ケニア通信庁（CA）は、サイバーカフェの新ライセンス規則を明確化し、事業者は基本的な顧客情報とセッション記録を保持する義務がある一方で、ユーザーのブラウジング履歴を追跡・保管する必要はないと発表した。

同庁が木曜日に発表したこの説明は、公共通信アクセスセンター（PCAC）の新要件に関する広範な議論とメディア報道を受けたものである。PCACとは、パソコンや安定したインターネット接続、その他のデジタルリソースを利用できない可能性のある人々にインターネットアクセスを提供する施設である。CAの公式声明は、規則の当初発表後に生じた懸念に対処するものだ。

新たなライセンス条件は、ケニア官報 告示 第CXXVIII巻 第135号に8月7日に公布され、法定の30日間の公告期間を経て9月7日に施行される予定である。

規則の下で、サイバーカフェの事業者は、パソコンへのアクセスを許可する前に顧客の本人確認を行い、使用された端末と各セッションの開始・終了時刻を記録し、該当するサービス料金を表示し、すべての有料サービスの領収書を発行することが求められる。顧客登録の詳細およびセッションログは、最低3年間安全に保管しなければならない。

CAは、これらの記録は、サイバー犯罪による詐欺、個人情報の盗難、オンライン詐欺その他の犯罪を含め、公共インターネット施設が違法行為に関連した場合に監査証跡を確立することを目的としていると述べた。

「PCACが基本ユーザーログを保持する要件は、顧客のブラウジング履歴には及ばない」と同庁は確認した。

また、規則は特定の顧客識別システムやCCTVソリューションを義務付けていない。事業者は、適用される法令に準拠する限りにおいて、必要に応じて追加の顧客確認（KYC）措置を導入する柔軟性を保っている。

ただし、サイバーカフェは、違法または有害なコンテンツをブロックするため、承認されたネットワークフィルタリングおよびセキュリティ対策を実施することが求められる。また、ライセンスを受けたプロバイダーからインターネット容量を調達し、CAの規制検査およびデータ保護要件を遵守しなければならない。これらの義務は、個人データの収集、処理、保管に関する法的枠組みを確立し、コンプライアンスを執行するためにデータ保護委員事務局（ODPC）を創設したケニアの2019年データ保護法と一致している。

この明確化は、個人データの収集、保管、アクセスの方法に関する長年の懸念がケニアに存在する中で発表された。Huduma Namba訴訟は、2019年から2021年にかけて政府の国家統合身分管理システム（NIIMS）に対する法的異議申し立てを含むもので、機密性の高い身分データの保護と、個人情報が本来の目的を超えて転用されるリスクについて重要な問題を提起した。

より最近では、通信記録へのアクセスを巡る規制当局、裁判所、市民的権利団体による監視により、データプライバシーが注目の的となり続けている。5月13日の画期的な判決で、ケニア高等裁判所（Bahati Mwamuye裁判官主宰）は、SafaricomおよびM-Pesaを相手取り訴えた申立人に対し、一般損害賠償の支払いを命じた。裁判所は、プライバシーの権利を保障するケニア憲法第31条が、データ管理者に対して委任不可能な義務を課すと判断した。

CAがブラウジング履歴を義務的な記録保存の対象から明示的に除外した決定は注目に値する。これにより、サイバーカフェは、個人が訪問したウェブサイトを記録することを強制されることなく、誰がいつ特定のコンピューターを使用したかを確立するよう求められることが可能となる。この区別は、公共インターネット施設が、家庭用ブロードバンドの普及が限られている地域において特に、電子政府サービス、求職活動、オンライン教育を利用する市民にとって不可欠なアクセスポイントとして機能し続ける国において重要である。

新要件への違反は、少なくともKSh 500,000（$3,863.99）または年間売上高の0.2%のいずれか高い方の罰金、ならびに事業の停止または閉鎖の可能性を含む規制措置をもたらす可能性がある。