Offrir le Wi-Fi à ses clients, est-ce devenir opérateur ?
Pour la conservation des données, oui. L'article L. 34-1 du Code des postes et des communications électroniques, dans sa version en vigueur depuis le 15/06/2025, le dit en une phrase. Il vise les personnes qui offrent au public une connexion à internet « au titre d'une activité professionnelle principale ou accessoire ». Il ajoute : « y compris à titre gratuit ». Ces personnes sont alors soumises aux règles que cet article fixe pour les opérateurs.
La fiche de la CNIL sur l'accès à internet offert au public, datée du 17/07/2024, cite les communes, les bars, les restaurants, les cafés, les hôtels et les trains. Le Wi-Fi réservé aux salariés échappe à cette obligation de conservation, précise-t-elle. Mais l'employeur qui l'ouvre aussi aux visiteurs de ses locaux entre dans le champ.
La loi ne fixe aucun seuil de taille : une activité professionnelle, même accessoire, suffit. Dans l'intercommunalité Pévèle Carembault, l'Insee ne recense au 1er janvier 2026 que deux hôtels, pour 49 chambres, et un camping de 83 emplacements. Les chambres d'hôtes et les gîtes ruraux n'entrent pas dans ces tableaux. L'office de tourisme de Pévèle Carembault les présente pourtant à côté des hôtels. Pour eux, la règle du Wi-Fi est la même.
Quelles données garder, et pendant combien de temps ?
Le principe reste l'effacement : les opérateurs « effacent ou rendent anonymes » les données relatives aux communications, pose le II de l'article L. 34-1. Les exceptions suivent au II bis, et l'article R. 10-13 du même code détaille chaque catégorie. Trois sont à conserver, chacune avec sa durée. L'article R. 10-14 ajoute une simple faculté, pour la sécurité du réseau.
| Données | Exemples | Durée | Texte |
|---|---|---|---|
| Données techniques de connexion. | Adresse IP et port associé, identifiant de l'utilisateur, identifiant de l'appareil. | Un an à compter de la connexion. | L. 34-1, II bis, 3° ; R. 10-13, IV. |
| Identité civile, si vous la recueillez. | Nom, prénom, date et lieu de naissance, adresse postale, courriel, téléphone. | Cinq ans à compter de la fin du contrat. | L. 34-1, II bis, 1° ; R. 10-13, I. |
| Autres informations d'un compte, s'il en existe un. | Identifiant, pseudonyme, données pour vérifier ou changer le mot de passe, paiement si l'accès est payant. | Un an après la fin du contrat ou la clôture du compte. | L. 34-1, II bis, 2° ; R. 10-13, II et III. |
| Données de sécurité du réseau. | Origine, date, heure et durée de chaque communication, destinataires. | Trois mois au plus, et seulement si vous choisissez de les garder. | R. 10-14, IV. |
| Contenu des échanges. | Messages, pages et informations consultées. | Jamais. | L. 34-1, VI. |
L'article L. 34-1 prévoit un dernier cas, dans son III. En cas de menace grave contre la sécurité nationale, le Premier ministre peut enjoindre par décret aux opérateurs de conserver un an certaines données de trafic et de localisation. Le V de l'article R. 10-13 en donne la liste, avec notamment la date, l'heure et la durée des communications, et leurs destinataires. L'injonction vaut un an au plus et peut être renouvelée. La fiche de la CNIL n'évoque pas ce mécanisme. Je ne tranche pas à la place de la CNIL : si votre équipement garde ce type de journal, posez-lui la question.
Faut-il demander l'identité des clients pour leur donner le code ?
Non, répond la CNIL. Un restaurant, un hôtel ou un cybercafé n'est en principe pas obligé de relever l'identité de ses clients pour leur fournir une connexion. La fiche cite l'accès Wi-Fi ouvert en exemple, et conclut : « Il doit uniquement conserver les données techniques de connexion ». La durée de cinq ans ne joue que s'il choisit d'identifier ses utilisateurs. Il doit alors pouvoir justifier ce choix, par exemple par une réglementation propre à son secteur.
Regardez pourtant la liste de l'article R. 10-13 : l'identité civile y comprend le courriel et le numéro de téléphone. Une page de connexion qui réclame une adresse de courriel, ou qui envoie un code par SMS, recueille donc des données d'identité. L'accès n'est plus anonyme, et la question des cinq ans se pose. La CNIL rappelle le principe de minimisation : ne conserver que les données strictement nécessaires aux finalités de l'article L. 34-1. ExemplePrenons un café qui affiche son code au comptoir : il ne demande rien à ses clients, et il lui reste à garder un an les données techniques.
Ne pas recueillir ce qui ne sert pas : c'est aussi la règle que j'applique aux sites que je livre, comme l'expliquent ma méthode et les questions fréquentes.
Depuis la loi n° 2025-532 du 13/06/2025, l'article L. 34-1 renvoie aussi à un décret en Conseil d'État pour fixer les conditions dans lesquelles les opérateurs vérifient ces données d'identité. La fiche de la CNIL, antérieure, n'en tient pas compte : si vous identifiez vos clients, demandez-lui ce que cela change.
Qu'est-il interdit de conserver ?
Le contenu. Selon le VI de l'article L. 34-1, les données conservées portent exclusivement sur l'identification des utilisateurs, les caractéristiques techniques des communications et la localisation des appareils. Le texte ajoute : « Elles ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications ». Un journal qui garde les messages de vos clients, ou la liste des pages qu'ils lisent, sort donc du cadre.
Ces données ne servent pas non plus à autre chose. Les opérateurs prennent « toutes mesures pour empêcher une utilisation de ces données à des fins autres que celles prévues » par l'article, dit encore le VI. Compter vos visiteurs grâce au Wi-Fi est donc un autre traitement, avec ses propres règles. La CNIL range d'ailleurs la mesure d'audience par Wi-Fi parmi les collectes qui imposent d'informer les personnes.
La loi punit enfin les deux excès. L'article L. 39-3 du même code prévoit un an d'emprisonnement et 75 000 euros d'amende contre l'opérateur qui ne conserve pas les données techniques exigées par la loi. La même peine vise celui qui n'efface pas ou ne rend pas anonymes les données quand la loi le prescrit.
Que vérifier sur votre Wi-Fi ?
À vérifier
- Séparez le réseau des clients de celui de la caisse et du bureau. La CNIL le demande, avec un chiffrement à l'état de l'art.
- Demandez à votre fournisseur d'accès ou à votre installateur ce que l'équipement enregistre, où, et pour combien de temps. Les données techniques se gardent un an, puis s'effacent.
- Supprimez les champs inutiles de la page de connexion. Courriel et téléphone font partie des données d'identité : sans eux, et sans compte, il ne reste que les données techniques à garder.
- Vérifiez qu'aucun journal ne conserve le contenu des échanges ni les pages consultées.
- Réservez l'accès aux journaux aux seules personnes habilitées, comme le demande la CNIL.
- Informez vos clients au moment de la connexion : qui conserve quoi, pourquoi, combien de temps, et comment exercer leurs droits d'accès et de rectification. La CNIL détaille les mentions à donner.
- Inscrivez ce traitement à votre registre. Sous 250 salariés, la CNIL y fait entrer tout traitement non occasionnel et conseille, dans le doute, de l'inscrire.
Pour une question sur votre cas, la CNIL répond gratuitement aux professionnels, par téléphone, formulaire en ligne ou courrier. Elle n'accueille pas le public. Ces règles sont celles des textes en vigueur au 25/09/2026 : vérifiez les versions à jour sur Légifrance avant de régler votre installation.