Gratis wifi voor uw gasten: welke regels gelden in België (en wat met GDPR)?

"De wificode staat op de kassabon"

Gratis wifi is in de Belgische horeca even vanzelfsprekend geworden als een glas kraantjeswater. Gasten vragen ernaar nog voor de kaart opengaat, en in een hotel is het al lang geen extraatje meer maar een basisverwachting. Dus hangt er ergens een access point, staat de code op een bordje aan de toog, en draait het al jaren "gewoon".

Tot iemand de vraag stelt die veel uitbaters stilletjes bezighoudt: mag dat eigenlijk allemaal zomaar? Ben ik aansprakelijk als een gast op mijn netwerk iets illegaals doet? En de e-mailadressen die mijn loginpagina verzamelt — wat mag ik daar precies mee?

Het korte antwoord stelt gerust: gastenwifi aanbieden is in België perfect legaal en u hebt er geen vergunning voor nodig. Maar de manier waarop u het aanbiedt, bepaalt welke verplichtingen u op zich neemt, vooral zodra er persoonsgegevens aan te pas komen. Hieronder zetten we de praktische spelregels op een rij. Eén kanttekening vooraf: dit is een praktische gids, geen juridisch advies. Twijfelt u over uw concrete situatie, leg ze dan voor aan een jurist of gegevensbeschermingsspecialist.

Bent u aansprakelijk voor wat gasten online doen?

De angst die we het vaakst horen: "als een gast op mijn wifi iets downloadt wat niet mag, sta ík dan in de problemen?" In grote lijnen is het Europese uitgangspunt geruststellend: wie louter internettoegang doorgeeft, is niet automatisch verantwoordelijk voor wat gebruikers daarmee doen. U bent een doorgeefluik, geen uitgever.

Maar "niet automatisch aansprakelijk" is niet hetzelfde als "niets te doen". Een uitbater die zijn netwerk verstandig heeft opgezet, staat een stuk sterker als er ooit vragen komen:

• Zet uw gastennetwerk apart. Dat helpt voor de aansprakelijkheid en voor uw eigen veiligheid (daarover zo meteen meer).
• Beveilig het met een wachtwoord. Een volledig open netwerk trekt ook mensen aan die geen klant zijn, en maakt het lastiger om aan te tonen dat u redelijke zorg hebt genomen.
• Denk na over wat u bijhoudt. Loggen wie wanneer verbinding maakte, kan nuttig zijn, maar die logs bevatten persoonsgegevens, dus ook daarvoor gelden regels (zie verder). De Belgische telecomwetgeving heeft aparte bewaarregels voor netwerkoperatoren; bewaart u verbindingslogs, vraag dan aan een advocaat of die regels op u van toepassing zijn.

Krijgt u ooit een vraag van de politie, win dan advies in bij een advocaat vóór u iets overhandigt of wist. Wat u op dat moment wilt kunnen tonen, is een netjes opgezet netwerk, en geen wildgroei die "ooit door een neef is geïnstalleerd".

Waar de GDPR om de hoek komt: de loginpagina

Veel zaken tonen een portaalpagina voor gasten online kunnen: e-mailadres invullen, vakje aanvinken, en de gast is vertrokken. Handig voor marketing, maar dit is precies het punt waarop u van "wifi aanbieden" naar "persoonsgegevens verwerken" gaat, en dus onder de GDPR valt.

Persoonsgegevens zijn breder dan u denkt. Naast naam en e-mailadres kunnen ook technische identificatiegegevens zoals het MAC-adres van een toestel eronder vallen. De goede reflex is simpel: behandel alles wat u via uw wifi over een gast te weten komt als iets waar regels op staan.

Wat betekent dat concreet?

• Zeg wat u doet. Een korte, leesbare privacyverklaring op de portaalpagina: wat verzamelt u, waarvoor gebruikt u het, hoelang bewaart u het, en waar kan de gast terecht met vragen.
• Verzamel alleen wat u nodig hebt. Een e-mailadres voor uw nieuwsbrief, tot daar aan toe. Maar hebt u echt een geboortedatum, telefoonnummer én postcode nodig om iemand een uur online te laten? Elke extra vraag is extra verantwoordelijkheid.
• Beveilig wat u bewaart. Wie in de zaak kan aan die gegevens? Staat de lijst op een beveiligd systeem of in een Excel op de kassacomputer? Ook dat is GDPR.

"Gratis wifi in ruil voor uw e-mailadres"

Hier gaat het in de praktijk het vaakst mis. Toestemming voor marketing moet vrij en specifiek zijn. Dat betekent:

• Geen vooraf aangevinkte vakjes. De gast kiest zelf, actief.
• Wifi mag geen gijzeling zijn. De toegang koppelen aan een verplichte nieuwsbriefinschrijving wringt met het idee van vrije toestemming. Bied de nieuwsbrief aan als optie, niet als tolpoort.
• Uitschrijven moet even makkelijk zijn als inschrijven. Eén klik onderaan elke mail, en die klik moet ook echt werken.

Een nieuwsbrieflijst die zo is opgebouwd, is kleiner, maar hij bestaat uit mensen die uw mails wíllen krijgen. Voor een horecazaak is dat meer waard dan duizend adressen die u stilzwijgend hebt binnengehaald.

Hoelang bewaart u die gegevens?

De GDPR plakt er geen vaste termijn op, maar het principe is duidelijk: niet langer dan nodig voor het doel. Spreek intern een termijn af, schrijf ze op, en houd u eraan. Een gast die drie jaar geleden één koffie kwam drinken hoeft niet eeuwig in uw systeem te staan. Stel uw router of portaalsysteem zo in dat oude gegevens automatisch verdwijnen. Dan hoeft niemand eraan te denken.

De techniek die de regels vanzelf makkelijker maakt

Het mooie is: wat juridisch verstandig is, is netwerktechnisch ook gewoon goede praktijk.

• Scheid gast en zaak. Uw gastennetwerk hoort volledig los te staan van uw kassa (GKS), betaalterminal, camera's, reservatiesysteem en kantoormachines. Een gast die per ongeluk of expres bij uw kassasysteem kan, is een risico dat geen enkele uitbater wil lopen.
• Verander de standaardwachtwoorden. Het beheerderswachtwoord van de router dat er bij levering op stond, is het eerste wat een aanvaller probeert.
• Houd de firmware bij. Verouderde routersoftware is een open achterdeur. Plan updates in of laat ze automatisch gebeuren.
• Begrens de bandbreedte. Een limiet per gebruiker houdt het netwerk vlot voor iedereen en ontmoedigt het zware verkeer waar u liever niet het doorgeefluik van bent.

De eerlijkste optie: verzamel zo weinig mogelijk

Dit vergeten veel leveranciers van portaalsystemen u te vertellen: u bent nergens toe verplicht. De eenvoudigste opstelling die aan de regels voldoet, is een apart gastennetwerk met een wachtwoord op een bordje, zonder portaal en zonder registratiegegevens. Uw router houdt wel technische logs bij, zoals toesteladressen: stel die zo in dat ze na een korte periode vanzelf verdwijnen. Toestemming hoeft u dan niet te beheren.

Een portaalpagina met e-mailregistratie is pas zinvol als u die adressen ook echt en verantwoord gaat gebruiken: een maandelijkse nieuwsbrief die de moeite is, een uitnodiging voor uw wildseizoen. Gaat u er niets mee doen, dan verzamelt u alleen risico.

Praktische checklist

• Gastennetwerk staat volledig los van kassa, betaalterminal, camera's en kantoor
• Standaard beheerderswachtwoord van router en access points veranderd
• Netwerk beveiligd met een degelijk wachtwoord (en dat is níét "restaurant2020")
• Firmware-updates gebeuren automatisch of staan ingepland
• Als er een portaalpagina is: korte privacyverklaring zichtbaar op die pagina
• Marketingtoestemming is een vrije, aparte, niet-aangevinkte keuze
• Bewaartermijn voor verzamelde gegevens afgesproken en gedocumenteerd
• Uitschrijven uit mails kan met één klik
• Iemand in de zaak weet wie toegang heeft tot de verzamelde gegevens

Kunt u alles afvinken? Dan staat u verder dan het gros van de sector.

Liever dat iemand het gewoon regelt?

Een gastennetwerk dat snel is, netjes gescheiden van uw bedrijfssystemen, en waarvan de dataverzameling privacyvriendelijk is ingesteld: daar is onze IT- en wifidienst voor bedoeld. Bekijk onze IT- en wifi-oplossingen of neem contact op: we bekijken uw huidige opstelling en zeggen u eerlijk wat er al goed zit en wat beter moet. Voor de juridische puntjes op de i verwijzen we u graag door naar een specialist (schoenmaker, blijf bij je leest).