Registro del WiFi de huéspedes: casi nadie te lo va a pedir, y guardarlo es un riesgo

La obligación en la que casi todos creen no les afecta

Esta sección describe la forma del problema, no asesoramiento para tu negocio, y es deliberadamente precisa sobre de dónde sale cada regla para que puedas verificarla con un abogado en lugar de aceptarla de una empresa de software.

España. La Ley 25/2007 impone doce meses de conservación, pero a los operadores de redes y servicios de comunicaciones electrónicas disponibles al público: los sujetos inscritos como tales ante el regulador. Un alojamiento que ofrece WiFi a sus propios huéspedes como parte accesoria de la estancia normalmente no lo es, y por eso la obligación que citan los portales no le alcanza.

Italia. La identificación de quien usa un punto de acceso público a internet venía del decreto antiterrorista de 2005, el conocido decreto Pisanu. Se prorrogó varias veces, caducó a finales de 2011, y el decreto de simplificación de 2012 eliminó la autorización y la identificación. Desde entonces no hay obligación general de identificar a los usuarios de WiFi ni de conservar su tráfico.

Alemania. Allí la dirección es la contraria. La reforma de 2017 de la ley de servicios telemáticos acabó con la responsabilidad indirecta de quien opera redes abiertas y descartó expresamente que se pueda exigir a un proveedor de acceso que registre a sus usuarios o proteja la red con contraseña. La restricción, allí, es sobre exigir identificación, no sobre omitirla.

En el plano europeo. El Tribunal de Justicia ha anulado más de una vez la conservación generalizada e indiscriminada de datos de comunicaciones. Diga lo que diga una norma nacional, "guardar todo de todos durante un año por si alguien pregunta" es exactamente el diseño que el tribunal ha rechazado.

Por qué los portales cautivos siguen pidiendo un documento

Si la obligación en gran medida no está, la supervivencia del portal que escanea documentos necesita otra explicación, y no es misteriosa: para la mayoría de proveedores el portal es un producto de marketing. La identidad, el correo, el identificador del dispositivo y el tiempo de permanencia son el valor que captura. "Es una obligación legal" es simplemente la forma más eficaz de explicar la fricción a un gestor que si no preguntaría por qué sus huéspedes tienen que fotografiar un pasaporte para leer el correo.

Es un argumento comercial disfrazado de cumplimiento. Puede seguir siendo el producto adecuado para ti — hay razones reales para querer una red autenticada — pero debe juzgarse como una decisión de marketing con un coste en privacidad, no como un deber del que no puedes librarte.

Un registro que no necesitabas es un archivo que tienes que defender

Los registros de conexión son datos personales. Guardarlos no es un acto neutro de prudencia: abre un conjunto de obligaciones que sobrevive al motivo que lo provocó.

• Base jurídica y finalidad declarada. "Por si lo pide la policía" no es una finalidad si ninguna obligación lo impone.
• Un plazo de conservación que se cumpla. No un documento de política: un borrado que se ejecuta y que alguien pueda demostrar que se ejecuta.
• Una entrada en el registro de actividades de tratamiento, y una respuesta defendible sobre quién dentro de la empresa puede leerlos.
• Las solicitudes de acceso y supresión. Todos los registros entran, así que tienes que saber encontrar las filas de un huésped concreto.
• La exposición ante una brecha. Cuatro años de quién se conectó y desde dónde son un objetivo más interesante que tus tarifas.

Hay un segundo coste, más sutil. El consentimiento recogido en un portal cautivo rara vez es libre, porque la alternativa es quedarse sin internet. Atar el consentimiento de marketing al acceso a la red es justo el patrón que las autoridades han criticado, y contamina el consentimiento que quizá sí necesitas para otra cosa.

Qué guarda Boris y qué se niega a guardar

El diseño sale de lo anterior. Boris conserva la credencial y su vínculo con la estancia: qué red, qué reserva, qué titular, válida desde cuándo hasta cuándo, si el envío al proveedor salió bien. Es un dato operativo: es lo que permite revocar una credencial cuando se cancela la reserva, y lo que explica por qué alguien pudo conectarse.

Lo que Boris no tiene es un registro de conexiones. No existe una tabla local de sesiones, por decisión. Donde un proveedor expone datos de sesión — MikroTik lista las sesiones activas, una red Meraki devuelve los intentos recientes de login del portal, y algunos proveedores no exponen nada — Boris los lee en vivo, para la pantalla que estás mirando, y no los copia a su propia base de datos.

El razonamiento es el de arriba aplicado con honestidad: los datos que guardas son datos que tienes que gobernar, y un sistema operativo no debe convertirse en silencio en el archivo a largo plazo del historial de dispositivos de todo el mundo solo porque una tabla era fácil de añadir.

Diseñar un portal defendible

Si quieres una red autenticada — y hay buenas razones operativas, desde gestionar abusos hasta mantener fuera a los vecinos — el diseño que aguanta una inspección es este:

1. Ata el acceso a la estancia, no a un documento. Una credencial por reserva, válida durante la ventana de la estancia, ya responde a "quién era" a través de la reserva que ibas a conservar igualmente.
2. Separa acceso y marketing. El acceso a la red no debe depender de una casilla de newsletter; si quieres la dirección, pídela cuando el huésped ya esté conectado.
3. Fija el plazo de conservación antes de lanzar, y hazlo tan corto como permita tu finalidad real. Rectificarlo después significa borrar datos que prometiste guardar.
4. No recojas lo que no vas a usar. Escanear un documento sin finalidad no es seguridad extra, es exposición extra.
5. Escribe la respuesta que darás a un juzgado y comprueba que coincide con lo que guardas. Si no puedes describir tu propio registro en dos frases, nadie en tu empresa puede cumplirlo.

"No lo tenemos" es una respuesta completa cuando es verdad, y una posición mucho mejor que descubrir qué habías guardado justo en el momento en que alguien te lo pide.