Octobre 2026 : vous commandez un café, on vous tend un ticket avec un code Wi-Fi, et votre téléphone affiche une page de connexion qui réclame votre nom, votre adresse électronique et l’acceptation de conditions générales avant de vous laisser naviguer. Même scène à l’hôtel, où la réception exige une pièce d’identité pour activer l’accès, ou à la gare, où un simple clic sur « se connecter » suffit. Derrière cette apparente simplicité, le portail captif qui s’affiche sur votre écran collecte des données qui vous concernent : adresse MAC de votre appareil, identifiants déclarés, horodatages de connexion, parfois historique de navigation et données de géolocalisation. Certaines de ces collectes sont imposées par la loi, notamment pour les besoins des enquêtes pénales ; d’autres, à visée commerciale, ne sont licites que si vous avez donné un consentement valable. Cet article explique ce que le fournisseur de Wi-Fi gratuit collecte exactement, ce que la loi l’oblige à conserver, quand il doit recueillir votre accord, et comment refuser le traçage, obtenir l’effacement de vos données, saisir la CNIL et demander réparation.
I. Ce que le Wi-Fi gratuit collecte : conservation imposée par la loi et marketing soumis à votre accord
A. L’identification de l’utilisateur et la conservation ordonnée par le code des postes et des communications électroniques
Le premier point à comprendre est que le café, l’hôtel ou la gare qui offre une connexion Wi-Fi n’est pas un simple commerçant qui rend service : dès lors qu’il fournit un accès à internet au public, la loi le traite comme un acteur des communications électroniques, avec les obligations qui en découlent. L’article L. 34-1 du code des postes et des communications électroniques dispose ainsi que : « Les personnes qui, au titre d’une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l’intermédiaire d’un accès au réseau, y compris à titre gratuit, sont soumises au respect des dispositions applicables aux opérateurs de communications électroniques en vertu du présent article. » (article L. 34-1 du code des postes et des communications électroniques). La gratuité ne change donc rien : le restaurateur qui propose un hotspot engage les mêmes obligations de conservation que s’il vendait l’accès.
Concrètement, le portail captif vous demande presque toujours de vous identifier : adresse électronique, numéro de téléphone avec code reçu par SMS, compte de réseau social, parfois scan d’une pièce d’identité à l’hôtel. Cette identification répond d’abord à une obligation légale de conservation. Le même article L. 34-1 du code des postes et des communications électroniques impose aux opérateurs de conserver, pour les besoins des procédures pénales, de la prévention des menaces contre la sécurité publique et de la sauvegarde de la sécurité nationale, « les informations relatives à l’identité civile de l’utilisateur, jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité de son contrat ». Les autres informations fournies lors de la souscription ou de la création du compte, ainsi que les informations relatives au paiement, doivent être conservées « jusqu’à l’expiration d’un délai d’un an », tandis que les données techniques permettant d’identifier la source de la connexion ou relatives aux équipements terminaux utilisés sont conservées « jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux ». Autrement dit, votre adresse électronique déclarée au café, l’heure de votre connexion et l’identifiant technique de votre téléphone peuvent être gardés un an, et votre identité civile jusqu’à cinq ans, pour être remis aux autorités judiciaires qui en feraient la demande dans ce cadre.
Ces durées ne sont pas une invention du législateur français isolé : elles s’inscrivent dans un débat européen tranché par les plus hautes juridictions. Par son arrêt d’assemblée du 21 avril 2021, le Conseil d’État, statuant sur les recours de l’association La Quadrature du Net contre les décrets relatifs à la conservation des données de connexion, a jugé, à la lumière de la jurisprudence de la Cour de justice de l’Union européenne, qu’une conservation généralisée et indifférenciée ne peut être admise que dans des conditions strictement encadrées, liées notamment à l’existence d’une menace grave pour la sécurité nationale, et que le juge national doit contrôler la proportionnalité du dispositif (Conseil d’État, Assemblée, 21 avril 2021, n° 393099). Pour vous, utilisateur du Wi-Fi gratuit, la conséquence pratique est double : d’un côté, vous ne pouvez pas exiger la suppression immédiate des données que la loi ordonne de conserver pour les finalités pénales et de sécurité ; de l’autre, tout ce qui dépasse ces finalités — profilage commercial, revente de fichiers, prospection — relève d’un autre régime, celui du consentement.
Le principe général posé par le même article L. 34-1 mérite d’ailleurs d’être cité, car il fonde toutes vos demandes d’effacement : les opérateurs « effacent ou rendent anonymes » les données relatives aux communications électroniques, sous réserve des obligations de conservation limitativement énumérées. La conservation est donc l’exception, justifiée par des finalités précises et des durées plafonnées ; l’effacement est la règle. Quand le fournisseur du Wi-Fi vous répond qu’il « doit tout garder », demandez-lui au titre de quelle disposition et pour quelle durée : l’identité civile cinq ans et les données techniques un an pour les finalités de sécurité, oui ; votre parcours d’achat et vos centres d’intérêt sans limite de durée, non.
B. Le traçage commercial et les traceurs du portail captif, licites uniquement avec un consentement libre et spécifique
À côté de la conservation légale, le portail captif est souvent une machine commerciale. Le formulaire d’inscription alimente une base de prospection : votre adresse électronique reçoit ensuite des offres, votre numéro de téléphone des SMS publicitaires, et les cookies déposés pendant votre navigation permettent de reconnaître votre appareil à votre prochaine visite, de mesurer la fréquentation du lieu, voire de revendre des segments d’audience à des régies. Tout cela ne repose sur aucune obligation légale : le seul fondement possible est votre consentement, et ce consentement doit remplir des conditions strictes. L’article 6 du règlement général sur la protection des données (RGPD) n’autorise le traitement fondé sur l’accord de la personne que si cet accord a été donné pour une ou plusieurs finalités spécifiques, chaque finalité appelant un consentement distinct (RGPD, chapitre II : principes et licéité, CNIL). Chaque finalité — fournir l’accès, envoyer de la publicité, mesurer l’audience, partager avec des partenaires — doit donc faire l’objet d’un accord distinct : une case unique « j’accepte les conditions et les offres partenaires » ne satisfait pas à l’exigence de spécificité.
Le consentement doit en outre être libre, et c’est là que la plupart des portails captifs trébuchent. Subordonner l’accès au Wi-Fi à l’acceptation de la prospection commerciale, sans proposer d’alternative équivalente, vicie la liberté du choix : vous n’avez pas réellement le choix si refuser la publicité signifie rester sans connexion. Le Conseil d’État l’a rappelé le 19 juin 2020 en validant les lignes directrices de la CNIL sur les traceurs : le recueil du consentement doit garantir un choix véritable, et une autorité de contrôle peut interdire par principe les pratiques qui le privent de substance, comme les murs de traceurs qui conditionnent l’accès au service (Conseil d’État, 19 juin 2020, n° 434684). Transposé au Wi-Fi gratuit, le raisonnement est direct : le fournisseur doit vous laisser vous connecter en refusant la prospection et les traceurs non nécessaires. Si le bouton « continuer sans accepter » n’existe pas, ou s’il est caché, le consentement extorqué dans ces conditions n’est pas valable, et tout le traitement commercial qui en découle est illicite.
La CNIL le confirme dans sa doctrine sur les traceurs : le consentement doit être libre, spécifique, éclairé et univoque, et l’utilisateur doit pouvoir le retirer à tout moment avec la même simplicité qu’il l’a accordé (CNIL, page consacrée aux traceurs et à la loi applicable). Retenez ce test simple face à un portail captif : ai-je été informé de chaque utilisation avant de cliquer, ai-je pu dire non à la publicité tout en me connectant, puis-je retirer mon accord aussi facilement que je l’ai donné ? Si l’une des réponses est négative, conservez une capture d’écran du portail : elle constituera la preuve centrale de votre réclamation. Les traceurs qui ont pour finalité exclusive de permettre la communication électronique — par exemple le témoin technique qui maintient votre session le temps de la connexion — sont dispensés de consentement ; tous les autres, mesure d’audience recoupée, publicité ciblée, partage avec des partenaires, exigent votre accord préalable. C’est également le sens de la jurisprudence voisine sur les murs de cookies, que nous avons analysée à propos des sites qui bloquent l’accès en cas de refus : comme nous l’expliquons dans notre article sur les sites qui bloquent l’accès parce que vous refusez les cookies, conditionner le service à l’acceptation du traçage est une pratique que la CNIL sanctionne.
Un dernier point mérite votre vigilance : le traçage silencieux par l’adresse MAC de votre appareil. Certains dispositifs de mesure de fréquentation captent automatiquement les signaux émis par les téléphones, même sans connexion au réseau, pour compter les passants, mesurer les temps de présence et reconnaître les visiteurs réguliers. Cette collecte, invisible, reste un traitement de données personnelles soumis au RGPD : elle exige une information et, sauf anonymisation immédiate et irréversible, un fondement valable. Si vous découvrez qu’un lieu vous a pisté de cette manière, les recours décrits ci-après s’appliquent de la même façon.
II. Refuser le traçage, effacer vos données et obtenir réparation
A. Vos démarches pas à pas : information, accès, retrait, opposition et effacement
La première démarche consiste à identifier qui traite vos données. Le responsable du traitement est l’exploitant du lieu ou son prestataire Wi-Fi, dont les coordonnées doivent figurer dans la politique de confidentialité accessible depuis le portail captif, ou vous être communiquées sur simple demande à la réception. Écrivez-lui — courrier électronique avec accusé de réception ou lettre recommandée — en formulant des demandes précises et datées : confirmation que des données vous concernant sont traitées et communication de la liste des finalités, en application du droit d’accès ; copie des données, car le responsable du traitement doit vous fournir une copie des données personnelles traitées (droit d’accès, RGPD, chapitre III : vos droits, CNIL) ; retrait de votre consentement à la prospection et aux traceurs, en rappelant que le retrait du consentement doit être aussi simple que son don (RGPD, conditions du consentement, CNIL) ; et effacement de tout ce qui ne relève pas d’une obligation légale de conservation, puisque vous avez le droit d’obtenir l’effacement de vos données dans les meilleurs délais (RGPD, droit à l’effacement, CNIL), notamment quand vous retirez votre consentement et qu’il n’existe pas d’autre fondement, ou quand les données ont fait l’objet d’un traitement illicite.
Formulez votre demande avec méthode pour éviter les réponses dilatoires. Indiquez l’adresse électronique ou le numéro utilisé sur le portail, la période approximative de connexion et le lieu concerné, afin que l’exploitant retrouve votre fiche. Demandez une réponse dans un délai d’un mois, délai de droit commun du RGPD, et réclamez la preuve de l’effacement effectif : suppression dans la base de prospection, dans les journaux du portail et chez les éventuels sous-traitants ou partenaires auxquels vos données auraient été transmises. Si le fournisseur vous oppose la conservation légale, exigez qu’il distingue : les données couvertes par l’article L. 34-1 pour les finalités pénales et de sécurité, qu’il doit identifier avec leur durée, et les données commerciales, qui doivent disparaître. Un refus global et non motivé est en soi un manquement, que la CNIL sanctionne régulièrement.
Parallèlement, agissez sur votre propre appareil pour couper le traçage à la source. La plupart des téléphones proposent une adresse MAC aléatoire par réseau : activez cette option pour le hotspot concerné, ce qui empêche de relier vos différentes visites. Oubliez le réseau après usage pour éviter les reconnexions automatiques qui signalent votre présence, refusez les traceurs depuis le paramétrage du portail quand il existe, et désactivez la connexion automatique aux réseaux ouverts. Ces gestes ne remplacent pas vos droits, mais ils réduisent concrètement l’empreinte que vous laissez.
Si l’exploitant ne répond pas dans le délai d’un mois, répond de façon incomplète ou maintient la prospection malgré votre retrait, saisissez la CNIL par une plainte en ligne en joignant vos échanges, vos captures du portail et les messages commerciaux reçus après le retrait. La plainte à la CNIL est gratuite et peut viser à la fois le défaut de fondement, le défaut d’information et l’absence d’effacement. Conservez également toute preuve du préjudice : avalanche de démarchages, utilisation de vos données par un tiers inconnu, temps passé à vous désinscrire, inquiétude liée à la géolocalisation de vos habitudes. Ces éléments serviront à la phase indemnitaire.
B. Les sanctions de la CNIL et votre action en réparation devant le juge
La CNIL dispose d’une palette graduée : rappel à l’ordre, mise en demeure publique, injonction de mise en conformité sous astreinte, et amende administrative pouvant atteindre, selon la gravité, 10 ou 20 millions d’euros ou 2 % à 4 % du chiffre d’affaires annuel mondial. Les manquements constatés sur les portails captifs — absence de base légale pour la prospection, consentement non libre, information insuffisante, conservation excessive, refus d’effacement — entrent dans le champ des violations les plus lourdement sanctionnables, car ils touchent au cœur du RGPD : la licéité et la transparence. Une plainte bien documentée, surtout si elle révèle une pratique systématique appliquée à des milliers de clients d’une enseigne, a donc des chances réelles d’aboutir à une mesure correctrice qui profitera à tous les utilisateurs du réseau.
À côté de l’action devant la CNIL, vous disposez d’une action judiciaire directe en réparation, qui ne dépend pas de l’issue de votre plainte. L’article 82 du RGPD ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (RGPD, chapitre VIII : recours et réparation, CNIL). Le dommage moral — agacement répété, sentiment d’être pisté, perte de maîtrise de ses données — suffit : il n’est pas nécessaire de démontrer une perte financière. Le juge français complète ce fondement européen par le droit commun de la responsabilité. « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Saisissez le tribunal judiciaire du lieu de votre domicile ou du siège de l’exploitant, en demandant à la fois l’injonction — effacement, cessation de la prospection, interdiction du partage avec les partenaires — et des dommages et intérêts.
Devant le juge, l’exploitant tentera généralement trois lignes de défense, auxquelles vous devez être prêt à répondre. Premièrement, il invoquera l’intérêt légitime : rétorquez que la prospection massive et le partage avec des régies ne passent pas le test de la balance des intérêts quand un consentement spécifique était exigible, et que le traçage invisible par adresse MAC ne peut jamais reposer sur ce fondement sans information préalable. Deuxièmement, il produira vos « conditions acceptées » : démontrez, captures à l’appui, que l’accès était subordonné à l’acceptation globale, sans refus granulaire ni alternative, ce qui prive le consentement de sa liberté au sens de l’article 7 du RGPD et de la jurisprudence du Conseil d’État du 19 juin 2020. Troisièmement, il se retranchera derrière la conservation légale : rappelez la distinction entre les données couvertes par l’article L. 34-1, conservées pour les autorités dans des durées plafonnées, et les données commerciales, qui auraient dû être effacées dès le retrait de votre consentement en application de l’article 17. Chaque argument adverse devient ainsi la démonstration d’un manquement distinct, ce qui renforce à la fois l’injonction et l’indemnisation.
Le montant de la réparation dépendra des circonstances : volume et ancienneté des données détournées, nombre de sollicitations subies après opposition, diffusion à des tiers, et attitude de l’exploitant face à vos demandes. Un dossier qui montre un portail sans bouton de refus, une prospection poursuivie après deux retraits écrits et un partage avec des partenaires inconnus caractérise une violation délibérée et durable, que les juges indemnisent plus fermement qu’une simple négligence ponctuelle. Joignez systématiquement à votre assignation la plainte CNIL et ses suites : même sans décision définitive, elle objective le manquement aux yeux du tribunal.
En pratique, retenez l’essentiel. Le Wi-Fi gratuit n’est jamais anodin : votre identité déclarée et vos données techniques peuvent être conservées un à cinq ans pour les finalités de sécurité prévues par l’article L. 34-1 du code des postes et des communications électroniques, mais tout usage commercial — prospection, mesure d’audience recoupée, partage avec des partenaires, traçage par adresse MAC — exige un consentement libre, spécifique et éclairé, que vous pouvez retirer aussi simplement que vous l’avez donné. Face à un portail qui conditionne l’accès à l’acceptation globale, capturez l’écran, exigez par écrit l’accès, la copie et l’effacement, laissez un mois à l’exploitant, puis saisissez la CNIL et, si votre préjudice persiste, le tribunal judiciaire sur le fondement de l’article 82 du RGPD. La connexion était offerte ; vos données ne l’étaient pas.
Certains dispositifs vont au-delà du portail captif visible : boîtiers qui captent les adresses MAC des téléphones à proximité pour mesurer la fréquentation, caméras couplées au Wi-Fi pour suivre les déplacements dans le magasin, ou conservation des journaux de connexion bien après les durées légales. Quand la collecte est clandestine, le droit commun de la vie privée s’ajoute au RGPD. L’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée » et permet au juge, « sans préjudice de la réparation du dommage subi », de prescrire « toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée », y compris en référé en cas d’urgence (article 9 du code civil). Concrètement, si vous découvrez qu’une enseigne a constitué un fichier de vos passages à votre insu, vous pouvez saisir le juge des référés pour faire ordonner la cessation du dispositif et la suppression du fichier, sans attendre l’issue d’une plainte à la CNIL.
Le volet pénal ne doit pas être négligé quand le traçage s’accompagne d’une captation d’images ou de paroles dans des espaces où vous pouviez légitimement vous croire à l’abri des regards. L’article 226-1 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait, « au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui », notamment « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé » (article 226-1 du code pénal). Un hôtel qui filmerait ses clients au-delà des parties communes, ou un commerce qui enregistrerait les conversations captées par les micros d’un dispositif connecté, s’expose à cette qualification, qui se cumule avec les sanctions administratives de la CNIL. Dans ce cas, déposez plainte en joignant vos constats, et informez la CNIL de la procédure pénale en cours : les deux voies se renforcent mutuellement.
Enfin, la responsabilité de l’exploitant s’apprécie largement : chacun répond non seulement de son fait, mais « encore par sa négligence ou par son imprudence » (article 1241 du code civil). Un paramétrage défaillant du portail qui laisse fuiter les adresses électroniques des clients, un prestataire Wi-Fi qui réutilise les données pour son propre compte sans contrat de sous-traitance conforme, une base de prospection jamais purgée : autant de négligences qui engagent la responsabilité de l’exploitant comme celle de son prestataire, solidairement le cas échéant. C’est pourquoi votre mise en demeure initiale doit viser les deux : l’enseigne dont vous avez utilisé le réseau et, quand vous parvenez à l’identifier, la société qui opère techniquement le portail captif. L’article L. 34-1 du code des postes et des communications électroniques s’applique à tous ceux qui offrent la connexion au public (article L. 34-1 du code des postes et des communications électroniques), et le RGPD tient chaque acteur responsable de sa part du traitement : aucun ne pourra se retrancher derrière l’autre pour échapper à l’effacement ou à la réparation.