Cómo afecta el RGPD a la gestión de dominios internacionales

Estamos seguros de que esta ley tendrá implicaciones positivas ya que está diseñada para hacer más transparente el tratamiento de datos personales pero sobre todo tendremos la posibilidad de gestionar el consentimiento al tratamiento de datos como su modificación o cancelación.

Como podemos imaginar, el RGPD también afecta a los datos publicados online, entre los que también se incluyen los datos del registrante del dominio visibles en el whois.

Por datos del registrante de dominio nos referimos a:

¿Cómo afecta el RGPD a los dominios internacionales? Los dominios internacionales mantenidos en host.it se gestionan a través de OpenSRS, revendedor del Registro Internacional de Tucows. OpenSRS cree que el acceso a los datos del registrante debe provenir de la persona autorizada de manera específica y limitada. Para controlar la divulgación y transmisión de datos sensibles, OpenSRS ha implementado un nuevo whois con un sistema cerrado llamado "gated whois", este sistema permitirá que la información (datos del registrante, contacto administrativo y técnico) permanezca oculta, impidiendo su transmisión y visibilidad pública. Estos datos están disponibles únicamente para organismos autorizados a consultar y terceros acreditados, por ejemplo: autoridades judiciales, miembros de la comunidad de seguridad y abogados que trabajan en defensa de la propiedad intelectual.

A continuación os traigo 4 imágenes explicativas respecto a la publicación de datos en el whois antes y después del RGPD (fuente OpenSrs)

Los datos del registrante son visibles en línea (sin privacidad activa) según las políticas de ICANN

Los datos del registrante no son visibles en la red (privacidad activa) según las políticas de ICANN. En este caso, el servicio (de privacidad) ofrece a terceros la posibilidad de contactar con el registrante a través del contacto @contactprivacy.com.

Dominios con privacidad no habilitada. Dado que el contacto de correo electrónico no es visible, no existe la posibilidad de que terceros se pongan en contacto con el propietario del dominio, ya que la protección de datos se refiere al RGPD.

Dominios con privacidad activa: la información relativa al registrante no es visible pero se puede contactar con él a través del correo electrónico @contactprivacy.com

¿Cómo cambia el procedimiento de transferencia de dominio ahora que el registrante ya no es visible a través de Whois? De acuerdo con ICANN (Corporación de Asignación de Nombres y Números de Internet) y la delegación del Registro, se ha creado un proceso de migración que garantiza una mayor simplicidad para el usuario y la protección de sus datos, además de evitar el robo de dominio.

A continuación resumo para mayor claridad y exhaustividad de la información los pasos de transferencia antes del 25 de mayo de 2018:

el propietario del dominio solicitó al registrador actual que desbloqueara el dominio (estado de transferencia de cliente prohibido) y obtuvo el código de autenticación o código Epp (código de migración). Este proceso no ha cambiado ya que el proveedor actual (registrador) podrá y deberá verificar que la persona que desbloqueó el dominio y solicitó el código de autenticación esté legitimada y realice estas operaciones.

Una vez que el dominio estuvo listo para la transferencia, el registrante se comunicó con el nuevo proveedor y envió la solicitud.

El nuevo registrador envió el formulario de autorización de transferencia (llamado FOA) por correo electrónico al contacto administrativo de correo electrónico del dominio. Este formulario podía enviarse al contacto de correo electrónico del registrante o administrador, a discreción del registro, y tenía una validez de 5 días. El registrante aprobó la transferencia y el nuevo proveedor posteriormente envió la orden al Registro original.

El registro completó la transferencia (en aproximadamente 5 días), esta operación generalmente también incluía la renovación anual (varía según la extensión del dominio) y el bloqueo de transferencia para los siguientes 60 días.

¿Qué cambia desde hoy después del RGPD?

El procedimiento, como se ha comentado anteriormente, se ha simplificado con el objetivo de hacer positiva la experiencia del usuario y proteger los datos personales. Como vimos hasta ayer, la transferencia del dominio comenzaba enviando el FOA al contacto administrador del dominio pero a partir de hoy los proveedores ya no tendrán la posibilidad de identificar al contacto administrador o registrante del dominio fuera de su gestión.

¿Cómo se puede procesar una transferencia de dominio de forma segura y eficiente sin visibilidad de datos? La solución fue modificar el proceso de transferencia así:

OpenSRS ahora ofrece la posibilidad de proporcionar un código de autenticación durante la orden de transferencia del dominio.

En este caso la transferencia se reenviará directamente al Registro de origen sin enviar el correo electrónico de autorización (FOA) al contacto del administrador del dominio.

El contacto utilizado para enviar el código de autenticación y cualquier otra comunicación relacionada con la transferencia (entrante y saliente) será el contacto del registrante y ya no el administrador.

En caso de que no se proporcione el código de autenticación durante la transferencia, se enviará un correo electrónico al propietario de contacto del dominio proporcionado durante el pedido. Este correo electrónico reemplaza el FOA que, de forma simplificada, solicitará el código de autenticación al registrante a través de una página de destino.

Una vez completada la transferencia, los datos de contacto se actualizarán con los proporcionados durante el pedido. Esto era una posibilidad hasta ayer, pero ahora es obligatorio dado que el Registro ya no tendrá que depender de la exactitud de los datos de contacto proporcionados por el Registro (datos que ya no se comparten entre los Registros).

El registro tiene como objetivo incentivar al registrante a cumplir con algunas medidas de seguridad, una sobre todo: mantener su dominio bloqueado o en estado "Prohibida transferencia de cliente" y desbloquearlo exclusivamente en caso de transferencia a otro proveedor. Esta operación denominada "bloqueo de dominio por defecto" ya se realiza automáticamente (a menos que se solicite lo contrario) al transferir el dominio a host.it.

En el caso de nuevos registros, OpenSRS enviará vía correo electrónico una solicitud de autorización para consentir el tratamiento de datos con el fin de prestar el servicio solicitado. El titular del dominio podrá en cualquier momento modificar o revocar el consentimiento prestado.

Los cambios en el proceso de migración cumplen perfectamente con el principio GDPR, garantizando la confidencialidad de los datos, la seguridad y la prevención del robo de dominio.

Host S.p.A, como proveedor de servicios de hosting, siempre ha tratado datos considerados "masivos" de personas y empresas. El tratamiento siempre se ha realizado con los más altos estándares de seguridad. Compartiremos la documentación contigo a partir de hoy, 25 de mayo de 2018.