Você digita o celular, aceita os termos e entra na internet. É o que milhões de pessoas fazem quando conectam a um Wi-Fi público. Até o dia em que começam a receber mensagens que nunca pediram.
Em 03 de junho de 2026, a deputada federal Sâmia Bomfim (PSOL-SP) protocolou representação à ANPD pedindo investigação sobre o tratamento de dados pessoais no programa WiFi Livre SP, mantido pela Prefeitura de São Paulo. A suspeita é de que celulares fornecidos pelos usuários para acessar a rede gratuita teriam sido repassados a terceiros e utilizados em campanhas de disparo em massa.
Não é uma condenação. É um pedido de fiscalização. Mas o mecanismo descrito na apuração que motivou a representação expõe um problema que vai além do Wi-Fi público municipal: a confusão entre dado coletado para liberar conexão e dado tratado como insumo de campanha.
Veja mais vídeos como esse em nosso canal do YouTube!
O que a representação questiona
O pedido de Sâmia Bomfim se apoia em reportagem do Intercept Brasil, publicada em 02 de junho de 2026, que detalhou contratos envolvendo o Instituto Conhecer Brasil (ICB) e a empresa Talk Communications. Segundo a apuração, o acordo previa 12 campanhas de 675.505 mensagens cada, totalizando cerca de 8,1 milhões de envios, em um contrato avaliado em aproximadamente R$ 2,7 milhões para serviços de marketing digital e disparos via WhatsApp.
O ponto sensível é a origem dos contatos. O Intercept relata que o ICB se comprometia a disponibilizar dados de usuários do Wi-Fi Livre e que o usuário não era informado sobre esse aproveitamento na hora de fornecer o celular para se conectar.
As respostas vieram divididas. A Prefeitura, por meio da Secretaria Municipal de Inovação e Tecnologia, afirmou desconhecer qualquer compartilhamento de dados pessoais para finalidade externa ao serviço. A Talk Communications negou ter recebido dados do Wi-Fi. O ICB não respondeu até a publicação da reportagem.
Na representação, a deputada pediu que a ANPD verificasse contratos, termos de parceria, políticas de privacidade, registros de tratamento e a existência de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), além de avaliar medidas cautelares para impedir eventual continuidade de operações irregulares.
Um ponto que precisa ficar claro: o volume de 8,1 milhões se refere a mensagens previstas em contrato, não a pessoas afetadas. Um mesmo número pode receber várias mensagens, e não há confirmação pública de quantas campanhas foram efetivamente executadas. Tratar esse número como “8,1 milhões de vítimas” seria impreciso.
O celular do cadastro e a lista de disparo são coisas diferentes
O WiFi Livre SP existe desde 2014, quando o primeiro ponto foi instalado no Pateo do Collegio. Na página institucional, a Prefeitura afirma não coletar nem tratar dados pessoais relacionados à navegação dos usuários. Essa garantia se refere a dados de navegação, não aos celulares fornecidos no cadastro de acesso. A representação questiona exatamente o segundo caso.
A LGPD exige que o titular receba informação clara sobre as finalidades do tratamento e sobre compartilhamento com terceiros. Quando o tratamento depende de consentimento, autorizações genéricas são nulas. A manifestação do titular precisa ser vinculada a uma finalidade determinada.
Na prática: pedir o celular para liberar o Wi-Fi tem uma finalidade. Encaminhar esse celular para campanhas de WhatsApp sem avisar o titular tem outra, completamente diferente. Se o aviso na tela de conexão menciona apenas autenticação, qualquer uso posterior para marketing precisa de base legal específica e de comunicação ao titular.
Também vale separar exigência legal de conveniência. O Marco Civil da Internet define registro de conexão como data, horário, duração e endereço IP. Celular não entra nessa definição. Pedir o número pode ser legítimo por outras razões, mas não se justifica automaticamente como obrigação de guarda de registros.
O que muda para quem opera Wi-Fi comercial
O caso não cria regra nova, não inventa prazo de adaptação e não impõe taxa. Mas coloca luz em uma prática mais comum do que deveria: coletar dados com uma justificativa e usá-los com outra.
Se você opera Wi-Fi em academia, restaurante, hotel ou qualquer outro estabelecimento, o exercício mais útil que esse caso sugere é simples. Pegue o aviso que aparece no seu captive portal, leia, e depois confronte com o contrato do seu fornecedor de hotspot. Se o aviso fala em “acesso ao Wi-Fi” mas o contrato permite “campanhas de parceiros”, existe uma divergência que precisa ser resolvida antes de usar qualquer base para ação de marketing.
A LGPD prevê o legítimo interesse como hipótese de tratamento, mas ele exige finalidade legítima, análise concreta, respeito às expectativas do titular e tratamento limitado aos dados estritamente necessários. Um cliente que fornece o celular para navegar na internet do restaurante não está, necessariamente, esperando receber promoções de um terceiro que ele nunca ouviu falar.
Wi-Fi marketing não é irregular por natureza. O que separa uma operação sólida de uma que pode acabar na mesa da ANPD é o opt-in informado, com finalidade clara e linguagem direta no momento da conexão.
O que o usuário pode fazer
Se você usou o WiFi Livre SP e passou a receber mensagens não solicitadas, a LGPD garante o direito de perguntar ao responsável quais dados possui sobre você, de onde vieram, para quais finalidades são usados e com quem foram compartilhados. O pedido não pode gerar custo ao titular, e a resposta deve vir em formato simplificado de imediato ou em declaração completa em até 15 dias.
Se o controlador não responder ou a resposta for insatisfatória, o próximo passo é encaminhar petição à ANPD, que orienta guardar provas da tentativa anterior. O serviço de requerimento é gratuito, com estimativa de até 30 dias úteis para processamento, embora a etapa de resultado não tenha prazo definido.
Um ponto prático: receber publicidade, por si só, não prova que o celular saiu do WiFi Livre. Mas preservar a mensagem, o remetente, a data e qualquer identificação da campanha ajuda a formular uma pergunta verificável sobre a origem do contato.
Onde o caso está em novembro de 2026
Até 08 de novembro de 2026, não há confirmação pública de decisão da ANPD sobre essa representação. Não foi identificada medida cautelar deferida, sanção aplicada ou procedimento instaurado publicamente por esses fatos. Isso não significa que nada esteja em andamento. Significa que o desfecho ainda não é público.
A própria deputada, em declaração ao Metrópoles, usou a expressão “se confirmadas” ao se referir às denúncias: “Se confirmadas, as denúncias apontam para uma violação muito séria do direito à privacidade e à proteção de dados pessoais.”
O caso segue em aberto. Mas a questão que ele levanta já está respondida pela lei: dado coletado para uma finalidade não pode ser reaproveitado em outra sem base legal e sem informação ao titular. Isso vale para o WiFi Livre SP e vale para o Wi-Fi do seu estabelecimento.
Se o seu negócio oferece Wi-Fi e você quer que a captura de dados funcione como canal real de marketing, com opt-in, finalidade clara e conformidade com a LGPD desde o captive portal, veja como o Wi-Fi Marketing opera quando o processo é feito do jeito certo.
