Le WiFi, aussi une question de cadre
WiFi professionnel : les règles à connaître
Installer des bornes, accueillir des visiteurs, connecter des objets : les règles dépendent de votre structure et des usages. Retrouvez les principaux repères pour préparer un réseau fiable, protéger les personnes et documenter les bons choix.
Trois façons de lire ces repères
Cette page distingue les obligations, les moyens recommandés et les points à vérifier selon votre situation.
Respecter le cadre applicable
Fréquences autorisées, protection des données, sécurité des personnes et prescriptions du bâtiment.
Choisir des moyens adaptés
Séparer les réseaux, maîtriser les accès, prévoir les mises à jour et vérifier le fonctionnement réel.
Tenir compte de votre site
Les contraintes d’une école ne sont pas celles d’un site industriel, d’un hébergement, d’un établissement de santé ou d’une copropriété.
À qui fournissez-vous la connexion ?
Le régime dépend du service rendu, pas seulement du nom du réseau ou de la présence d’un mot de passe.
Salariés et usages professionnels
L’accès réservé aux employés ne relève pas automatiquement de l’obligation de conservation propre à l’accès public. Les données de connexion restent personnelles : leur utilisation doit être nécessaire, proportionnée et expliquée. Les consultants et partenaires accueillis sur un réseau professionnel demandent aussi un cadrage adapté.
Repères : CNIL — accès public et employeurs ; CNIL — réseau professionnel et visiteurs.
Clients, visiteurs et accès public
Offrir une connexion au public dans le cadre d’une activité professionnelle, principale ou accessoire, entraîne des obligations spécifiques, même gratuitement. Cafés, hôtels, commerces et lieux d’accueil sont notamment concernés. Définissez qui fournit le service, qui gère les traces et qui répond aux demandes des autorités.
Référence : CPCE, article L34-1, II.
Signaler l’accès public. Les établissements qui proposent un accès WiFi au public doivent l’indiquer clairement par un pictogramme à l’entrée.
Loi du 12 juillet 2010, article 184, II, 3°, modifié en 2015.
Exemple. Le WiFi des caisses, celui de l’équipe et celui offert aux clients d’un magasin peuvent partager des équipements tout en exigeant des accès, des droits et des règles de conservation distincts.
Quelles traces conserver, et combien de temps ?
Il n’existe pas une durée unique pour « tous les logs ». La finalité, la catégorie de données et le point de départ doivent être définis.
| Données et contexte | Durée et point de départ | Condition à retenir |
|---|---|---|
| Identité civile recueillie | 5 ans après la fin de validité du contrat ou du service visé. | Collecte justifiée ; inclut notamment les coordonnées classées dans cette catégorie. L34-1 II bis 1 et R10-13 I. |
| Autres données de compte et paiement | 1 an après la fin du contrat ou la clôture du compte. | Identifiant, pseudonyme, canaux de récupération ; paiement si pertinent. L34-1 II bis 2 et R10-13 II–III. |
| Source de connexion et terminal | 1 an après la connexion ou l’utilisation du terminal. | IP source et port associé, identifiants selon le service. L34-1 II bis 3 et R10-13 IV. |
| Trafic et localisation sous injonction | 1 an pour les données concernées ; injonction effective le 21 octobre 2026. | Catégories R10-13 V : caractéristiques, horaires, durée, destinataires techniques ; localisation pour téléphonie mobile. Décret 2026-920. |
| Sécurité des réseaux d’un opérateur | 3 mois maximum pour cette finalité facultative. | R10-14 IV ; ne remplace pas une conservation légale requise pour une autre finalité. |
| Journaux d’un proxy professionnel | Durée proportionnée ; référence CNIL de 6 mois à 1 an. | Recommandation, pas durée légale universelle. Justifier et documenter une conservation supérieure. |
Textes : L34-1, R10-13, R10-14, décret 2026-920 ; recommandation CNIL de 2026.
Des traces techniques, pas le contenu des échanges. Le régime du CPCE exclut le contenu des correspondances et des informations consultées. Les canaux de récupération d’un compte ne signifient jamais conserver les mots de passe. Sur une connexion partagée, la correspondance entre IP publique, IP privée et port doit permettre d’identifier la source.
Précisions : L34-1, VI ; Conseil d’État, 30 juin 2023, points 11 et 14.
Faut-il identifier chaque utilisateur ?
La CNIL indique qu’un hotspot public n’impose pas, en principe, de relever l’identité de chaque client. Une collecte supplémentaire doit être justifiée et ses conséquences sur la conservation vérifiées. Le L34-1, modifié en 2025, prévoit aussi une vérification d’identité encadrée par décret : le cadre en vigueur et les éventuelles règles sectorielles doivent être examinés avant de choisir le parcours d’accès.
Un portail captif peut faciliter l’information et la gestion des connexions. Il ne constitue ni une obligation technique universelle ni une preuve suffisante de conformité.
Protéger le réseau et les personnes
Une bonne configuration s’accompagne d’informations claires, de responsabilités définies et de données limitées au nécessaire.
Informer avant la collecte
Présentez le responsable du traitement, les finalités, la base légale, les données obligatoires ou facultatives, les destinataires, les durées et les droits. Prévoyez un contact et l’accès à une information détaillée. Le registre des traitements doit refléter les usages réguliers du réseau.
Séparer connexion et publicité
Accepter les conditions du WiFi ne vaut pas accord pour recevoir des offres. Lorsque le consentement est requis, prévoyez un choix spécifique, libre et non précoché. Les cookies non nécessaires du portail nécessitent leur propre analyse ; ceux strictement nécessaires peuvent bénéficier d’une exemption.
Salariés : sécuriser sans surveiller en permanence
Les contrôles doivent avoir un objectif précis et rester proportionnés. Informez individuellement les salariés avant leur mise en place ; consultez les instances représentatives selon les règles applicables, notamment le CSE à partir de 50 salariés pour un dispositif de surveillance. La collecte de traces de sécurité ne doit pas devenir un contrôle caché des horaires ou de l’activité.
Le déchiffrement HTTPS par un proxy demande des précautions particulières : minimisation, exceptions adaptées, information et accès restreints. Il ne découle pas automatiquement de la présence d’un WiFi.
Maintenance, cloud et mesure de fréquentation
Si un prestataire traite des données pour votre compte, encadrez la prestation par le contrat prévu à l’article 28 du RGPD : instructions, confidentialité, sécurité, sous-traitants, incidents et fin de service. Vérifiez aussi les accès du support et les éventuels transferts hors Espace économique européen.
Compter ou suivre des visiteurs via les signaux de leurs appareils constitue un traitement distinct de l’accès Internet. Un hachage d’adresse ne garantit pas l’anonymat ; information, base légale et garanties doivent être examinées, même lorsque les personnes ne se connectent pas.
RGPD, article 28 ; transferts ; CNIL — fréquentation des lieux.
Une analyse d’impact est requise si le traitement est susceptible d’engendrer un risque élevé ; un DPO n’est pas obligatoire pour chaque réseau. En cas de violation de données, documentez l’incident et évaluez le risque : notification à l’autorité compétente dans les meilleurs délais et, si possible, sous 72 heures après connaissance lorsque le RGPD l’exige ; information des personnes si le risque est élevé, sauf exceptions.
Côté technique. Séparation des accès publics et internes, chiffrement adapté, mises à jour, administration protégée et droits limités contribuent à l’obligation de sécurité. Les moyens se choisissent selon les risques ; un protocole ou une marque ne suffit pas à garantir la conformité.
Des bandes partagées, avec des règles précises
Pour un site fixe en métropole, vérifiez la sous-bande, la puissance rayonnée et les restrictions d’installation.
| Bande | PIRE maximale | Conditions principales |
|---|---|---|
| 2,4 GHz : 2400–2483,5 MHz | 100 mW · 20 dBm | Intérieur et extérieur ; mécanismes d’accès au spectre requis. |
| 5 GHz : 5150–5250 MHz | 200 mW · 23 dBm | Intérieur ; extérieur limité aux usages autorisés, sans infrastructure ni antenne extérieure fixes. |
| 5 GHz : 5250–5350 MHz | 200 mW · 23 dBm | Intérieur des bâtiments ; DFS requis ; TPC, ou puissance réduite de 3 dB en son absence. |
| 5 GHz : 5470–5725 MHz | 1 W · 30 dBm | Intérieur et extérieur ; DFS requis ; TPC, ou puissance réduite de 3 dB en son absence. |
| 6 GHz : 5945–6425 MHz · LPI | 200 mW · 23 dBm | Faible puissance, intérieur uniquement. |
| 6 GHz : 5945–6425 MHz · VLP | 25 mW · 14 dBm | Très faible puissance, appareils portables en intérieur ou extérieur ; pas une autorisation de borne extérieure fixe. |
Cadre : ANFR — TNRBF 2026, annexe 7 ; Arcep — 5 GHz ; Arcep — 6 GHz.
La PIRE inclut le gain d’antenne : modifier une antenne ou contourner le réglage pays peut rendre l’installation non conforme. Le DFS protège notamment les radars et peut imposer un changement de canal. Les densités spectrales et autres restrictions s’ajoutent à ce tableau simplifié ; les usages embarqués et certains territoires ultramarins nécessitent une vérification distincte.
Le bon matériel, dans ses conditions d’usage
Le marquage, la documentation et le paramétrage vont ensemble.
Vérifiez le marquage CE, la déclaration UE de conformité et les restrictions du fabricant. La directive RED encadre sécurité, compatibilité électromagnétique et utilisation efficace du spectre. Un label WiFi 6E ou 7 n’autorise pas toutes les fréquences ou puissances commercialisées à l’étranger.
Cybersécurité des produits : les échéances à distinguer
Depuis le 1er août 2025, certaines catégories d’équipements radio doivent respecter des exigences supplémentaires de cybersécurité. Le Cyber Resilience Act prévoit des signalements pour les acteurs concernés depuis le 11 septembre 2026, puis ses principales obligations à partir du 11 décembre 2027. Ce calendrier n’impose pas le remplacement automatique de chaque équipement déjà installé.
Exposition aux ondes, travail et enfants
Les limites réglementaires, la prévention au travail et les règles scolaires répondent à des objectifs différents.
Le décret 2002-775 fixe les limites d’exposition du public. Le respect de ces limites tient compte des équipements et de l’environnement : une carte de couverture ne constitue pas une attestation d’exposition. Lorsqu’une vérification réglementaire est nécessaire, elle relève du cadre et du protocole de mesure appropriés.
Décret 2002-775 ; ANFR — protocole de mesure.
L’employeur évalue aussi les risques liés aux champs électromagnétiques et les reporte dans le DUERP. La documentation peut suffire ; une mesure, un calcul ou une simulation devient nécessaire lorsque l’évaluation l’exige. Les situations particulières, notamment grossesse ou dispositif médical implanté, s’examinent avec les compétences de prévention et de santé au travail. Pour une femme enceinte exposée dans son emploi, l’exposition reste aussi faible que raisonnablement possible et sous les limites du public.
R4453-6, R4453-7, R4453-8 et R4453-10 ; R4152-7-1 du Code du travail.
Les connaissances sanitaires continuent d’évoluer. L’expertise publique actualisée en 2025 ne permet pas de promettre un risque nul. Dimensionner la couverture et éviter des puissances inutilement élevées reste une démarche d’ingénierie et de sobriété.
INRS — synthèse de l’expertise Anses 2025.
Petite enfance et écoles primaires : ce que prévoit la loi
Dans les établissements visés par l’article 7 de la loi du 9 février 2015, l’installation d’un équipement terminal fixe équipé d’un accès sans fil à Internet est interdite dans les espaces dédiés à l’accueil, au repos et aux activités des enfants de moins de trois ans.
Dans les classes des écoles primaires, les accès sans fil des équipements concernés installés après la publication de la loi sont désactivés lorsqu’ils ne servent pas aux activités numériques pédagogiques. Toute nouvelle installation d’un réseau radioélectrique en école primaire fait l’objet d’une information préalable du conseil d’école. Ces dispositions ne s’étendent pas automatiquement aux collèges, lycées ou universités.
Loi 2015-136, article 7 ; référentiels du ministère de l’Éducation nationale.
Les règles du bâtiment font partie du projet
La fixation et le raccordement d’une borne, comme son entretien, se préparent avec le responsable du site.
ERP, câblage et circulations
Vérifiez les règles de sécurité incendie, les cheminements, les traversées de parois et l’accessibilité. Le PoE ne dispense pas des règles de pose. Selon les travaux et le classement du bâtiment, des autorisations peuvent être nécessaires.
Les exigences de réaction au feu des câbles, dont Cca-s2,d2,a2 dans le champ de l’article EL10, s’appliquent aux projets concernés dont la demande d’autorisation est déposée depuis le 23 mai 2025 ; elles n’imposent pas un remplacement général de l’existant.
Service Public — travaux en ERP ; EL10 ; arrêté du 17 mai 2024, application.
Accords et prévention des travaux
Façade, toiture ou parties communes : les accords du propriétaire, de la copropriété et les éventuelles formalités d’urbanisme se vérifient selon l’installation. Avant perçage ou passage en plafond, examinez le risque amiante et le repérage requis ; un dossier général n’est pas toujours suffisant. Les interventions en hauteur demandent aussi des moyens adaptés.
travaux en copropriété ; ANFR — urbanisme ; Code du travail, repérage amiante ; INRS — accès en hauteur.
ATEX, données de santé, NIS2 : des cadres spécifiques
En zone ATEX, le zonage et le document de protection contre les explosions déterminent les matériels et conditions d’intervention. Un boîtier étanche ou un marquage CE général ne suffit pas. Un entrepôt n’est toutefois pas automatiquement une zone ATEX.
La certification HDS concerne l’hébergement pour autrui de certaines données personnelles de santé ; elle ne constitue pas un label imposé à chaque borne d’un établissement de soins.
NIS2 vise certaines entités selon leur activité, leur taille ou leur statut. La transposition et les textes français applicables doivent être vérifiés auprès de l’ANSSI ; ne déduisez pas d’un simple projet WiFi que toutes ses obligations s’appliquent à votre commerce.
Chaque structure a ses contraintes
Les cas ci-dessous donnent les premiers points à examiner pour votre établissement. Plusieurs cadres peuvent s’appliquer à un même site.
Bureaux et immeubles multioccupants
Distinguez les entreprises occupantes, les salariés et les visiteurs. Répartissez les responsabilités d’exploitation et séparez les accès. Les parties communes et les travaux restent à traiter avec le propriétaire ou la copropriété.
Voir la qualification des accès et le bâtiment.
Entrepôts et logistique
Les terminaux mobiles, les rayonnages et les hauteurs orientent la conception. Ajoutez les contraintes de travail en hauteur, les risques du site et un éventuel zonage ATEX. Une difficulté de roaming n’autorise pas à désactiver les protections radio.
Voir les fréquences et les interventions.
Industrie
Recensez les équipements radio et sources électromagnétiques déjà présents. Coordonnez les essais avec l’exploitation et la prévention : continuité de production, accès aux machines, zones sensibles et contraintes ATEX éventuelles.
Commerces et magasins
Séparez caisses, équipe, invités et objets connectés. Les étiquettes électroniques de prix peuvent utiliser d’autres protocoles que le WiFi : vérifiez leurs bandes et leur coexistence. Une mesure de fréquentation via les appareils des clients demande son propre cadrage RGPD.
Arcep — objets et bandes partagées ; données et fréquentation.
Restaurants et cafés
Un WiFi offert aux clients relève du cadrage de l’accès public. Il doit rester séparé des commandes, paiements et outils internes. Prévoyez une information facile à trouver, sans transformer la connexion en inscription publicitaire obligatoire.
Voir les traces et le portail d’accès.
Hôtels et résidences
Le réseau clients, les services internes et les équipements des chambres demandent des droits distincts. Pour un hôtel classé, examinez aussi les critères d’accès WiFi et de gratuité correspondant à sa catégorie ; une durée gratuite limitée ne satisfait pas nécessairement le critère de gratuité.
Locations saisonnières et gîtes
La qualification dépend du service réellement fourni à la clientèle et de son cadre d’exploitation. Une location proposée sur Airbnb n’a pas automatiquement le même régime qu’un hôtel ou qu’un réseau familial. Vérifiez l’accès offert, les responsabilités et les données avant de retenir une solution.
Campus, écoles et formation
Séparez administration, équipes, apprenants et visiteurs ; précisez les responsabilités de l’établissement et de ses partenaires. Pour la petite enfance et le primaire, appliquez les dispositions ciblées de 2015. Les référentiels ministériels complètent cette préparation.
Santé et médico-social
Associez les équipes informatiques et biomédicales : zones de soins, consignes des fabricants et dispositifs médicaux orientent les essais. Distinguez l’accès des patients et visiteurs du réseau de soins ; analysez séparément le traitement et l’hébergement des données de santé.
Avant la mise en service
Mieux vaut vérifier ces points avant la pose des bornes que découvrir les contraintes une fois l’installation terminée.
- Identifier les utilisateurs, le fournisseur de l’accès et les responsabilités d’exploitation.
- Vérifier matériel, territoire, canaux, puissances et protections radio.
- Préparer les accords, les cheminements et la prévention des travaux.
- Définir les données nécessaires, les durées, les purges et les habilitations.
- Informer les utilisateurs et organiser les validations internes requises.
- Tester les usages, conserver les paramètres utiles et prévoir maintenance et traitement des incidents.
Des contraintes à traduire en choix techniques ?
À partir de votre site et de ses usages, nous préparons l’étude ou l’évolution du réseau. Nous précisons avec vous les informations à réunir, ainsi que les contrôles et validations adaptés au projet.
Cette page présente des repères généraux, sans couvrir toutes les règles sectorielles ou locales. Elle ne remplace pas une analyse juridique du projet ni les contrôles réglementaires spécialisés éventuellement requis. Une étude de couverture ou un audit de performances ne constitue pas une certification de conformité.
Retrouver les sources officielles
Les liens proches de chaque sujet permettent de vérifier le texte et son périmètre. Pour approfondir :
Données, utilisateurs et cybersécurité
- CNIL — fournir un accès Internet public · 17 juillet 2024.
- CPCE — article L34-1 et injonction 2026-920.
- CNIL — proxy professionnel · 13 mars 2026 ; contrôle de l’activité · 9 juillet 2026.
- RGPD — responsabilités et sécurité ; sécuriser le réseau.