Toda empresa que oferece Wi-Fi gratuito a clientes e pede um cadastro antes de liberar o acesso está tratando dados pessoais, e isso coloca a operação sob as regras da LGPD. Isso vale para cafeterias, shoppings, clínicas, hotéis, academias e qualquer negócio com captive portal. A base legal mais comum é o consentimento explícito do usuário, mas a empresa também precisa cumprir o Marco Civil da Internet, que exige a guarda de registros de conexão por um ano, e responder a pedidos de acesso, correção ou exclusão desses dados.
O cadastro no Wi-Fi virou uma obrigação legal, não um detalhe técnico
Durante anos, pedir nome, e-mail e telefone para liberar a senha do Wi-Fi era tratado como rotina operacional. A recepção pedia, o cliente preenchia, ninguém questionava o destino daquilo. Com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) em vigor desde 18 de setembro de 2020, esse formulário deixou de ser um detalhe e passou a ser um ponto de exposição jurídica real.
O problema é que boa parte dos estabelecimentos ainda trata o hotspot como infraestrutura de TI, e não como um processo de tratamento de dados pessoais. É esse descompasso que costuma gerar risco: coleta sem finalidade clara, dados guardados indefinidamente, compartilhamento com fornecedores de marketing sem contrato, ausência de qualquer canal para o cliente pedir exclusão. Este guia explica o que muda na prática, qual base legal sustenta o cadastro, como o Marco Civil da Internet se encaixa nisso e o que corrigir primeiro se a sua empresa ainda não formalizou nada.
O que conta como dado pessoal na conexão Wi-Fi
Qualquer informação que identifique ou torne identificável uma pessoa é dado pessoal segundo a LGPD. No contexto de um hotspot, isso inclui nome, e-mail, telefone, CPF (quando solicitado), dados de login social usados para autenticação, endereço IP do dispositivo e, em alguns casos, geolocalização do ponto de acesso.
Há uma distinção importante que muita empresa ignora. Nome e e-mail preenchidos no formulário do captive portal são dados fornecidos diretamente pelo usuário. Já o endereço IP, o horário de conexão e a duração da sessão são dados gerados automaticamente pela rede, e é justamente esse segundo grupo que o Marco Civil da Internet obriga a guardar por um tempo determinado, como será detalhado mais adiante.
Dados sensíveis, como biometria facial em sistemas de reconhecimento no ponto de acesso, exigem tratamento diferenciado. A LGPD reserva regras mais rígidas para essa categoria justamente porque o vazamento pode gerar discriminação ou exposição indevida do titular.
Por que oferecer Wi-Fi já é tratamento de dados pessoais
No momento em que um cliente preenche o cadastro do captive portal, aceita os termos de uso ou faz login com a conta do Google ou Facebook para navegar, a empresa passa a coletar, armazenar e, em muitos casos, cruzar esses dados com outras informações de relacionamento com o cliente. Isso é tratamento de dados pessoais na definição literal do artigo 5º da LGPD, que abrange operações como coleta, armazenamento, uso, acesso e eliminação.
Na prática, isso significa que a empresa que fornece o Wi-Fi assume o papel de controladora dos dados coletados no cadastro. Ela decide a finalidade da coleta, então responde por ela. Se o Wi-Fi é operado por um provedor terceirizado de hotspot, esse fornecedor normalmente atua como operador, processando os dados em nome da empresa contratante, mas sem deixar de existir responsabilidade compartilhada em caso de incidente.
O detalhe que costuma passar despercebido é que a exigência de cadastro no Wi-Fi público também tem uma raiz de segurança, prevista no Marco Civil da Internet, que trata da identificação do usuário para fins de rastreabilidade em caso de uso ilícito da rede. Ou seja, a empresa não coleta dados só porque quer fazer marketing. Em muitos casos, ela também precisa coletar para não responder, ela mesma, por atos ilícitos cometidos por terceiros dentro da sua rede.
Qual base legal sustenta o cadastro do hotspot
A LGPD exige que todo tratamento de dados pessoais tenha uma base legal entre as dez previstas no artigo 7º. No caso do hotspot Wi-Fi, três costumam se aplicar, e raramente sozinhas.
Consentimento explícito do usuário
É a base mais usada e a mais visível para o cliente. Antes de liberar o acesso, o captive portal deve apresentar de forma clara o que será coletado, para qual finalidade e por quanto tempo os dados ficarão armazenados, com um botão de aceite separado da simples liberação de conexão. Consentimento genérico, escondido em letras miúdas ou pré-marcado, não vale como consentimento válido para a LGPD.
Cumprimento de obrigação legal
Parte da coleta não depende da vontade do usuário nem da empresa. O Marco Civil da Internet obriga quem fornece conexão à internet a manter registros de conexão por um ano, o que dá respaldo legal para essa retenção específica, independentemente de consentimento adicional para essa finalidade pontual.
Legítimo interesse
Pode sustentar usos como segurança da rede e prevenção a fraudes, desde que a empresa documente o teste de balanceamento entre seu interesse e os direitos do titular, e desde que não use essa base para justificar envio de ofertas comerciais sem consentimento específico. Aqui existe uma diferença importante: legítimo interesse não é um atalho para evitar pedir consentimento quando a finalidade é comercial.
Isso funciona bem quando cada finalidade tem sua própria base e seu próprio propósito documentado. Não funciona quando a empresa tenta justificar toda a coleta, do cadastro ao envio de campanhas de e-mail marketing, com uma única base genérica.
LGPD e Marco Civil da Internet no mesmo captive portal
Um erro comum é tratar a LGPD como se fosse a única lei aplicável ao Wi-Fi. Na prática, duas legislações se sobrepõem, e cada uma resolve um problema diferente.
Guarda de registros de conexão por um ano
O artigo 13 da Lei nº 12.965/2014, o Marco Civil da Internet, determina que os provedores de conexão devem manter esses dados por um ano, em ambiente controlado e de segurança, e que essa guarda não pode ser terceirizada. Registro de conexão, nesse contexto, é o log da sessão: data, hora, duração e endereço IP usado pelo dispositivo que se conectou, não o conteúdo do que o usuário acessou.
Esse prazo de um ano não é opcional nem pode ser encurtado por política interna da empresa. Ele também não é ilimitado: pode ser estendido além de um ano apenas mediante requerimento de autoridade policial, administrativa ou do Ministério Público, que terá então 60 dias para buscar autorização judicial de acesso a esses registros.
Registro de conexão é diferente de registro de acesso a aplicações
Aqui está uma distinção técnica que gera confusão. O provedor de conexão, ou seja, quem fornece a internet via Wi-Fi, é responsável pelos registros de conexão. Já os registros de acesso a aplicações, isto é, quais sites ou serviços o usuário visitou depois de conectado, são de responsabilidade do provedor daquela aplicação específica, não da empresa que oferece o hotspot. O Marco Civil, inclusive, veda expressamente que o provedor de conexão guarde esse segundo tipo de registro.
Na prática de um estabelecimento comum, como uma loja ou restaurante, isso significa que a obrigação recai sobre os dados da própria sessão de conexão gerada no captive portal, não sobre o histórico de navegação do cliente dentro da internet.
Como montar um captive portal em conformidade
O captive portal é a tela que aparece antes de liberar o acesso à internet, e é o ponto de maior exposição jurídica da empresa porque é ali que o consentimento é obtido, ou não.
Termo de consentimento e política de privacidade visíveis antes do aceite
O termo precisa aparecer antes do clique que libera a internet, não depois. Ele deve informar, em linguagem direta, quais dados são coletados, para que finalidade, se há compartilhamento com terceiros e por quanto tempo os dados ficam armazenados. Política de privacidade genérica copiada de outro site, sem relação com o que o Wi-Fi realmente coleta, não cumpre a exigência de transparência da LGPD.
Coleta mínima de dados
O princípio da minimização, previsto no artigo 6º da LGPD, exige que a empresa colete apenas o que é necessário para a finalidade declarada. Se o objetivo é apenas liberar acesso à internet com segurança, pedir CPF completo ou data de nascimento costuma ser desproporcional. Se o objetivo declarado inclui também relacionamento comercial, então email e telefone fazem sentido, desde que essa segunda finalidade também esteja explícita no termo de consentimento.
Dados sensíveis exigem cuidado redobrado
Sistemas de hotspot que usam biometria facial para autenticação, ou que inferem características sensíveis do usuário a partir do comportamento de navegação, tratam de categorias com proteção reforçada. A LGPD trata dados sobre origem racial, convicção religiosa, opinião política, saúde ou biometria como dados sensíveis, e o uso indevido pode gerar consequências mais graves do que o vazamento de um simples cadastro de nome e e-mail.
Um exemplo em que isso funciona bem: uma rede de academias usa reconhecimento facial apenas para controle de catraca, com consentimento específico e opção de cadastro alternativo por cartão para quem não quiser fornecer biometria. Um exemplo em que não funciona: um shopping capta rostos de todos que passam perto do totem de Wi-Fi, sem aviso e sem alternativa, para alimentar um sistema de perfil de consumo.
Direitos do titular dentro da rede Wi-Fi da empresa
Quem se cadastra no hotspot continua sendo titular dos próprios dados, com todos os direitos previstos no artigo 18 da LGPD. Isso inclui confirmação de que o tratamento existe, acesso aos dados coletados, correção de informações incompletas ou desatualizadas, eliminação dos dados tratados com consentimento e revogação desse consentimento a qualquer momento.
Na prática, a empresa precisa oferecer um canal real para esses pedidos, seja um e-mail do encarregado de dados, seja um formulário no próprio site. Não basta mencionar o direito no termo de uso se não existir nenhum processo interno para atendê-lo em prazo razoável. Empresas que dependem de fornecedor terceirizado de hotspot devem confirmar, em contrato, que esse fornecedor também está preparado para processar esses pedidos.
Erros que colocam a empresa em risco
Alguns padrões se repetem em quase todo diagnóstico de conformidade de Wi-Fi corporativo.
| Erro comum | Por que é um problema |
|---|---|
| Cadastro sem termo de consentimento visível | Não há prova de consentimento válido em caso de fiscalização |
| Dados guardados sem prazo definido | Viola o princípio da necessidade e dificulta responder pedidos de exclusão |
| Compartilhamento com parceiros de marketing sem base legal específica | Extrapola a finalidade original informada ao titular |
| Ausência de encarregado de dados (DPO) | Compromete a resposta a incidentes e a pedidos do titular |
| Wi-Fi liberado sem qualquer identificação do usuário | Expõe a empresa a responsabilização por uso ilícito da rede |
| Uso de biometria sem alternativa de cadastro | Trata dado sensível sem justificativa proporcional |
Nenhum desses erros, isoladamente, costuma gerar punição imediata. O problema aparece quando vários deles coexistem, porque é exatamente esse conjunto que caracteriza ausência de governança de dados, o que pesa na dosimetria de uma eventual sanção.
O que a ANPD pode aplicar em caso de descumprimento
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável por fiscalizar e sancionar infrações à LGPD. O artigo 52 da lei lista as sanções administrativas possíveis, que vão muito além da multa financeira.
| Sanção | O que prevê |
|---|---|
| Advertência | Prazo para correção antes de sanções mais graves |
| Multa simples | Até 2% do faturamento da pessoa jurídica no último exercício, excluídos os tributos, limitada a R$ 50.000.000,00 por infração |
| Multa diária | Mesmo teto da multa simples, aplicada a violações contínuas |
| Publicização da infração | Torna pública a decisão após apuração confirmada |
| Bloqueio ou eliminação dos dados | Interrompe o uso dos dados até regularização |
| Suspensão da atividade de tratamento | Impede a empresa de continuar tratando os dados envolvidos |
O primeiro caso de multa efetivamente aplicada pela ANPD envolveu uma microempresa, a Telekall Infoservice, por tratamento de dados sem base legal e ausência de encarregado de dados, o que derruba a ideia de que só empresas grandes entram no radar da fiscalização. Depois disso, notificações da ANPD alcançaram companhias de grande porte, mas o precedente mostra que porte pequeno não funciona como proteção automática.
Vale uma ressalva honesta: a multa máxima de R$ 50 milhões raramente se aplica a um pequeno comércio com Wi-Fi de cortesia. O risco real, na maioria dos casos, está mais em advertências, obrigação de corrigir processos e exposição reputacional do que no valor máximo da multa, que a lei calcula sobre o faturamento da empresa.
Colocar o Wi-Fi da empresa em conformidade com a LGPD não é um projeto de TI isolado, é uma decisão sobre como a empresa trata a confiança de quem entra pela porta e pede a senha da rede. O cadastro no captive portal, o termo de consentimento e o prazo de guarda dos registros de conexão formam um conjunto que precisa ser tratado com a mesma seriedade dedicada a qualquer outro contrato com o cliente. Empresas que ainda operam com um formulário improvisado, sem finalidade declarada e sem responsável definido, não estão automaticamente sujeitas a uma multa milionária, mas estão acumulando exatamente o tipo de lacuna que uma fiscalização, ou um simples pedido de exclusão de dados mal atendido, transforma em problema real.
Perguntas frequentes
Toda empresa que oferece Wi-Fi grátis precisa se preocupar com a LGPD?
Sim, sempre que houver algum tipo de cadastro, login social ou identificação do usuário antes de liberar o acesso. Se a rede é totalmente aberta, sem qualquer coleta de dado pessoal, a exposição à LGPD é menor, mas ainda assim recomenda-se identificação mínima do usuário por questões de segurança previstas no Marco Civil da Internet.
É obrigatório pedir CPF no cadastro do Wi-Fi?
Não. A LGPD exige coleta mínima de dados de acordo com a finalidade. Nome, e-mail ou telefone costumam ser suficientes para identificação e eventual contato comercial. Pedir CPF sem uma justificativa clara para essa finalidade específica tende a ser desproporcional.
Por quanto tempo a empresa precisa guardar os dados do cadastro Wi-Fi?
Depende do tipo de dado. Os registros de conexão, como IP, data e duração da sessão, precisam ficar guardados por um ano conforme o Marco Civil da Internet. Já os dados cadastrais coletados com base em consentimento, como nome e e-mail, devem ser mantidos apenas pelo tempo necessário à finalidade informada ao titular, e eliminados quando esse consentimento for revogado, salvo obrigação legal em sentido contrário.
A empresa pode usar os dados do cadastro Wi-Fi para enviar publicidade?
Só se essa finalidade estiver explícita no termo de consentimento aceito pelo usuário no momento do cadastro. Usar dados coletados apenas para liberar o acesso à internet e depois enviar campanhas de marketing sem esse aviso prévio configura desvio de finalidade, o que é uma infração à LGPD.
É preciso ter um encarregado de dados (DPO) só por causa do Wi-Fi da empresa?
Nem toda empresa é obrigada a ter um DPO formalmente registrado, mas toda empresa que trata dados pessoais precisa indicar um responsável pelo canal de comunicação com titulares e com a ANPD. Em negócios pequenos, essa função pode ser acumulada por outro cargo, desde que exista de fato um ponto de contato funcional.
O que muda se o hotspot for administrado por um fornecedor terceirizado?
O fornecedor de hotspot normalmente atua como operador dos dados, processando-os em nome da empresa que contratou o serviço. Isso não elimina a responsabilidade da empresa contratante, que continua sendo a controladora perante o titular e a ANPD. O contrato entre as partes deve prever como os pedidos de acesso, correção e exclusão serão atendidos.
Qual a diferença entre a LGPD e o Marco Civil da Internet no contexto do Wi-Fi?
A LGPD regula como os dados pessoais coletados no cadastro podem ser tratados, com quais bases legais e sob quais direitos do titular. O Marco Civil da Internet, por sua vez, trata especificamente da guarda dos registros de conexão gerados pela rede, com prazo obrigatório de um ano. As duas leis se aplicam ao mesmo captive portal, mas resolvem problemas diferentes.
Pequenas empresas correm risco real de multa por causa do Wi-Fi?
Correm risco de advertência e de exigência de correção mais do que de multas milionárias, já que o teto de R$ 50 milhões é calculado sobre o faturamento e raramente se aplica de forma proporcional a negócios pequenos. Ainda assim, o primeiro caso de multa efetiva aplicada pela ANPD envolveu justamente uma microempresa, o que mostra que porte reduzido não afasta a fiscalização.