GDPR et WiFi : Un guide de conformité pour les entreprises

GDPR ET WIFI : UN GUIDE DE CONFORMITÉ POUR LES ENTREPRISES Un briefing de Purple Intelligence — environ 10 minutes [INTRODUCTION & CONTEXTE — 1 minute] Bienvenue dans ce briefing de Purple Intelligence. Je suis votre hôte, et aujourd'hui nous allons droit au but sur l'un des défis de conformité les plus mal compris auxquels sont confrontés les exploitants de sites et les équipes informatiques actuellement : le GDPR et le WiFi. Si vous proposez un WiFi invité dans un parc hôtelier, une chaîne de magasins, un stade ou un bâtiment du secteur public, vous collectez des données personnelles. Point final. Et que vous le réalisiez ou non, cette collecte est soumise au Règlement général sur la protection des données. Les autorités de contrôle sont de plus en plus actives dans ce domaine, et les conséquences d'un manquement vont des mises en demeure jusqu'à des amendes pouvant atteindre quatre pour cent du chiffre d'affaires annuel mondial. Mais voilà : la conformité au GDPR pour le WiFi n'est pas aussi complexe que les équipes juridiques le laissent parfois entendre. Elle se résume à quatre questions fondamentales : Quelles données collectez-vous ? Sur quelle base légale ? Combien de temps les conservez-vous ? Et qui est responsable ? Répondez correctement à ces quatre questions, et vous aurez fait l'essentiel du chemin. Entrons dans le vif du sujet. [ANALYSE TECHNIQUE APPROFONDIE — 5 minutes] Commençons par examiner les données qu'un déploiement WiFi invité typique collecte réellement. Lorsqu'un invité se connecte à votre réseau via un Captive Portal (la splash page qu'il voit avant d'accéder à Internet), vous capturez potentiellement une adresse MAC, une adresse IP, un horodatage de connexion, la durée de la session et, si vous avez intégré un parcours d'inscription, une adresse e-mail, un nom et des préférences marketing. Or, les adresses MAC et les adresses IP sont classées comme des données personnelles selon le GDPR car elles peuvent être utilisées pour identifier un individu. Cela surprend beaucoup d'architectes réseau. Ils considèrent ces éléments comme des identifiants techniques, et non comme des données personnelles. Mais la réglementation est claire : si une donnée peut être utilisée, directement ou indirectement, pour identifier une personne physique, il s'agit d'une donnée personnelle. Vos journaux réseau sont donc concernés dès qu'un appareil se connecte. La question suivante est celle de la base légale. En vertu de l'article 6 du GDPR, vous devez disposer de l'une des six bases légales pour traiter des données personnelles. Pour le WiFi invité, les deux qui importent le plus sont le consentement et les intérêts légitimes. Le consentement est l'option la plus claire lorsque vous collectez des adresses e-mail à des fins marketing. Selon le GDPR, le consentement doit être librement donné, spécifique, éclairé et univoque. Cela signifie qu'il ne doit pas y avoir de cases pré-cochées. Pas de regroupement du consentement marketing dans les conditions générales. L'invité doit s'inscrire activement, et vous devez être en mesure de prouver qu'il l'a fait, avec un horodatage et un enregistrement de ce à quoi il a consenti à ce moment précis. Les intérêts légitimes constituent la base que la plupart des exploitants utilisent pour les données de connexion réseau sous-jacentes, comme les adresses MAC et les journaux de session. L'argument est que l'exploitation d'un réseau sécurisé et fonctionnel est un intérêt légitime de l'entreprise, et que cet intérêt n'est pas supplanté par les droits à la vie privée de l'individu. Mais (et c'est important) vous devez tout de même mener et documenter une évaluation des intérêts légitimes, ou LIA. Vous ne pouvez pas simplement invoquer des intérêts légitimes et en rester là. Les autorités de contrôle s'attendent à voir le test en trois étapes : finalité, nécessité et mise en balance. Parlons maintenant de la conception de la splash page, car c'est là que la plupart des organisations trébuchent. La splash page est votre interface principale de consentement, et elle doit accomplir plusieurs tâches simultanément. Elle doit identifier qui collecte les données (le nom de votre organisation). Elle doit expliquer quelles données sont collectées et pourquoi. Elle doit présenter toute option d'inscription marketing sous la forme d'une case à cocher distincte et non cochée. Et elle doit renvoyer vers une politique de confidentialité complète couvrant les droits des personnes concernées. Ce qu'elle ne doit absolument pas faire, c'est conditionner l'accès au réseau au consentement marketing. Si vous bloquez le WiFi derrière une inscription par e-mail où le seul moyen de se connecter est d'accepter de recevoir des e-mails marketing, ce consentement n'est pas librement donné selon le GDPR. Les autorités de contrôle ont été explicites sur ce point. Vous pouvez offrir une incitation pour l'obtention d'une adresse e-mail (un point de fidélité, un bon de réduction), mais l'accès de base au réseau doit rester disponible dans tous les cas. Passons à la rétention des données. L'article 5(1)(e) du GDPR énonce le principe de limitation de la conservation : les données personnelles ne doivent pas être conservées plus longtemps que nécessaire aux fins pour lesquelles elles sont traitées. Pour le WiFi invité, cela signifie que vous devez disposer d'un calendrier de conservation documenté. Les journaux de sécurité réseau (comme les adresses MAC et les horodatages de session) sont généralement conservés pendant 90 jours à des fins de sécurité et d'enquête sur la fraude. C'est une position défendable. Les adresses e-mail collectées pour le marketing peuvent être conservées plus longtemps, mais vous devez définir cette période, la communiquer dans votre politique de confidentialité et l'appliquer techniquement, et non pas seulement sous forme de politique sur papier. C'est là que la pile technologique prend toute son importance. Une plateforme comme la solution de WiFi invité de Purple automatise l'application de la rétention. Vous configurez une fenêtre de conservation, et le système purge les enregistrements automatiquement. C'est la différence entre une politique de conformité et un programme de conformité. La politique dit ce que vous allez faire. Le programme prouve que vous l'avez fait. Parlons des Data Protection Agreements, ou DPAs. Si vous utilisez une plateforme tierce pour gérer votre WiFi invité (ce qui est le cas de la plupart des organisations), cette plateforme agit en tant que sous-traitant pour votre compte. En vertu de l'article 28 du GDPR, vous devez avoir conclu un DPA écrit avec ce sous-traitant. Le DPA doit spécifier quelles données sont traitées, dans quel but, selon quelles instructions et quelles mesures de sécurité le sous-traitant a mises en œuvre. Si vous utilisez une plateforme d'analyse WiFi basée sur le cloud et que vous n'avez pas de DPA signé, vous n'êtes pas conforme. C'est aussi simple que cela. Pour les organisations opérant dans plusieurs États membres de l'UE ou servant des résidents de l'UE depuis une base britannique post-Brexit, vous devez également prendre en compte le GDPR britannique (qui est essentiellement le GDPR de l'UE conservé dans le droit britannique) et déterminer si des transferts internationaux de données sont impliqués. Si votre plateforme WiFi stocke des données sur des serveurs situés en dehors du Royaume-Uni ou de l'EEE, vous devez disposer d'un mécanisme de transfert approprié : soit une décision d'adéquation, soit des clauses contractuelles types, soit des règles d'entreprise contraignantes. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — 2 minutes] Très bien, passons à la pratique. Voici les quatre étapes de mise en œuvre que je recommanderais à toute équipe informatique ou exploitant de site qui entame ce processus. Premièrement : réalisez un exercice de cartographie des données. Avant de modifier votre splash page ou votre politique de confidentialité, cartographiez chaque donnée collectée par votre déploiement WiFi, sa destination, les personnes qui y ont accès et sa durée de conservation. Il s'agit de votre registre des activités de traitement en vertu de l'article 30, et c'est le fondement de tout le reste. Deuxièmement : auditez votre splash page par rapport aux exigences de consentement. Vérifiez l'absence de cases pré-cochées. Assurez-vous que le consentement marketing est distinct de l'acceptation des conditions d'utilisation. Vérifiez que le lien vers votre politique de confidentialité est visible et fonctionnel. Si vous utilisez une plateforme comme Purple, les outils de gestion du consentement sont intégrés, mais vous devez tout de même les configurer correctement et réviser les textes. Troisièmement : mettez en place vos DPAs. Contactez chaque fournisseur tiers qui touche à vos données WiFi (votre fournisseur de plateforme, votre outil d'analyse, votre CRM) et confirmez qu'un DPA signé est en place. Si ce n'est pas le cas, obtenez-en un avant d'aller plus loin. Quatrièmement : mettez en œuvre des contrôles techniques de rétention. Ne vous fiez pas à des processus manuels pour supprimer les anciennes données. Configurez la purge automatisée dans votre plateforme et documentez la configuration comme preuve de conformité. Le piège le plus courant que je constate est que les organisations traitent le GDPR comme un projet ponctuel plutôt que comme un programme continu. Vous effectuez l'audit, vous mettez à jour la splash page, vous archivez le DPA, puis deux ans plus tard, la plateforme a été mise à niveau, le texte de la splash page a été modifié par l'équipe marketing, et personne n'a vérifié les paramètres de rétention. La conformité au GDPR nécessite un cycle d'examen périodique, au moins une fois par an, et chaque fois qu'un changement important est apporté à vos activités de traitement des données. [SÉANCE DE QUESTIONS-RÉPONSES RAPIDES — 1 minute] Quelques questions que l'on me pose régulièrement. « Avons-nous besoin d'un DPO ? » — Si vous êtes une autorité publique, ou si vos activités principales impliquent un suivi systématique à grande échelle des individus (ce qu'un grand déploiement de WiFi invité pourrait qualifier), alors oui, vous devez désigner un délégué à la protection des données. Pour les déploiements plus modestes, c'est une bonne pratique même si ce n'est pas strictement obligatoire. « Pouvons-nous utiliser les adresses MAC pour l'analyse de la fréquentation ? » — Oui, mais uniquement si vous utilisez des données anonymisées ou agrégées. Si vous suivez des adresses MAC individuelles d'une session à l'autre pour établir des profils de déplacement, il s'agit d'un traitement de données personnelles et vous devez disposer d'une base légale et d'une mention d'information dans votre politique de confidentialité. « Qu'en est-il des enfants ? » — Si votre site est susceptible d'être fréquenté par des enfants de moins de 13 ans, vous devez tenir compte des règles spécifiques relatives aux mineurs. Cela signifie qu'il ne faut pas de profilage comportemental des enfants et qu'il faut proposer des politiques de confidentialité adaptées à leur âge. [RÉSUMÉ ET PROCHAINES ÉTAPES — 1 minute] Pour conclure : la conformité au GDPR pour le WiFi est tout à fait réalisable. La réglementation n'est pas conçue pour vous empêcher de proposer un service WiFi invité ou de collecter des données pour améliorer vos opérations. Elle est conçue pour garantir que lorsque vous collectez des données, vous le faites de manière transparente, sur une base légale valide, avec une sécurité appropriée et dans le respect des droits des personnes. Les quatre points à retenir de ce briefing : établissez votre base légale et documentez-la ; concevez votre splash page pour un consentement authentique ; faites signer vos DPAs ; et appliquez la rétention de manière technique, pas seulement sur le papier. Si vous souhaitez approfondir l'un de ces sujets, Purple propose un ensemble complet de guides de mise en œuvre sur la collecte de données de première partie via le WiFi, et la plateforme elle-même est conçue pour prendre en charge des déploiements conformes au GDPR dès le départ. Merci pour votre écoute. À la prochaine.