Comment le RGPD affecte la gestion des domaines internationaux

Nous sommes certains que cette loi aura des implications positives car elle vise à rendre plus transparent le traitement des données personnelles mais nous aurons surtout la possibilité de gérer le consentement au traitement des données comme la modification ou l'annulation.

Comme on peut l'imaginer, le RGPD affecte également les données publiées en ligne qui incluent également les données du titulaire du domaine visibles dans le whois.

Par données du titulaire du domaine, nous entendons :

Comment le RGPD affecte-t-il les domaines internationaux ? Les domaines internationaux maintenus dans host.it sont gérés via OpenSRS, revendeur du registre international Tucows. OpenSRS estime que l'accès aux données du titulaire doit provenir de la personne autorisée d'une manière spécifique et limitée. Afin de contrôler la divulgation et la transmission des données sensibles, OpenSRS a mis en place un nouveau whois avec un système fermé appelé « gated whois », ce système permettra aux informations (données du déclarant, contact administratif et technique) de rester obscurcies, empêchant leur transmission et leur visibilité publique. Ces données ne sont accessibles qu'aux organismes habilités à consulter et aux tiers accrédités, par exemple : les autorités judiciaires, les membres de la communauté de la sécurité et les avocats travaillant dans la défense de la propriété intellectuelle.

Ci-dessous je vous apporte 4 images explicatives concernant la publication des données dans le whois avant et après le RGPD (source OpenSrs)

Les données du titulaire sont visibles en ligne (sans confidentialité active) conformément aux politiques de l'ICANN

Les données du titulaire ne sont pas visibles sur le réseau (confidentialité active) conformément aux politiques de l'ICANN. Dans ce cas, le service (de confidentialité) propose à des tiers la possibilité de contacter le titulaire via le contact @contactprivacy.com.

Domaines avec confidentialité non activés. Étant donné que le contact par e-mail n'est pas visible, il n'y a aucune possibilité pour des tiers de contacter le propriétaire du domaine, car la protection des données fait référence au RGPD.

Domaines à confidentialité active : les informations relatives au titulaire ne sont pas visibles mais il peut être contacté via l'email @contactprivacy.com

Comment la procédure de transfert de domaine change-t-elle maintenant que le titulaire n'est plus visible via Whois ? En accord avec l'ICANN (Internet Corporation for Assigned Names and Numbers) et la délégation du Registre, un processus de migration a été créé qui garantit une plus grande simplicité pour l'utilisateur et la protection des données ainsi que la prévention du vol de domaine.

Je résume ci-dessous pour plus de clarté et d'exhaustivité des informations les étapes de transfert avant le 25 mai 2018 :

le propriétaire du domaine a demandé au registraire actuel de déverrouiller le domaine (statut de transfert de client interdit) et a obtenu le code d'authentification ou le code Epp (code de migration). Ce processus n'a pas changé puisque le fournisseur actuel (registraire) pourra et devra vérifier que la personne qui a déverrouillé le domaine et demandé l'authcode est légitimée et effectuer ces opérations.

Une fois le domaine prêt pour le transfert, le titulaire a contacté le nouveau fournisseur et a soumis la demande.

Le nouveau registraire a envoyé le formulaire d'autorisation de transfert (appelé FOA) par courrier électronique au contact administratif du domaine. Ce formulaire pouvait être envoyé au contact électronique du titulaire ou de l'administrateur, à la discrétion du registre, et était valable 5 jours. Le titulaire a approuvé le transfert et le nouveau fournisseur a ensuite transmis la commande au registre d'origine.

Le registre a réalisé le transfert (dans un délai d'environ 5 jours), cette opération comprenait généralement également le renouvellement annuel (varie en fonction de l'extension de domaine) et le blocage du transfert pour les 60 jours suivants.

Quels changements à partir d’aujourd’hui après le RGPD ?

La procédure, comme mentionné précédemment, a été rationalisée afin de rendre l'expérience utilisateur positive et de protéger les données personnelles. Comme nous l'avons vu jusqu'à hier, le transfert du domaine commençait par l'envoi du FOA au contact administrateur du domaine mais à partir d'aujourd'hui les fournisseurs n'auront plus la possibilité d'identifier le contact administrateur ou titulaire du domaine en dehors de leur gestion.

Comment un transfert de domaine peut-il être traité de manière sûre et efficace sans visibilité des données ? La solution était de modifier le processus de transfert comme ceci :

OpenSRS offre désormais la possibilité de fournir un code d'authentification lors de la commande de transfert de domaine.

Dans ce cas, le transfert sera directement transmis au registre d'origine sans envoyer l'e-mail d'autorisation (FOA) au contact de l'administrateur du domaine.

Le contact utilisé pour envoyer le code d'authentification et toute autre communication liée au transfert (entrant et sortant) sera le contact du titulaire et non plus l'administrateur.

Dans le cas où l'authcode n'est pas fourni lors du transfert, un email sera envoyé au contact propriétaire du domaine fourni lors de la commande. Cet email remplace le FOA qui de manière simplifiée demandera le code d'authentification au déclarant via une landing page.

Une fois le transfert effectué, les coordonnées seront mises à jour avec celles renseignées lors de la commande. C'était une possibilité jusqu'à hier, mais elle est désormais obligatoire étant donné que le Registre ne devra plus se fier à l'exactitude des données de contact fournies par le Registre (données qui ne sont plus partagées entre les Registres).

Le registre vise à inciter le titulaire à respecter certaines mesures de sécurité, dont une avant tout : maintenir son domaine bloqué ou à l'état « Transfert Client Interdit » et le déverrouiller exclusivement en cas de transfert vers un autre prestataire. Cette opération appelée "verrouillage du domaine par défaut" est déjà effectuée automatiquement (sauf demande contraire) lors du transfert du domaine vers host.it.

Concernant les nouvelles inscriptions, OpenSRS enverra par courrier électronique une demande d'autorisation de consentement au traitement des données afin de fournir le service demandé. Le propriétaire du domaine peut à tout moment modifier ou révoquer le consentement fourni.

Les modifications apportées au processus de migration respectent parfaitement le principe RGPD, garantissant la confidentialité des données, la sécurité et la prévention du vol de domaine.

Host S.p.A, en tant que fournisseur de services d'hébergement, traite depuis toujours des données considérées comme « massives » de personnes et d'entreprises. Le traitement a toujours été effectué avec les normes de sécurité les plus élevées. Nous partagerons la documentation avec vous à partir d'aujourd'hui, le 25 mai 2018.