WiFi Public : obligations légales pour entreprises sur la Côte d'Azur

C'est le point le plus mal compris. L'article L34-1 du Code des postes et des communications électroniques (CPCE) vise non seulement les opérateurs télécoms, mais aussi « les personnes qui, au titre d'une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l'intermédiaire d'un accès au réseau ». Autrement dit : l'hôtel qui donne le code WiFi à ses clients, le café qui affiche « WiFi gratuit », le coworking, la médiathèque, le camping — tous endossent une partie des obligations d'un fournisseur d'accès, même si l'abonnement internet est souscrit chez Orange ou SFR.

Votre FAI reste responsable de la ligne ; vous êtes responsable de l'accès que vous redistribuez. La taille de l'établissement n'entre pas en ligne de compte : un salon de thé de vingt places est concerné au même titre qu'un palace.

Le CPCE (article L34-1) pose le principe : les données de connexion doivent être conservées et pouvoir être communiquées aux autorités habilitées (justice, services d'enquête) sur réquisition. Le régime a été précisé par le décret n°2021-1362 du 20 octobre 2021, qui distingue les catégories de données et leurs durées.

La LCEN (loi pour la confiance dans l'économie numérique, 2004) complète le dispositif sur la responsabilité des intermédiaires techniques.

Le RGPD et la loi Informatique et Libertés encadrent le traitement : les données de connexion sont des données personnelles. Vous devez informer les utilisateurs, limiter la collecte au nécessaire, sécuriser le stockage et respecter les droits d'accès et d'effacement (ce dernier ne s'appliquant pas aux données dont la conservation est une obligation légale). La CNIL publie des fiches pratiques dédiées au WiFi ouvert au public — une référence utile en cas de doute.

Les durées applicables en pratique, telles qu'issues du CPCE et de son décret d'application :

• Identité civile de l'utilisateur (si vous la collectez : nom, prénom) : 5 ans après la fin de la relation.
• Informations fournies lors de l'inscription (e-mail, identifiant de compte, données de paiement le cas échéant) : 1 an.
• Données techniques de connexion (adresse IP attribuée, identifiant technique type adresse MAC, date, heure et durée de chaque connexion) : 1 an — c'est le socle minimal que tout établissement doit être capable de produire.

Et surtout, ce que vous ne devez pas conserver : le contenu des communications et l'historique de navigation détaillé (sites consultés). La loi impose de savoir qui s'est connecté, quand et avec quelle adresse — pas ce qu'il a fait. Conserver plus que nécessaire n'est pas de la prudence : c'est une non-conformité RGPD.

En pratique, cette journalisation est assurée par le routeur ou le contrôleur WiFi professionnel, avec export horodaté et sauvegarde sécurisée. Le matériel grand public en est rarement capable.

Hôtel. Le portail captif avec voucher par chambre coche naturellement les cases : chaque session est rattachée à un séjour, les logs sont propres, et l'information légale s'affiche à la connexion. Point d'attention : les données clients du PMS et les logs WiFi doivent rester dans des systèmes séparés.

Café / restaurant. L'accès en un clic avec CGU affichées suffit — l'identification nominative n'est pas obligatoire. L'essentiel : que la journalisation technique tourne réellement et que le réseau public soit isolé de la caisse et du terminal de paiement.

Coworking. Cas le plus exigeant : les utilisateurs sont récurrents, souvent identifiés (compte membre), et l'usage est intensif. Les durées « identité 5 ans / compte 1 an / technique 1 an » s'appliquent pleinement, et la séparation entre réseau des membres et réseau visiteurs doit être stricte. L'architecture recommandée rejoint celle du WiFi invité d'entreprise : VLAN, portail captif, isolation client.

Voici une base de texte à adapter (raison sociale, coordonnées, durées de session) et à faire valider selon votre situation :

« En vous connectant à ce réseau WiFi, vous acceptez les présentes conditions d'utilisation. Conformément à l'article L34-1 du Code des postes et des communications électroniques, [Nom de l'établissement] conserve les données techniques de connexion (adresses IP et identifiants techniques, dates, heures et durées de connexion) pendant 12 mois. Ces données peuvent être communiquées aux autorités légalement habilitées, sur réquisition. Elles ne sont utilisées à aucune fin commerciale et ne portent pas sur le contenu de vos communications. Responsable du traitement : [Nom, adresse]. Pour exercer vos droits d'accès et de rectification : [e-mail de contact]. L'accès est fourni pour une durée de [X heures] et peut être suspendu en cas d'usage abusif ou contraire à la loi. »

Si vous collectez en plus un e-mail à des fins marketing, ajoutez une case de consentement distincte et non pré-cochée : le consentement RGPD ne se déduit jamais de l'acceptation des CGU.

• ☐ Journalisation active : IP, identifiant technique, date/heure/durée de chaque session, horodatage fiable (NTP).
• ☐ Conservation 12 mois des données techniques, avec sauvegarde hors du site ou sur support sécurisé.
• ☐ Procédure de réquisition testée : vous savez extraire les logs d'une période donnée en moins d'une journée, et qui est habilité à le faire.
• ☐ Réseau public isolé du réseau interne (VLAN, firewall) — la conformité légale ne couvre pas les dégâts d'une intrusion.
• ☐ Information des utilisateurs affichée au portail captif (modèle ci-dessus) et mentionnée dans votre politique de confidentialité.
• ☐ Collecte minimale : pas d'historique de navigation, pas de contenu, pas de données marketing sans consentement distinct.
• ☐ Accès aux logs restreint aux personnes habilitées, avec traçabilité des consultations.
• ☐ Registre RGPD à jour : le traitement « WiFi public » y figure avec ses finalités et durées.

Si un point vous manque, le plus souvent c'est la journalisation conforme ou la procédure d'extraction — deux sujets réglés par un équipement adapté et une heure de configuration.

Le défaut de conservation des données expose pénalement le responsable (jusqu'à un an d'emprisonnement et 75 000 € d'amende pour les personnes physiques dans le cadre de l'article L39-3 du CPCE), et les manquements RGPD relèvent des sanctions de la CNIL. Au-delà des textes, le risque concret est opérationnel : une réquisition judiciaire à laquelle vous ne pouvez pas répondre, ou un incident de sécurité parti de votre WiFi ouvert.

La mise en conformité est rarement lourde : un audit de l'existant, le bon équipement (contrôleur avec journalisation et portail captif), les textes d'information, et une procédure écrite. C'est précisément le périmètre de notre audit de conformité WiFi public, réalisé sur site pour les établissements des Alpes-Maritimes et de Monaco, en lien avec notre prestation d'installation WiFi professionnelle.