Wi-Fi passager VTC : obligations, traces et sécurité

Un routeur 4G posé dans l’accoudoir semble être un simple accessoire de confort. Dès qu’un chauffeur remet son mot de passe à des passagers, il offre pourtant une connexion Internet au public dans le cadre de son activité. Conseiller de « désactiver tous les journaux » devient alors une erreur : certaines données techniques font l’objet d’obligations légales de conservation.

La solution viable doit remplir deux exigences qui paraissent opposées : conserver les traces techniques strictement requises et ne jamais transformer le véhicule en observatoire des sites, messages ou habitudes du client. Cela exige un fournisseur capable de documenter le dispositif, un réseau invité isolé et une procédure d’accès aux données.

Décider d’abord si le service apporte une valeur réelle

Le Wi-Fi à bord n’est pas un équipement VTC imposé de manière générale. Il peut être utile sur des transferts longs, pour des clients étrangers ou lorsqu’un contrat entreprise le prévoit. Mais chaque routeur ajoute abonnement, support, cybersécurité, consommation, chaleur, obligations de données et risque de déception.

Mesurez pendant un pilote :

nombre de courses où le service est demandé ;
durée et volume moyens par session ;
zones sans couverture et débits insuffisants ;
temps de support du chauffeur ;
coût du matériel, du forfait et de la conformité ;
incidents, surchauffes et redémarrages ;
effet réel sur la satisfaction ou le contrat client.

Si deux passagers l’utilisent par mois, recommander leur propre réseau mobile peut être plus honnête. Si le service fait partie d’une offre affaires, traitez-le comme un service exploité, pas comme un gadget.

Qualifier l’accès comme public

L’article L. 34-1 du Code des postes et des communications électroniques vise notamment les personnes qui, au titre d’une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne, même gratuitement. La CNIL cite les hôtels, restaurants, trains et lieux accueillant des visiteurs.

Un accès réservé aux seuls employés n’a pas le même régime que l’accès proposé aux clients. Dans un VTC, le caractère mobile et le petit nombre d’utilisateurs ne suffisent pas à écarter le texte. Avant déploiement, faites confirmer le montage par le fournisseur ou le conseil compétent et identifiez qui assure techniquement la collecte et la réponse aux réquisitions.

Ne pas exiger l’identité du passager par réflexe

La CNIL précise que l’organisme offrant un accès Internet public n’est, en principe, pas obligé de relever et conserver l’identité de ses clients pour fournir une connexion ouverte. Il doit conserver les données techniques prévues. Si l’organisme choisit une identification préalable, il doit pouvoir en justifier la finalité et respecter les obligations supplémentaires correspondantes.

Évitez donc un portail demandant nom, date de naissance, téléphone et email « pour se connecter ». Le justificatif de réservation VTC identifie déjà une relation commerciale ; il ne doit pas être fusionné automatiquement avec la session Wi-Fi. Une clé temporaire ou un portail sans compte nominatif réduit le risque, sous réserve que la solution conserve correctement les traces techniques exigées.

Cartographier exactement les données

Catégorie	Exemple	Décision
Identité civile	Nom, naissance, adresse, email, téléphone	Ne pas collecter sauf justification distincte
Compte	Identifiant, pseudonyme, récupération de mot de passe	Éviter si un compte n’est pas nécessaire
Source technique	IP et port, identifiant utilisateur ou terminal, numéro d’origine	Conserver selon le cadre légal applicable
Sécurité	Échec d’authentification, anomalie, tentative d’administration	Durée définie par finalité et besoin
Contenu	Message, document, page ou URL précise consultée	Ne pas collecter au titre de l’obligation de trafic
Donnée commerciale	Course, passager, facture, évaluation	Gérer séparément dans l’outil métier

L’adresse MAC d’un appareil peut être aléatoire et ne suffit pas toujours à assurer la traçabilité attendue. À l’inverse, conserver un historique détaillé des domaines ou URLs dépasse ce qui est nécessaire. Le prestataire doit expliquer comment il relie l’adresse publique et le port à une session et à un terminal sans aspirer le contenu.

Appliquer les durées à la bonne catégorie

La fiche CNIL de juillet 2024 présente plusieurs durées :

si l’organisme choisit de collecter l’identité civile, les informations correspondantes sont conservées cinq ans ;
les autres informations fournies lors de la création d’un compte sont conservées un an après la fin du compte ;
les données techniques permettant d’identifier la source de la connexion ou le terminal sont conservées un an à compter de la connexion ou de l’utilisation ;
certaines données de sécurité des réseaux et installations peuvent être conservées au maximum trois mois dans le cadre décrit.

Ne résumez pas ces règles par « tous les logs un an ». Créez un tableau champ par champ avec fondement, point de départ, durée, accès et suppression. Les textes pouvant évoluer et certaines conservations dépendre d’une injonction, vérifiez la version applicable au jour du service.

Ne jamais conserver le contenu au titre de cette obligation

La CNIL indique que les données conservées portent sur l’identification technique, les caractéristiques et la localisation des appareils, pas sur le contenu des messages ou informations consultées. Le routeur ne doit pas enregistrer les corps de messages, documents, recherches ou URLs complètes pour « se protéger ».

Le chiffrement HTTPS limite ce que l’intermédiaire peut lire mais ne dispense pas de configurer le réseau. N’installez ni certificat d’interception ni proxy de déchiffrement sur l’appareil du passager. Un filtrage de sécurité éventuel doit être documenté, proportionné et ne pas devenir un profil de navigation associé à la course.

Choisir entre routeur géré et bricolage local

Un routeur grand public peut afficher les appareils connectés sans fournir l’horodatage, l’adresse publique, le port ou l’export sécurisé nécessaires. Il peut aussi écraser les journaux au redémarrage. Avant achat, demandez au fournisseur :

quelles catégories prévues par les articles L. 34-1 et R. 10-13 sont produites ;
qui les conserve et dans quelle région ;
comment l’horloge est synchronisée ;
comment l’intégrité et la confidentialité sont protégées ;
comment une autorité habilitée adresse une demande ;
comment une demande d’accès ou de rectification est traitée ;
quand la suppression automatique intervient ;
quels sous-traitants et transferts sont impliqués ;
comment exporter une preuve sans donner accès à tout le parc ;
comment fermer le service et supprimer les copies.

Si le vendeur répond seulement « le routeur garde l’historique », ce n’est pas suffisant. Une solution gérée peut être plus adaptée, à condition que le contrat répartisse clairement les rôles et fournisse les preuves.

Séparer physiquement ou logiquement les usages

Le réseau passager ne doit pas donner accès au téléphone de dispatch, au boîtier du véhicule, à la caméra, au paiement, aux documents ou à l’interface d’administration. La CNIL recommande de séparer les réseaux invités du réseau interne et d’utiliser un chiffrement à l’état de l’art, WPA3 ou WPA2 selon les recommandations applicables.

Architecture minimale :

SIM et routeur dédiés aux passagers, ou réseau invité réellement isolé ;
isolation entre clients pour empêcher deux appareils passagers de communiquer ;
administration inaccessible depuis le SSID invité ;
mot de passe d’administration unique, long et distinct du Wi-Fi ;
WPS et administration distante désactivés sauf besoin maîtrisé ;
pare-feu bloquant les flux locaux inutiles ;
micrologiciel supporté et mises à jour suivies ;
inventaire du boîtier, de la SIM et de la version ;
aucune application métier du chauffeur sur ce réseau.

Pour sa propre activité, le chauffeur conserve sa ligne ou son profil professionnel distinct ; le guide sur l’eSIM professionnelle aide à éviter le mélange des usages.

Choisir un nom de réseau et une clé non révélateurs

N’utilisez pas le nom complet du chauffeur, le numéro d’immatriculation ou le nom d’un client comme SSID. Un nom stable et neutre suffit. Affichez-le dans le véhicule afin d’éviter qu’un passager se connecte à un faux point d’accès portant un nom similaire.

Une clé identique pendant des années continue de fonctionner depuis l’extérieur du véhicule. Prévoyez une rotation, idéalement automatisée ou au moins régulière, et après une suspicion d’abus. Si un QR code encode la clé, remplacez-le en même temps. Réduire la puissance peut limiter l’exposition, mais ne constitue pas une barrière de sécurité.

Informer sans transformer l’habitacle en règlement

Une information courte est visible près du QR code ou dans le portail :

identité du fournisseur de l’accès et contact ;
finalité du service et de la conservation légale ;
catégories de données techniques ;
durées ou critères ;
prestataire et destinataires habilités ;
droits et moyen de les exercer ;
lien vers la notice complète ;
rappel que le réseau public n’est pas une garantie de confidentialité.

Ne liez pas l’accès à une case de prospection commerciale. L’adresse email d’un passager n’est pas nécessaire pour lui donner le Wi-Fi si le dispositif peut fonctionner sans compte. Si une page demande un consentement distinct pour un service optionnel, le refus ne doit pas bloquer la connexion de base sans justification.

Protéger aussi le passager

La CNIL conseille aux utilisateurs d’un Wi-Fi public de vérifier le nom du réseau, d’éviter les opérations sensibles, de privilégier HTTPS et, si nécessaire, un VPN qu’ils maîtrisent. Le chauffeur peut donner ces conseils sans promettre que le réseau est « sécurisé à 100 % ».

Affichez par exemple : « Réseau invité : VTC-GUEST. Évitez les opérations sensibles sur un Wi-Fi public ; vérifiez HTTPS et utilisez votre VPN si vous en disposez. Désactivez la reconnexion automatique après la course. » Ne demandez jamais au passager d’installer un certificat ou une application inconnue.

Gérer le débit et les abus sans surveiller les personnes

Un passager peut épuiser le forfait ou lancer un téléchargement important. Utilisez des limites techniques générales : quota par session, durée, débit, nombre d’appareils et blocage de protocoles non nécessaires si le fournisseur le permet. Appliquez-les à tous, sans analyser les contenus.

Définissez :

durée maximale alignée sur la course ;
volume raisonnable par appareil ;
arrêt automatique hors service ;
seuil d’alerte du forfait ;
procédure en cas d’usage anormal ;
absence de garantie de débit ou de disponibilité.

Ne rapprochez pas le volume consommé avec l’identité ou la destination du client pour créer un profil marketing.

Installer le routeur sans risque thermique

Un boîtier enfermé au soleil ou posé sur une batterie peut surchauffer. Suivez la plage de température et l’alimentation du fabricant. Ne cachez pas le routeur sous un isolant ou près d’un airbag. Fixez le câble pour qu’il ne gêne ni les pédales ni les passagers.

Choisissez la zone de pose avec les mêmes contrôles de visibilité, vibration et refroidissement que pour un support smartphone VTC. Si le boîtier reste alimenté, dimensionnez la prise et le câble avec le protocole chargeurs à bord, sans empiler les adaptateurs.

Si le routeur fonctionne sur batterie, examinez gonflement, chaleur et vieillissement. Une batterie externe de secours se choisit et se stocke avec les mêmes précautions que celles décrites dans le guide batterie externe en VTC. Un service de confort ne justifie pas un risque d’incendie ou un câble libre.

Préparer la perte ou le vol du routeur

désactiver la SIM et le compte d’administration ;
révoquer les sessions et changer les secrets associés ;
noter l’heure, la dernière connexion et les personnes alertées ;
vérifier les accès d’administration et exports récents ;
évaluer si des données personnelles ont été exposées ;
contacter le prestataire et appliquer la procédure de violation ;
enrôler le remplaçant avec une nouvelle configuration ;
ne pas restaurer aveuglément une sauvegarde compromise.

Le numéro de série, l’IMEI, la SIM, le modèle, la version et le véhicule affecté figurent dans l’inventaire. Ne stockez pas le mot de passe d’administration en clair dans la boîte à gants.

Répondre aux demandes sans ouvrir tout le journal

Les données ne sont accessibles qu’aux personnes habilitées. Une demande d’une autorité est vérifiée : identité du service, fondement, périmètre, dates et canal. L’export est limité à la demande et l’opération est journalisée. Le chauffeur ne transmet pas un CSV complet depuis sa messagerie personnelle.

Pour une demande d’accès d’un utilisateur, préparez un canal et une méthode de recherche proportionnée. Si le service ne collecte pas l’identité, expliquez quelles informations sont nécessaires pour retrouver la session sans recueillir une copie d’identité par automatisme. Le fournisseur doit pouvoir assister l’exploitant dans les délais.

Tenir un registre séparé de la réservation

Registre métier	Registre Wi-Fi
Client ou donneur d’ordre, course, prix, chauffeur	Source technique, terminal, horaire et durée prévus
Finalité de réservation, exécution et facturation	Fourniture d’accès, sécurité et obligation légale
Accès exploitation et comptabilité	Accès technique très restreint
Durées métier propres	Durées prévues par catégorie de données réseau

La séparation réduit le risque de reconstituer les navigations d’un passager à partir de sa course. Même lorsque deux systèmes partagent une heure, l’accès et l’usage doivent rester contrôlés.

Tester sans espionner

Le test de recette vérifie :

connexion d’un appareil de test au SSID exact ;
impossibilité d’atteindre l’interface, les autres clients et les outils du chauffeur ;
sortie Internet et synchronisation horaire ;
production des seules traces prévues ;
absence de contenu ou URL complète dans l’export ;
expiration de la session et rotation de clé ;
suppression automatique à l’échéance ;
révocation du boîtier et restauration contrôlée.

Utilisez un terminal et des sites de test appartenant à l’entreprise. Ne capturez pas le trafic réel d’un passager pour valider la configuration.

Cas pratique : transfert aéroport de 75 minutes

Le chauffeur annonce le réseau invité neutre et montre le QR code avec la notice courte. Le passager se connecte sans créer de compte. Son appareil ne voit ni le téléphone du chauffeur ni un second client de test. Le routeur géré conserve l’identifiant technique, l’adresse et le port nécessaires ainsi que l’horodatage, selon le contrat et les durées documentées ; aucun contenu n’est enregistré.

À l’arrivée, la session expire. Le chauffeur ne voit ni les sites consultés ni le volume associé au nom du client. Le mois suivant, l’administrateur contrôle l’application automatique des durées et la version du micrologiciel. Le coût par course et le taux d’usage déterminent si le pilote continue.

Checklist avant ouverture au public

valeur client et pilote mesurables ;
qualification d’accès public confirmée ;
identité non exigée sans justification ;
champs L. 34-1 et R. 10-13 cartographiés ;
durée définie par catégorie, pas par « tous les logs » ;
contenu, messages et URLs exclus ;
prestataire, lieux, sous-traitants et réquisitions documentés ;
réseau invité isolé et clients séparés entre eux ;
WPA3 ou WPA2 correctement configuré ;
administration, WPS et secrets sécurisés ;
nom neutre, QR code et rotation de clé ;
notice courte et information complète accessibles ;
aucune prospection liée à l’accès ;
quotas généraux sans inspection des contenus ;
installation, alimentation et chaleur contrôlées ;
perte, violation et demande d’autorité exercées ;
registre Wi-Fi séparé du dossier de course ;
suppression automatique testée.

Sources officielles

Sources consultées le 6 septembre 2026. Les obligations exactes dépendent de l’architecture, du fournisseur et des textes applicables. Faites valider la solution d’accès public et son contrat avant déploiement ; un routeur grand public non documenté ne constitue pas à lui seul un dispositif conforme.