Wi-Fi gratuit pour vos clients : quelles règles en Belgique (et le RGPD dans tout ça) ?

"Le code Wi-Fi est sur le ticket de caisse"

Dans l'horeca belge, le Wi-Fi gratuit est devenu aussi évident qu'une carafe d'eau. Les clients le demandent avant même d'ouvrir la carte, et à l'hôtel ce n'est plus un extra depuis longtemps : c'est une attente de base. Alors un point d'accès a été installé un jour, le code est affiché au comptoir, et tout tourne "comme ça" depuis des années.

Jusqu'au jour où quelqu'un pose la question qui trotte dans la tête de beaucoup d'exploitants : a-t-on vraiment le droit de faire tout ça ? Suis-je responsable si un client fait quelque chose d'illégal sur mon réseau ? Et les adresses e-mail que ma page de connexion collecte — qu'ai-je le droit d'en faire, exactement ?

La réponse courte rassure : offrir le Wi-Fi à vos clients est parfaitement légal en Belgique et ne demande aucune licence. Mais la manière dont vous l'offrez détermine les obligations que vous endossez — surtout dès que des données personnelles entrent en jeu. Voici les règles du jeu, version pratique. Une précision d'emblée : ceci est un guide pratique, pas un avis juridique. Pour votre situation concrète, adressez-vous à un juriste ou à un spécialiste de la protection des données.

Êtes-vous responsable de ce que vos clients font en ligne ?

La crainte que nous entendons le plus souvent : "si un client télécharge quelque chose d'interdit sur mon Wi-Fi, c'est moi qui ai des ennuis ?" Dans les grandes lignes, le principe européen est rassurant : celui qui se contente de fournir un accès à internet n'est pas automatiquement responsable de ce que les utilisateurs en font. Vous êtes un relais, pas un éditeur.

Mais "pas automatiquement responsable" ne veut pas dire "rien à faire". Un exploitant dont le réseau est configuré intelligemment est bien mieux placé si des questions arrivent un jour :

• Séparez le réseau invités. C'est utile pour la responsabilité et pour votre propre sécurité (nous y revenons plus bas).
• Protégez-le par un mot de passe. Un réseau totalement ouvert attire aussi des gens qui ne sont pas clients, et rend plus difficile de démontrer que vous avez pris des précautions raisonnables.
• Réfléchissez à ce que vous journalisez. Garder une trace de qui s'est connecté quand peut être utile, mais ces journaux contiennent des données personnelles, auxquelles des règles s'appliquent aussi (voir plus loin). Le droit belge des télécommunications prévoit des règles de conservation distinctes pour les opérateurs de réseau ; si vous conservez des journaux de connexion, demandez à un avocat si elles s'appliquent à vous.

Si une demande de la police arrive un jour, consultez un avocat avant de transmettre ou de supprimer quoi que ce soit. À ce moment-là, vous voulez pouvoir montrer un réseau installé dans les règles de l'art, et non un bricolage « monté par un cousin, à l'époque ».

Là où le RGPD entre en scène : la page de connexion

Beaucoup d'établissements affichent un portail avant de laisser les clients en ligne : entrez votre adresse e-mail, cochez une case, et c'est parti. Pratique pour le marketing — mais c'est précisément le moment où vous passez de "offrir du Wi-Fi" à "traiter des données personnelles", et donc sous le RGPD.

Les données personnelles vont plus loin qu'on ne le pense. Pas seulement le nom et l'adresse e-mail : des identifiants techniques comme l'adresse MAC d'un appareil peuvent aussi en faire partie. Le bon réflexe est simple : traitez tout ce que votre Wi-Fi vous apprend sur un client comme une donnée encadrée par des règles.

Concrètement :

• Dites ce que vous faites. Une déclaration de confidentialité courte et lisible sur la page du portail : ce que vous collectez, pour quoi, combien de temps vous le conservez, et à qui le client peut s'adresser.
• Ne collectez que le nécessaire. Une adresse e-mail pour votre lettre d'information, passe encore. Mais avez-vous vraiment besoin d'une date de naissance, d'un numéro de téléphone et d'un code postal pour laisser quelqu'un en ligne une heure ? Chaque question supplémentaire, c'est de la responsabilité supplémentaire.
• Sécurisez ce que vous conservez. Qui, dans la maison, peut accéder à ces données ? La liste vit-elle sur un système sécurisé ou dans un fichier Excel sur l'ordinateur de la caisse ? Ça aussi, c'est du RGPD.

"Wi-Fi gratuit contre votre adresse e-mail"

C'est ici que ça dérape le plus souvent en pratique. Le consentement au marketing doit être libre et spécifique. Cela signifie :

• Pas de cases pré-cochées. Le client choisit lui-même, activement.
• Le Wi-Fi ne peut pas être une prise d'otage. Conditionner l'accès à une inscription obligatoire à la lettre d'information s'accorde mal avec l'idée d'un consentement libre. Proposez la lettre d'information comme une option, pas comme un péage.
• Se désinscrire doit être aussi simple que s'inscrire. Un clic en bas de chaque e-mail — et ce clic doit réellement fonctionner.

Une liste construite ainsi est plus courte, mais elle est composée de gens qui veulent vos e-mails. Pour un établissement horeca, cela vaut plus que mille adresses récoltées en douce.

Combien de temps conserver ces données ?

Le RGPD ne fixe pas de délai unique, mais le principe est clair : pas plus longtemps que nécessaire pour la finalité. Convenez d'un délai en interne, écrivez-le, et tenez-vous-y. Un client venu boire un café il y a trois ans n'a pas à rester éternellement dans votre système. Configurez votre routeur ou votre portail pour que les anciennes données disparaissent automatiquement — plus personne ne doit y penser.

La technique qui rend les règles plus simples d'elle-même

La bonne nouvelle : ce qui est juridiquement prudent est aussi, tout simplement, une bonne pratique réseau.

• Séparez les clients de l'entreprise. Votre réseau invités doit être totalement isolé de votre caisse (SCE), de votre terminal de paiement, de vos caméras, de votre système de réservation et de vos ordinateurs de bureau. Un client qui peut atteindre votre système de caisse — par accident ou exprès — est un risque qu'aucun exploitant ne veut courir.
• Changez les mots de passe par défaut. Le mot de passe administrateur livré avec le routeur est la première chose qu'un attaquant essaie.
• Tenez le firmware à jour. Un logiciel de routeur obsolète est une porte dérobée grande ouverte. Planifiez les mises à jour ou automatisez-les.
• Limitez la bande passante. Une limite par utilisateur garde le réseau fluide pour tous et décourage le trafic lourd dont vous préférez ne pas être le relais.

L'option la plus honnête : collecter le moins possible

Voilà ce que beaucoup de fournisseurs de portails captifs oublient de vous dire : rien ne vous y oblige. La configuration conforme la plus simple est un réseau invités séparé, avec un mot de passe affiché sur un petit panneau, sans portail et sans données d'inscription. Votre routeur conserve malgré tout des journaux techniques, comme les adresses des appareils : réglez-les pour qu'ils s'effacent d'eux-mêmes après une courte période. Il n'y a alors aucun consentement à gérer.

Un portail avec inscription par e-mail n'a de sens que si vous allez réellement utiliser ces adresses, et de façon responsable — une lettre d'information mensuelle qui vaut la peine, une invitation pour votre saison de gibier. Si vous n'en ferez rien, vous ne collectez que du risque.

Liste de contrôle pratique

• Le réseau invités est totalement séparé de la caisse, du terminal de paiement, des caméras et du bureau
• Le mot de passe administrateur du routeur et des points d'accès a été changé
• Le réseau est protégé par un vrai mot de passe (et ce n'est pas "restaurant2020")
• Les mises à jour de firmware sont automatiques ou planifiées
• S'il y a un portail : une déclaration de confidentialité courte y est visible
• Le consentement marketing est un choix libre, distinct, jamais pré-coché
• Un délai de conservation des données a été convenu et documenté
• Se désinscrire des e-mails se fait en un clic
• Quelqu'un dans la maison sait qui a accès aux données collectées

Vous pouvez tout cocher ? Alors vous êtes plus avancé que la majorité du secteur.

Vous préférez que quelqu'un s'en occupe, tout simplement ?

Un réseau invités rapide, proprement séparé de vos systèmes d'entreprise, avec une collecte de données réglée pour protéger la vie privée : c'est pour cela que notre service IT et Wi-Fi est conçu. Découvrez nos solutions IT et Wi-Fi ou contactez-nous : nous examinons votre installation actuelle et vous disons honnêtement ce qui est déjà en ordre et ce qui reste à corriger. Et pour les derniers détails juridiques, nous vous renvoyons volontiers vers un spécialiste, car à chacun son métier.