酒店WiFi认证系统采集的住客上网数据，到底该存多久？这个问题在很多酒店项目中没有明确答案。网络安全法要求网络日志至少留存六个月，但酒店行业还有个人信息保护法的要求，住客个人信息不能无限期保存。两个法律的要求叠加在一起，让酒店的认证数据留存策略变得复杂。存少了不合规，存多了有隐私风险，怎么平衡是每个酒店都要面对的问题。

认证系统到底采集了哪些数据

先厘清认证系统采集的数据类型。第一类是认证身份数据：手机号、房号（如果与酒店管理系统对接）、MAC地址。第二类是认证行为数据：认证时间、认证成功或失败、认证方式（短信、一键、微信等）。第三类是上网行为数据：上下线时间、分配的IP地址、访问的网站记录（如果做了URL日志）。第四类是设备数据：终端类型、操作系统、浏览器类型。

这四类数据的敏感程度不同。第一类和第三类属于个人敏感信息，需要严格控制存储和访问权限。第二类和第四类相对不那么敏感，但仍然可以关联到个人。酒店在制定留存策略时，要按数据类型分别设定留存期限，不能一刀切。

法律要求的具体解读

网络安全法第二十一条规定，网络运营者应当留存相关的网络日志不少于六个月。这里的"网络日志"主要指系统运行日志和安全审计日志，包括认证成功或失败的记录、异常访问记录等。这个要求是强制性的，低于六个月不合规。但这条法律说的日志不是完整的上网行为记录，酒店不需要把住客访问了哪些网站都存六个月。

个人信息保护法对个人信息的存储期限要求是"实现处理目的所必要的最短时间"。也就是说，住客手机号在认证完成后，如果不再需要用于审计追溯，就应该删除或匿名化。但"必要的最短时间"到底是多长，法律没有给出具体数字。实务中，很多酒店把认证身份数据的留存期设为六个月，与日志留存期对齐，六个月后自动删除或脱敏处理。

实际项目中的留存方案

我们建议酒店采用分级留存策略。认证身份数据（手机号、MAC地址）和认证行为数据留存六个月，满足网络安全法的要求。六个月后，手机号做脱敏处理（只保留前三后四位），MAC地址做哈希加密，确保无法还原到原始数据。上网行为数据中的URL访问记录，如果酒店业务上不需要，建议不采集或只采集域名级别的记录，留存三个月后删除。设备数据留存三个月即可，这类数据用于统计分析，不需要长期保存。

留存方案要落实到认证系统的配置上。有些认证系统支持自动数据过期策略，设置好留存天数后，到期自动清理。如果不支持自动清理，需要定期手动执行数据清理脚本。建议每月执行一次，检查是否有过期数据未清理。清理操作要有日志记录，证明酒店履行了数据销毁义务。

住客退房后的数据处理

住客退房后，认证系统应该做什么？很多酒店的认证系统在住客退房后仍然保留认证会话，住客下次入住时不需要重新认证。从体验上看这是好事，但从合规角度看，住客退房后已经不再是当前住客，继续保留其认证会话和上网权限存在风险。建议住客退房后，认证系统收到酒店管理系统的退房通知，自动断开该住客的网络连接，并清除认证会话。认证记录按留存策略保留，但实时上网权限应该立即撤销。这样既满足合规要求，又不会影响住客下次入住时的认证体验。

数据留存的另一个维度是存储安全。认证系统采集的住客手机号、上网记录等数据，存储在数据库中，如果数据库被拖库，住客信息会大规模泄露。酒店行业的网络安全防护水平参差不齐，有些老酒店的认证服务器连防火墙都没有配置，数据库用默认密码，数据裸奔。数据留存不是存下来就完事，还要保证存储安全。数据库要做加密存储，访问要做权限控制，操作日志要完整记录。定期做安全扫描，发现漏洞及时修复。等保测评中对数据存储安全有明确要求，达不到要求会被判定为不合格。

最后说一下数据导出的管控。酒店运营人员经常需要从认证系统导出住客上网数据做分析，导出的数据文件如果管理不善，同样会造成泄露。建议认证系统的数据导出功能做权限分级，只有授权人员才能导出，导出操作要记录日志。导出的文件建议加密，密码通过另外的渠道发送。不要用邮件附件发送明文数据文件，这是很多酒店数据泄露的常见原因。