Portail captif et RGPD : collecter des emails

Oui. Un portail captif peut collecter des adresses email pour envoyer une newsletter ou des offres, à condition d'obtenir un consentement libre, spécifique, éclairé et univoque.

La bonne configuration sépare deux décisions. Le visiteur peut se connecter au Wi-Fi sans accepter la prospection commerciale. À côté, une case décochée lui permet de choisir de recevoir les communications de l'établissement. Le formulaire doit aussi annoncer la finalité, identifier l'organisme qui collecte les données, présenter la durée de conservation et rappeler le droit de se désinscrire.

La CNIL rappelle qu'un consentement valable repose sur quatre critères : il doit être libre, spécifique, éclairé et univoque. La personne doit comprendre ce qu'elle accepte et accomplir une action positive.

Pour un portail captif, cela exclut notamment :

La construction la plus claire comprend un bouton qui ouvre l'accès à internet, puis une option distincte comme « Je souhaite recevoir les actualités et offres de l'établissement par email ». Cette seconde option reste décochée par défaut.

Cette séparation compte aussi pour l'expérience client. Une personne venue consulter sa réservation ou travailler quelques minutes doit pouvoir comprendre immédiatement ce qui est nécessaire pour se connecter et ce qui relève d'un choix marketing.

Une case bien dessinée ne suffit pas. Le visiteur doit recevoir une information compréhensible au moment de la collecte.

Le portail doit au minimum préciser :

Chaque email envoyé ensuite doit proposer un moyen simple de se désinscrire. La CNIL recommande généralement de conserver les données d'un prospect pendant trois ans à compter de leur collecte ou du dernier contact émanant de la personne. Cette durée reste une recommandation à adapter, documenter et appliquer selon le contexte réel de l'établissement.

En cas de demande ou de contrôle, il ne suffit pas d'affirmer que le portail comportait une case. Il faut pouvoir démontrer le consentement obtenu.

La preuve doit permettre de retrouver :

Cette preuve ne justifie pas de conserver toutes les données sans limite. Elle doit être intégrée à une politique de conservation cohérente, avec des suppressions ou anonymisations prévues dans l'outil.

Dans une configuration classique, l'établissement décide pourquoi il collecte les emails et comment il utilisera la base. Il agit alors comme responsable de traitement. Le prestataire du portail peut être sous-traitant s'il traite les données uniquement pour le compte de l'établissement et selon ses instructions.

Cette qualification n'est pas automatique. Les rôles se déterminent selon les finalités et les moyens réellement décidés par chaque acteur. Si le prestataire réutilise la base pour ses propres objectifs, son rôle doit être réévalué.

Lorsqu'il intervient comme sous-traitant, un contrat conforme à l'article 28 du RGPD doit encadrer la prestation : sécurité, confidentialité, recours à d'autres prestataires, assistance, suppression ou restitution des données et conditions de fin de contrat.

La collecte d'une adresse pour une newsletter et la conservation de certaines données liées à un accès internet public répondent à deux logiques différentes. Elles n'ont pas la même finalité et ne doivent pas être réunies dans une seule case.

L'identification nominative n'est pas systématiquement nécessaire pour ouvrir un Wi-Fi public. La CNIL distingue plusieurs catégories de données et plusieurs durées. Lorsque des données relatives à l'identité civile sont effectivement recueillies pour un compte d'accès, leur conservation peut relever d'une durée de cinq ans à compter de la fin de validité du contrat. Cette règle ne signifie pas qu'une adresse marketing doit être conservée cinq ans.

Le portail WiFeel n'a pas besoin d'inspecter le contenu des communications pour recueillir un consentement marketing. Les traitements techniques, les journaux de connexion et la base newsletter doivent rester séparés, documentés et limités à ce qui est nécessaire.

Notre guide sur l'obligation d'un portail captif explique plus largement le cadre d'un accès Wi-Fi public.

Un portail captif reste un outil utile pour transformer une connexion Wi-Fi en point de contact, mais la qualité de la base compte plus que son volume. Une liste plus petite, composée de personnes qui ont réellement choisi de recevoir les messages, sera plus simple à défendre et souvent plus engagée.

Avant la mise en ligne, vérifiez quatre éléments :

La séparation technique du réseau reste également essentielle. Le Wi-Fi visiteurs doit être isolé de la caisse, de l'administration, de la réservation et de la vidéosurveillance. Découvrez comment cette séparation s'intègre dans un réseau Wi-Fi administré dans le cloud ou dans un projet de Wi-Fi pour restaurant à Montpellier.

Cette page présente des informations générales. Faites valider votre formulaire, votre politique de conservation et votre contrat par un professionnel du droit avant de lancer la collecte.

WiFeel configure le portail, sépare le Wi-Fi visiteurs des réseaux sensibles et règle les durées disponibles dans l'outil. Nous vous aidons aussi à identifier les responsabilités à documenter avec les prestataires concernés.

L'audit de couverture et le devis sont gratuits et sans engagement. Prenez rendez-vous pour faire le point sur votre établissement.