Wi-Fi des salariés : quelles obligations ?

L'accès Internet fourni par un employeur et réservé à ses salariés n'entre pas dans l'obligation spécifique de conservation prévue pour les accès proposés au public. La CNIL le précise dans sa fiche consacrée aux organismes qui fournissent un accès Internet public.

La situation change lorsque l'entreprise ouvre un accès à des visiteurs, clients ou prestataires. Cet accès extérieur doit alors être traité comme un accès proposé au public, même s'il est gratuit. La bonne réponse consiste à définir clairement qui utilise chaque réseau et à séparer les usages.

L'article L.34-1 du Code des postes et des communications électroniques vise les personnes qui offrent au public une connexion permettant une communication en ligne, dans le cadre d'une activité professionnelle principale ou accessoire. Le texte inclut les accès proposés gratuitement.

Le mot important est « public ». Un réseau interne réservé aux salariés n'est pas concerné par cette obligation particulière. Un Wi-Fi accessible à des personnes extérieures peut l'être.

Cette distinction ne signifie pas qu'un employeur peut enregistrer librement l'activité de ses équipes. La surveillance des salariés relève d'autres règles. Tout dispositif doit avoir un objectif légitime, rester proportionné et être porté à la connaissance des personnes concernées. Dans les entreprises d'au moins 50 salariés, le comité social et économique doit être informé et consulté avant la mise en place d'un moyen de contrôle de l'activité.

Regardez les usages réels. Un client attend dans une salle de réunion. Un prestataire intervient deux jours. Un candidat vient en entretien. Un intervenant occupe un bureau pour la journée. Si vous leur fournissez une connexion Internet, cet accès extérieur doit être cadré séparément du réseau des salariés.

Donner le mot de passe du SSID interne à une personne de passage crée surtout deux problèmes :

Il ne faut pas en déduire automatiquement que tout le réseau de l'entreprise bascule dans le même régime. Il faut identifier l'accès réellement fourni au public, le séparer et appliquer les règles adaptées à ce périmètre.

Pour un accès Internet proposé au public, la CNIL distingue plusieurs catégories de données et plusieurs durées. Les principales sont :

L'identification nominative des visiteurs n'est pas imposée par principe. La collecte d'une identité ajoute un traitement de données personnelles qu'il faut pouvoir justifier.

Notre guide sur la durée de conservation des données de connexion Wi-Fi détaille ces catégories et les mécanismes de purge à prévoir.

Non au titre de l'obligation de conservation des données de connexion prévue par l'article L.34-1. Ce texte exclut le contenu des correspondances et les informations consultées.

Un employeur peut mettre en place certains dispositifs de sécurité ou de contrôle pour protéger son système d'information, mais ce traitement répond à un autre cadre. Il doit être justifié, proportionné et transparent. Une surveillance permanente ou excessive n'est pas autorisée.

La politique interne doit donc séparer deux questions :

Les réponses, les durées et les personnes autorisées à consulter les données ne sont pas nécessairement les mêmes.

La configuration la plus lisible repose sur deux accès distincts :

Chaque SSID doit être associé à son propre VLAN. Le réseau visiteurs ne doit voir ni les serveurs, ni les postes, ni les imprimantes, ni les caméras. L'isolation entre les appareils connectés au Wi-Fi invités évite aussi qu'un visiteur puisse détecter les équipements des autres utilisateurs.

Cette architecture permet de documenter simplement :

Dans un espace de coworking, les résidents et utilisateurs de passage ne sont généralement pas des salariés de l'exploitant. L'accès qui leur est fourni doit donc être analysé comme un service destiné à des clients ou utilisateurs extérieurs.

La séparation reste utile entre l'équipe interne, les résidents, les visiteurs ponctuels et les équipements techniques. Notre page sur le Wi-Fi pour espace de coworking à Montpellier présente les choix de couverture, de capacité et d'isolation adaptés à ces lieux.

Avant de modifier le matériel, vérifiez les points suivants :

Cet article présente le cadre général à la date de publication. Il ne remplace pas l'analyse d'un professionnel du droit adaptée à votre organisation et à vos traitements.

WiFeel peut auditer l'architecture existante, créer les SSID et VLAN nécessaires, isoler le réseau visiteurs et vérifier les journaux générés par les équipements. Cette intervention technique ne remplace pas un conseil juridique.

Prenez rendez-vous pour faire le point sur votre réseau. L'audit de couverture et le devis sont gratuits et sans engagement.