Коммуникационное управление Кении (CA) разъяснило новые правила лицензирования интернет-кафе, указав, что хотя операторы обязаны вести базовые записи о клиентах и сеансах, от них не потребуется отслеживать или сохранять историю посещений пользователей.

Разъяснение, опубликованное ведомством в четверг, последовало за широким общественным обсуждением и освещением в СМИ новых требований к Центрам публичного доступа к коммуникациям (PCAC) — объектам, предоставляющим доступ в интернет лицам, у которых может не быть личных компьютеров, надёжного подключения или иных цифровых ресурсов. Официальное заявление CA касается вопросов, возникших после первоначального объявления правил.

Новые условия лицензирования были опубликованы в Уведомлении Кенийской газеты, том CXXVIII, № 135 7 августа и вступят в силу 7 сентября по истечении установленного законом 30-дневного срока.

Согласно регламенту, операторы интернет-кафе обязаны идентифицировать клиентов перед предоставлением доступа к компьютеру, фиксировать конкретный используемый терминал, а также время начала и окончания каждого сеанса, отображать применимые тарифы и выдавать чеки за все платные услуги. Регистрационные данные клиентов и журналы сеансов должны безопасно храниться не менее трёх лет.

В CA заявили, что эти записи предназначены для создания контрольного следа в случаях, когда объект публичного доступа в интернет связан с противоправной деятельностью, включая кибермошенничество, кражу личных данных, онлайн-мошенничество и другие правонарушения.

«Требование к PCAC по ведению базовых журналов пользователей не распространяется на историю посещений клиента», — подтвердило ведомство.

Правила не предписывают использование какой-либо конкретной системы идентификации клиентов или решения CCTV. Операторы сохраняют право самостоятельно внедрять дополнительные меры «Знай своего клиента» (KYC) по мере необходимости при условии соблюдения применимого законодательства.

Однако от интернет-кафе ожидается внедрение одобренных средств фильтрации сети и мер безопасности, направленных на блокировку незаконного или вредоносного контента. Они также обязаны получать интернет-канал у лицензированных провайдеров и соблюдать требования CA в отношении регуляторных проверок и защиты данных. Эти обязательства соответствуют Закону Кении о защите данных 2019 года, который установил правовую базу, регулирующую порядок сбора, обработки и хранения персональных данных, и создал Управление Уполномоченного по защите данных (ODPC) для обеспечения соблюдения.

Разъяснение появилось на фоне давних опасений в Кении относительно того, как персональные данные собираются, хранятся и используются. Дело Huduma Namba, связанное с судебными оспариваниями Национальной интегрированной системы управления идентификацией (NIIMS) правительства в период с 2019 по 2021 год, подняло серьёзные вопросы о защите конфиденциальных идентификационных данных и риске использования личной информации за пределами её первоначального назначения.

В последнее время внимание регуляторов, судов и групп по защите гражданских прав к доступу к телекоммуникационным записям удерживает проблему конфиденциальности данных в центре обсуждения. В знаковом решении от 13 мая Высокий суд Кении под председательством судьи Бахати Мвамуе присудил истцам общую компенсацию, подавшим иск против Safaricom и M-Pesa. Суд постановил, что статья 31 Конституции Кении, гарантирующая право на неприкосновенность частной жизни, налагает на контролёров данных неотчуждаемую обязанность.

Решение CA явно исключить историю браузера из обязательного учёта заслуживает внимания. Теперь от интернет-кафе могут потребовать установить, кто использовал конкретный компьютер и когда, без принуждения фиксировать, какие веб-сайты посещал этот человек. Это разграничение имеет значение в стране, где объекты публичного доступа в интернет продолжают служить важнейшими точками доступа для граждан, пользующихся электронными государственными услугами, подающих заявления о приёме на работу и получающих онлайн-образование — особенно в районах, где проникновение домашнего широкополосного интернета остаётся ограниченным.

Несоблюдение новых требований может привести к регуляторным санкциям, включая штрафы в размере не менее KSh 500,000 ($3,863.99) или 0,2% годового оборота — в зависимости от того, что больше, — а также к возможной приостановке или закрытию бизнеса.