De plus en plus d’établissements offrent un accès Internet via Wi‑Fi public à leurs visiteurs et clients, créant des besoins de gestion spécifiques. Cette facilité s’accompagne d’obligations légales sur la conservation et la sécurité des données personnelles, qu’il faut connaître pour éviter des risques juridiques. Comprendre les recommandations de la CNIL permet de limiter les risques pour la confidentialité des usagers et pour une connexion sécurisée.
Les responsabilités concernent hôtels, cafés, bibliothèques, transports et collectivités locales proposant un réseau public à leurs visiteurs, avec des règles précises à respecter. Selon la CNIL, il faut distinguer les données techniques à conserver des contenus privés des utilisateurs et appliquer le principe de minimisation. La synthèse suivante présente les points essentiels que tout responsable doit connaître.
A retenir :
- Séparation stricte entre Wi‑Fi public et réseau interne
- Conservation limitée aux données techniques nécessaires une année
- Identification préalable optionnelle justifiée par obligation sectorielle documentée
- Chiffrement à l’état de l’art et séparation des flux
Suite aux principes exposés, obligations légales pour le Wi‑Fi public selon la CNIL
Selon la CNIL, l’article L34‑1 encadre la conservation des données de trafic pour les réseaux publics et fixe des finalités précises. Les données d’identité civile sont conservées pendant cinq ans lorsque l’utilisateur a été identifié volontairement par l’exploitant du service. Ce cadre légal oriente les exigences techniques et prépare la partie suivante sur les mesures de sécurité applicables.
Type de données
Exemples
Durée de conservation
Base légale
Données d’identité civile
Nom, courriel, numéro de téléphone
5 ans
Article L34‑1, avis CNIL
Données d’accès
Adresse IP, horodatage, ports
1 an
Article L34‑1
Données de sécurité
Logs de sécurité, alertes
3 mois
Avis CNIL
Informations de compte
Identifiants, pseudonymes
1 an
Avis CNIL
Données techniques et durées de conservation
Ce point détaille quelles données techniques doivent être conservées et pourquoi, pour permettre les enquêtes. Il s’agit d’adresses IP, d’horodatage, de ports et d’identifiants d’équipement utilisés pendant les connexions sur le réseau public. Selon le Code des postes, ces éléments servent aux enquêtes judiciaires et à la sécurité publique.
Qui est concerné par ces obligations
Ce passage précise les catégories d’établissements soumis aux règles de conservation et d’information vers les usagers. Sont concernés les hôtels, restaurants, bibliothèques, trains, musées et collectivités mettant un Wi‑Fi public à disposition des visiteurs. Les entreprises fournissant un réseau aux salariés restent hors champ de cette conservation, sauf pour les accès visiteurs.
Types d’établissements concernés :
- Hôtels et hébergements touristiques
- Bars, cafés et restaurants
- Médiathèques, bibliothèques et musées
- Transports publics et gares
- Collectivités locales et espaces publics
« J’ai utilisé le Wi‑Fi d’une médiathèque et j’ai reçu une demande d’accès aux logs, ce qui m’a surpris. »
Claire L.
Après la clarification des établissements concernés, sécurité et bonnes pratiques techniques pour le Wi‑Fi public
Selon l’ANSSI, le chiffrement et la séparation des réseaux réduisent significativement les risques de compromission des données. Le responsable doit séparer le réseau public du réseau interne et limiter les accès aux seules fonctions nécessaires pour les visiteurs. Nous détaillerons ensuite les procédures opérationnelles et les précautions à prendre par les responsables.
Mesures techniques obligatoires
Cette sous-partie liste les actions techniques indispensables pour sécuriser un réseau public et limiter les vecteurs d’attaque. Il faut appliquer du chiffrement moderne, filtrer les flux et segmenter les VLAN pour isoler les usages. Selon la CNIL, limiter l’accès aux seules personnes habilitées reste une obligation de sécurité et de gouvernance.
Actions techniques prioritaires :
- Séparer les VLAN pour isoler les réseaux
- Mettre en œuvre du chiffrement conforme aux recommandations
- Filtrer les flux et journaliser les anomalies
- Restreindre l’accès aux personnes habilitées
Prévention contre les attaques courantes
Ce paragraphe aborde les menaces fréquentes et les protections adaptées pour les utilisateurs et les responsables. Les attaques de type phishing exploitent le manque de chiffrement et l’ignorance des usagers sur l’authenticité des réseaux ouverts. Des mesures de filtrage, l’usage de HTTPS et des messages d’information réduisent les risques pour la confidentialité.
Menace
Mesure préventive
Action utilisateur
Phishing sur réseau ouvert
Filtrage HTTP, blocage de sites malveillants
Utiliser HTTPS et VPN personnel
Espionnage de trafic
Chiffrement réseau et isolation des flux
Éviter les transactions sensibles
Usurpation d’accès
Authentification renforcée pour accès privilégié
Vérifier l’authenticité du SSID
Coquilles de sécurité
Mise à jour régulière des équipements
Signaler les anomalies au responsable
« Le personnel IT a activé le chiffrement et nous a expliqué les règles d’usage, cela a rassuré les visiteurs. »
Lucie P.
À partir des mesures techniques, obligations opérationnelles et droits des utilisateurs
À partir des mesures techniques, viennent les obligations opérationnelles sur l’information et les droits des usagers, qui doivent être formalisés. Selon la CNIL, les utilisateurs disposent d’un droit d’accès et de rectification auprès du responsable en cas de collecte des données. Il reste essentiel de documenter les procédures et de préparer des réponses aux demandes d’exercice des droits.
Information et affichage obligatoire
Cette partie précise les obligations d’information et l’affichage à destination des usagers pour assurer la protection des utilisateurs et la transparence. L’établissement doit informer clairement sur les finalités de la collecte et sur les durées de conservation applicables. Des conditions d’utilisation visibles et des coordonnées pour exercer les droits doivent être mises à disposition.
Mentions affichées obligatoires :
- Finalités de la collecte des données
- Durées de conservation par catégorie
- Coordonnées du responsable ou DPO
- Modalités pour exercer les droits
« J’ai demandé mes données et l’établissement m’a fourni l’extrait en quelques jours, la procédure était claire. »
Marc D.
Bonnes pratiques opérationnelles
Ce segment propose des procédures pour limiter les risques et assurer la conformité au regard du RGPD et du code des communications. Il convient de tenir un registre des traitements, former le personnel et tester régulièrement les dispositifs de sécurité. L’empathie envers l’utilisateur aide à expliquer les exigences sans nuire à l’accueil des visiteurs.
Procédures recommandées :
- Journalisation minimale conforme aux finalités
- Plan d’incident et notification des failles
- Formation régulière du personnel d’accueil
- Vérification périodique des configurations
« À mon avis, la priorité reste la formation du personnel pour réduire les erreurs humaines. »
Henri B.
Source : CNIL, « Avis sur la conservation des données », CNIL, 07/10/2021 ; ANSSI, « Recommandations de chiffrement », ANSSI, 2020 ; Législation française, « Article L34-1 », Code des postes et des communications électroniques, 2021.