RGPD WiFi public 2026 : les 12 obligations + risques de sanction CNIL

À retenir : tout pro qui propose le WiFi à des clients/visiteurs doit respecter simultanément trois textes : Article L34-1 CPCE (logs de connexion 1 an), RGPD européen (consentement éclairé, durée de conservation, droit d’accès), et Loi Informatique & Libertés (registre des traitements). Un WiFi pro non conforme s’expose à des sanctions dont le risque cumulé peut atteindre 75 000 € d’amende pénale + 4% du CA mondial (plafonds légaux : article L39-3 CPCE ; article 83 RGPD). La bonne nouvelle : automatiser la conformité coûte 19,90 € HT/mois (PassWiFi Connect), et fournit la preuve d’audit sur demande.

Le triangle légal · Checklist 12 points · Ce que risque un pro non conforme · FAQ DPO

Le triangle légal RGPD WiFi : 3 textes à respecter ensemble

Beaucoup de pros pensent qu’être en règle = avoir le RGPD. Erreur. Pour un WiFi public, trois textes s’imposent simultanément, et les ignorer ne se cumule pas dans une seule sanction — chaque texte a sa propre amende.

1. Article L34-1 du Code des postes et communications électroniques

Texte de base depuis 2006 (renforcé 2011 puis 2021). Obligations :

• Conservation des logs de connexion 1 an minimum : qui s’est connecté, quand, depuis quelle IP, durée de session.
• Information des utilisateurs : l’identification n’est pas exigée par la loi (CNIL) ; toute collecte d’email se fait avec un consentement explicite.
• Coopération avec les autorités : remise des logs sur réquisition judiciaire.

Sanction si manquement : jusqu’à 75 000 € d’amende pénale (article L39-3 CPCE) + responsabilité civile en cas d’usage illicite par un visiteur.

→ Voir le détail dans /ressources/glossaire/article-l34-1/.

2. Règlement Général sur la Protection des Données (RGPD)

Règlement européen 2016/679, applicable depuis le 25 mai 2018. Obligations sur le WiFi public :

• Consentement éclairé et libre : le visiteur doit savoir ce que vous collectez et pour quoi. Cases pré-cochées interdites.
• Durée de conservation explicite : impossible de garder les emails “indéfiniment”.
• Droit d’accès, de rectification, d’effacement : sous 30 jours (passe à 7 jours dans le futur RGPD-2 prévu 2027).
• Notification d’incident sous 72h : si fuite de données, vous devez prévenir la CNIL.
• Hébergement dans l’UE ou pays adéquat : sortir les données collectées vers les USA (sauf clauses contractuelles spécifiques) = sanction.

Sanction si manquement : jusqu’à 4% du chiffre d’affaires mondial (ou 20 millions €, le plus élevé).

→ Voir le détail dans /ressources/glossaire/rgpd-wifi/.

3. Loi Informatique & Libertés (n° 78-17)

Texte français historique (1978) modernisé en 2018. Spécificités françaises :

• Registre des traitements : obligatoire pour toute organisation > 250 salariés OU traitant des données sensibles. Pour les commerces qui collectent emails > 250/mois, recommandé.
• DPO (Délégué à la Protection des Données) : nomination obligatoire dans certains cas.
• CNIL = autorité de contrôle : effectue des audits aléatoires ou sur plainte.

Sanction si manquement : jusqu’à 10 000 € d’amende administrative par la CNIL pour défaut de registre, plus mise en demeure publique.

Pourquoi une majorité de cafés/restaurants ne sont PAS conformes

Sur le terrain, une part importante des petits établissements reste en situation de non-conformité, pour des raisons récurrentes :

• Beaucoup utilisent simplement le WiFi de leur box opérateur (Free, Bouygues, Orange, SFR) avec mot de passe affiché ou réseau ouvert.
• Les box opérateurs ne conservent pas les logs 1 an (rétention souvent limitée à quelques semaines).
• Aucun portail captif : ni information des usagers, ni collecte d’emails en règle.
• Peu disposent d’une mention RGPD claire sur leurs supports clients.
• Rares sont ceux qui tiennent un registre des traitements à jour.

Conséquence : une large majorité de commerces est potentiellement en risque cumulé pénal + RGPD + I&L en cas d’audit CNIL ou DGCCRF.

Pourquoi ce gouffre ? Parce que la sécurité juridique n’est pas perçue comme urgente tant qu’on n’a pas de plainte. Mais la première plainte (un client mécontent qui exerce son droit d’accès et constate qu’il n’y a aucun registre, par exemple) déclenche un audit complet, et la facture grimpe vite.

La checklist 12 points conformité WiFi

Voici les 12 obligations à valider pour un WiFi pro 100% conforme en 2026. Chaque ligne précise l’obligation, sa source juridique, et la sanction risquée :

Auto-évaluation : si vous cochez moins de 10/12, vous êtes en risque. Moins de 7/12 = risque majeur, à corriger sous 30 jours.

Ce que risque un pro non conforme : scénarios illustratifs

Les scénarios ci-dessous sont hypothétiques et illustratifs. Ils ne correspondent à aucune décision CNIL identifiable ni à aucun établissement réel : ils servent à montrer les types de manquements qui exposent un professionnel et l’ordre de grandeur des risques financiers, à la lumière des plafonds légaux. Pour connaître les décisions réellement prononcées, consultez les délibérations publiées sur cnil.fr.

Scénario A — Chaîne hôtelière multi-sites

Type de manquements :

• Logs WiFi non conservés (rotation automatique trop courte).
• Emails clients récoltés sans opt-in clair (case pré-cochée pour newsletter).
• Aucune mention DPO sur le portail captif malgré un volume d’emails élevé.
• Newsletter envoyée à des clients ayant demandé l’effacement (non traité).

Risque : amende administrative pouvant se chiffrer en dizaines à centaines de milliers d’euros, obligation de mise en conformité et éventuelle publication de la décision — auxquels s’ajoute un coût de remédiation (conseil juridique + technique) souvent supérieur à l’amende elle-même.

Scénario B — Restaurant sans registre

Type de manquement : absence de registre des traitements, découverte à l’occasion d’une demande de droit d’accès.

Risque : amende pour défaut de registre + injonction de constituer un registre sous un court délai, plus le coût de conseil pour le rédiger.

Scénario C — Collectivité, WiFi public non conforme

Type de manquements :

• Pas de portail captif (WiFi ouvert avec mot de passe affiché).
• Pas de registre.
• Demandes d’accès restées sans réponse.
• Délégué à la protection nommé mais inactif.

Risque : amende + obligation de réinstaller un système conforme, éventuelle publication.

Scénario D — Réseau de salons multi-sites

Type de manquements :

• Newsletters envoyées malgré des demandes de désabonnement (lien de désinscription défaillant).
• Base de données partagée entre sites sans cloisonnement.
• Hébergement de données chez un prestataire hors UE sans clauses contractuelles type.

Risque : amende + obligation de relocaliser les données dans l’UE.

Scénario E — WiFi de place de village vieillissant

Type de manquements :

• Logs non disponibles au-delà de quelques mois.
• Pas de DPO nommé alors que l’organisme public y était tenu.
• Hébergement chez un prestataire technique sans contrat de sous-traitance RGPD.

Risque : amende + obligation de désigner un DPO.

Synthèse : ce que ces scénarios illustrent

1. La CNIL ne distingue pas la taille : un petit restaurant peut être sanctionné pour les mêmes motifs qu’une chaîne. Le risque relatif (rapporté au CA) est souvent plus lourd pour les TPE/PME.
2. Le déclencheur le plus fréquent est une plainte individuelle : un client mécontent suffit.
3. La remédiation post-sanction coûte généralement plus cher que l’amende elle-même (conseil + équipement + procédures).
4. La conformité préventive coûte ~20 € HT/mois avec PassWiFi Connect — sans commune mesure avec le coût d’un contentieux.

Comment PassWiFi répond aux 12 points

Voici, obligation par obligation, ce que PassWiFi prend en charge et ce qui reste de votre ressort :

Autrement dit : PassWiFi prend en charge la partie technique — journalisation, consentement, hébergement souverain, information des usagers — mais la conformité reste la vôtre. Vous êtes le responsable de traitement ; nous sommes votre sous-traitant au sens de l’article 28 du RGPD. Méfiez-vous de tout prestataire qui vous promet une conformité « automatique » : elle n’existe pas.

La preuve de conformité en cas d’audit CNIL

Si vous êtes contrôlé par la CNIL, vous devez fournir dans les 15 jours :

1. Le registre des traitements à jour (la fiche WiFi s'édite depuis votre espace client, il vous reste à y joindre vos autres traitements).
2. La politique de confidentialité publiée + datée.
3. Les logs WiFi sur la période demandée (export CSV via PassWiFi Manage).
4. La base d’emails avec horodatage des consentements (export RGPD).
5. La preuve du traitement des demandes d’accès (tickets datés).
6. Le contrat de sous-traitance avec CD CONNECT (RGPD Art. 28).
7. La DPIA (analyse d’impact) si applicable.

PassWiFi Manage vous donne directement les pièces qui relèvent du WiFi : export des journaux de connexion sur la période demandée, et export de la base d’emails avec l’horodatage des consentements.

Cas pratique : “Mon employée a oublié d’activer le portail captif 1 mois”

Scénario réel rapporté par plusieurs commerçants : panne portail captif découverte 1 mois après. Pendant 30 jours, le WiFi a fonctionné en mode ouvert, sans collecte d’email, sans logs nominatifs.

Que faire ?

1. Documenter immédiatement la période de panne (capture écran logs box + emails internes).
2. Notifier la CNIL sous 72h après découverte, même rétroactivement (Article 33 RGPD).
3. Restaurer la conformité sous 7 jours (vérification PassWiFi Manage).
4. Communiquer aux usagers si données impactées (pas obligatoire si seulement logs absents et pas de fuite).

Sanction probable : faible si bonne foi documentée + remédiation rapide. La CNIL tient généralement compte de la bonne gestion d’un incident (vs négligence caractérisée) dans l’appréciation des suites à donner.

FAQ DPO / RSSI

1. Suis-je responsable des actes illégaux d’un visiteur sur mon WiFi ?

Non — si vous avez conservé les journaux de connexion, la responsabilité de l’usage remonte à son auteur. Sans logs, vous vous exposez à être recherché par défaut. C’est exactement pour ça que l’Article L34-1 existe — vous transférez la responsabilité au véritable auteur en conservant les journaux techniques de session.

2. Combien de temps les emails collectés peuvent-ils être conservés ?

3 ans après dernière interaction (active inactivité = base passive). Au-delà, anonymisation ou suppression. Cette durée est définie par la CNIL comme “durée nécessaire à la finalité du traitement marketing”.

3. Et si un client demande l’effacement de ses données ?

Délai max 1 mois (Article 12 RGPD), ramené à 7 jours dans le projet RGPD-2 prévu 2027. PassWiFi Manage propose un effacement automatisé en 1 clic, traçable (date + heure + opérateur), preuve à conserver 5 ans.

4. Mes employés peuvent-ils utiliser le WiFi visiteur ?

Pas recommandé — leur prévoir un VLAN corporate dédié pour traçabilité différenciée. Si l’employée passe par le WiFi visiteur, elle apparaît dans la base RGPD comme un visiteur — confusion juridique en cas d’incident.

5. WiFi public dans un open space coworking : qui est responsable ?

Le gestionnaire de l’espace (l’opérateur du WiFi, pas les utilisateurs). Si vous êtes WeWork, La Cordée, ou un coworking indépendant, vous êtes le responsable de traitement au sens RGPD pour le WiFi proposé.

6. Et si je veux supprimer rapidement les emails déjà collectés (dépôt de bilan, fermeture) ?

Vous devez documenter la fin de finalité : si vous fermez votre commerce, la finalité marketing disparaît, vous devez supprimer les emails sous 30 jours et notifier vos clients par voie d’affichage / dernier email. PassWiFi Manage propose une fonction “Cessation d’activité” qui efface tout en respectant les obligations légales.

7. Suis-je obligé d’avoir un DPO en tant que petit commerçant ?

Non, sauf si : - Vous traitez des données sensibles (santé, religion, orientation sexuelle) à grande échelle. - Vous traitez plus de 250 emails de façon régulière (recommandé non obligatoire). - Vous êtes une autorité ou organisme public (commune > 5 000 habitants par exemple).

Si vous n’êtes pas obligé, vous restez responsable de traitement. Vous pouvez désigner CD CONNECT comme DPO mutualisé (+15 € HT/mois sur PassWiFi) — solution courante en TPE.

8. Que se passe-t-il si je quitte PassWiFi pour un concurrent ?

Restitution complète de vos données dans un format ouvert (CSV) sous 30 jours, suppression de nos serveurs sous 60 jours après confirmation. Aucune rétention propriétaire — c’est une obligation RGPD (portabilité + effacement).

Articles connexes

• Glossaire : RGPD WiFi — définition complète
• Glossaire : Article L34-1 CPCE — texte légal
• Guide complet : WiFi public RGPD 2026 — pillar 8 000 mots
• Fonctionnalité : conformité RGPD + logs 1 an
• WiFi invité sécurisé : VLAN, isolation, RGPD
• Solution PassWiFi Connect — 19,90 € HT/mois

À propos de l’auteur — Cedric Pradel dirige CD CONNECT depuis 2007. CD CONNECT est l'éditeur de PassWiFi et accompagne les établissements B2B en France dans leur conformité RGPD WiFi.

Disclaimer — Cet article est rédigé à des fins d’information générale et ne constitue pas un conseil juridique. Pour une analyse précise de votre situation, consultez un DPO certifié ou un avocat spécialisé en droit du numérique. Les scénarios de sanction présentés sont hypothétiques et illustratifs : ils ne reproduisent aucune décision CNIL identifiable ni aucun établissement réel. Les décisions réellement prononcées sont publiées sur cnil.fr.