Seu estabelecimento oferece Wi-Fi para clientes. A conexão funciona, o captive portal aparece, os dados entram na base. Tudo certo, certo? Depende. Se você não sabe explicar, agora, qual lei obriga a guardar logs por 12 meses, qual lei proíbe usar esses mesmos logs sem consentimento separado, e qual resolução exige selo de homologação no access point, seu hotspot tem um problema de compliance para hotspot Wi-Fi que pode custar caro.
Em junho de 2026, a Polícia Civil de São Paulo mostrou o que acontece quando esse problema estoura: dados de usuários do Wi-Fi Livre SP foram cedidos a terceiros para disparos em massa via WhatsApp, sem consentimento. Resultado: operação policial, investigação da ANPD e uma mancha enorme num programa que deveria ser vitrine de inclusão digital.
Este guia traduz as três leis brasileiras que regulam hotspots (Marco Civil, LGPD e Resolução ANATEL 680/2017) em requisitos práticos. Sem juridiquês. Com checklist. E com o que acontece quando você não cumpre.
Veja mais vídeos como esse em nosso canal do YouTube!
O que é compliance para hotspot Wi-Fi
Compliance para hotspot Wi-Fi é o conjunto de obrigações legais, técnicas e contratuais que qualquer operador de rede Wi-Fi aberta ou compartilhada precisa cumprir no Brasil. Não é um selo. Não é um certificado opcional. São requisitos que três legislações diferentes impõem ao mesmo tempo.
Na prática, compliance significa:
- Guardar registros de conexão (IP, MAC, timestamp) por 1 ano, sob sigilo, conforme o Marco Civil da Internet.
- Tratar esses registros como dados pessoais, exigindo consentimento específico para qualquer uso além da obrigação legal, conforme a LGPD.
- Operar com equipamentos homologados pela ANATEL, dentro das faixas de frequência e limites de potência autorizados.
- Apresentar Termo de Uso e Aviso de Privacidade acessíveis antes do login no captive portal.
Quem ignora qualquer um desses pontos opera fora da lei. E operar fora da lei, quando se coleta dados pessoais de centenas ou milhares de pessoas por mês, não é um risco teórico. É um risco mensurável, com multa de até 2% do faturamento (limitada a R$ 50 milhões por infração) no caso da LGPD.
Mas o problema real não está na multa. Está na sobreposição: o Marco Civil pede retenção longa de dados, e a LGPD pede minimização. Isso cria um conflito técnico que a maioria dos operadores nem percebe que existe.
As 3 leis que regulam seu hotspot no Brasil
Três legislações formam a base de compliance para qualquer hotspot Wi-Fi brasileiro. Elas não se substituem. Elas se sobrepõem, e é na sobreposição que mora o risco.
1. Marco Civil da Internet (Lei 12.965/2014)
O Marco Civil da Internet define duas figuras centrais: o provedor de conexão e o provedor de aplicação. Se você opera o access point, você é provedor de conexão.
Obrigações diretas:
- Art. 13: o administrador do sistema deve manter registros de conexão por 1 ano, sob sigilo, em ambiente controlado e seguro.
- Art. 15: registros de acesso a aplicações devem ser guardados por 6 meses.
- Art. 18: o provedor de conexão não responde civilmente por conteúdo gerado por terceiros na rede. Mas essa proteção só vale se os logs existirem e forem entregues quando a Justiça pedir.
O ponto crítico: a tensão entre o prazo de 1 ano (Art. 13) e o de 6 meses (Art. 15) nunca foi resolvida pelo STF. Na prática, o operador precisa manter os dois prazos em paralelo para não correr risco.
2. LGPD (Lei 13.709/2018)
A LGPD classifica MAC address, endereço IP e timestamp como dados pessoais. Isso significa que, no momento em que o celular do cliente se conecta ao seu hotspot, você já está tratando dados pessoais, mesmo antes de pedir nome ou e-mail.
Obrigações que impactam diretamente o hotspot:
- Consentimento específico e destacado (Art. 7, I): o consentimento para se conectar ao Wi-Fi não pode ser o mesmo consentimento para receber campanhas de marketing. São finalidades distintas, precisam de checkboxes distintos.
- Princípio da finalidade (Art. 6): dados coletados para segurança da rede não podem ser reutilizados para CRM sem novo consentimento.
- Direito de exclusão: o titular pode pedir a eliminação dos seus dados. Mas você não pode apagar logs que o Marco Civil manda guardar por 12 meses. Essa contradição exige segregação técnica das bases (mais sobre isso adiante).
- Sanções (Art. 52): advertência, multa de até 2% do faturamento (teto de R$ 50 milhões por infração), bloqueio ou eliminação dos dados.
A boa prática de mercado é que o checkbox de marketing venha desmarcado por padrão, com consentimento ativo (opt-in), separado do consentimento de conectividade. É o mínimo para passar numa auditoria.
3. Resolução ANATEL 680/2017
A Resolução 680/2017 da ANATEL substituiu a antiga Res. 506/2008 e define os requisitos técnicos para equipamentos de radiocomunicação no Brasil. Isso inclui todo access point Wi-Fi.
Na prática:
- Todo AP vendido ou operado no Brasil precisa de certificação ANATEL (selo de homologação).
- As bandas autorizadas são 2.300-2.483,5 MHz (2,4 GHz), 5.150-5.350 MHz e 5.460-8.025 MHz, com limites de potência que variam de 10 mW a 1 W e.i.r.p. conforme a faixa.
- Equipamento sem certificação pode ser apreendido, e o operador responde por interferência.
Para Wi-Fi 6E, vale o Ato 14.448/2017 atualizado, que cobre a faixa de 5.925 MHz a 7.125 MHz. E em junho de 2025, a ANATEL manteve a divisão da faixa de 6 GHz: 5.925-6.425 GHz para Wi-Fi e 6.425-7.125 GHz para o Serviço Móvel Pessoal. Quem está planejando Wi-Fi 7 no Brasil precisa saber que vai operar com metade da faixa disponível nos EUA.
Três leis. Três conjuntos de obrigações. E entre as duas primeiras, um conflito técnico que define se o seu hotspot é compliant ou vulnerável.
O conflito real: reter logs vs. minimizar dados
Aqui está o nó que a maioria dos operadores de hotspot não desata (e que nenhum dos artigos em inglês sobre o tema sequer menciona, porque é um problema brasileiro).
O Marco Civil diz: guarde registros de conexão por 12 meses. A LGPD diz: retenha dados pessoais apenas pelo tempo necessário para a finalidade declarada, e elimine quando o titular pedir.
O problema: IP, MAC e timestamp são, ao mesmo tempo, “registros de conexão” (Marco Civil) e “dados pessoais” (LGPD). Se o titular pede exclusão dos dados, você apaga os logs? Se apagar, viola o Marco Civil. Se não apagar, viola a LGPD.
A solução técnica que o mercado vem adotando é a segregação de bases:
- Base regulatória: armazena IP, MAC e timestamp em repositório imutável, criptografado, acessível apenas sob ordem judicial. Prazo: 12 meses (Marco Civil). Não é usada para marketing. Não é exportável para CRM.
- Base de marketing: armazena nome, e-mail, telefone, preferências. Prazo: 6 a 12 meses para ação comercial, com exclusão imediata se o consentimento for revogado.
Quando o titular pede exclusão, você elimina os dados da base de marketing (LGPD cumprida) e mantém os logs de conexão na base regulatória (Marco Civil cumprido). Sem essa separação, qualquer pedido de exclusão colide com a obrigação de retenção.
Detalhe que agrava o cenário: iOS 14+ e Android 10+ randomizam o endereço MAC a cada conexão. Isso infla a contagem de visitantes únicos em mais de 40% e dificulta a correlação entre sessões. A saída é autenticar via cadastro (e-mail, telefone, login social) no captive portal, o que reforça a necessidade de consentimento granular, não a elimina.
Se o conflito entre leis parece abstrato, o caso a seguir mostra o que acontece quando ele é ignorado na prática.
O caso Wi-Fi Livre SP: quando compliance falha, a polícia chega
Em junho de 2026, a Operação Wi-Fi da Polícia Civil de São Paulo mirou a ONG Instituto Conhecer Brasil (ICB), responsável pela operação do programa Wi-Fi Livre SP. O programa era grande: 5.000 pontos previstos, contrato de R$ 157,1 milhões, dos quais R$ 26 milhões foram pagos sem serviço correspondente.
Municípios menores enfrentam desafios similares ao implementar redes públicas: veja como estruturar hotspot Wi-Fi em pequenas cidades.
Mas o problema de compliance foi pior que o financeiro. A ONG teria cedido a base de telefones captados no login do Wi-Fi Livre para empresas terceiras (Talk Communications e Orbis), que fizeram disparos em massa via WhatsApp e SMS. Sem consentimento dos usuários. Sem base legal. Sem sequer separar os dados de conexão dos dados de marketing.
Em 25 de maio de 2026, a Prefeitura publicou comunicado afirmando que “os dados pessoais dos usuários são invioláveis” e que o programa estava em conformidade com o Marco Civil e a LGPD. Uma semana depois, a polícia estava nas portas da ONG.
O que foi violado, objetivamente:
- Art. 7, I da LGPD: consentimento específico e destacado inexistente para cessão a terceiros.
- Art. 6 da LGPD (finalidade): dados coletados para “prover conexão Wi-Fi” usados para “campanha de marketing político”.
- Art. 13 do Marco Civil: logs de conexão usados fora da finalidade regulatória (investigação criminal), repassados a empresas privadas.
Para o gestor de PDV que opera um hotspot: o caso muda o cálculo de risco. Antes dele, compliance de Wi-Fi era burocracia de TI. Depois dele, virou pauta do Ministério Público, da ANPD e da Polícia Civil simultaneamente.
A pergunta que fica: como montar um hotspot que resiste a esse nível de escrutínio?
Checklist prático: o que seu hotspot precisa ter
Não existe compliance parcial. Ou o hotspot cumpre os requisitos das três legislações, ou não cumpre. Abaixo, o mínimo que um hotspot juridicamente defensável exige em 2026.
Equipamento e rede
| Requisito | Base legal | Como verificar |
|---|---|---|
| AP com selo de homologação ANATEL | Res. 680/2017 | Código de homologação visível no equipamento ou na embalagem |
| Rede de visitantes isolada por VLAN ou SSID separado | ISO 27001:2022, controle A.8.22 | Tráfego da rede guest não alcança a rede corporativa nem dispositivos IoT |
| Criptografia WPA2 ou WPA3 ativa | Boa prática (evita evil twin) | Configuração do AP ou controladora |
Captive portal e consentimento
| Requisito | Base legal | Como verificar |
|---|---|---|
| Termo de Uso acessível antes do login | Marco Civil, Art. 7 | Tela do captive portal exibe link clicável, sem scroll forçado |
| Aviso de Privacidade separado, com identificação do controlador (CNPJ) | LGPD, Art. 9 | Documento específico, não embutido no Termo de Uso |
| Checkbox de marketing desmarcado por padrão | LGPD, Art. 7, I (opt-in) | Testar no celular: o checkbox precisa estar vazio ao abrir a tela |
| Consentimento de conectividade separado do consentimento de marketing | LGPD, Art. 8, §4 | São dois aceites distintos, não um “aceito tudo” |
| Registro de data, hora e versão do termo aceito | LGPD, Art. 8, §2 (ônus da prova) | Dashboard da plataforma de captive portal mantém log auditável |
Retenção e segregação de dados
| Requisito | Base legal | Como verificar |
|---|---|---|
| Logs de conexão (IP, MAC, timestamp) retidos por 12 meses | Marco Civil, Art. 13 | Repositório imutável, com backup e acesso restrito |
| Logs de aplicação retidos por 6 meses | Marco Civil, Art. 15 | Base separada dos logs de conexão |
| Base de marketing segregada da base regulatória | LGPD + Marco Civil (conciliação) | Pedido de exclusão do titular não afeta logs regulatórios |
| Política de descarte automático após expiração do prazo | LGPD, Art. 16 | Rotina automatizada com log de execução |
Governança
| Requisito | Base legal | Como verificar |
|---|---|---|
| DPO (Encarregado de Dados) nomeado e publicado | LGPD, Art. 41 | Nome e contato acessíveis no site da empresa |
| Canal de atendimento ao titular funcional | LGPD, Art. 18 | Teste: envie um pedido de exclusão e meça o prazo de resposta |
| Contrato com fornecedor de captive portal com cláusulas de proteção de dados | LGPD, Art. 39; ISO 27001, A.8.21 | Contrato assinado com obrigações de segurança e confidencialidade |
Se você olhou essa lista e percebeu que seu hotspot não atende metade dos itens, não está sozinho. A maioria dos estabelecimentos opera com Wi-Fi “funcionando” mas não “compliant”. A diferença entre os dois é a distância entre tranquilidade e uma notificação da ANPD.
Quem já usa uma plataforma de Wi-Fi Marketing com captive portal estruturado resolve boa parte desses itens de forma nativa: termo de uso, aviso de privacidade, consentimento granular, logs com retenção configurável e segregação de bases. Quem monta sozinho, com roteador de prateleira e página HTML estática, precisa montar cada camada do zero.
Mas o checklist cobre o que existe hoje. A pergunta é: o captive portal continua sendo a melhor arquitetura, ou já existe algo melhor?
Captive portal, Passpoint ou modelo híbrido: qual é o caminho
O captive portal é a tecnologia dominante no Brasil. Funciona em qualquer smartphone, tem baixo custo e oferece a tela onde o consentimento é coletado. Mas tem limitações reais: o tempo de conexão varia de 30 a 60 segundos, a experiência é interrompida, e redes abertas sem criptografia de primeiro frame são vulneráveis a ataques de “evil twin” (access point falso que imita o legítimo).
A alternativa técnica é o Passpoint (Hotspot 2.0), certificado pela Wi-Fi Alliance. Ele elimina a tela de login, cifra o tráfego desde o primeiro pacote via WPA2/WPA3-Enterprise e reduz o tempo de conexão para menos de 1 segundo. O “evil twin” deixa de funcionar porque o dispositivo valida o certificado do AP antes de transmitir qualquer dado.
O OpenRoaming, gerido pela Wireless Broadband Alliance, leva o conceito adiante: uma federação global de 3 milhões de access points com suporte nativo em iOS, Android, Windows e macOS. No Brasil, a rede RaiaDrogasmil já usa. ISPs que operam hotspot em escala também precisam avaliar essas tecnologias para manter conformidade enquanto ampliam a base.
Comparativo rápido:
| Captive portal clássico | Captive portal + login social | Passpoint / OpenRoaming | |
|---|---|---|---|
| Tempo de conexão | 30-60 s | 10-20 s | Menos de 1 s |
| Criptografia do primeiro frame | Não | Não | Sim (WPA2/WPA3-Enterprise) |
| Captura de consentimento LGPD | Na tela de login | Na tela de login | Pré-configurada no perfil do dispositivo |
| Captura de dados para marketing | Alta | Muito alta | Baixa (sem tela de interação) |
| Visitante de primeira viagem | Funciona bem | Funciona bem | Funciona mal (requer perfil prévio) |
| Visitante recorrente | Experiência ruim (login repetido) | Média | Excelente (conexão automática) |
A leitura prática: Passpoint sozinho não resolve para quem precisa capturar leads no primeiro contato (que é o cenário de academia, restaurante, hotel, evento). O captive portal sozinho não resolve para quem tem visitantes recorrentes e quer eliminar fricção sem abrir mão de segurança.
O modelo que tende a prevalecer em 2026 e além é o híbrido: captive portal para a primeira visita (captura de consentimento, dados de contato, opt-in de marketing) e Passpoint para visitas subsequentes (conexão automática, criptografada, sem splash page). É o melhor dos dois mundos: compliance na entrada, experiência no retorno.
Se o seu estabelecimento já opera com hotspot social e captive portal, a evolução natural é adicionar a camada de Passpoint quando os APs e a plataforma suportarem. Se ainda não opera com captive portal estruturado, o primeiro passo é mais urgente: colocar uma plataforma que cubra o básico de compliance antes de pensar em tecnologia de ponta.
Perguntas frequentes
Qual a multa por operar hotspot sem compliance com a LGPD?
A LGPD prevê sanções que vão de advertência até multa de 2% do faturamento do grupo econômico, limitada a R$ 50 milhões por infração (Art. 52). Em 2024, a ANPD aplicou as primeiras sanções do ano a entidades públicas (SEEDF, INSS, Ministério da Saúde). Para empresas privadas, processos administrativos já estão em andamento. O caso Wi-Fi Livre SP tende a abrir precedente para sanções mais pesadas a operadores de hotspot.
MAC address é dado pessoal?
Sim. A LGPD define dado pessoal como qualquer informação que identifique ou possa identificar uma pessoa natural. MAC address, IP e timestamp permitem essa identificação quando cruzados. Portanto, o simples fato de um dispositivo se conectar ao AP já configura tratamento de dados pessoais, mesmo sem cadastro no captive portal.
Posso usar os dados do Wi-Fi para campanhas de marketing?
Pode, desde que o consentimento para marketing seja coletado separadamente do consentimento de conectividade, com checkbox desmarcado por padrão (opt-in ativo). Os dados usados para marketing devem ficar em base segregada dos logs de conexão exigidos pelo Marco Civil. E o titular pode revogar o consentimento a qualquer momento, com exclusão imediata dos dados de marketing.
Por quanto tempo devo guardar os logs de conexão?
O Art. 13 do Marco Civil fixa 12 meses para registros de conexão (IP, MAC, timestamp). O Art. 15 fixa 6 meses para registros de acesso a aplicações. Os dois prazos correm em paralelo. Após a expiração, o descarte deve ser automatizado e documentado.
Login social (Facebook, Google, WhatsApp) no captive portal é compatível com a LGPD?
Sim, desde que o consentimento para uso dos dados obtidos via login social seja específico e declarado na tela de login. O usuário precisa saber exatamente o que será feito com o e-mail ou número de telefone obtido. Login via WhatsApp OTP tende a crescer por não exigir senha compartilhada, reduzindo risco de credential stuffing.
Preciso de DPO para operar um hotspot Wi-Fi?
A LGPD exige que toda empresa que trate dados pessoais nomeie um Encarregado de Dados (DPO). Não há exceção para pequeno porte no texto da lei, embora a ANPD tenha flexibilizado alguns requisitos para microempresas. Na prática, qualquer estabelecimento que coleta dados via captive portal deve ter, no mínimo, um responsável nomeado com contato publicado no site.
Se você opera hotspot em academia, hotel, restaurante, clínica ou qualquer outro PDV e quer garantir que a captura de dados funciona dentro da lei (e funciona como canal de marketing), fale com nosso time. Compliance não precisa ser burocracia. Precisa ser estrutura.
