Gratis wifi voor je gasten: welke regels gelden in België (en wat met GDPR)?

"De wificode staat op de kassabon"

Gratis wifi is in de Belgische horeca even vanzelfsprekend geworden als een glas kraantjeswater. Gasten vragen ernaar nog voor de kaart opengaat, en in een hotel is het al lang geen extraatje meer maar een basisverwachting. Dus hangt er ergens een access point, staat de code op een bordje aan de toog, en draait het al jaren "gewoon".

Tot iemand de vraag stelt die veel uitbaters stilletjes bezighoudt: mag dat eigenlijk allemaal zomaar? Ben ik aansprakelijk als een gast op mijn netwerk iets illegaals doet? En de e-mailadressen die mijn loginpagina verzamelt — wat mag ik daar precies mee?

Het korte antwoord stelt gerust: gasten-wifi aanbieden is in België perfect legaal en je hebt er geen vergunning voor nodig. Maar de manier waarop je het aanbiedt, bepaalt welke verplichtingen je op je neemt — vooral zodra er persoonsgegevens aan te pas komen. Hieronder zetten we de praktische spelregels op een rij. Eén kanttekening vooraf: dit is een praktische gids, geen juridisch advies. Twijfel je over jouw concrete situatie, leg ze dan voor aan een jurist of gegevensbeschermingsspecialist.

Ben je aansprakelijk voor wat gasten online doen?

De angst die we het vaakst horen: "als een gast op mijn wifi iets downloadt wat niet mag, sta ík dan in de problemen?" In grote lijnen is het Europese uitgangspunt geruststellend: wie louter internettoegang doorgeeft, is niet automatisch verantwoordelijk voor wat gebruikers daarmee doen. Je bent een doorgeefluik, geen uitgever.

Maar "niet automatisch aansprakelijk" is niet hetzelfde als "niets te doen". Een uitbater die zijn netwerk verstandig heeft opgezet, staat een stuk sterker als er ooit vragen komen:

• Zet je gastennetwerk apart. Niet alleen voor de aansprakelijkheid, ook voor je eigen veiligheid — daarover zo meteen meer.
• Beveilig het met een wachtwoord. Een volledig open netwerk trekt ook mensen aan die geen klant zijn, en maakt het lastiger om aan te tonen dat je redelijke zorg hebt genomen.
• Denk na over wat je bijhoudt. Loggen wie wanneer verbond kan nuttig zijn, maar die logs bevatten persoonsgegevens — dus ook daar gelden regels voor (zie verder).

Komt er ooit een ernstige klacht of een vraag van de politie, dan word je begeleid door de instanties zelf. Wat je op dat moment wil kunnen tonen, is een net opgezet netwerk — geen wildgroei die "ooit door een neef is geïnstalleerd".

Waar de GDPR om de hoek komt: de loginpagina

Veel zaken tonen een portaalpagina voor gasten online kunnen: vul je e-mailadres in, vink een vakje aan, en je bent vertrokken. Handig voor marketing — maar dit is precies het punt waarop je van "wifi aanbieden" naar "persoonsgegevens verwerken" gaat, en dus onder de GDPR valt.

Persoonsgegevens zijn breder dan je denkt. Niet alleen naam en e-mailadres tellen, ook technische identificatiegegevens zoals het MAC-adres van een toestel kunnen eronder vallen. De goede refleks is simpel: behandel alles wat je via je wifi over een gast te weten komt als iets waar regels op staan.

Wat betekent dat concreet?

• Zeg wat je doet. Een korte, leesbare privacyverklaring op de portaalpagina: wat verzamel je, waarvoor gebruik je het, hoelang bewaar je het, en waar kan de gast terecht met vragen.
• Verzamel alleen wat je nodig hebt. Een e-mailadres voor je nieuwsbrief, tot daar aan toe. Maar heb je echt een geboortedatum, telefoonnummer én postcode nodig om iemand een uur online te laten? Elke extra vraag is extra verantwoordelijkheid.
• Beveilig wat je bewaart. Wie in de zaak kan aan die gegevens? Staat de lijst op een beveiligd systeem of in een Excel op de kassacomputer? Ook dat is GDPR.

"Gratis wifi in ruil voor je e-mailadres"

Hier gaat het in de praktijk het vaakst mis. Toestemming voor marketing moet vrij en specifiek zijn. Dat betekent:

• Geen vooraf aangevinkte vakjes. De gast kiest zelf, actief.
• Wifi mag geen gijzeling zijn. De toegang koppelen aan een verplichte nieuwsbriefinschrijving wringt met het idee van vrije toestemming. Bied de nieuwsbrief aan als optie, niet als tolpoort.
• Uitschrijven moet even makkelijk zijn als inschrijven. Eén klik onderaan elke mail, en die klik moet ook echt werken.

Een nieuwsbrieflijst die zo is opgebouwd, is kleiner — maar hij bestaat uit mensen die je mails wíllen krijgen. Voor een horecazaak is dat meer waard dan duizend adressen die je stilzwijgend hebt binnengehaald.

Hoelang bewaar je die gegevens?

De GDPR plakt er geen vaste termijn op, maar het principe is duidelijk: niet langer dan nodig voor het doel. Spreek intern een termijn af, schrijf ze op, en houd je eraan. Een gast die drie jaar geleden één koffie kwam drinken hoeft niet eeuwig in je systeem te staan. Zet je router of portaalsysteem zo in dat oude gegevens automatisch verdwijnen — dan hoeft niemand eraan te denken.

De techniek die de regels vanzelf makkelijker maakt

Het mooie is: wat juridisch verstandig is, is netwerktechnisch ook gewoon goede praktijk.

• Scheid gast en zaak. Je gastennetwerk hoort volledig los te staan van je kassa (GKS), betaalterminal, camera's, reservatiesysteem en kantoormachines. Een gast die per ongeluk — of expres — bij je kassasysteem kan, is een risico dat geen enkele uitbater wil lopen.
• Verander de standaardwachtwoorden. Het beheerderswachtwoord van de router dat er bij levering op stond, is het eerste wat een aanvaller probeert.
• Houd de firmware bij. Verouderde routersoftware is een open achterdeur. Plan updates in of laat ze automatisch gebeuren.
• Begrens de bandbreedte. Een limiet per gebruiker houdt het netwerk vlot voor iedereen en ontmoedigt het zware verkeer waar je liever niet het doorgeefluik van bent.

De eerlijkste optie: verzamel gewoon niets

Dit vergeten veel leveranciers van portaalsystemen je te vertellen: je bent nergens toe verplicht. De eenvoudigste correcte opstelling is een apart gastennetwerk met een wachtwoord op een bordje — zonder portaal, zonder dataverzameling. Geen persoonsgegevens, geen toestemmingsvraagstukken, geen bewaartermijnen.

Een portaalpagina met e-mailregistratie is pas zinvol als je die adressen ook echt en verantwoord gaat gebruiken — een maandelijkse nieuwsbrief die de moeite is, een uitnodiging voor je wildseizoen. Ga je er niets mee doen, dan verzamel je alleen risico.

Praktische checklist

• Gastennetwerk staat volledig los van kassa, betaalterminal, camera's en kantoor
• Standaard beheerderswachtwoord van router en access points veranderd
• Netwerk beveiligd met een degelijk wachtwoord (en dat is níét "restaurant2020")
• Firmware-updates gebeuren automatisch of staan ingepland
• Als er een portaalpagina is: korte privacyverklaring zichtbaar op die pagina
• Marketingtoestemming is een vrije, aparte, niet-aangevinkte keuze
• Bewaartermijn voor verzamelde gegevens afgesproken en gedocumenteerd
• Uitschrijven uit mails kan met één klik
• Iemand in de zaak weet wie toegang heeft tot de verzamelde gegevens

Kun je alles afvinken? Dan sta je verder dan het gros van de sector.

Liever dat iemand het gewoon regelt?

Een gastennetwerk dat snel is, netjes gescheiden van je bedrijfssystemen, en waarvan de dataverzameling privacy-proof staat afgesteld — dat is precies het soort werk dat wij dagelijks doen voor Belgische hotels, restaurants en cafés. Bekijk onze IT- en wifi-oplossingen of neem contact op: we bekijken je huidige opstelling en zeggen je eerlijk wat er al goed zit en wat beter moet. En voor de juridische puntjes op de i verwijzen we je graag door naar een specialist — schoenmaker, leest.