Omdat de internetgemeenschap er al jaren niet in is geslaagd om tot een privacyvriendelijke WHOIS-policy te komen, heeft ICANN op 25 mei 2018 (GDPR D-Day) een tijdelijke oplossing ingevoerd. Deze zogenaamde temporary specs heeft het aantal velden dat gTLD-registries en -registrars in de WHOIS tonen (tijdelijk) sterk beperkt. Tegelijkertijd is er een ‘expedited policy development process’ gestart. In maximaal 1 jaar moet de gemeenschap daarmee tot een definitieve oplossing komen. Voor de goede orde: het gaat hier om de regels voor gTLD’s als .com, .hotel en .amsterdam. Landencodes als .nl bepalen hun eigen regels.
Eén tijdige, wereldomvattende oplossing is wenselijk
Gezien de omvang van het project, de vele tegengestelde belangen die er spelen, het feit dat het een wereldomvattende oplossing zou moeten zijn, en het feit dat de keuzes uiteindelijk ook nog aan in ieder geval de GDPR moeten voldoen, lijkt het onwaarschijnlijk dat ze hier op tijd uit gaan komen. In dat geval gaan de oude regels weer gelden. Dat betekent dat iedereen weer zijn volledige WHOIS moet publiceren. Omdat Europese registries daarmee in strijd zijn met de GDPR, kan ICANN dat niet afdwingen, met een zeer onoverzichtelijke situatie tot gevolg.
Werkgroep
De werkgroep binnen de ICANN-community die belast is met deze schone taak heeft onlangs haar eerste tussenrapport uitgebracht. De werkgroep heeft 3 hoofdvragen te behandelen:
Welke data moeten registrars en registries voor iedere geregistreerde domeinnaam verzamelen?
Welke data moeten registrars en registries publiek tonen via een WHOIS-functie?
Welke data moeten registrars en registries delen met anderen partijen, zoals opsporingsautoriteiten, internetbeveiligers en intellectuele eigendombeschermers?
De hoofdvragen leiden tot een veelheid aan sub- en bijkomende vragen.
Oplossing lijkt nog ver weg
Om de dreigende onoverzichtelijke situatie te voorkomen is de druk om tot een oplossing te komen groot. In het eerste rapport van de werkgroep is die oplossing echter nog ver te zoeken. Vooralsnog is de werkgroep vooral bezig met de eerste vraag: wat moeten/mogen we verzamelen? Een van de weinige zaken waarover op dit moment consensus lijkt te zijn is het vervallen van de admin-c (voluit: administratief contactpersoon). Kennelijk een rol die in de gTLD-wereld als overbodig wordt gezien.
Hoe is dit bij .nl?
In de .nl-situatie ligt het belang van de admin-c historisch gezien geheel anders. De admin-c beschouwen we bij SIDN als de contactpersoon die ten opzichte van SIDN de houder vertegenwoordigt met betrekking tot de domeinnaamregistratie. Dit is in de praktijk niet altijd dezelfde persoon als de houder. Alle systeemberichten met betrekking tot de domeinnaam sturen we dan ook niet naar houder, maar naar het mailadres van de admin-c. Denk daarbij aan de bevestiging van een houderwijziging of een opheffing van de domeinnaam. Sterker nog, tot medio 2010 had SIDN zelfs geen mailadressen of telefoonnummers van de houders. Hadden we ook niet nodig want we communiceerden toch alleen naar de houder via de registrar en rechtstreeks naar de admin-c.
Admin-c is niet meer dan een mogelijkheid voor het opvoeren van een derde als contactpersoon
Een van de gedachten achter het niet administreren van de contactgegevens van de houder, was waarschijnlijk dat bij een domeinnaam op naam van een bedrijf, het bedrijf als houder geregistreerd zou worden. Vervolgens zou de contactpersoon (of afdeling) als admin-c kunnen optreden. Een andere gedachte zou kunnen zijn dat een houder misschien te weinig verstand van domeinnaamregistratie zou kunnen hebben. Door een administratief contactpersoon op te kunnen voeren, ontstond de mogelijkheid om iemand anders aan te wijzen, met verstand van zaken, als vertegenwoordiger. In feite een service naar de houder toe. De houder kan er echter ook voor kiezen om zelf als admin-c op te treden. In veel gevallen zal dat ook een prima keuze zijn.
Geen verplichting
Overigens is daarmee de vraag of een registrar wel of niet admin-c gegevens moet verzamelen niet langer een privacydiscussie. Het is niet meer dan een extra mogelijkheid voor de houder om een derde als contactpersoon aan te wijzen. Er is geen verplichting dat te doen.
Belangrijk dat houder bereikt kan worden door derden
Uiteraard kun je wel discussiëren over de vraag of en zo ja welke gegevens je van de admin-c via de publieke WHOIS moet publiceren. Voor .nl beperken we ons tot een mailadres en dat adres mag ook nog eens luewiuirfbug@gmail.com of info@domeinnaam.nl zijn. Niet direct te herleiden tot een persoon. Wij vinden het vooral belangrijk dat een houder door derden bereikt kan worden. Dit belang weegt wat ons betreft op tegen het belang dat op deze manier een minimale inbreuk op de privacy van de houder gemaakt wordt.
We blijven de ontwikkelingen volgen
Tegelijkertijd zijn er ook alternatieven mogelijk. In dat licht mag duidelijk zijn dat wij de ontwikkelingen rond de WHOIS bij ICANN, maar ook in de landen om ons heen blijven volgen en kritisch blijven kijken of de data die we verzamelen en die we publiceren echt nodig is.
