GDPR pentru Wi-Fi-ul oaspeților: ce trebuie să jurnalizeze hotelurile din România

Publicat pe 19 octombrie 2026 de către Network Consulting Team

Un număr surprinzător de mulți general manageri de hotel din România cred că sunt obligați prin lege să păstreze jurnalele de conectare Wi-Fi ale oaspeților timp de luni de zile, „în caz că întreabă poliția". Această convingere este larg răspândită și este greșită — și atrage atenția către sarcina de conformitate greșită, în timp ce obligațiile care se aplică, de fapt, și cele pentru care autoritatea română de protecție a datelor a amendat efectiv hoteluri, rămân neglijate. Acest articol separă mitul de legea reală: ce cere, de fapt, GDPR la nivelul portalului captiv, ce ar trebui să evitați în mod deliberat să colectați, și unde se află riscul real de sancțiune pentru o unitate hotelieră din România.

Mitul retenției: hotelurile nu sunt operatori de telecomunicații

Mitul are rădăcini într-un regim european mai vechi, care obliga operatorii de telecomunicații și de internet să rețină date de trafic și de localizare pe o perioadă fixă, pentru acces al autorităților de aplicare a legii. România a implementat acest regim prin Legea nr. 298/2008 — iar Curtea Constituțională a României a declarat-o neconstituțională prin Decizia nr. 1258 din 8 octombrie 2009, cu ani înainte ca majoritatea hotelurilor să își instaleze primul hotspot Wi-Fi pentru oaspeți (EDRi). Nici Directiva UE privind retenția datelor (2006/24/CE), care sta la baza acestui regim, nu a supraviețuit: Curtea de Justiție a Uniunii Europene a declarat-o nevalidă pentru întregul bloc comunitar prin hotărârea Digital Rights Ireland din 8 aprilie 2014, constatând că obligația generalizată de retenție era disproporționată în raport cu drepturile la viață privată pe care le afecta (CJUE, cauzele conexate C-293/12 și C-594/12).

Chiar și atunci când un astfel de regim de retenție exista, acesta viza furnizorii de servicii de comunicații electronice destinate publicului — nu afacerile care oferă acces la internet drept un gest de curtoazie pentru proprii clienți. Curtea de Justiție a abordat direct această distincție în cauza McFadden împotriva Sony Music Entertainment, un caz din 2016 privind Wi-Fi-ul gratuit al unui magazin: oferirea accesului la internet pentru a atrage clienți reprezintă un „serviciu al societății informaționale" conform normelor europene de comerț electronic, nu un serviciu de telecomunicații, iar operatorul beneficiază de o exonerare de răspundere, nu de o obligație de monitorizare sau de retenție (CJUE, cauza C-484/14). Un hotel care oferă Wi-Fi oaspeților se situează exact în această categorie. Nu există astăzi nicio lege europeană sau românească care să vă oblige să rețineți jurnalele de conectare Wi-Fi ale oaspeților pentru o perioadă fixă, stabilită prin lege, „pentru autorități".

Ce cere, de fapt, GDPR la nivelul portalului captiv

Nimic din toate acestea nu scoate Wi-Fi-ul pentru oaspeți de sub incidența GDPR — înseamnă doar că regulamentul aplicabil este GDPR în sine (Regulamentul (UE) 2016/679), nu o obligație de retenție de tip telecom. În practică, asta înseamnă:

• Un temei legal pentru fiecare câmp pe care îl colectați (art. 6): un nume și o adresă de e-mail pentru un newsletter de marketing necesită consimțământ liber exprimat și specific; adresa IP, adresa MAC și marca temporală a conexiunii, pe care portalul captiv le jurnalizează automat în scopuri de securitate și investigare a abuzurilor, se pot baza, de regulă, pe interesul legitim, cu condiția să îl fi analizat și să puteți explica de ce se aplică.
• Consimțământul nu poate fi condiționat de acces (art. 7 alin. (4)): dacă acceptarea mesajelor de marketing este o condiție pentru a vă conecta la internet, acel consimțământ nu este liber exprimat și nu este valid. Acceptarea termenilor de utilizare și opțiunea de marketing trebuie să aibă casete separate, cu marketingul neselectat implicit.
• Colectați mai puțin, nu mai mult (art. 5 alin. (1) lit. (c)): un portal captiv care solicită un număr de pașaport sau o adresă de domiciliu doar pentru a oferi acces la Wi-Fi colectează date pentru care nu are nicio utilitate și niciun temei pentru a le păstra.
• Stabiliți un calendar de retenție și respectați-l (art. 5 alin. (1) lit. (e)): definiți cât timp sunt păstrate jurnalele de sesiune și de securitate și ștergeți-le conform programului. GDPR cere o perioadă definită și justificată — nu una nedeterminată, și nici o politică de tipul „le păstrăm pentru orice eventualitate".
• Informați oaspeții despre ce faceți cu datele lor (art. 13): nota de informare privind confidențialitatea de pe portalul captiv ar trebui să apară înainte ca datele să fie transmise, într-un limbaj simplu, care să acopere ce se colectează, de ce, cât timp este păstrat și cui îi este transmis.

Unde sunt amendate, de fapt, hotelurile din România

ANSPDCP, autoritatea română de protecție a datelor, a devenit mai activă împotriva hotelurilor în ultimii ani, iar tiparul din deciziile sale este instructiv — niciuna dintre amenzile de mai jos nu a avut legătură cu o retenție insuficientă a jurnalelor Wi-Fi:

• Noy Business Tranzactions SRL (Pirates Resort, Mamaia): amendată cu 1.000 de euro, într-o decizie finalizată în februarie 2025, după ce nu a răspuns în termenul legal unei cereri a unui oaspete privind propriile imagini de pe camerele de supraveghere — o încălcare a dreptului de acces și de ștergere garantat de GDPR (StartupCafe).
• Ana Hotels SRL (grupul hotelier George Copos): amendată cu 8.000 de euro în baza articolului 83 din GDPR, pentru o încălcare a articolului 32 privind securitatea, după un atac de tip ransomware care a expus datele oaspeților (StartupCafe).
• World Trade Center Bucharest: amendat cu 15.000 de euro după ce o listă tipărită, cu datele personale ale 46 de oaspeți, a fost fotografiată și publicată online, din cauza unor măsuri tehnice și organizatorice de securitate inadecvate (Economica.net).

Fiecare dintre aceste cazuri are legătură cu o securitate deficitară, un răspuns lent la o cerere a unui oaspete privind drepturile sale sau garanții inadecvate în jurul unor date care existau deja — nu cu un fișier de jurnalizare lipsă. Acolo ar trebui să se concentreze, de fapt, efortul de conformitate GDPR al unui hotel.

„Niciuna dintre amenzile ANSPDCP aplicate hotelurilor nu a avut legătură cu păstrarea insuficientă a jurnalelor Wi-Fi. Au avut legătură cu o securitate deficitară și cu răspunsuri lente date oaspeților care au întrebat ce s-a făcut cu datele lor."

Cookie-uri, analiză de date și dacă aveți nevoie de un DPO

Două întrebări conexe apar suficient de des pentru a merita un răspuns direct. Prima: dacă portalul captiv sau platforma de marketing plasează cookie-uri sau elemente de urmărire în scop analitic, dincolo de ceea ce este strict necesar pentru funcționarea paginii de autentificare, acest aspect este reglementat separat de Legea nr. 506/2004 (care transpune Directiva europeană asupra confidențialității și comunicațiilor electronice), care impune propriul consimțământ pentru cookie-urile neesențiale — distinct de, și în plus față de, consimțământul GDPR pentru prelucrarea datelor cu caracter personal. Un banner de cookie-uri pe portalul captiv nu este opțional dacă rulați pe el scripturi de analiză sau de urmărire publicitară.

A doua: articolul 37 din GDPR impune numirea unui responsabil cu protecția datelor (DPO) atunci când activitatea principală a organizației implică monitorizarea pe scară largă, regulată și sistematică a persoanelor. O singură unitate care jurnalizează metadate de sesiune Wi-Fi obișnuite este puțin probabil să atingă singură acest prag. Un grup hotelier cu mai multe unități, care realizează profilare structurată a oaspeților, corelarea datelor din programele de loialitate sau analize de marketing la nivelul mai multor unități, este o discuție diferită, și una care merită purtată cu un consultant în protecția datelor, nu presupusă în niciun sens implicit.

Ce merită jurnalizat și ce merită evitat în mod deliberat

Rezonabil de jurnalizat — și de fapt util

• Evenimentele de consimțământ de la portalul captiv: cine a fost de acord cu ce, când și ce versiune a notei de informare a văzut. Aceasta este dovada dumneavoastră de conformitate dacă un oaspete sau ANSPDCP vă întreabă vreodată.
• Metadatele sesiunii de conectare (adresă IP/MAC, marcă temporală) pentru o fereastră de timp limitată și definită, pentru a investiga un abuz sau un incident de securitate în rețea.
• Cererile de acces și de ștergere în sine, și momentul în care ați răspuns. Amenda aplicată Pirates Resort, de mai sus, arată exact ce se întâmplă atunci când acest lucru nu este urmărit.

Merită evitat

• Numerele de act de identitate sau de pașaport colectate la ecranul de autentificare Wi-Fi, în loc de la check-in, unde aceste date pot avea deja un temei legal separat, conform regulilor de înregistrare a cazării.
• Retenția permanentă și nelimitată a jurnalelor de sesiune „pentru orice eventualitate".
• Condiționarea accesului la rețea de consimțământul pentru marketing, așa cum am discutat mai sus.

O listă de verificare a portalului captiv pentru managerii de hotel

• Verificați ce solicită, de fapt, portalul captiv actual și eliminați orice depășește numele/e-mailul, plus câmpurile tehnice pe care le jurnalizează automat.
• Separați caseta „accept termenii" de caseta „trimiteți-mi materiale de marketing", cu marketingul dezactivat implicit.
• Puneți o notă de informare privind confidențialitatea, scrisă într-un limbaj simplu, chiar în fața formularului de autentificare, nu ascunsă într-un PDF pe care nimeni nu îl deschide.
• Conveniți asupra unei perioade de retenție scrise pentru jurnalele de sesiune și de securitate, împreună cu cei care administrează rețeaua, și integrați-o în sistem, în loc să lăsați ștergerea ca sarcină manuală.
• Documentați cine din echipa dumneavoastră este responsabil de gestionarea unei cereri de acces sau de ștergere din partea unui oaspete și confirmați că aceasta poate fi procesată în termenul de o lună permis de articolul 12 alin. (3) din GDPR.

Alinierea rețelei cu politica

O politică de retenție și de consimțământ este la fel de bună ca rețeaua din spatele ei. Dacă Wi-Fi-ul oaspeților, dispozitivele personalului, sistemul PMS și sistemele de camere video se află toate pe aceeași rețea plată, un singur portal captiv compromis — sau un atacator care ajunge pe VLAN-ul oaspeților — are o cale de acces către sisteme care dețin date mult mai sensibile decât un istoric de navigare. Exact acesta este tipul de expunere din spatele amenzii Ana Hotels, menționată mai sus. Tratăm partea tehnică a limitării acestui risc în ghidul nostru despre segmentarea rețelei hoteliere, iar elementele fundamentale de securitate în articolul nostru despre cum să vă păstrați oaspeții în siguranță în era digitală.

Acest articol reprezintă informații generale, nu consultanță juridică; pentru perioadele dumneavoastră specifice de retenție și pentru documentație, lucrați cu un consultant calificat în protecția datelor. Dacă doriți un răspuns clar despre unde se situează, de fapt, arhitectura de rețea și fluxurile de date ale unității dumneavoastră, o evaluare structurată prin serviciile noastre de consultanță în infrastructură de rețea este un punct de pornire practic — luați legătura cu echipa noastră pentru a stabili domeniul de aplicare.