La Communications Authority del Kenya (CA) ha chiarito le nuove regole di licenza per i cyber café, affermando che, sebbene gli operatori debbano conservare i record di base dei clienti e delle sessioni, non sarà loro richiesto di monitorare o conservare le cronologie di navigazione degli utenti.

Il chiarimento, emanato dall'agenzia di giovedì, segue un'ampia discussione pubblica e una copertura mediatica riguardo ai nuovi requisiti per i Public Communications Access Centres (PCAC) — strutture che forniscono accesso a Internet a persone che potrebbero non avere computer personali, connettività affidabile o altre risorse digitali. La dichiarazione ufficiale della CA affronta le preoccupazioni sorte dopo l'annuncio iniziale delle regole.

Le nuove condizioni di licenza sono state pubblicate nel Kenya Gazette Notice Vol. CXXVIII No. 135 il 7 agosto ed entreranno in vigore il 7 settembre, dopo il periodo di preavviso statutario di 30 giorni.

Secondo i regolamenti, gli operatori di cyber café sono tenuti a verificare i clienti prima di concedere l'accesso ai computer, registrare il terminale specifico utilizzato insieme agli orari di inizio e fine di ogni sessione, esporre le tariffe di servizio applicabili e rilasciare ricevute per tutti i servizi a pagamento. I dettagli di registrazione dei clienti e i log delle sessioni devono essere conservati in modo sicuro per un minimo di tre anni.

La CA ha dichiarato che questi record sono destinati a stabilire una traccia di audit nei casi in cui una struttura di Internet pubblica sia collegata ad attività illecite, tra cui frodi informatiche, furti di identità, truffe online e altri reati.

"L'obbligo per i PCAC di mantenere log di base degli utenti non si estende alla cronologia di navigazione del cliente," ha confermato l'Autorità.

Le regole non impongono alcun sistema specifico di identificazione dei clienti o soluzione CCTV. Gli operatori mantengono la flessibilità di introdurre misure aggiuntive di Know Your Customer (KYC) secondo le necessità, a condizione che tali misure siano conformi alle leggi applicabili.

I cyber café saranno comunque tenuti a implementare misure di filtraggio di rete e di sicurezza approvate, progettate per bloccare contenuti illegali o dannosi. Devono inoltre procurarsi capacità Internet da provider autorizzati e conformarsi ai requisiti della CA per le ispezioni regolamentari e la protezione dei dati. Questi obblighi sono in linea con il Data Protection Act del Kenya del 2019, che ha stabilito il quadro legale che disciplina il modo in cui i dati personali vengono raccolti, elaborati e conservati, e ha creato l'Ufficio del Data Protection Commissioner (ODPC) per far rispettare la conformità.

Il chiarimento arriva in mezzo a preoccupazioni di lunga data in Kenya riguardo al modo in cui i dati personali vengono raccolti, conservati e consultati. Il caso Huduma Namba, che ha visto sfide legali al National Integrated Identity Management System (NIIMS) del governo tra il 2019 e il 2021, ha sollevato questioni significative sulla protezione dei dati di identità sensibili e sul rischio che le informazioni personali vengano riutilizzate oltre lo scopo originario.

Più recentemente, l'esame da parte di regolatori, tribunali e gruppi per i diritti civili sull'accesso ai record delle telecomunicazioni ha mantenuto la privacy dei dati saldamente al centro dell'attenzione. In una sentenza storica del 13 maggio, l'Alta Corte del Kenya, presieduta dal giudice Bahati Mwamuye, ha concesso danni generali ai ricorrenti che avevano citato in giudizio Safaricom e M-Pesa. La corte ha stabilito che l'articolo 31 della Costituzione del Kenya, che garantisce il diritto alla privacy, impone un dovere non delegabile ai titolari del trattamento dei dati.

La decisione della CA di escludere esplicitamente la cronologia di navigazione dalla tenuta obbligatoria dei registri è degna di nota. I cyber café possono ora essere tenuti a stabilire chi ha utilizzato un determinato computer e quando, senza essere costretti a registrare quali siti web quella persona abbia visitato. La distinzione conta in un paese in cui le strutture pubbliche di accesso a Internet continuano a servire come punti di accesso essenziali per i cittadini che interagiscono con i servizi governativi online, le candidature per lavori e l'istruzione online — in particolare nelle aree in cui la penetrazione della banda larga domestica rimane limitata.

Il mancato rispetto dei nuovi requisiti potrebbe comportare sanzioni regolamentari, tra cui multe di almeno KSh 500.000 ($3.863,99) o lo 0,2% del fatturato annuo — l'importo maggiore — nonché la potenziale sospensione o chiusura dell'attività.