Quelles sont les obligations réglementaires ?

Quelles sont les obligations réglementaires ?

• La sécurité

Le décret 2006-358 du 24 mars 2006 relatif à la conservation des données des communications électroniques, décret d'application de la Loi du 23 janvier 2006 paru au Journal officiel le 26 mars 2006, fixe à un an la durée pendant laquelle les FAI (Fournisseurs d’Accès à Internet) et les autres opérateurs de télécommunication devront conserver les données de communication internet. La Loi adoptée le 23 janvier 2006 complète donc le Code des Postes et des Communications Electroniques. Il prévoit "pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales" que les Fournisseurs d'Accès Internet, les opérateurs de téléphonie, les cybercafés et, plus largement, tous les organismes (Hôtels, Cafés, Centres de Loisirs et tout autres lieux public...) permettant au public une connexion gratuite ou payante, sont tenus de conserver pendant un an les données relatives aux communications de leurs usagers.
Il s'agit d'assurer la rétention de toute donnée permettant d'identifier l'utilisateur et le destinataire d'une communication téléphonique ou électronique. Les prestataires devront également conserver les caractéristiques techniques - adresse IP - ainsi que la date, l'heure et la durée de chaque communication. Ils seront tenus, en outre, de déterminer les services complémentaires demandés ou utilisés.
Les solutions d’accès à Internet payantes pour le client obligent ce dernier à s’identifier par son numéro de chambre, un code, une carte d’accès, un abonnement, pour se connecter à Internet et laisse donc supposer que ces systèmes sont capables d’assurer la traçabilité juridique du client. De même les solutions d’accès à Internet gratuites, pour être conformes à la législation, doivent répondre à cette obligation de traçabilité pour les clients qui accèdent à l’Internet. Ce service a un coût, il peut être inclus dans les services d’accès ou en supplément. C’est la responsabilité de l’hôtelier de fournir aux pouvoirs publics les informations de traçabilité des clients, donc à l’hôtelier de s’assurer que son système d’accès à Internet est conforme à la législation en vigueur et de pouvoir exiger ces informations de son fournisseur.

• La CNIL (Commission Nationale de l’Informatique est des Libertés)

Dans le cadre de la réglementation sur la sécurité, la collecte, la création ou la conservation d’un fichier de données nominatives relatives à des personnes physiques doit faire l’objet d’une déclaration à la CNIL.

En résumé pour les hôtels, les restaurants et les cybercafés

Etant donné les zones d’ombre et de flou qui persistent sur ce thème, nous recommandons aux établissements offrant un accès WiFi à leurs clients de vérifier les points suivants :

bannir les points d’accès WiFi directement branché sur internet (via Box familiale ou certains routeur) car ces solutions ne permettent pas d’authentifier les utilisateurs et donc de respecter les obligations légales. Un établissement qui fournirait de l’internet à un client par ce biais serait responsable en cas de problème ;
lorsque l’établissement a recours à son propre FAI (Fournisseur d’Accès Internet : Orange, Tiscali, Free, Alice), il doit mettre en place dans son établissement un serveur dédié qui va authentifier les utilisateurs et stocker les logs (connexions). En cas d’enquête par la police judiciaire l’établissement doit fournir les informations techniques de connexion telles qu’indiquées dans le décret d’application de mars 2006. Cependant, on rencontre rarement ce cas de figure car en général les FAI proposent un service complet d’authentification (voir ci-dessous) ;
lorsque l’établissement a recours à un opérateur WiFi celui-ci prend théoriquement tout en charge (abonnement et mise en place du réseau). L’établissement doit simplement s’assurer que l’opérateur qu’il a choisit prend bien en compte les obligations réglementaires (il faut exiger une mention sur le contrat) et qu’il ne sera pas répréhensible en cas d’enquête judiciaire ou contrôle de la CNIL.

Conclusion : il est préférable de transférer ces responsabilités à un opérateur WiFi digne de ce nom (déclaré à l’ARCEP, ex Autorité de Régulation des Télécoms), si vous souhaitez proposer du WiFi à vos clients. Passez de préférence par un opérateur spécialisé (Orange business, Meteor Networks, Ibahn, Wifirst…). Aujourd’hui, et vue la complexité de ces lois, c’est sans aucun doute la solution la plus simple pour ne pas se compliquer la vie et ce n’est pas forcément la plus chère. De toute façon, confort et tranquillité d’esprit n’ont pas de prix !

• Plus d’infos sur les obligations relatives à la conservation des données des communications électroniques :

Voir l'article sur le compte-rendu de la table ronde intitulé : "Internet et WiFi dans les lieux publics : il faut conserver les historiques de connexions de vos clients pendant 1 an" ;
Voir les textes de lois en cliquant ici.