BELTUG en V-ICT-OR standpunt. Het aanbieden van free WiFi voor bezoekers

Transcriptie

1 BELTUG en V-ICT-OR standpunt Het aanbieden van free WiFi voor bezoekers September 2014

2 Het aanbieden van free WiFi voor bezoekers Inhoud 1 Context Wetgevend kader dataretentieverplichting voor operatoren Uitzondering op de wet dienst beperkt tot privaat domein Bevoegdheid Internationale context... 4 Vragen en bedenkingen van BELTUG leden Notificatieplicht beperkt tot operatoren Wifi op privaat domein De privacy van de bezoekers Ongerustheid over toekomstig KB BELTUG Standpunt September 2014

3 1 Context BELTUG krijgt steeds meer vragen van haar leden met betrekking tot de rechten en plichten die zij hebben bij het aanbieden van gratis WiFi aan bezoekers. Het gratis en/of betalend aanbieden van WiFi is sinds de opmars van de smartphone, laptop en tablet niet meer weg te denken uit ons dagelijks bestaan. Klanten, consumenten, bezoekers verwachten vandaag de dag dat ze zich om het even waar op een WiFi netwerk kunnen connecteren. Waar bedrijven zich vroeger de vraag stelden of dit wel veilig was, of het netwerk al dan niet gesplitst moest worden van het bedrijfsnetwerk en wat er in de gebruiksvoorwaarden moest staan, worstelen bedrijven nu met heel andere vragen. Of het nu om steden en gemeenten gaat, restaurants, detailhandel, industrie, overheidsinstellingen, allen stellen zich de vraag aan welke verplichtingen ze dienen te voldoen. Voor BELTUG en V-ICT-OR is het belangrijk om aan concrete aanbevelingen te kunnen geven aan hun leden. 2 Wetgevend kader dataretentieverplichting voor operatoren Artikel 9 1 van de wet van 13 juni 2005 inzake elektronische communicatie bepaalt dat bij het aanbieden van een elektronische communicatiedienst of netwerk een kennisgeving bij het BIPT vereist is. Bij een dergelijke kennisgeving is de aanbieder van de dienst in de zin van de wet een operator. Dit brengt met zich mee dat alle in de wet voorziene verplichtingen voor operatoren, zoals het bijhouden van informatie over het verwerken van gegevens van toepassing zijn op de aanbieder van de dienst. 2.1 Uitzondering op de wet dienst beperkt tot privaat domein De wet, met name artikel 9 5, voorziet echter een uitzondering op de kennisgevingsplicht, indien het netwerk of de dienst zich beperkt tot het private domein. Onder privaat domein begrijpen we een bedrijf, hotel, conferentie, bibliotheek, winkelcentrum e.d. In dit geval vervallen de verplichtingen die in de wet opgelegd worden aan operatoren. Niettemin voorziet de wet een achterpoortje in artikel 9 7, waarbij ook aan netwerken en diensten die op privaat domein worden aangeboden een reeks van nog niet nader bepaalde regels opgelegd kunnen worden, via een nog te beslissen KB. Deze voorziening werd genomen met het oog op eventuele samenwerking met justitie en veiligheidsdiensten met betrekking tot het registreren en bewaren van data en identificatiegegevens van eindgebruikers, om deze te kunnen identificeren, opsporen en afluisteren. Artikel voorziet daarnaast tevens dat de gebruiker van de dienst ten allen tijde geïdentificeerd moet kunnen worden en verbiedt bij deze het aanbieden van een dienst die identificatie verhindert. Naast het publieke en het private domein is België het enige land dat ook nog een derde domein beschrijft, met name het private domein met publieke toegang. De verplichtingen hieromtrent zijn onduidelijk en roepen nog meer vragen op bij de potentiële aanbieders van WiFi-diensten. 3 September 2014

4 2.2 Bevoegdheid Inzake dataretentie zijn diverse overheidsdiensten betrokken partij: het BIPT, verantwoordelijk voor de telecomwet, de privacy commissie, verantwoordelijk voor de wet op de privacy, justitie en de FCCU. 2.3 Internationale context Het Europees Hof van Justitie verwierp recentelijk de Europese datarententierichtlijn van Concreet is op dit moment niet duidelijk wat de gevolgen zijn voor de dataretentieplicht in België. Daarenboven is er ook in de praktijk een groot verschil hoe dataretentie in diverse landen, in het geval van kennisgeving waarbij de verplichtingen als operator van toepassing zijn, geregeld is. Concreet bijvoorbeeld is de dataretentieplicht in Duitsland vastgelegd op 6 maand, terwijl dit in België is vastgelegd op 12 maand. 3 Vragen en bedenkingen van BELTUG leden 3.1 Notificatieplicht beperkt tot operatoren Operatoren dienen aangifte te doen bij het BIPT, ongeacht of het gaat om een dienst die gratis of betalend wordt aangeboden en ongeacht of het gaat om privaat of publiek domein. BELTUG en haar leden gaan er van uit dat dit niet van toepassing is op WiFi netwerken van bedrijven en binnen de gebouwen van gemeenten en overheidsinstellingen, als ze die zelf opzetten. Immers, vaak wordt een beroep gedaan op een operator. Gemeentes Recent stuurde het BIPT een brief aan alle gemeentes, waarin duidelijk gesteld wordt dat gemeentes die Wifi aanbieden op het publiek domein als operator worden beschouwd, en bijgevolg niet alleen een financiële bijdrage moeten betalen aan het BIPT, maar ook aan de dataretentieverplichtingen moeten voldoen. Tijdelijke WiFI op publiek domein Verder is de wet onduidelijk over het tijdelijk aanbieden van WiFi-toegang, zoals bijvoorbeeld tijdens sportmanifestaties, evenementen, feestelijkheden. Het gaat hierbij over het ter beschikking stellen van de dienst voor een paar uur of een dag/meerdere dagen. Wanneer de organisator beslist om dit aan te bieden via een operator om te voldoen aan de identificatieplicht, wordt hij geconfronteerd met hoge kosten. Deze hoge kosten kunnen vermeden worden door het tijdelijk bijplaatsen van antennes op de bestaande infrastructuur. De wet is hierover onduidelijk, ook inzake de strafrechterlijke gevolgen in geval van problemen. 3.2 Wifi op privaat domein De omschrijving van het publiek/privaat domein is vaag. Is bijvoorbeeld een bibliotheek van de gemeente, publiek of privaat domein? Is een open parking van een bedrijf privaat of publiek domein? 4 September 2014

5 Binnen bedrijven wordt vaak gratis WiFi-toegang aangeboden aan bezoekers en/of consultants. Bij het aanloggen wordt meestal een acceptatiepagina met disclaimer voorzien, maar wordt er niet om identificatie gevraagd. Op dit moment maakt men zich ongerust over: Welke gegevens er moeten worden bijgehouden Hoe lang deze gegevens moeten worden bijgehouden Welke identificatiegegevens wil de overheid (BIPT, de privacy commissie,justitie, FCCU, ) opleggen? Persoonsgegevens: login & paswoord of gegevens over de echte persoon? IP-adres? Een MAC-adres? Een e-id certificaat? Een adres? Kredietkaartgegevens? Social media account (Facebook, Twitter, LinkedIn, ) Identificeert men het toestel (laptop,tablet,smartphone) of de persoon? Wat in geval met een bedrijfsadres met een NAT? Volstaat een destination URL? De wet voorziet in een aantal uitzonderingsregels voor hotels en garages. In dit geval zou het volstaan om justitie en de veiligheidsdiensten te helpen indien deze dit nodig achten. Kan dit uitgangspunt niet worden uitgebreid tot WiFI op privaat domein? 3.3 De privacy van de bezoekers Hoe zit het met de privacy van de gebruikers van deze WiFI-netwerken als ze geïdentificeerd worden en als de gegevens worden bijgehouden? Waarvoor kunnen deze gegevens al dan niet gebruikt worden? 4 Ongerustheid over toekomstig KB BELTUG leden drukken hun ongerustheid uit over een toekomstig KB die de bepalingen van artikel 9 7 met betrekking tot regels inzake het aanbieden van netwerkdiensten op privaat domein zou verstrengen. Zelfs al is men in dit geval vrijgesteld van operator notificatieplicht, kan de wet toch voorzien dat data en identificatiegegevens van eindgebruikers bijgehouden moeten worden. 5 BELTUG Standpunt BELTUG vraagt in eerste instantie ter bevordering van de digitale economie dat eventuele regels die worden opgelegd aan bedrijven en publieke instellingen bij het aanbieden van WiFi beperkt blijven. Indien ze geconfronteerd worden met complexe eisen inzake bijhouden van informatie over de eindgebruiker, kan men er van uit gaan dat dit een remmend effect zal hebben op het aanbieden van WiFi. Een ruim aanbod van WiFi, met een lage drempel om er gebruik van te kunnen maken, zoals bij heel wat fastfoodketens en in steden zoals Luxemburg, stimuleert de consument om deze te gebruiken. BELTUG vindt het belangrijk dat bedrijven en publieke instellingen niet geconfronteerd worden met disproportionele eisen. Het Hof van Justitie in Luxemburg oordeelt zelfs dat de verplichtingen inzake het bijhouden van gegevens die opgelegd worden aan telecomoperatoren te ver gaan. Het 5 September 2014

6 lijkt dan ook weinig zinvol nieuwe verplichtingen op te leggen vóórdat er duidelijkheid is m.b.t. het Europees regelgevend kader. Daarom vraagt BELTUG: Afstemming over de noden inzake identificatiegegevens tussen diverse overheidsdiensten, in het bijzonder het BIPT, de privacy commissie, de FCCU. Een kader dat gratis WiFi zeer ruim toelaat op privaat domein, zonder disproportionele eisen, bijv. met betrekking tot de dataretentie en zware identificatie. Het kan toch niet de bedoeling zijn dat niet-operatoren die WIFi willen aanbieden aan hun bezoekers zware verplichtingen opgelegd krijgen. Een zeer gebruiksvriendelijke en laagdrempelige gebruikersinterface om te kunnen aanloggen op een draadloos netwerk is daarbij cruciaal. De nodige terughoudendheid aan de dag te leggen bij het opleggen van verplichtingen op aanbieders van WiFi op privaat domein. Duidelijke definities van het publiek en privaat domein. Eigen aan WiFI-netwerken is dat het bereik niet gelijk loopt met een eigendom. Voor BELTUG is een belangrijk criterium de intentie om WiFi aan te bieden aan de eigen bezoekers, eigen terras, parking,.. Een zo ruim mogelijke internationale uniformiteit. Duidelijkheid over de gevolgen van de Europese schorsing van de dataretentierichtlijn voor het Belgisch kader. Identificatie en authenticatie van de gebruikers Het is geen goed idee om een doorgedreven authenticatie van de gebruiker te eisen voor WiFi op privaat domein. Een strenge aanpak, met doorgedreven identificatie en andere verplichtingen, zou het aanbod inperken, terwijl de vraag zo groot is. Een persoon met slechte intenties kan trouwens gebruik maken van de talrijke onbeveiligde draadloze netwerken in particuliere woningen. Verschillende authenticatie-mogelijkheden zijn niet water proof. Identificatie met bijv. Facebook, LinkedIn of Twitter-account is geen goed idee: het is te onveilig. Maar ook MAC-adressen zijn niet betrouwbaar. Momenteel kan gesteld worden dat er geen technische oplossingen voorhanden zijn die een sluitende en dus betrouwbare authenticatie mogelijk maken door een niet operator. Aangezien het ook niet de bedoeling kan zijn dat er een wildgroei aan authenticatiemethodes plaats vindt, is het misschien te overwegen te komen tot een gemeenschappelijke aanpak op Belgisch niveau. Dit zou tevens kaderen binnen de privacy-problematiek. Een doorgedreven identificatie en dataretentieplicht zal leiden tot een opslag van allerlei persoonsgebonden gegevens door private ondernemingen. De vraag is of dit wenselijk is, hoe het individu zijn rechten kan verdedigen en welk toezicht toepasselijk is. Als België een veilige manier van werken wil voor alle WiFI-netwerken dan is een andere aanpak nodig. Het opleggen van eisen aan alle WiFi-aanbieders zal contraproductief zijn. 6 September 2014

7 Copyright BELTUG This document may be freely duplicated and distributed in its entirety on an individual one to one basis, either electronically or in hard copy form so long as it is attributed to BELTUG. It may not, however, be disassembled or modified in any way as part of the duplication process. BELTUG vzw/asbl Knaptandstraat 123 B Sint Niklaas Tel info@beltug.be 7 September 2014