Combien de temps conserver les données de connexion Wi-Fi ?

La durée de conservation des données de connexion Wi-Fi dépend de la catégorie concernée. La CNIL présente trois repères : 5 ans pour l'identité civile si vous choisissez de l'identifier, 1 an pour les informations de compte et les données techniques permettant d'identifier la source de la connexion, et 3 mois maximum pour certaines données conservées à des fins de sécurité.

Ces durées s'appliquent à des catégories et à des finalités différentes. Il faut donc savoir précisément quelles données votre portail captif, votre contrôleur Wi-Fi et votre prestataire enregistrent.

L'article L.34-1 du Code des postes et des communications électroniques vise les personnes qui offrent au public une connexion permettant une communication en ligne, y compris gratuitement, dans le cadre d'une activité professionnelle principale ou accessoire.

Un hôtel, un restaurant, un camping, un commerce, un musée ou un espace de coworking peut donc être concerné lorsqu'il ouvre un accès Internet à ses clients ou visiteurs. Notre guide sur le Wi-Fi public sécurisé et ses obligations présente les autres points à prévoir. La CNIL précise que l'accès fourni par un employeur à ses salariés n'entre pas dans cette obligation. En revanche, le réseau proposé aux visiteurs reste concerné.

La CNIL indique que les données relatives à l'identité civile sont conservées pendant 5 ans. Elle précise aussi qu'un établissement n'est, en principe, pas obligé d'identifier ses clients pour leur fournir un accès Wi-Fi ouvert.

Cette durée s'applique si l'établissement choisit une identification préalable pour une raison qu'il doit pouvoir justifier. Une collecte par simple confort ajoute des responsabilités qui ne sont pas nécessaires au fonctionnement technique du réseau.

Les informations fournies lors de la création d'un compte, comme un identifiant ou un pseudonyme, se conservent pendant 1 an. La même durée s'applique aux données techniques permettant d'identifier la source de la connexion ou l'équipement utilisé, notamment l'adresse IP et le port associé ou un numéro d'identification.

Cette obligation figure dans l'article L.34-1. Un décret pris sur le fondement du même article peut aussi imposer temporairement la conservation de catégories complémentaires pour la sauvegarde de la sécurité nationale. Le décret n° 2025-980 du 15 octobre 2025 est en vigueur au moment de cette publication. Une politique interne doit donc être datée et revue régulièrement.

La CNIL indique que certaines données concernant la sécurité des réseaux et des installations peuvent être conservées pendant 3 mois maximum. Elle cite notamment l'origine, les caractéristiques techniques, la date, l'heure et la durée d'une communication, ainsi que les données techniques relatives à ses destinataires.

La finalité et la catégorie exacte de chaque journal doivent être documentées. Un intitulé comme « logs Wi-Fi » peut regrouper plusieurs données soumises à des règles différentes.

L'obligation porte sur des données techniques. Elle ne concerne pas le contenu des messages ni les informations consultées sur le réseau. L'article L.34-1 exclut le contenu des correspondances et des informations consultées.

Conserver l'historique détaillé des sites visités n'est donc pas une manière de mieux respecter l'obligation. Un outil qui collecte ces informations poursuit un autre objectif et doit être évalué séparément au regard de la protection des données.

Conserver toutes les données dans la même archive et supprimer le dossier une fois par an ne suffit pas. La configuration doit appliquer une durée à chaque catégorie de journal, avec une suppression ou une anonymisation à l'échéance prévue.

Une mise en œuvre sérieuse prévoit au minimum :

Un prestataire peut héberger le portail captif, administrer le contrôleur ou stocker les journaux pour le compte de l'établissement. La CNIL rappelle néanmoins que les droits d'accès et de rectification s'exercent auprès de l'organisme qui fournit l'accès Internet.

Le contrat doit donc préciser les catégories de données, leur emplacement, les durées appliquées, les personnes autorisées à y accéder et la procédure de suppression. Il doit aussi permettre à l'établissement de vérifier que la configuration correspond à ce qui est annoncé aux utilisateurs. Une solution de portail captif Ucopia doit être configurée selon ces choix, pas seulement activée avec ses réglages par défaut.

Non. Les informations consultées et le contenu des communications ne font pas partie des données à conserver au titre de cette obligation.

Oui. Le texte vise aussi les connexions proposées gratuitement au public dans le cadre d'une activité professionnelle.

Non, pas en principe. La CNIL indique qu'un établissement peut fournir un accès Wi-Fi public sans relever l'identité civile de ses clients. Si vous choisissez de les identifier, la finalité de cette collecte doit être justifiée.

Non. L'accès fourni aux salariés par leur employeur n'entre pas dans cette obligation spécifique. L'accès proposé aux visiteurs de l'entreprise reste concerné.

Pas sans analyser leur contenu et leur finalité. Certaines données techniques se conservent un an, tandis que certaines données de sécurité sont limitées à 3 mois. La minimisation impose de ne garder que ce qui est nécessaire.

Cet article présente le cadre général à la date de publication. Il ne remplace pas l'analyse d'un professionnel du droit adaptée à votre établissement et à vos traitements.

WiFeel peut inventorier les journaux générés par votre infrastructure, vérifier l'horodatage, séparer le réseau public du réseau interne et configurer les purges techniques prévues par votre politique. Cette intervention technique ne remplace pas un conseil juridique.

Prenez rendez-vous pour faire le point sur votre réseau. L'audit de couverture et le devis sont gratuits et sans engagement.