Portail captif : les obligations légales en France en 2026

Le portail captif n'est pas imposé en tant que tel pour ouvrir un Wi-Fi public. Les obligations portent notamment sur certaines données techniques, leur conservation et la protection des personnes. Ce guide distingue les repères de la CNIL, les textes applicables et les choix de configuration à faire valider.

Trois phrases suffisent pour cadrer le sujet.

La CNIL le dit noir sur blanc : un établissement n'est, en principe, pas obligé d'identifier ses clients pour leur fournir un accès Wi-Fi public. C'est la phrase que beaucoup d'articles oublient. Notre guide Le portail captif est-il obligatoire ? détaille cette distinction.

L'article L.34-1 du Code des postes et des communications électroniques vise les personnes qui, au titre d'une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne, y compris à titre gratuit. La gratuité ne change rien. Un hôtel, un restaurant, un camping, un commerce, un musée, une salle d'attente ou un espace de coworking entre dans le champ dès qu'il ouvre un accès à ses clients ou à ses visiteurs.

Ce que la loi demande, concrètement, c'est de pouvoir identifier la source technique d'une connexion. Pas de connaître la vie privée de la personne. Pas de lire ses messages. Pas de savoir quels sites elle a consultés.

La CNIL précise aussi que l'établissement n'a pas à relever l'identité civile de ses clients pour fournir une connexion ouverte. S'il choisit de le faire, pour une raison qu'il doit pouvoir justifier, la conservation des données d'identité passe à 5 ans. Ce choix n'est donc pas neutre. Demander une pièce d'identité "au cas où" ajoute une obligation qui n'était pas nécessaire.

Les salariés et les visiteurs ne suivent pas le même régime. L'accès fourni par un employeur à ses employés sort de cette obligation spécifique. Le réseau proposé aux clients, aux prestataires ou aux candidats reste concerné. C'est l'une des raisons pour lesquelles un réseau invité séparé est plus simple à administrer qu'un réseau unique partagé par tout le monde.

Notre page sur le Wi-Fi public sécurisé et ses obligations légales reprend ces principes et montre comment les traduire dans l'infrastructure.

Les durées de conservation ne s'appliquent pas à un bloc unique appelé "logs Wi-Fi". Elles dépendent de la catégorie de données et de la finalité. Les repères ci-dessous viennent de la CNIL (CNIL). Voici le tableau à garder sous les yeux.

La fiche question-réponse de la CNIL confirme ces durées, catégorie par catégorie (CNIL).

Un même fichier peut contenir les 4 catégories. Un délai unique d'un an ne se justifie pas pour de simples journaux de sécurité, hors obligation légale spécifique. Si vous appliquez 3 mois à tout, vous ne conservez pas assez longtemps les données techniques. Il faut donc séparer les journaux, pas seulement changer un réglage global.

La CNIL rappelle aussi que le contenu des messages et les informations consultées sur le réseau ne font pas partie des données à conserver. Conserver l'historique complet des sites visités ne rend pas un réseau plus conforme. Cela crée au contraire un traitement supplémentaire, avec ses propres risques.

Deux erreurs reviennent souvent dans les articles sur le portail captif. Elles concernent le décret de 2011 et son statut actuel (Légifrance).

La première concerne la date. On lit parfois "le décret du 24 août 2011". Le texte qui a encadré cette matière est le décret n° 2011-219 du 25 février 2011, relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne (Légifrance).

La seconde concerne la version en vigueur. Ce décret a été abrogé le 21 octobre 2021 par le décret n° 2021-1362 (Légifrance). Il n'est donc plus le texte de référence. Un article qui le cite comme s'il était encore en vigueur peut vous conduire à configurer les mauvaises durées, ou à croire qu'un portail est obligatoire.

Pourquoi cette précision compte ? Parce que la conformité se joue sur des détails de configuration. Un prestataire qui s'appuie sur un texte abrogé risque de reproduire une règle ancienne, notamment sur l'identification des utilisateurs. La règle actuelle est plus simple, et plus exigeante à la fois : conserver les bonnes données, pendant la bonne durée, pour la bonne finalité.

L'ancien texte et le décret de 2021 qui l'a abrogé sont consultables sur Légifrance.

Le cadre a bougé plusieurs fois. Les principales références figurent sur Légifrance et sur le site du Conseil d'État. Voici la chronologie utile pour comprendre pourquoi les sources divergent.

Le décret n° 2026-920 du 30 septembre 2026 renouvelle le dispositif à compter du 21 octobre 2026. Il concerne les catégories et les acteurs visés par le texte ; il ne permet pas de conserver le contenu des communications. Son articulation avec les journaux d'un établissement doit être examinée selon sa qualification, les données et la finalité. Le plafond de trois mois décrit par la CNIL pour les journaux de sécurité ne remplace donc pas une obligation légale spécifique. Faites valider cette ventilation pour votre configuration.

Cette chronologie explique aussi pourquoi il faut se méfier des articles qui citent un seul texte sans date. Le droit de la conservation des données de connexion est un empilement de textes, de décrets et de décisions. La bonne question n'est pas "quel texte cite-t-on ?", mais "quelle règle s'applique à ma situation aujourd'hui ?".

Oui, s'il collecte plus que nécessaire. Le portail est une porte d'entrée. Ce que vous mettez derrière compte plus que la page elle-même.

Un portail captif peut collecter une adresse email pour créer un compte d'accès. C'est autorisé si cette collecte est nécessaire au parcours retenu, si la personne est informée et si la durée est définie. Le risque apparaît quand la même case sert à 3 choses : accéder au Wi-Fi, recevoir la newsletter et accepter des cookies publicitaires. Trois finalités, une seule case, aucun consentement valable.

La CNIL rappelle qu'un consentement doit être libre, spécifique, éclairé et univoque. Une case précochée ne vaut pas consentement. Une simple poursuite de la navigation ne vaut pas consentement. Conditionner l'accès au Wi-Fi à l'acceptation de la prospection commerciale fragilise le caractère libre du consentement. La configuration la plus claire sépare deux décisions : un bouton pour ouvrir l'accès, puis une case décochée pour choisir de recevoir les offres de l'établissement.

Les cookies suivent la même logique. Les traceurs non essentiels demandent un consentement avant dépôt, et le refus doit être aussi simple que l'acceptation. Un portail qui charge un pixel publicitaire avant le clic n'est pas conforme, même s'il affiche une bannière.

Enfin, les rôles doivent être écrits. Dans une configuration classique, l'établissement décide pourquoi il collecte et comment il utilise la base : il est responsable de traitement. Le prestataire du portail peut être sous-traitant s'il agit uniquement selon les instructions de l'établissement. Un contrat conforme à l'article 28 du RGPD doit alors encadrer la prestation : sécurité, confidentialité, recours à d'autres prestataires, assistance, suppression ou restitution des données.

Notre article sur la collecte d'emails et le RGPD détaille la mécanique du consentement et les mentions à afficher.

Avant d'ouvrir un Wi-Fi public, ou avant de refaire votre portail, passez cette liste.

Si vous ne pouvez pas répondre à ces 10 points avec des preuves, le portail n'est pas le problème principal. La configuration l'est.

Cet article présente le cadre général au 20 octobre 2026. Il ne remplace pas l'analyse d'un professionnel du droit adaptée à votre établissement et à vos traitements.

Un portail qui s'affiche n'est pas un portail qui enregistre les bonnes données. WiFeel peut inventorier les journaux générés par votre infrastructure, vérifier l'horodatage, séparer le réseau public du réseau interne et configurer les purges par catégorie. Vous saurez ce que votre installation enregistre, où les données sont stockées et ce qui reste à décider avec votre conseil juridique.

Prendre rendez-vous