，使用與行為資料。造訪的網頁、消耗的頻寬、應用程式使用模式。這需要同意，且您必須具體說明您正在收集什麼以及原因。 現在讓我們談談 Captive Portal，因為這是大多數場域最常犯下嚴重合規錯誤的地方。 Captive Portal 是您的主要合規介面。它是訪客在存取網際網路之前看到的登入頁面。最常見的錯誤是綑綁。也就是場域要求訪客必須接受行銷電子郵件才能上網。在 GDPR 規範下，同意必須是自由給予的。如果您將網路存取與行銷同意綑綁在一起，該同意即屬無效。毫無懸念。 您的 Captive Portal 必須至少呈現兩個獨立的同意元素。第一個是強制性的：接受網路存取的服務條款。第二個是選填的，且預設為未勾選：同意接收行銷資訊。訪客必須能夠在不同意行銷的情況下連線到 WiFi。GDPR 前言第 32 條明確禁止預先勾選的方塊。 除了同意結構之外，您的入口網站必須在使用者提交任何資料之前，提供清晰簡潔的隱私權聲明。它必須說明您收集哪些資料、收集的原因、保留多久以及與誰分享。它必須連結到您完整的隱私權政策。至關重要的是，您的系統必須記錄每一次的同意事件：誰同意了、何時同意、同意了什麼，以及他們看到的隱私權聲明的確切版本。此同意稽核軌跡就是您的合規證明。 從網路架構的角度來看，VLAN 區隔是不可妥協的。訪客 WiFi 流量必須隔離在專用的 VLAN 上，與您的企業網路完全分開。使用存取控制清單（ACL）阻止訪客裝置存取內部子網路，並啟用用戶端隔離，使訪客裝置之間無法互相通訊。無論您運行的是 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 還是 Ubiquiti UniFi，這都適用。 在驗證方面，將您的無線區域網路控制器與雲端 RADIUS 伺服器整合。當使用者完成 Captive Portal 流程時，平台會向控制器發送 RADIUS Access-Accept 訊息，授予網路存取權限。這在驗證層和資料收集層之間建立了乾淨的區隔。 關於加密：在硬體支援的情況下部署 WPA3。WPA3 使用對等同時驗證（SAE），消除了 WPA2 四向交握中的漏洞，並針對離線字典攻擊提供更強的保護。至少應強制執行帶有 AES-CCMP 加密的 WPA2。此外，您的 Captive Portal 必須透過帶有有效 TLS 憑證的 HTTPS 提供服務。透過 HTTP 提供收集個人資料的表單是嚴重的安全疏失，也是立即的合規紅旗。 現在談談資料保留。這是組織隨著時間推移默默累積風險的地方。 GDPR 的儲存限制原則要求個人資料的保留時間不得超過實現所述目的所需的時間。一個合理的基準如下：工作階段記錄（IP 位址、MAC 位址、連線時間戳記）應在 30 天後清除。這對於網路疑難排解和安全事件調查來說已經足夠。網路安全記錄（例如防火牆事件和入侵偵測警報）最多可保留 12 個月。同意記錄的保留時間必須與服務關係存續期間一致，再加上涵蓋潛在法律挑戰的期間——通常是自最後一次互動起兩年。行銷設定檔僅應在使用者同意有效期間內保留。使用者撤回同意的那一刻，其行銷設定檔就必須被刪除。不是封存，而是刪除。 挑戰在於大規模執行這些政策。如果您在數十或數百個場域管理訪客 WiFi，手動刪除資料是行不通的。您需要一個能自動執行保留政策的平台。Purple 對每個資料類別套用可設定的保留規則，在記錄達到保留期限時自動清除，這適用於平台上所有 80,000 多個場域。 --- 實施建議與陷阱（約 2 分鐘） 讓我給您兩個實際案例，說明這在實務中是如何運作的。 案例一：一家擁有 200 間客房的飯店。物業團隊希望收集房客的電子郵件，以推動會員計劃註冊。他們目前的系統要求房客必須接受行銷資訊才能上網。這顯然違反了 GDPR。解決方法很簡單。部署符合規範的 Captive Portal，並設有獨立的同意核取方塊。強制性核取方塊涵蓋服務條款。選填且未勾選的核取方塊則涵蓋行銷同意。與綑綁式做法相比，該飯店的行銷訂閱原始數量可能會減少，但名單的品質和合法性將大幅提升。主動勾選同意的房客與後續溝通互動的可能性要高得多。在其旗下所有物業中使用 Purple 的 Premier Inn 正是採用這種模式。 案例二：體育場的 IT 團隊。他們希望使用 WiFi 分析來監測人群密度並管理安全。法務團隊擔心在未經同意的情況下追蹤裝置位置會違反 GDPR。解決方案有兩個層面。首先，更新 Captive Portal 的隱私權聲明，明確揭露處理位置資料是出於人群管理和安全目的。其次，在資料傳輸到雲端分析平台之前，於邊緣端（即無線基地台本身）實施 MAC 位址去識別化。如此一來，分析系統處理的是去識別化的識別碼，而非原始的 MAC 位址，從而顯著降低了隱私風險以及您的 DPIA 範圍。 我在場域部署中最常看到的三个陷阱如下： 第一：同意疲勞。如果您的入口網站太複雜，訪客會放棄連線或盲目點擊。請保持語言通俗易懂。清楚說明價值交換。 第二：未能尊重資料當事人權利。在 GDPR 規範下，訪客有權存取、更正和刪除其資料。您必須為此建立流程。自助式偏好設定中心是黃金標準。Purple 的平台提供了簡化資料當事人存取請求（DSAR）的工具，顯著減輕了營運負擔。 第三：未與您的 WiFi 廠商簽署資料處理增補協議。在任何個人資料流向第三方平台之前，您需要簽署該 DPA。今天就檢查您的廠商合約。 --- 快速問答（約 1 分鐘） 讓我快速解答我們最常被問到的問題。 問題：如果我們只收集 MAC 位址進行分析，需要獲得同意嗎？ 答案：需要。如果這些分析可以與裝置及其使用者的行為連結，它就是個人資料。您需要明確的同意，或者在收集後立即進行強大的匿名化處理。 問題：社群媒體登入符合 GDPR 規範嗎？ 答案：可以符合，但您必須透明地揭露您從社群平台接收了哪些資料，並且對於基本驗證之外的任何用途，您必須獲得獨立的同意。 問題：如果我們發生資料外洩會怎樣？ 答案：72 小時的通報倒數從您獲悉外洩的那一刻開始。您必須在 72 小時內通報 ICO，即使您的調查尚未完成。現在就將此納入您的事件應變計劃中。 問題：如果我們是小型場域，GDPR 適用於我們嗎？ 答案：適用。不論組織規模大小，GDPR 皆適用。罰鍰的規模可能是成比例的，但合規的義務是絕對的。 --- 摘要與後續步驟（約 1 分鐘） 最後，讓我為您列出行動清單。 第一，稽核您目前的 Captive Portal。檢查行銷同意是否與網路存取條款綑綁在一起。如果是，請在下一次 ICO 稽核之前將其修正。 第二，檢視您的資料保留設定。如果您沒有建立自動刪除政策，您每天都在累積風險。 第三，檢查您的廠商合約。確保您與代表您處理訪客資料的每個第三方平台都簽署了資料處理增補協議。 第四，實施偏好設定中心。為您的訪客提供自助服務方式來管理他們的同意並提交資料當事人存取請求。 第五，在部署任何大規模位置追蹤或行為剖析功能之前，進行資料保護影響評估。根據 GDPR 第 35 條，這是法律規定的強制性要求。 Purple 已通過 ISO 27001 認證、符合 GDPR 和 CCPA 規範，並獲得 Cyber Essentials 認證。我們在 80,000 多個實體場域營運，僅在 2024 年就處理了 4.4 億次登入。我們的平台可自動記錄同意、執行資料保留和管理 DSAR，讓您的團隊可以專注於運行網路，而不是管理合規試算表。 如需更多關於訪客 WiFi 合規性的資源，請造訪 purple.ai。感謝您加入本次 Purple 技術簡報。保持合規，確保安全。 --- 簡報結束