.jpg)
AVG-Proof Wifi
De Kern: Waarom is de AVG van toepassing op openbare wifi?
Wanneer je als café, hotel, bibliotheek of gemeente openbare wifi aanbiedt, verwerk je (meestal) persoonsgegevens van je gebruikers. Ook al is het alleen maar een MAC-adres of een e-mailadres voor inloggen, dit valt onder de privacywetgeving.
De AVG verplicht organisaties om:
- Rechtmatig, behoorlijk en transparant met persoonsgegevens om te gaan.
- Alleen noodzakelijke gegevens te verzamelen voor het specifieke doel.
- De gegevens niet langer dan nodig te bewaren.
- De gegevens goed te beveiligen.
Openbare wifi is vaak een valkuil omdat men zonder na te denken veel data kan verzamelen. "AVG-proof" betekent dat je dit proces zo inricht dat je aan bovenstaande verplichtingen voldoet.
Wat maakt een openbare wifi-netwerk "AVG-proof"? (De praktijk)
Hier zijn de concrete stappen en kenmerken van een AVG-vriendelijke openbare wifi:
a. Transparantie en Toestemming (de belangrijkste!)
- Duidelijke Login-Pagina (Captive Portal): Gebruikers moeten, voordat ze verbinden, een pagina zien waarop staat wie de aanbieder is, welke gegevens worden verzameld, waarvoor, en hoe lang deze bewaard worden.
- Vrije, Ondubbelzinnige Toestemming: Gebruikers moeten actief akkoord gaan met de voorwaarden, bijvoorbeeld door een vinkje te zetten bij "Ik ga akkoord met de privacyvoorwaarden". Ze mogen niet automatisch zijn aangemeld.
- Gratis Toegang: Toestemming moet vrijelijk gegeven worden. Het is niet toegestaan om toegang tot wifi af te dwingen in ruil voor persoonsgegevens die niet strikt noodzakelijk zijn (bijv. een verplichte nieuwsbrief-inschrijving). Je kunt wel een optie aanbieden: "Log in via social media" (meer data) of "Log anoniem in" (minder data).
b. Gegevensminimalisatie
- Verzamel alleen wat nodig is: Het doel is "toegang bieden tot internet". Vraag niet om geboortedata, adressen of andere onnodige informatie.
- Anonieme Opties: De meest AVG-proof manier is het aanbieden van een volledig anonieme inlogmethode. Bijvoorbeeld:
- Een wachtwoord dat aan de muur hangt (geen registratie).
- Een knop "Direct internetten" waarbij alleen het MAC-adres tijdelijk wordt geregistreerd voor de duur van de sessie.
c. Beveiliging van de Gegevens
- Versleuteling: Het wifi-netwerk zelf moet beveiligd zijn (WPA2/WPA3 voor het bedrijfsnetwerk). Het publieke deel is vaak open, maar de verbinding naar de login-pagina moet via HTTPS gaan.
- Segmentatie: Het gastnetwerk moet volledig afgeschermd zijn van het interne bedrijfsnetwerk (met bijvoorbeeld firewalls en VLANs). Dit beschermt niet alleen jouw data, maar ook die van je gasten.
- Beveiligde Opslag: Als je gegevens opslaat (bijv. e-mailadressen voor marketing), moeten deze versleuteld en beveiligd worden opgeslagen.
d. Bewaartermijnen
- Sessiegegevens wissen: Loggegevens (zoals welke websites iemand bezoekt) mogen niet langer bewaard worden dan strikt noodzakelijk is voor beveiligingsdoeleinden (bijv. 24 uur tot een paar weken). Daarna moeten ze worden verwijderd of geanonimiseerd.
- Contactgegevens: Als je een e-mailadres hebt gevraagd voor een voucher of marketing, moet je een duidelijk bewaarbeleid hebben en de gegevens verwijderen wanneer die termijn verstreken is.
Voorbeelden van NIET AVG-proof vs. WEL AVG-proof
Niet AVG-proof:
- Een inlogpagina waar standaard een vinkje staat bij "Schrijf me in voor de nieuwsbrief met aanbiedingen".
- Verplicht inloggen met een social media-account (zo krijg je veel profieldata binnen die niet nodig is voor wifi-toegang).
- Geen privacyverklaring op de inlogpagina.
- Het wifi-wachtwoord is hetzelfde als het wachtwoord voor de kassa.
- Alle gebruiksdata oneindig bewaren.
Wel AVG-proof:
- Een inlogpagina met twee duidelijke keuzes:
-
Snel internetten: Klik op 'Accepteren' om anoniem gebruik te maken van het netwerk. Wij loggen alleen je MAC-adres voor 24 uur.
-
Ontvang een voucher: Voer je e-mailadres in om een kortingsvoucher te ontvangen en toegang te krijgen. Je e-mailadres bewaren we 1 jaar. [Link naar privacyverklaring]
-
Een eenvoudig wachtwoord dat aan de balie wordt verstrekt, zonder registratie.
-
Een netwerk dat technisch gescheiden is van de rest van de organisatie.
Hoe hoog kan een AVG-boete zijn?
Bij een overtreding van de Algemene Verordening Gegevensbescherming (AVG) kan de Autoriteit Persoonsgegevens (AP) een boete opleggen, waarbij de hoogte kan oplopen tot maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet van een organisatie, afhankelijk van de ernst van de overtreding. De AP bepaalt de hoogte van de boete op basis van factoren zoals de aard, omvang en duur van de overtreding, en of er sprake was van opzet of eerder gedrag.
- Tot € 20 miljoen of 4% van de jaaromzet: Voor zware overtredingen.
- Tot € 10 miljoen of 2% van de jaaromzet: Voor lichtere overtredingen.
- De hogere boetecategorie (20 miljoen of 4%) wordt gebruikt voor ernstige schendingen, terwijl de lichtere categorie (10 miljoen of 2%) geldt voor minder ernstige overtredingen.
Factoren die de hoogte bepalen:
- Ernst, omvang en duur: Hoe ernstig en langdurig de overtreding was.
- Opzet of schuld: Of er opzet in het spel was.
- Eerder gedrag: Of de organisatie eerder overtredingen heeft begaan.
- Type overtreding: Verschillende overtredingen kunnen anders worden bestraft.
Andere sancties van de AP:
- Last onder dwangsom: Je betaalt een dwangsom als de overtreding niet wordt beëindigd.
- Verwerkingsverbod: Een organisatie mag bepaalde persoonsgegevens niet meer verwerken.
- Berisping: Een officiële afkeuring van een inbreuk, vaak bij kleinere overtredingen.
- Waarschuwing: Een formele waarschuwing bij een voorgenomen inbreuk op de AVG.
Conclusie
"AVG-proof" openbare wifi aanbieden betekent dat je de privacy van je gasten respecteert en serieus neemt. Het draait om transparantie, keuzevrijheid, minimalisatie van data en een goede beveiliging.
Voor een bedrijf of organisatie is het niet alleen een wettelijke verplichting, maar ook een teken van betrouwbaarheid. Gasten zullen zich veiliger voelen en je loopt geen risico op hoge boetes van de Autoriteit Persoonsgegevens (AP).
