Kenyas Communications Authority (CA) hat die neuen Lizenzregeln für Cybercafés präzisiert und erklärt, dass Betreiber zwar grundlegende Kunden- und Sitzungsdaten aufbewahren müssen, den Browserverlauf der Nutzer jedoch weder erfassen noch speichern müssen.

Die am Donnerstag von der Behörde veröffentlichte Klarstellung folgt einer breiten öffentlichen Diskussion und Medienberichterstattung über die neuen Anforderungen für Public Communications Access Centres (PCACs) – Einrichtungen, die Menschen Internetzugang bieten, die möglicherweise keine eigenen Computer, keine verlässliche Konnektivität oder andere digitale Ressourcen haben. Die offizielle Stellungnahme der CA reagiert auf die Bedenken, die nach der ersten Bekanntgabe der Regeln entstanden waren.

Die neuen Lizenzbedingungen wurden in der Kenya Gazette Notice Vol. CXXVIII No. 135 am August 7 veröffentlicht und sollen nach Ablauf der gesetzlichen 30-Tage-Frist am September 7 in Kraft treten.

Nach den Vorschriften müssen Betreiber von Cybercafés Kunden vor dem Zugang zum Computer verifizieren, das verwendete Terminal sowie Beginn und Ende jeder Sitzung erfassen, die geltenden Gebühren ausweisen und für alle bezahlten Leistungen Quittungen ausstellen. Kundendaten und Sitzungsprotokolle müssen außerdem sicher für mindestens drei Jahre aufbewahrt werden.

Die CA erklärte, dass diese Aufzeichnungen dazu dienen sollen, eine Nachvollziehbarkeit herzustellen, wenn eine öffentliche Internet-Einrichtung mit rechtswidrigen Aktivitäten in Verbindung gebracht wird, darunter cybergestützter Betrug, Identitätsdiebstahl, Online-Betrug und andere Straftaten.

„Die Pflicht für PCACs, grundlegende Nutzerprotokolle zu führen, erstreckt sich nicht auf den Browserverlauf eines Kunden“, sagte die Behörde.

Die Regeln schreiben auch kein bestimmtes System zur Kundenidentifizierung oder keine bestimmte CCTV-Lösung vor. Betreiber können bei Bedarf zusätzliche Know-Your-Customer-(KYC)-Maßnahmen einführen, sofern sie den geltenden Gesetzen entsprechen.

Cybercafés müssen jedoch genehmigte Netzwerkfilter- und Sicherheitsmaßnahmen implementieren, um illegale oder schädliche Inhalte zu blockieren. Sie müssen außerdem Internetkapazitäten von lizenzierten Anbietern beziehen und die Anforderungen der CA für regulatorische Inspektionen und Datenschutz einhalten. Diese Pflichten stehen im Einklang mit Kenias Data Protection Act, 2019, der den rechtlichen Rahmen für die Erhebung, Verarbeitung und Speicherung personenbezogener Daten festlegt und das Office of the Data Protection Commissioner (ODPC) zur Durchsetzung der Vorschriften geschaffen hat.

Die Klarstellung erfolgt vor dem Hintergrund anhaltender Bedenken in Kenia darüber, wie personenbezogene Daten erhoben, gespeichert und eingesehen werden. Der Huduma-Namba-Fall, der zwischen 2019 und 2021 rechtliche Anfechtungen gegen das National Integrated Identity Management System (NIIMS) der Regierung umfasste, warf wichtige Fragen zum Schutz sensibler Identitätsdaten und zum Risiko auf, dass personenbezogene Informationen über ihren ursprünglichen Zweck hinaus verwendet werden.

In jüngerer Zeit hat die Prüfung von Telekommunikationsdaten durch Aufsichtsbehörden, Gerichte und Bürgerrechtsgruppen den Datenschutz weiterhin in den Fokus gerückt. In einem wegweisenden Urteil vom May 13 sprach der High Court of Kenya unter dem Vorsitz von Justice Bahati Mwamuye den Klägern, die Safaricom und M-Pesa verklagt hatten, allgemeine Schadensersatzleistungen zu und stellte fest, dass Article 31 der kenianischen Verfassung, der das Recht auf Privatsphäre garantiert, den Datenverantwortlichen eine nicht übertragbare Pflicht auferlegt.

Die Entscheidung der CA, den Browserverlauf ausdrücklich von der verpflichtenden Protokollierung auszunehmen, ist bedeutsam. Cybercafés können nun verpflichtet werden, festzustellen, wer einen bestimmten Computer wann genutzt hat, ohne aufzeichnen zu müssen, welche Websites diese Person besucht hat. Der Unterschied ist in einem Land wichtig, in dem öffentliche Internetzugänge weiterhin eine zentrale Anlaufstelle für Bürger sind, die E-Government-Dienste, Bewerbungen und Online-Bildung nutzen – insbesondere in Regionen, in denen die Breitbandabdeckung zu Hause begrenzt bleibt.

Verstöße gegen die neuen Anforderungen könnten regulatorische Sanktionen nach sich ziehen, darunter Geldbußen von mindestens KSh 500,000 ($3,863.99) oder 0.2% des Jahresumsatzes, je nachdem, welcher Betrag höher ist, sowie eine mögliche Aussetzung oder Schließung des Unternehmens.