mmmm....non so come e perchč (non ho riferimenti legali da fornirti) ma sono ragionevolmente certo che sia un obbligo.

se non c'č un obbligo specifico sulla durata della sessione rientra comunque nell'obbligo di fare tutto il possibile per evitare che il cliente cretino venga inchiappettato.