Tengo wifi en mi negocio: cuidado con la protección de datos y las responsabilidades
05 Mayo 2025
Ofrecer wifi gratuito en un negocio se ha convertido en una práctica común para atraer y fidelizar clientes. Desde cafeterías hasta clínicas, muchos establecimientos consideran que ofrecer acceso a internet es casi tan esencial como una buena atención al cliente. Sin embargo, lo que muchos empresarios desconocen es que este servicio conlleva importantes responsabilidades legales, especialmente, en lo que respecta a la protección de datos personales y la ciberseguridad.
Tras la entrada en vigor del Reglamento General de Protección de Datos (RGPD) en 2016 y su adaptación al derecho español en forma de la Ley Orgánica de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD) en 2018, las empresas están obligadas a cumplir una serie de requisitos en materia de privacidad y protección de datos, y por ende, a ofrecer un acceso seguro a estos servicios.
El wifi público como punto vulnerable en un negocio
Al ofrecer una red wifi pública, estás exponiendo tu infraestructura tecnológica a múltiples amenazas. Imagina que tu red wifi es como la puerta principal de tu negocio. Si la dejas abierta y sin vigilancia, no solo los ladrones (cibercriminales) pueden entrar y robar tus cosas (información importante del negocio), sino que también pueden colarse en las "casas" (dispositivos) de tus clientes que están dentro, especialmente si no hay paredes (segmentación de red) que separen tu negocio de ellos.
Por eso, una buena configuración y separación de la red son cruciales para proteger tanto tu negocio como a tus clientes de los peligros online.
Te explicamos los riesgos más comunes, las obligaciones legales que debes tener en cuenta y cómo puedes proteger a tus clientes y a tu negocio.
Menos gestiones es más tiempo para tu negocio.
Simplifica tu día a día. Déjanos a nosotros todo el papeleo.
Análisis inicial de riesgos
Como paso inicial, el responsable del establecimiento debe realizar un análisis de riesgos y, según los resultados, adoptar todas las medidas de seguridad que se consideren oportunas para proteger a los usuarios de estas redes (cifrado, registro de acceso, etc.). Estas tareas se pueden delegar en empresas que presten este tipo de servicios o seguir las indicaciones de la guía de seguridad en redes wifi: una guía de aproximación para el empresario.
Una de las medidas a implantar consiste en que la wifi esté gobernada por un portal cautivo. Se trata de una pantalla o portal de acceso, generalmente personalizado con el logotipo del establecimiento, que aparece al conectarse a la wifi y que obliga al usuario a hacer login. En ella se explica al usuario que desee conectarse a la red los términos y condiciones de uso. El propietario ya no tendrá que darle la contraseña al usuario y, además, así quedará registrado quién se ha conectado, en caso de que se realice algún acto ilícito.
Como desde este portal se va a realizar un registro de usuarios, según el artículo 13 del RGPD, cualquier tratamiento que se efectúe con los datos recabados deberá explicarse de forma clara y concisa a los usuarios de la conexión. El mensaje debe incluir la información referente al apartado 1 del artículo 13 del RGPD, es decir, quién es el responsable del tratamiento, por qué y para qué se toman los datos personales y cómo ejercer los derechos.
Esta información debe incluir:
- la identidad y datos de contacto del responsable, representante y delegado de protección de datos (DPD);
- los destinatarios del tratamiento;
- la finalidad del tratamiento de la información recopilada y si se va a ceder a terceros para la realización de estudios de marketing o el envío de publicidad;
- el plazo de conservación de los datos;
- la posibilidad de ejercicio de derechos y de presentar reclamación ante la autoridad de control competente.
Además, según recoge el artículo 33 del RGPD, en el caso de que se haya detectado una brecha que ponga en peligro la información recopilada, el propietario del registro de usuarios deberá notificarlo en menos de 72 horas a los usuarios. En caso de no hacerlo en tiempo y forma, salvo por causas debidamente justificadas, el responsable del registro se enfrentará a las sanciones que determine la autoridad competente en materia de protección de datos, en el caso de España, la Agencia Española de Protección de Datos (AEPD).
Por ello, debe incluirse un apartado en el que se recabe el consentimiento expreso del usuario para poder acceder a la red como, por ejemplo, una casilla de aceptación junto a la leyenda: «Sí, he leído y acepto la política de privacidad y las Condiciones y términos de uso». En ningún caso, esta casilla puede venir marcada por defecto, ya que la aceptación de los términos y condiciones por parte del usuario debe ser consentida.
Registro de actividad, ¿qué requisitos debe cumplir?
Es recomendable crear y mantener un registro de actividad de la red por parte de los usuarios que se conectan a la misma como salvaguarda, en el caso de que se realicen actividades ilícitas a través de ella. En los términos y condiciones debe incluirse, de forma clara, la motivación por la que se almacena esta información y recabar el consentimiento explícito y pleno del usuario. El tipo de información que se almacenará en dicho registro será, entre otros:
- las páginas visitadas.
- las sesiones de conexión.
- el dispositivo utilizado para la conexión.
- el idioma.
- el sistema operativo.
- el navegador que se utilizó.
En el caso de que el usuario no haya dado su consentimiento o no se le haya informado debidamente de dicho registro, no se podrá guardar dicha información. Por otra parte, el artículo 25.1 de la Ley de Seguridad Ciudadana obliga a los establecimientos comerciales que cuenten entre sus servicios con una red wifi disponible para sus clientes a conservar el registro de conexiones a esa red. Este deberá estar a disposición de las Fuerzas y Cuerpos de Seguridad del Estado durante los plazos que establezcan las disposiciones aplicables en cada caso para la persecución de las actividades ilícitas cometidas desde dicha conexión.
Por último, si los administradores o los propietarios de la conexión detectaran la comisión de un delito por parte de los usuarios de la red que atente contra la libertad de las personas (coacciones o amenazas), deberán notificar a las Fuerzas y Cuerpos de Seguridad del Estado (FCSE), ya que en caso de que no se hiciera, se incurriría en un delito de omisión del deber de impedir delitos o de promover su persecución.
- Excepciones
En el caso de asociaciones u otro tipo de organizaciones sin ánimo de lucro, que no pudieran realizar los procesos anteriormente descritos debido a los costes asociados o a la imposibilidad técnica de implantarlos, podrán recoger en un documento colocado a la vista de todo el mundo las reglas de uso de la red wifi, así como indicar la no responsabilidad por el mal uso de la red por parte de los usuarios.
Medidas de seguridad de la red. ¿Cómo proteger la red WiFI de tu negocio?
Para mitigar los riesgos y cumplir con las responsabilidades, es crucial implementar medidas de seguridad adecuadas:
- Mantener actualizado el firmware del router o del punto de acceso a la última versión disponible.
- Contraseñas seguras: Utiliza contraseñas robustas y cámbialas de forma periódica.
- Cifrado WPA3: Configura el cifrado más seguro disponible en tu router (WPA3 o al menos WPA2).
- Segmentación de la red: Crea redes separadas para el uso interno del negocio, los dispositivos IoT y los clientes invitados. Esto limita el acceso y reduce el riesgo en caso de que una red se vea comprometida.
- Cambiar la configuración predeterminada: Modifica el nombre de la red (SSID) y la contraseña de administrador del router.
- Filtrado de direcciones MAC: Configura el router para permitir solo las conexiones de dispositivos con direcciones MAC autorizadas (para la red interna).
- Portal cautivo con términos y condiciones: Implementa un portal de acceso donde los usuarios deben aceptar los términos de uso y la política de privacidad antes de conectarse.
- Limitación del tiempo de acceso: Considera limitar el tiempo de conexión para los usuarios invitados.
- Monitorización de la red: Implementa herramientas para detectar actividades sospechosas o intrusos.
¿Quién es responsable legalmente?
Desde el punto de vista jurídico, si eres el titular del negocio y ofreces acceso a internet, puedes ser considerado responsable de lo que ocurra a través de tu red, especialmente si no adoptas las medidas técnicas y organizativas necesarias para prevenir usos indebidos.
Además, el tratamiento de datos debe ser leal y transparente. Es decir, las personas deben saber qué datos se tratan y cómo se tratan mediante Wi-Fi tracking. Además, esta información debe ser fácil de entender y accesible.
Si necesitas más información sobre cómo instalar un wifi seguro, consulta nuestros planes de negocios de Legálitas para que un gestor personal te ayude.
¿Es obligatorio guardar registros?
No siempre, pero a veces puede ser útil tener un sistema de logs: información básica sobre quién se conectó, cuándo y durante cuánto tiempo. Eso sí, si los guardas, tienes que informar al usuario, guardar solo lo necesario, no conservar los datos más tiempo del necesario y protegerlos adecuadamente.
Si almacenas los datos sin decírselo al usuario o sin su consentimiento puede ser motivo de sanción.
¿Qué ocurre si se produce un problema en el uso de WiFi en mi negocio?
Si la red de tu negocio es utilizada por alguien para cometer un delito o descargar contenido ilegal, o hay un ciberataque y se filtran datos, debes adoptar las medidas adecuadas oportunas:
- Si se filtran datos, debes comunicar la filtración a la AEPD (Agencia Española de Protección de Datos) en menos de 72 horas.
- Si el problema es grave y afecta a los usuarios, debes informarles directamente a ellos.
- Debes recopilar toda la documentación de las medidas que adoptaste para proteger la red (configuraciones, contraseñas, registros, etc.).
Entonces, ¿vale la pena ofrecer wifi gratuito?
La respuesta es sí, siempre que lo hagas de forma responsable. Ofrecer wifi puede mejorar la experiencia del cliente, alargar su estancia en el local e incluso abrir la puerta a estrategias de marketing digital (como el envío de promociones personalizadas, siempre con su consentimiento). Pero no olvides que, como responsable del negocio, tú eres el garante de la seguridad de ese servicio.
Referencias legales:
Reglamento General de Protección de Datos (RGPD)
Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana.
Nº colegiada 57243
