De nombreux organismes mettent souvent à la disposition de leurs clients ou usagers (ci-après les « utilisateurs ») un réseau Internet dit wifi en libre accès : au restaurant, à l’hôtel, dans une salle de réunion, chez un prestataire ou un partenaire quelconque…
Si l’utilisateur sait qu’il lui suffit de saisir le login et le mot de passe remis par le maître des lieux pour accéder au réseau, il ignore très souvent les données à caractère personnel qu’il laisse pendant sa session, ainsi que les conditions de collecte, de traitement, de conservation et de destruction (ou non) de ces données.
De son côté, le responsable de traitement n’a pas toujours la bonne mesure des obligations à respecter pour la mise en place d’un tel service pourtant fort apprécié des utilisateurs.
La CNIL vient ainsi de clarifier la situation en publiant (le 22 décembre 2014) 5 mesures à adopter par les fournisseurs de réseau Internet wifi en libre accès pour être en conformité avec la Loi informatique et Libertés.
Comme pour toute collecte des données à caractère personnel, l’organisme qui met à disposition un réseau wifi en libre accès doit en effet :
fournir préalablement aux utilisateurs et manière appropriée une information complète sur les modalités de traitement de leurs données, puis prévoir des procédures de gestion des demandes d’accès, de rectification et de suppression des données par leurs utilisateurs.
conserver seulement les données de trafic répondant aux « besoins de la recherche, de la constatation et de la poursuite des infractions pénales » et destinées aux autorités légalement habilitées, étant observé que les organismes qui mettent à disposition du public un service de libre accès à internet sont considérés comme opérateurs de communications électroniques.
définir une durée de conservation des données de trafic limitée (en l’occurrence 1 an à compter du jour de leur enregistrement) et proportionnée, les autres données collectées devant être supprimées régulièrement lorsqu’elles ne sont plus nécessaires.
veiller à la conformité des outils utilisés, notamment les outils de surveillance, en évitant qu’ils donnent accès à des informations excessives au regard de la finalité pour laquelle elles sont collectées (identifiants-mots de passe, numéros de carte bancaire, etc.).
assurer la confidentialité et la sécurité des données (limitation des accès aux journaux de connexion, robustesse des mots de passe d’accès au BIOS, limitation de la durée de stockage des documents en attente d’impression…).
S’agissant de la gestion d’un service Internet en libre accès, la CNIL considère qu’un tel traitement doit faire l’objet d’une Déclaration normale (www.cnil.fr).
Rappelons que nombre d’obligations ci-dessus sont assorties de sanctions pénales pouvant atteindre 5 ans d’emprisonnement et 300.000 euros d’amende [1].
Il est dès lors plus que jamais nécessaire de porter une attention particulière au respect des obligations légales lorsque l’on décide de mettre en place un service wifi, ou de vérifier si ceux déjà existants sont conformes à ces obligations.
