Bezpieczeństwo prawne udostępniającego sieć HotSpot dla gości

Odpowiedzialność udostępniającego Internet:

Publicznie dostępne hotspoty WiFi są często wykorzystywane do czynności niezgodnych z prawem.

Użytkownicy takich sieci są przekonani, że wykorzystanie publicznie dostępnej sieci gwarantuje im pełną anonimowość, więc znaczny procent naruszeń bezpieczeństwa dokonywanych jest właśnie z publicznie dostępnych sieci WiFi.

Jest to niewątpliwie dużym problemem dla właściciela lub operatora hotspota, gdyż zgłoszone naruszenia wiążą się z rozpoczęciem procedur prawnych, często bardzo absorbujących czasowo, stresujących, a także niewygodnych dla właścicieli hotspotów.

W sieciach obsługiwanych przez System WiFi-Spot.net anonimowość podłączających się użytkowników jest zazwyczaj złudna, a bezpieczeństwo udostępniającego sieć WiFi jest chronione przez przetrzymywane na serwerach WiFi-Spot logi podłączeń użytkowników.

Kwestie prawne:

Właściciel lub użytkownik łącza telekomunikacyjnego jest odpowiedzialny za wszelkie przypadki naruszenia prawa dokonane z jego sieci. Dotyczy to nie tylko abonentów instytucjonalnych wykorzystujących szerokopasmowe łącza, lecz w równym stopniu zasady te stosują się do abonentów łącz mniejszych – w tym nawet mobilnych łącz komórkowych.

Zapewniając dostęp do Internetu swoim Klientom, również w postaci hotspota WiFi, należy liczyć się z możliwymi konsekwencjami prawnymi takiego udostępniania oraz dołożyć należytej staranności w celu zapewnienia jego zgodności z prawem.

Analogiczne wymagania występują przy udostępnianiu Internetu dla gości zarówno w małej kawiarni, jak i w dużym hotelu czy centrum handlowym.

Regulamin korzystania z hotspota:

Obowiązkiem właściciela hotspota jest poinformowanie użytkowników o właścicielu sieci, warunkach udostępniania Internetu oraz obowiązkach korzystającego z połączenia z Internetem.

Ażeby przekazanie takich informacji i uzyskanie potwierdzenia zgody na prezentowane warunki było możliwe, hotspot powinien prezentować użytkownikowi – bezpośrednio po podłączeniu do sieci – stronę startową.

Strona startowa – poza funkcjami marketingowymi – powinna umożliwiać użytkownikowi zapoznanie się z regulaminem hotspota i jego akceptację.

RODO:

Jeżeli hotspot zbiera dane osobowe, strona startowa musi również umożliwiać pozyskanie od użytkownika wszelkich zgód wymaganych prawem w przypadku zbierania danych, natomiast system obsługi hotspot powinien umożliwiać pobranie informacji wymaganych przez RODO.

Zbieranie danych dostępowych:

Zgodnie z obecnym stanowiskiem widocznym w decyzjach UKE, w przypadku udostępniania Internetu w ramach hotspota WiFi bez uwierzytelniania użytkowników, niezbędne jest składowanie informacji o podłączonych do hotspota WiFi użytkownikach, zawierających co najmniej: adres MAC karty WiFi urządzenia podłączanego do sieci, dokładny czas (data, godzina, minuta, sekunda) podłączenia oraz czas odłączenia od sieci. Umożliwia to – w przypadku wykrycia naruszeń – przedstawienie upoważnionym służbom wszelkich danych odnośnie podłączonych do sieci użytkowników (a dokładniej adresów MAC ich urządzeń). W przypadku wykrycia naruszeń dane te powinny zostać przekazane upoważnionym służbom. W przypadku hotspota WiFi z autoryzacją użytkowników powyższe dane należy rozszerzyć o dane zalogowanego użytkownika i wszystkie dane umożliwiające jego identyfikację. Często wymagane są również dostępne dane z innych systemów informatycznych – np. CCTV czy systemów rezerwacyjnych – dla umożliwienia pełnej identyfikacji osoby dopuszczającej się naruszeń.

W wielu przypadkach dane te nie są wystarczające do identyfikacji sprawcy, jednakże należy dołożyć należytej staranności do wypełnienia nałożonych prawem obowiązków.

Dane przechowywane w Systemie WiFi-Spot.net:

W przypadku hotspota WiFi wykorzystującego funkcjonalność Systemu WiFi-Spot.net dane wymagane prawem są przechowywane w chmurze WiFi-Spot.net i – na wniosek upoważnionych służb – mogą być im udostępnione.

Z uwagi na zapisy prawa telekomunikacyjnego i wymagania wynikające z ochrony danych osobowych, dane te nie są dostępne bezpośrednio z panelu Systemu WiFi-Spot, natomiast w przypadkach określonych przepisami, w których następuje zwolnienie operatora telekomunikacyjnego z tajemnicy telekomunikacyjnej, dane te mogą być udostępnione uprawnionym służbom na podstawie odpowiednich orzeczeń i wykorzystane w celu wyśledzenia sprawcy odkrytych naruszeń.

Dzięki przechowywaniu danych w chmurze WiFi-Spot.net są one dostępne również w przypadku awarii lokalnych systemów informatycznych właściciela hotspota.

Strona startowa Systemu WiFi-Spot.net umożliwia na zdefiniowanie regulaminu dla użytkowników sieci, jak również na zbieranie wymaganych prawem zgód RODO w przypadku zbierania i przetwarzania danych osobowych użytkowników sieci hotspot.

Lokalne zbieranie danych dostepowych:

W przypadku większych instalacji sieciowych oraz w przypadku chęci przechowywania dokładniejszych danych o połączeniach i aktywności użytkowników sieci, należy rozważyć wdrożenie lokalnego serwera Syslog.

Serwer Syslog to usługa sieciowa przechowująca informacje o aktywności użytkowników sieci, w tym wszystkich realizowanych połączeniach z zewnętrznymi adresami wraz z informacjami o podłączeniach użytkowników do sieci wewnętrznej. Serwer taki może być zrealizowany wewnątrz sieci na dedykowanym urządzeniu (jak urządzenie NAS) lub istniejącym serwerze (zarówno z systemem Windows jak i Linux) lub – w przypadku braku możliwości zapewnienia usługi wewnątrz sieci – wykorzystaniu zewnętrznej usługi dedykowanej – często dostępnej w ramach tzw. „chmury”.

W przypadku zbierania danych Syslog, dane takie zawierają znacznie więcej informacji niż dane wymagane prawem i – w przypadku wykrycia naruszeń – pozwalają na znacznie precyzyjniejsze określenie urządzenia, z którego naruszenia zostały dokonane.

Zbierając dane lokalnie należy rozważyć retencję tych danych – czyli okres, po którym dane zostają usunięte.

Odpłatne udostępnianie Internetu:

Powyższe informacje dotyczą wyłącznie obowiązków wynikających z bezpłatnego udostępniania Internetu użytkownikom, które nie wiąże się z uzyskiwaniem przychodów w ramach działalności gospodarczej, zwłaszcza przychodów związanych z transmisją danych.

Wypada podkreślić, że zgodnie z przepisami ustawy Prawo Telekomunikacyjne odpłatne udostępnianie Internetu kwalifikuje się jako usługa telekomunikacyjna, wymagająca wpisu do rejestru przedsiębiorców telekomunikacyjnych oraz wykonywania wszelkich zadań i zobowiązań prawnie wymaganych od przedsiębiorcy telekomunikacyjnego. Brak realizacji nałożonych prawem obowiązków może skutkować nałożeniem przez Prezesa UKE kary w wysokości do 3% całkowitych obrotów rocznych przedsiębiorstwa.