O cliente digita o celular na tela do captive portal, aceita os termos e se conecta. Para ele, foi só pegar o Wi-Fi. Para a LGPD, sua empresa acabou de tratar um dado pessoal.
Em 9 de setembro de 2026, a ANPD abriu consulta pública para atualizar o Regulamento de Fiscalização e o Processo Administrativo Sancionador, a Resolução CD/ANPD nº 1/2021. Contribuições por escrito podem ser enviadas até 26 de outubro de 2026. A audiência virtual aconteceu em 24 de setembro. O prazo aberto agora é o das contribuições escritas.
A consulta não cria uma regra nova para portais de Wi-Fi. Ela revisa o mecanismo de fiscalização: como a ANPD investiga, como processa denúncias, como aplica sanções. Se seu estabelecimento coleta nome, telefone ou e-mail pelo captive portal, ele é agente de tratamento de dados. O processo que está sendo revisado é o que define como a agência chega até você caso algo dê errado.
Veja mais vídeos como esse em nosso canal do YouTube!
O que a consulta muda na prática
A Resolução CD/ANPD nº 1/2021 regulamenta os procedimentos de fiscalização da agência. A consulta propõe atualizações nesses procedimentos, não uma proibição específica a um tipo de portal ou coleta.
O efeito prático, porém, é direto. Um cliente se conecta ao Wi-Fi da sua academia, recebe mensagens promocionais que não pediu e faz uma denúncia à ANPD. O regulamento em revisão determina como essa denúncia será investigada, quais prazos correm, quais sanções se aplicam e como o processo é conduzido.
Para quem administra o Wi-Fi de um restaurante, hotel ou clínica, a questão não é se a consulta menciona captive portals (não menciona especificamente). É que o mecanismo de fiscalização se aplica a qualquer agente de tratamento. E quem coleta dados pessoais pelo Wi-Fi é um agente de tratamento — justamente o que permite identificar clientes recorrentes e personalizar o atendimento, desde que feito com base legal adequada.
Contribuições podem ser enviadas até 26 de outubro de 2026. Depois, a versão consolidada vai para o Conselho Diretor da ANPD.
Conectar ao Wi-Fi não é consentir com marketing
Essa confusão é o maior risco jurídico do Wi-Fi marketing mal implementado.
A LGPD exige informações claras e ostensivas ao titular sobre o tratamento de seus dados (artigo 9º). Quando o consentimento é a base legal utilizada, ele precisa ser específico e informado.
O guia da ANPD sobre cookies, publicado em outubro de 2022, vai além: consentimento inequívoco exige manifestação clara e positiva do titular. Continuar navegando não vale como autorização tácita. A orientação trata de cookies, mas o princípio se aplica a qualquer interface que tenta inferir consentimento da omissão do usuário.
Muitos captive portals funcionam assim: o cliente clica “Conectar” para acessar a internet e, nesse mesmo clique, “aceita” receber promoções, ter dados compartilhados com parceiros e ser incluído em campanhas de remarketing. Tudo no mesmo botão, no mesmo termo, sem distinção de finalidade.
A ANPD já descreveu essa dinâmica como insuficiente para caracterizar consentimento válido, em orientação oficial. A separação precisa ser clara: um opt-in para acessar a rede, outro para receber comunicações de marketing. São finalidades diferentes. Precisam de consentimentos diferentes.
Os números medem infraestrutura, não conformidade
O cenário de conectividade empresarial no Brasil avançou. Na TIC Empresas 2025, 35% das empresas pesquisadas contratavam conexões acima de 500 Mbps, ante 28% em 2024. E 93% tinham fibra óptica. A pesquisa, apresentada em junho de 2026, ouviu 4.174 empresas com dez ou mais pessoas ocupadas, com coleta de fevereiro de 2025 a janeiro de 2026.
Do lado domiciliar, 76 milhões de domicílios brasileiros usavam internet em 2025, ou 95% do total, segundo o IBGE. Mais 1,3 ponto percentual em relação a 2024.
Nenhum desses dois dados mede se o Wi-Fi do salão entrega a velocidade contratada ao aparelho do visitante, se o portal de autenticação está conforme a LGPD, ou se o consentimento coletado é válido. São números de infraestrutura de acesso.
A tentação é usar esses percentuais para justificar investimento em Wi-Fi, e a premissa pode até estar certa. Mas a operação tem três camadas: o link contratado, a rede que distribui o sinal e a camada de coleta e uso de dados. As duas primeiras são infraestrutura. A terceira é regulação. Confundir as três é onde a maioria dos problemas começa.
O que verificar no seu captive portal agora
Não é preciso esperar o resultado da consulta para arrumar a casa. A LGPD já está em vigor. O regulamento de fiscalização atual já permite investigação. O que a revisão faz é refinar o processo.
Cinco verificações concretas para quem opera um hotspot com captive portal:
- O botão de conexão dá acesso à internet. O consentimento para marketing precisa ser um campo separado, desmarcado por padrão.
- Antes do clique, o portal precisa informar quem controla os dados, para que serão usados e por quanto tempo ficam armazenados.
- Se a base legal é consentimento, ele precisa ser específico, informado e revogável. Se é legítimo interesse, o teste de proporcionalidade precisa estar documentado.
- Quem opera o hotspot? É você ou o fornecedor da plataforma? Quem é controlador, quem é operador? O contrato entre as partes precisa responder isso.
- O cliente que consentiu hoje pode revogar amanhã. Seu portal oferece um caminho simples para essa revogação?
Outro ponto que costuma gerar confusão: o artigo 15 do Marco Civil da Internet trata de registros de acesso a aplicações mantidos por provedores de aplicações, com prazo de seis meses. Isso não é uma ordem genérica para todo café coletar CPF e telefone de quem pede a senha do Wi-Fi. Aliás, redes Wi-Fi sem senha adequada trazem riscos próprios que vão além da conformidade com coleta de dados. O desenho da operação e o papel de cada participante determinam as obrigações.
A consulta da ANPD, com prazo em 26 de outubro, é uma janela para quem quer entender o caminho que a fiscalização vai tomar. A obrigação de tratar dados com transparência e base legal, porém, não depende do resultado dela. Já existe. Se o Wi-Fi do seu estabelecimento coleta dados de clientes e você quer que essa coleta gere resultado comercial sem virar passivo jurídico, vale conhecer como funciona um captive portal que já nasce com a LGPD no desenho.
