L'Autorité des communications du Kenya (CA) a tenu à préciser les nouvelles règles de licence pour les cybercafés, indiquant que si les exploitants doivent tenir des registres de base sur les clients et les sessions, ils ne seront pas tenus de suivre ou de conserver les historiques de navigation des utilisateurs.

La clarification, publiée par l'agence jeudi, fait suite à de vastes discussions publiques et à une couverture médiatique concernant les nouvelles exigences pour les centres d'accès aux communications publics (PCAC) — des installations qui fournissent un accès à Internet aux personnes susceptibles de ne pas disposer d'ordinateurs personnels, d'une connectivité fiable ou d'autres ressources numériques. La déclaration officielle de la CA répond aux préoccupations soulevées après l'annonce initiale des règles.

Les nouvelles conditions de licence ont été publiées dans l'Avis du Kenya Gazette Vol. CXXVIII n° 135 le 7 août et doivent entrer en vigueur le 7 septembre, à l'issue du délai de préavis légal de 30 jours.

En vertu de la réglementation, les exploitants de cybercafés sont tenus de vérifier l'identité des clients avant de leur accorder l'accès aux ordinateurs, d'enregistrer le terminal utilisé ainsi que les heures de début et de fin de chaque session, d'afficher les tarifs applicables et de délivrer des reçus pour tous les services payants. Les détails d'enregistrement des clients et les journaux de session doivent être conservés de manière sécurisée pendant une durée minimale de trois ans.

La CA a déclaré que ces registres sont destinés à établir une piste d'audit dans les cas où une installation publique d'accès à Internet est liée à une activité illégale, notamment la fraude cybernétique, l'usurpation d'identité, les arnaques en ligne et d'autres infractions.

« L'exigence pour les PCAC de tenir des journaux utilisateur de base ne s'étend pas à l'historique de navigation d'un client », a confirmé l'Autorité.

Les règles n'imposent aucun système d'identification des clients ni solution de vidéosurveillance spécifique. Les exploitants conservent la flexibilité d'introduire des mesures supplémentaires de connaissance du client (KYC) selon les besoins, à condition que ces mesures soient conformes aux lois applicables.

Les cybercafés devront cependant mettre en œuvre des mesures approuvées de filtrage et de sécurité réseau conçues pour bloquer les contenus illégaux ou nuisibles. Ils doivent également se procurer leur capacité Internet auprès de fournisseurs titulaires d'une licence et se conformer aux exigences de la CA en matière d'inspections réglementaires et de protection des données. Ces obligations s'inscrivent dans le cadre de la loi kenyane sur la protection des données de 2019, qui a établi le cadre juridique régissant la collecte, le traitement et le stockage des données personnelles, et a créé le Bureau du commissaire à la protection des données (ODPC) pour faire respecter la conformité.

Cette clarification intervient dans un contexte de préoccupations de longue date au Kenya concernant la manière dont les données personnelles sont collectées, stockées et consultées. L'affaire Huduma Namba, qui a fait l'objet de contestations juridiques contre le système national intégré de gestion de l'identité (NIIMS) du gouvernement entre 2019 et 2021, a soulevé des questions importantes sur la protection des données d'identité sensibles et le risque que les informations personnelles soient réutilisées au-delà de leur finalité initiale.

Plus récemment, le contrôle exercé par les régulateurs, les tribunaux et les groupes de défense des droits civils sur l'accès aux enregistrements de télécommunications a maintenu la confidentialité des données au cœur des préoccupations. Dans une décision historique rendue le 13 mai, la Haute Cour du Kenya, sous la présidence du juge Bahati Mwamuye, a accordé des dommages-intérêts généraux aux pétitionnaires qui avaient poursuivi Safaricom et M-Pesa. La cour a jugé que l'article 31 de la Constitution du Kenya, qui garantit le droit à la vie privée, impose une obligation non délégable aux responsables du traitement des données.

La décision de la CA d'exclure explicitement l'historique de navigation de la tenue de registres obligatoire est remarquable. Les cybercafés peuvent désormais être tenus d'établir qui a utilisé un ordinateur donné et quand, sans être contraints d'enregistrer les sites web visités par cette personne. Cette distinction a son importance dans un pays où les installations publiques d'accès à Internet continuent de servir de points d'accès essentiels pour les citoyens qui interagissent avec les services gouvernementaux en ligne, les candidatures à des emplois et l'éducation en ligne — en particulier dans les régions où la pénétration du haut débit domestique reste limitée.

Le non-respect des nouvelles exigences pourrait entraîner des sanctions réglementaires, notamment des amendes d'au moins 500 000 KSh (3 863,99 $) ou 0,2 % du chiffre d'affaires annuel — selon le montant le plus élevé — ainsi qu'une éventuelle suspension ou fermeture de l'établissement.