Закон Турции № 5651 и гостевой Wi-Fi: руководство для бизнеса
Важное примечание: статья носит исключительно информационный характер и не является юридической консультацией. Обязанности вашего предприятия следует оценивать вместе с юристом с учётом вида деятельности и действующего законодательства.
Коротко: как Закон № 5651 влияет на гостевой Wi-Fi?
Закон Турции № 5651 «О регулировании публикаций в интернете и борьбе с преступлениями, совершаемыми посредством таких публикаций» возлагает различные обязанности на разных участников интернет-среды. Предприятия — отели, кафе, рестораны, больницы или кампусы, — предоставляющие людям доступ в интернет в определённом месте, могут относиться к «поставщикам коллективного доступа в интернет» по смыслу соответствующего положения. В этом качестве от них, как правило, ожидается ведение в электронном виде записей о выданных во внутренней сети IP-адресах (журналов выдачи внутренних IP-адресов) и обеспечение точности, целостности и конфиденциальности этих записей. Точный объём обязанностей определяется видом деятельности предприятия и действующим законодательством.
Что такое Закон № 5651?
Закон № 5651 вступил в силу в 2007 году и с тех пор неоднократно изменялся. Он определяет ответственность таких участников интернет-среды, как поставщики контента, хостинг-провайдеры, провайдеры доступа и поставщики коллективного доступа. Его цель — борьба с преступлениями в интернете и обеспечение возможности уполномоченным органам при необходимости установить, какому пользователю принадлежит определённый интернет-трафик.
Порядок применения закона детализируется подзаконными актами. Для предприятий с гостевым Wi-Fi важнейший из них — Положение о поставщиках коллективного доступа в интернет. Оно определяет, кто считается таким поставщиком, какие записи необходимо вести и какие дополнительные условия действуют для тех, кто оказывает услугу в коммерческих целях.
Кто является поставщиком коллективного доступа?
Положение в общих чертах определяет поставщика коллективного доступа как физическое или юридическое лицо, предоставляющее людям возможность пользоваться интернетом в определённом месте в течение определённого времени. На практике под это определение может попадать широкий круг предприятий:
- Отели, гостевые дома, апарт-отели и туристические комплексы
- Кафе, рестораны, бары и кондитерские
- Торговые центры и магазины
- Больницы, клиники и медицинские учреждения
- Школы, университеты и общежития
- Аэропорты, терминалы и выставочные центры
- Спортзалы, парикмахерские и заведения с залами ожидания
- Компании, предоставляющие сеть гостям или посетителям
Для поставщиков, работающих в коммерческих целях (например, интернет-кафе), положение предусматривает дополнительные обязанности, такие как получение разрешения и использование одобренной программы фильтрации. Отель или ресторан, предоставляющий гостям интернет в рамках основной деятельности, может оцениваться иначе, чем предприятие, продающее доступ в интернет как коммерческую услугу. Поскольку это различие имеет юридическое значение, каждому предприятию следует уточнить свой статус у специалиста.
Какие записи необходимо вести?
Ключевое понятие положения — «журналы выдачи внутренних IP-адресов». Как правило, они включают:
- IP-адрес, выданный пользователю во внутренней сети
- Дату и время начала и окончания использования этого IP-адреса
- MAC-адрес устройства, использовавшего IP-адрес
На практике в сетях с авторизацией через хотспот при технических расследованиях может иметь значение и то, с какой пользовательской сессией был связан IP-адрес (например, номер комнаты, номер телефона или ваучер-код), поскольку один лишь MAC-адрес не всегда показывает, кому принадлежит устройство.
NAT и общий IP-адрес
В гостевых сетях сотни устройств, как правило, выходят в интернет через один публичный IP-адрес. Это называется NAT (Network Address Translation). При расследовании может потребоваться установить, какому внутреннему устройству соответствуют публичный IP-адрес и время, зафиксированные во внешней сети. Для надёжного сопоставления важно, чтобы:
- часы маршрутизаторов и систем журналирования были точно синхронизированы по NTP,
- выдача внутренних IP-адресов и время сессий фиксировались полностью,
- при необходимости учитывались также данные о портах и сессиях (NAT).
Расхождение часов устройств даже на несколько минут может привести к неверной хронологии событий.
Целостность и хранение записей
Недостаточно просто вести журналы — нужно иметь возможность доказать, что они не изменялись. Положение требует обеспечивать точность, целостность и конфиденциальность записей. На практике для этого используют следующие методы:
- Метка времени: регулярное подписание файлов журналов меткой времени от аккредитованного поставщика услуг электронной сертификации помогает доказать, что запись существовала на определённую дату и с тех пор не изменялась.
- Хеш-значение: вычисление криптографического хеша файла журнала и его отдельное хранение позволяют выявить изменения.
- Ограничение доступа: доступ к журналам только для уполномоченных лиц с фиксацией всех обращений.
- Резервное копирование: надёжные резервные копии, чтобы записи не были утрачены из-за отказа оборудования или кибератаки.
Что касается срока хранения, следует руководствоваться действующими положениями применимого подзаконного акта. Поскольку установленные законодательством сроки для журналов доступа со временем могут меняться, и хотя в отрасли обычно обсуждается диапазон от одного до двух лет, собственную обязанность каждое предприятие должно подтвердить по актуальному тексту и с помощью юриста.
Закон № 5651 и KVKK: правильный баланс
Журналы доступа и данные авторизации в хотспоте (имя и фамилия, номер телефона, номер комнаты, MAC-адрес) могут являться персональными данными. Поэтому ведение журналов по Закону № 5651 следует рассматривать вместе с турецким Законом о защите персональных данных № 6698 (KVKK):
- Информирование: на captive portal гостю нужно ясно сообщить, какие данные, с какой целью и на каком правовом основании обрабатываются и каковы его права.
- Соразмерность: собирать только данные, соответствующие цели и необходимые для неё. Сбор данных, не требуемых законом, «на всякий случай» создаёт риски.
- Разделение целей: данные, хранящиеся для исполнения законных обязанностей, нужно отделять от маркетинговых. Для маркетинговых коммуникаций при необходимости получать отдельное явное согласие.
- Хранение и уничтожение: для каждого типа данных установить срок хранения, а данные с истёкшим сроком уничтожать в соответствии с политикой хранения и уничтожения персональных данных.
- Безопасность данных: применять организационные и технические меры KVKK (разграничение доступа, шифрование, журналирование, резервное копирование).
- Отношения с обработчиком: при использовании облачного хотспот-сервиса отдельно оценить договор об обработке данных с поставщиком и возможную трансграничную передачу.
Обеспечивает ли хотспот-программа соответствие Закону № 5651?
Это самый частый вопрос предприятий, и отвечать на него нужно осторожно: установка хотспот-программы сама по себе не гарантирует соответствия Закону № 5651 или KVKK. Хотспот-программа существенно упрощает такие технические процессы, как аутентификация пользователей, отслеживание сессий, сопоставление IP-адреса и пользователя и формирование журналов. Но соответствие зависит от правильной реализации всех следующих элементов в совокупности:
- Правильное проектирование гостевой сети (VLAN, NAT, синхронизация времени)
- Полное, защищённое от изменений и безопасное хранение журналов
- Утверждённая политика хранения и уничтожения
- Ограниченные права доступа к журналам
- Возможность быстро и точно предоставить записи уполномоченным органам по запросу
- Выполнение процедур KVKK (информирование, явное согласие, безопасность данных)
- Информирование персонала об этих процессах
Примеры применения по отраслям
Отели и туристические комплексы
Поскольку отели регистрируют гостей при заселении, авторизация по номеру комнаты и фамилии — сильный метод как с точки зрения удобства, так и для сопоставления IP-адреса с пользователем. Прекращение доступа после выезда обеспечивает соответствие записей периоду проживания. В комплексах из нескольких корпусов особенно важно, чтобы все шлюзы использовали один источник времени.
Кафе и рестораны
На предприятиях с большим числом кратковременных посетителей часто используются SMS-подтверждение или выдаваемые за столиком ваучер-коды с ограниченным сроком. Не следует запрашивать лишние данные, а длительность сессий нужно соотносить с продолжительностью визита.
Больницы и клиники
Сети пациентов, сопровождающих и посетителей должны быть строго отделены от медицинского оборудования и больничных информационных систем. С точки зрения KVKK особенно важно не собирать через портал сведения, относящиеся к данным о здоровье.
Школы, общежития и кампусы
Здесь распространены разделение сетей студентов и персонала, авторизация по идентификационным данным и политики доступа по времени. Поскольку большое число пользователей увеличивает объём журналов, ёмкость хранилища нужно планировать заранее.
Компании
Предпочтение отдаётся разделению гостевой и корпоративной сетей, кодам доступа с ограниченным сроком для посетителей встреч и сессиям, привязанным к регистрации посетителей.
Чек-лист внедрения для предприятий
- Уточните у юриста, является ли ваше предприятие поставщиком коллективного доступа и работает ли оно в коммерческих целях.
- Отделите гостевую сеть от сетей персонала и критически важных систем с помощью VLAN.
- Включите синхронизацию времени по NTP на всех сетевых устройствах и сервере журналов.
- Используйте вместо общего пароля способ авторизации в хотспоте, позволяющий идентифицировать пользователя.
- Получите письменное подтверждение того, какие поля содержат журналы выдачи внутренних IP-адресов и где они хранятся.
- Проверьте метод защиты целостности записей (метка времени, хеш).
- Определите срок хранения в соответствии с действующим законодательством и порядок уничтожения.
- Разместите на captive portal уведомление KVKK о конфиденциальности.
- Определите, кто имеет доступ к журналам, и фиксируйте обращения к ним.
- Установите порядок действий и ответственное лицо на случай официального запроса.
Часто задаваемые вопросы
Подпадает ли под Закон № 5651 кафе с бесплатным Wi-Fi?
То, платный интернет или бесплатный, само по себе не определяет, считается ли предприятие поставщиком коллективного доступа. Важно то, что людям предоставляется доступ в интернет в определённом месте. Для окончательной оценки следует опираться на действующее законодательство и мнение юриста.
Достаточно ли журналов модема?
Бытовые и офисные модемы обычно ведут ограниченные краткосрочные журналы, которые могут удаляться при перезагрузке. Для записей, связанных с пользователями, защищённых от изменений и хранящихся необходимый срок, нужна профессиональная система.
Кто может запросить журналы?
Записи следует передавать только по надлежащему запросу уполномоченных законом судебных и административных органов. Нельзя предоставлять сведения посторонним лицам или вне официальной процедуры.
Достаточно ли фиксировать MAC-адрес?
MAC-адрес идентифицирует устройство, но не всегда показывает, кому оно принадлежит. Кроме того, современные устройства могут использовать случайные MAC-адреса для конфиденциальности. Поэтому сопоставление пользователя и сессии через авторизацию в хотспоте даёт более надёжную основу.
У меня несколько филиалов — нужно ли вести журналы отдельно для каждого?
Журналы доступа каждого объекта следует вести так, чтобы было однозначно понятно, к какому объекту они относятся. В централизованно управляемой хотспот-системе записи можно собирать в одной панели, но при формировании отчётов и экспорте данные о местоположении, шлюзе и времени должны оставаться разделимыми. Тогда при поступлении запроса записи нужного филиала можно быстро и точно найти.
Какие данные запрашивать у гостей с точки зрения KVKK?
Только те, что необходимы для выбранного способа авторизации и исполнения законных обязанностей. Для дополнительных данных (например, адреса электронной почты для маркетинга) применяйте отдельное уведомление и, при необходимости, процедуру явного согласия.
Следующий шаг с Richspot
Richspot Hotspot — разработанная в Турции хотспот-платформа, рассчитанная на автоматическое журналирование в рамках Закона № 5651 и управление авторизацией пользователей и сопоставлением IP-адресов с сессиями из центральной панели. Поскольку обязанности каждого предприятия различаются, получите от команды продукта письменное подтверждение того, какие поля журналов формирует Richspot, как обеспечивается целостность записей, какова архитектура хранения и какие доступны варианты экспорта. В вопросах правовых обязанностей опирайтесь на действующее законодательство и профессиональную юридическую консультацию.
Правовые источники: Положение о поставщиках коллективного доступа в интернет (mevzuat.gov.tr) • Консолидированный текст Закона № 5651 • Руководство KVKK по безопасности персональных данных (kvkk.gov.tr)
