Guide
Wi-Fi public : quelles données de connexion conserver, et combien de temps ?
Offrir un accès internet à ses visiteurs fait de vous un fournisseur d'accès au sens de la loi. Voici ce que la CNIL indique de conserver, et comment le faire sans y passer vos journées.
Publié le · par l’équipe Infralogs
Qui est concerné
La CNIL vise « les organismes qui offrent un accès internet au public » et cite les communes, les bars, les restaurants, les cafés, les hôtels et les trains. Un camping ou une médiathèque qui ouvre son Wi-Fi est dans la même situation, que le service soit payant ou gratuit. Les entreprises et les administrations ne sont pas concernées pour le Wi-Fi de leurs salariés, mais elles le sont dès qu’elles ouvrent un accès à leurs visiteurs.
Ce qu’il faut conserver, et combien de temps
| Données | Exemples | Durée |
|---|---|---|
| Données techniques de connexion | adresse IP et port, identifiants d’appareil | 1 an |
| Informations de compte | identifiant, pseudonyme | 1 an |
| Identité civile, si vous la recueillez | nom, prénom, adresse | 5 ans |
| Données utiles à la sécurité du réseau et des installations | liste détaillée par la CNIL | 3 mois au plus |
L’organisme n’est pas tenu d’identifier ses utilisateurs pour un simple accès Wi-Fi. La conservation se limite alors aux données techniques. La CNIL rappelle aussi le principe de minimisation : ne garder que les données strictement nécessaires. Ne pas conserver les données requises expose à des sanctions pénales.
Où se trouvent ces données dans votre réseau
Elles ne sont pas en un seul endroit. Trois sortes de journaux se complètent :
- les bornes Wi-Fi, qui notent quel appareil s’est associé et quand ;
- le serveur DHCP, souvent le routeur, qui note quelle adresse a été attribuée à quel appareil ;
- le pare-feu ou le routeur de sortie, qui note la traduction d’adresses vers internet.
Pour retrouver un appareil à partir de l’adresse publique et du port qu’une autorité vous communique, il faut que la traduction d’adresses soit journalisée. C’est un réglage de votre équipement, à vérifier une fois.
Ce que fait Infralogs
Infralogs reçoit les journaux de vos bornes, de votre routeur et de votre pare-feu, et les conserve douze mois en France. Ils se retrouvent par date, par site et par adresse, et s’exportent en archive pour répondre à une demande. Une alerte vous prévient si une borne ou un routeur cesse d’envoyer : un trou dans les journaux se voit le jour même, pas un an plus tard.
Les équipements les plus courants des réseaux ouverts au public sont pris en charge : MikroTik, TP-Link Omada, Ubiquiti UniFi, les bornes FortiAP, et les pare-feu pfSense et OPNsense.