Rétention des données GDPR pour les opérateurs de WiFi partagé : combien de temps conserver les données de connexion invités et les journaux réseau

Sous le régime du UK GDPR, conservez les données d'identification de connexion WiFi des invités et les journaux réseau uniquement pour la finalité documentée et pas plus longtemps. La plupart des journaux de sécurité opérationnelle peuvent justifier une courte période testée, sans règle universelle. Une période d'IPA de 12 mois s'applique uniquement lorsqu'un avis de conservation des données applicable exige la conservation de données spécifiées.1 7 9

Qu'est-ce qu'une politique de conservation des données WiFi justifiable ?

Une politique justifiable associe chaque catégorie de données à une finalité, une partie responsable, une base légale, une durée de conservation et un événement de suppression. C'est l'expression opérationnelle de l'article 5(1)(e) : les données personnelles ne doivent pas rester identifiables plus longtemps que nécessaire. L'ICO ne prescrit pas de périodes fixes. Vous devez justifier la période, la documenter, la réviser et effacer ou anonymiser les données lorsqu'elles ne sont plus nécessaires.1

Note juridique. Il s'agit d'un guide de conformité technique et non d'un avis juridique formel. Demandez à un conseiller qualifié de valider votre modèle d'infrastructure, vos contrats de locataires et tout avis d'IPA avant de vous appuyer sur un calendrier de conservation.

Pourquoi le WiFi partagé pose-t-il un problème de conformité différent ?

Le Multi-Tenant WiFi crée des niveaux de complexité qu'un réseau d'invités sur site unique ne présente pas. Vous pouvez exploiter une couche d'accès partagé pour les résidents, les membres, les invités et les visiteurs, tout en fournissant un service WiFi pour le personnel à un employeur locataire. Pour vos propres besoins, tels que la sécurité du réseau, l'assurance du service et la gestion des litiges de facturation, vous pouvez être responsable du traitement. Pour l'authentification des employés traitée uniquement selon les instructions documentées du locataire, vous pouvez être sous-traitant. La désignation figurant dans un accord commercial ne tranche pas la question.

L'ICO précise que le rôle découle de l'activité de traitement spécifique. La partie qui décide pourquoi les données sont collectées, de la base légale, des catégories de données, des destinataires, des informations de confidentialité, de la gestion des droits ou de la conservation est probablement le responsable du traitement. Un sous-traitant peut choisir les méthodes techniques, les contrôles de sécurité et les mécanismes de suppression sans devenir responsable du traitement, tant qu'il ne prend pas les décisions globales. Un même ensemble de données peut donc être séparé par finalité et par rôle. Si les deux parties déterminent conjointement les finalités et les moyens, utilisez un accord de co-responsabilité au titre de l'article 26 plutôt que de traiter la relation comme une simple prestation de sous-traitance.4

Cette analyse est particulièrement importante pour les secteurs de l'Hôtellerie, du Commerce de détail, de la Santé et des Transports, où un réseau partagé peut desservir plusieurs entreprises indépendantes au sein d'un même bâtiment.

Comment devez-vous classifier les 5 catégories de données WiFi ?

Les métadonnées de connexion comprennent l'adresse IP attribuée, l'adresse MAC source, les heures de début et de fin de session, les octets transférés, les enregistrements de bail DHCP et la comptabilité RADIUS. Sur un service avec identifiant de connexion, ces champs seront généralement des données personnelles car ils peuvent être liés à un individu. Conservez les champs requis pour l'objectif de sécurité et de dépannage défini. Une période opérationnelle suggérée de 30 à 90 jours constitue une politique de départ, et non un refuge juridique statutaire. Votre délai de détection des incidents, votre modèle de menace et votre capacité d'enquête doivent déterminer la période approuvée.1 6

Les données d'authentification des invités comprennent l'adresse e-mail, le nom, le numéro de téléphone et l'identifiant d'authentification. Si vous les collectez uniquement pour autoriser une personne à accéder au WiFi invité, l'objectif d'accès prend fin avec la session. Ne conservez un historique court et documenté des litiges ou des fraudes que si vous pouvez l'expliquer. Si vous collectez également un consentement explicite pour le marketing (opt-in), séparez le dossier marketing des données d'accès. Le consentement peut être retiré, et le marketing électronique a également ses propres règles. En cas de retrait ou d'opposition, arrêtez le marketing et ne conservez que les informations de suppression minimales nécessaires pour respecter ce choix.2 6

Les données de localisation et de présence nécessitent une distinction stricte entre les parcours identifiables bruts et les résultats agrégés. Un jeton n'est pas anonyme si vous pouvez le réassocier à un identifiant de connexion. L'ICO indique que les données pseudonymisées restent généralement des données personnelles, tandis que les données qui ne permettent plus l'identification peuvent être conservées en dehors de la règle de limitation de conservation. Une période de suivi brut de 30 jours suivie d'une agrégation irréversible constitue un modèle de politique judicieux lorsque vous avez besoin d'une analyse opérationnelle à court terme. Documentez la méthode d'agrégation et testez si la réidentification reste possible.1L'historique des communications marketing inclut les envois, les ouvertures, les clics et les modifications de préférences. N'héritez pas du minuteur du journal de sécurité. Conservez-le uniquement dans le but marketing indiqué, sur la base légale qui s'applique, avec une date de révision documentée. Le point de révision de 24 mois ci-dessous est une limite opérationnelle suggérée, pas une date limite de l'ICO. Ne conservez jamais un profil d'engagement simplement parce que la personne n'a pas retiré son consentement. Si le consentement est retiré, effacez ou anonymisez l'historique marketing, à moins qu'un besoin distinct et documenté ne s'applique. Une entrée de suppression d'opt-out est différente : elle empêche de futurs messages.2 6

Les journaux d'abus et de sécurité peuvent inclure les refus de pare-feu, les événements de sécurité DNS et la comptabilité RADIUS. La sécurité des réseaux et des informations peut appuyer des intérêts légitimes, mais elle ne le fait pas automatiquement. Effectuez les tests de finalité, de nécessité et de mise en balance avant de commencer la période de conservation. Un calendrier de 365 jours peut être justifiable lorsqu'une adresse IP publique partagée nécessite des preuves d'attribution pour le traitement différé d'incidents, de réclamations ou d'assignations. Ce n'est pas un plancher GDPR. Réduisez les champs, limitez l'accès, enregistrez les recherches et révisez l'évaluation des intérêts légitimes lorsque l'architecture ou le risque change.1 6

Flux de décision : déterminez l'identifiabilité, le rôle, la base légale et toute notification légale avant de définir la règle de purge automatisée.

Quel calendrier de conservation pouvez-vous adopter ?

Le calendrier ci-dessous est une base de référence prête à être adaptée pour un parc WiFi partagé au Royaume-Uni. Il est délibérément divisé par finalité. Adoptez-le uniquement après que le responsable du traitement a documenté la finalité, la base légale et l'évaluation des risques pour le parc. Un avis de l'IPA, une obligation de conservation légale ou une réclamation active peut remplacer une date de purge normale, mais uniquement pour les enregistrements spécifiques et la durée que l'exception justifie.1 7 9

La période de connexion de 90 jours et la période d'abus de 365 jours sont des choix de politique, non des chiffres obligatoires. Elles ne sont utiles que lorsque votre LIA écrite, votre avis de confidentialité, vos preuves système et votre conception de suppression automatisée correspondent tous. Une autorité publique doit également vérifier si elle accomplit une mission de service public, car elle ne peut pas s'appuyer sur des intérêts légitimes pour cette mission.6

L'IPA exige-t-elle qu'un opérateur de WiFi partagé conserve les journaux pendant 12 mois ?

Non, pas par défaut. La définition de l'opérateur de télécommunications selon l'IPA est large. Le code des avis 2025 du gouvernement indique qu'elle peut inclure une personne qui fournit aux clients ou aux membres du public un accès à des services de communication qui sont accessoires à un autre service, y compris des locaux commerciaux tels que des hôtels. Cela rend la question pertinente pour un opérateur de MDU, de co-working ou de WiFi géré.8 9

Mais le même code est clair sur le fait que la position par défaut est qu'aucune obligation de conservation n'existe en vertu de la loi tant qu'un avis de conservation des données n'a pas été émis. En vertu de l'article 87 de l'IPA, le secrétaire d'État ne peut émettre un avis que si l'exigence est nécessaire et proportionnée et qu'un commissaire judiciaire l'a approuvée. L'avis doit identifier l'opérateur, les données et la période. Il ne peut pas exiger une conservation de plus de 12 mois. Ne mettez pas en place une politique générique consistant à "tout conserver pendant 12 mois" simplement parce que le service pourrait répondre à une définition large d'opérateur de télécommunications.7 9

Lorsqu'un avis valide crée une obligation légale, l'article 6(1)(c) peut fournir la base juridique du UK GDPR pour le traitement nécessaire à sa conformité. Ce n'est pas une base contractuelle. L'ICO indique que vous devez identifier la disposition légale spécifique, documenter la décision et expliquer l'objectif et la base juridique dans les informations de confidentialité. L'avis n'autorise pas l'utilisation marketing secondaire ni la collecte indéterminée.3

Que doit contenir un accord de locataire au titre de l'article 28 ?

Si vous traitez les données des employés du locataire uniquement selon les instructions documentées de ce dernier, un accord de traitement des données au titre de l'article 28 doit être en place avant le début de ce traitement. L'accord doit décrire l'objet et la durée, la nature et la finalité, les types de données, les catégories de personnes concernées, ainsi que les droits et obligations du responsable du traitement. Il doit ensuite contenir les engagements opérationnels ci-dessous.5

N'utilisez pas d'accord au titre de l'Article 28 pour masquer un accord de responsables conjoints du traitement. Si l'opérateur et le locataire décident conjointement pourquoi les analyses des employés seront utilisées, quels champs sont collectés et combien de temps ils restent disponibles, évaluez plutôt l'Article 26.4

Comment devez-vous gérer une demande d'effacement ?

L'effacement au titre de l'Article 17 n'est pas une fonction de suppression en un clic. Commencez par une vérification proportionnée de l'identité. Recherchez ensuite les données par finalité et par rôle : accès invité, marketing, sécurité, instructions du locataire et toute conservation spécifique à un avis. L'ICO indique que vous devez répondre sans retard injustifié et, au plus tard, dans un délai d'un mois. Lorsque les données ne sont plus nécessaires, ou que le consentement a été retiré, effacez-les des dossiers actifs et informez les destinataires concernés si nécessaire.2

Lorsqu'une obligation légale s'applique, ou que les données sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice, le droit à l'effacement ne s'applique pas dans cette mesure. Expliquez clairement le motif limité. Conservez les données conservées séparées, empêchez toute utilisation non liée et appliquez la date de fin correspondante. Les sauvegardes nécessitent une réponse explicite : la suppression doit également couvrir les sauvegardes dans la mesure du possible. Si un écrasement immédiat est impossible, rendez l'enregistrement de sauvegarde inutilisable et divulguez le calendrier d'écrasement.2

Un flux de travail d'effacement doit séparer les données à supprimer des enregistrements restreints conservés en vertu d'une exception documentée.

Comment cela fonctionne-t-il dans les établissements réels ?

Scénario hôtellerie : un hôtel avec accès invité et accès personnel locataire

Un hôtel de 200 chambres exploite un réseau Guest WiFi pour les visiteurs et fournit un SSID Staff WiFi à son locataire restaurateur. L'hôtel rédige deux registres de traitement distincts. Il agit en tant que responsable du traitement pour l'authentification des invités, les données de connexion de 90 jours et les enquêtes de sécurité. Le restaurant décide de la population des employés, des conditions d'accès et de la conservation pour son SSID personnel, de sorte que l'hôtel applique les conditions de l'Article 28 à ce traitement. Le contrôle mesurable est un rapport mensuel montrant que chaque session d'invité de plus de 90 jours a été purgée, tandis que toute exception comporte une référence d'incident ou de notification.

Scénario commerce de détail : une destination de shopping sur une seule adresse publique

Un site commercial utilise une seule adresse IP de sortie publique pour plusieurs boutiques. Son LIA de sécurité explique pourquoi des allégations d'abus tardives peuvent nécessiter une attribution à une connexion spécifique. Il définit un calendrier de conservation des preuves de sécurité de 365 jours, mais conserve les traces brutes de localisation identifiables pendant 30 jours avant leur agrégation. Le contrôle mesurable est une révision trimestrielle du LIA doublée d'un test confirmant qu'un analyste de sécurité peut reconstituer un incident autorisé sans accéder aux données de localisation brutes expirées.

Scénario d'événements : un centre de conférences avec des publics appartenant aux sponsors

Un centre de conférences fournit un accès aux participants tandis que les sponsors collectent des consentements via des parcours aux couleurs de leur propre marque. Le site reste responsable du traitement des données de service et de sécurité. Chaque sponsor contrôle ses propres finalités marketing et ne doit recevoir que les consentements qu'il est autorisé à utiliser. Le contrôle mesurable est un test préalable à l'événement prouvant que le retrait du consentement sur le parcours d'un sponsor supprime les communications de ce sponsor sans supprimer les preuves de sécurité étroitement conservées par le site.

Que devez-vous faire ensuite ?

Commencez par un atelier de rétention de 60 minutes, et non par un modèle de politique. Réunissez votre DPO, votre architecte réseau, votre responsable des opérations du site et chaque représentant des locataires concernés. Construisez un tableau des champs provenant de la page de connexion, du DHCP, du RADIUS, du pare-feu, du DNS et des composants d'analyse. Pour chaque champ, déterminez la finalité, le rôle de responsable du traitement ou de sous-traitant, la base légale, la durée de conservation, l'action de suppression, le responsable de l'audit et le processus de conservation légale.

Configurez ensuite le système pour effectuer le travail. Purple propose des périodes de conservation configurables, des calendriers de purge automatisés, des outils de demande d'accès et des flux de suppression qui soutiennent ce modèle opérationnel. Séparez distinctement votre environnement Guest WiFi de toutes les finalités de WiFi personnel des locataires. Lorsque vous utilisez WiFi Analytics, agrégez ou anonymisez les données avant la fin de la fenêtre de conservation identifiable. Une solution cloud superposée doit faciliter l'application uniforme des politiques sur l'ensemble d'un parc distribué, et non prolonger par défaut la durée de vie des enregistrements.

Pour des contrôles connexes, comparez la conception de la conservation des données avec Hardening RADIUS against MD5 collision attacks (BlastRADIUS), Privacy by design: anonymising WiFi data for GDPR compliance et MDU WiFi tenant session tracking and abuse attribution. Pour un contexte plus large, consultez The definitive timeline of WiFi: from ALOHAnet to WiFi 7 and beyond, Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026 et Purple appoints Imani Butler as Growth Director, North America.

Questions fréquemment posées

Combien de temps puis-je conserver les données de connexion WiFi invité selon le GDPR ?

Conservez-les uniquement tant que l'accès, le litige, la sécurité ou tout autre objectif déclaré reste nécessaire. Un point de départ pratique pour l'authentification d'accès seul est la fin de la session plus une courte période de litige documentée, comme 30 jours. Il s'agit d'un choix de politique interne, et non d'une règle du GDPR. Enregistrez l'objectif, la base légale et l'événement de suppression, puis testez la purge.

La loi britannique Investigatory Powers Act exige-t-elle 12 mois d'historique de connexion WiFi ?

Non. L'IPA ne crée pas d'obligation automatique de 12 mois pour chaque opérateur de WiFi partagé. Une obligation de conservation ne commence que lorsqu'un avis de conservation de données applicable est émis. Cet avis définit les données de communication concernées et la période de conservation, qui ne peut dépasser 12 mois. Demandez immédiatement conseil à un spécialiste si vous en recevez un.7 9

Suis-je responsable du traitement ou sous-traitant pour les employés d'un locataire sur le WiFi personnel ?

Cela dépend de l'activité de traitement. Si le locataire décide de la population d'employés, de l'objectif, des mentions d'information, de la gestion des droits et de la conservation pendant que vous gérez le service selon des instructions documentées, vous êtes probablement sous-traitant pour cette activité. Si vous prenez ces décisions pour votre propre compte, vous êtes responsable du traitement. Lorsque les deux parties décident conjointement des objectifs et des moyens essentiels, évaluez la co-responsabilité.4

Quelle est la bonne période de conservation des journaux d'adresses IP sur un réseau WiFi partagé ?

Il n'y a pas de période prescrite par le UK GDPR. Définissez une période proportionnée liée aux besoins de sécurité et de dépannage déclarés. Ce guide suggère une durée par défaut de 90 jours pour les métadonnées de connexion. Ne prolongez à 365 jours que si une analyse d'intérêt légitime (LIA) documentée justifie un besoin réel d'attribution d'adresses partagées ou de gestion des réclamations, avec une minimisation des données et des contrôles d'accès.1 6

Que dois-je faire face à une demande d'effacement alors que j'ai l'obligation légale de conserver les données de trafic ?

Effacez les enregistrements qui ne sont plus nécessaires, mais conservez uniquement les données strictes et la période requise par l'obligation légale. Répondez dans un délai d'un mois, expliquez l'exemption applicable et empêchez que les données conservées soient utilisées à d'autres fins. Appliquez la même décision aux sauvegardes en les supprimant ou en les rendant inutilisables jusqu'à leur écrasement planifié.2 3

Ai-je besoin d'un accord de traitement des données (DPA) avec chaque organisation locataire ?

Vous avez besoin d'un accord de traitement des données au titre de l'Article 28 chaque fois que vous traitez les données des employés d'un locataire selon ses instructions documentées. Vous n'en avez pas besoin simplement parce que vous partagez un bâtiment. Si les deux parties déterminent ensemble les objectifs et les moyens essentiels, un accord de co-responsabilité au titre de l'Article 26 peut être nécessaire à la place.4 5

Puis-je conserver l'historique marketing jusqu'à ce qu'un invité retire son consentement ?

Non. Le consentement actif ne supprime pas l'obligation de limitation de la conservation. Définissez et documentez une période de révision pour l'historique marketing, par exemple une révision tous les 24 mois, puis supprimez ou anonymisez les données qui ne servent plus l'objectif énoncé. En cas de retrait ou d'opposition, arrêtez le marketing et conservez uniquement les données de suppression minimales nécessaires pour respecter ce choix.1 2

Références