WiFi patient à l'hôpital : obligations, architecture et pièges à éviter

Un réseau à part, jamais celui de l'établissement

Le WiFi des patients et des visiteurs accueille des appareils que personne ne connaît. Il doit donc être séparé des réseaux de l'établissement, et pas seulement par un nom de réseau différent :

• Un réseau logique dédié, qui ne voit ni les postes de soins, ni les serveurs, ni les équipements biomédicaux. Les plages d'adresses privées de l'établissement sont bloquées depuis ce réseau.
• L'isolement entre clients : deux téléphones connectés au même réseau ne doivent pas pouvoir se joindre. Sur un réseau ouvert au public, c'est la première protection des patients entre eux.
• Une sortie internet maîtrisée, avec un filtrage des contenus et un débit réparti entre les utilisateurs, pour qu'un seul téléchargement ne prive pas tout un étage.

Un même boîtier peut porter le portail, le filtrage et la limitation de débit, installé dans l'établissement plutôt que dans un nuage lointain : les données de connexion restent alors sur site.

Les obligations : conserver les connexions, informer les utilisateurs

Un établissement qui offre un accès à internet au public, même gratuitement, entre dans le champ de l'article L.34-1 du Code des postes et des communications électroniques. Il doit conserver les données qui permettent d'identifier les connexions, pour pouvoir les fournir aux autorités qui les demandent dans un cadre légal.

• Quoi : qui s'est connecté, avec quel appareil, depuis quelle adresse et à quel moment. Pas le contenu des échanges ni les sites consultés.
• Combien de temps : un an, puis effacement automatique. Une purge oubliée transforme une obligation en conservation excessive au sens du RGPD.
• Comment : un journal protégé, consultable par les seules personnes habilitées, et dont l'accès est lui-même tracé.

Le RGPD s'applique en parallèle : informer l'utilisateur au moment de la connexion (conditions d'utilisation et politique de confidentialité lisibles sur le portail), ne collecter que ce qui sert, fixer qui est responsable du traitement et qui en est sous-traitant dans le contrat avec le prestataire.

Ce guide résume des obligations générales ; il n'est pas un avis juridique. Faites valider le dispositif par votre délégué à la protection des données.

Le portail captif : ce que voit le patient

Le portail captif est la page qui s'affiche quand le téléphone rejoint le réseau, avant tout accès à internet. Il porte trois parcours, qu'il vaut mieux prévoir dès le départ :

• L'accès gratuit, souvent à débit réduit : le patient s'inscrit avec son courriel ou son téléphone, et reçoit un mot de passe pour ses reconnexions.
• La reconnexion : le même identifiant et le même mot de passe, sur un autre appareil ou le lendemain, sans repasser par l'inscription.
• L'abonnement à débit supérieur, payé en ligne depuis le téléphone. La page de paiement doit pouvoir se charger avant la connexion : les domaines du prestataire de paiement sont donc autorisés sans authentification (le « walled garden »).

La page s'affiche dans la langue du téléphone ou dans celle que choisit le patient, à l'image de l'établissement, et doit rester lisible sur un petit écran. Une connexion qui demande plus d'une trentaine de secondes se termine souvent à l'accueil.

Les pièges des smartphones

La plupart des difficultés d'un WiFi d'hôpital ne viennent pas du réseau, mais de la façon dont les téléphones détectent un portail captif. Trois situations reviennent :

La fenêtre qui se referme toute seule

iOS et Android ouvrent le portail dans une petite fenêtre, et la referment d'eux-mêmes dès que la connexion fonctionne, une ou deux secondes après l'autorisation. Si le mot de passe du patient n'est affiché qu'à ce moment-là, il disparaît avant d'avoir été noté. Le portail doit donc le garder sur l'appareil et le rappeler à la réouverture, en plus de l'envoyer par courriel.

L'iPhone qui annonce « pas de connexion »

Avec le relais privé iCloud activé, un iPhone autorisé sur le réseau peut rester bloqué : il attend un tunnel chiffré vers Apple que le pare-feu ne laisse pas passer. Apple documente la réponse à donner aux exploitants de réseau : déclarer le relais indisponible, et iOS bascule aussitôt sur la connexion normale. Ce réglage garde aussi le trafic dans le périmètre du filtrage de l'établissement.

Le téléphone qui croit encore avoir internet

À l'échéance d'un accès, retirer l'appareil de la liste des clients autorisés ne coupe que les nouvelles connexions. Celles déjà ouvertes continuent, le téléphone pense que tout va bien et n'affiche jamais le portail. La révocation doit aussi interrompre les connexions en cours.

L'exploitation au quotidien

• Une console pour les équipes : sessions actives, comptes, inscriptions, appareils autorisés sans portail (terminaux de service), domaines du walled garden.
• Des profils de débit : gratuit, standard, premium, chacun avec sa durée.
• Une supervision qui alerte quand une brique tombe : sans service de noms ou sans pare-feu, tous les patients perdent le WiFi en même temps, et le symptôme ne désigne pas la cause.
• Une interface avec les séjours, pour qu'un accès vendu avec la télévision s'ouvre et se ferme avec le séjour du patient.

C'est ce que fait Pixal'Web, le portail WiFi patient hébergé sur site, relié à Pixal'PMS pour les séjours.

La liste à cocher

• Réseau patients séparé, plages internes bloquées, isolement entre clients.
• Portail captif multilingue, conditions d'utilisation et confidentialité affichées.
• Conservation des connexions un an, puis purge automatique.
• Rôles RGPD écrits dans le contrat, validés par le DPO.
• Paiement en ligne possible avant connexion (walled garden).
• Mot de passe conservé sur l'appareil, en plus du courriel.
• Relais privé iCloud déclaré indisponible.
• Révocation qui coupe aussi les connexions en cours.
• Débit réparti par profil, supervision des briques.

Pour l'ensemble des obligations de la connectivité patient, voir la page Conformité.