Privacyregeling voor .nl-domeinnamen

Welke begrippen kom je tegen in dit document?

Aanvraag

Als iemand ons vraagt om iets aan te passen rondom een domeinnaam. Dit geldt ook voor domeinnaamregistraties.

Beheerder

Onze directeur.

Betrokkene

Degene over wie persoonsgegevens worden verwerkt.

Domeinnaam

Een combinatie van tekens op het eerste niveau onder het .nl-domein.

Domeinnaamaanvrager

Iemand die domeinnaamhouder van een .nl-domeinnaam wil worden.

Domeinnaamhouder

Degene die als houder van een .nl-domeinnaam in ons register staat.

Privacyregeling

De regeling in dit document.

Register

Het register waarin alle geregistreerde .nl-domeinnamen staan met de bijbehorende. gegevens

Registrar

Een organisatie die domeinnamen registreert en beheert namens domeinnaamaanvragers en houders Wij hebben een contract met de registrar afgesloten.

Verwerking

De verwerking van de persoonsgegevens voor het register.

Verantwoordelijke

Wij, SIDN BV

Wij

SIDN BV (hierna: SIDN)

Met welke doelen verwerken wij de persoonsgegevens?

• We behandelen aanvragen voor domeinnamen.

  • Alle werkzaamheden die daarvoor nodig zijn, horen hier ook bij.

    • En alle werkzaamheden die daar het gevolg van zijn, horen hier ook bij.

• We behandelen verzoeken en klachten van domeinnaamhouders en betrokkenen.

• We stellen gegevens beschikbaar aan registrars zodat zij hun werk kunnen doen.

  • Je leest welke gegevens dat zijn in bijlage I onder ‘toegankelijk voor registrars’.

• We nemen de gegevens op in de zonefile.

• We nemen de gegevens op in de Whois, dit is het deel van het register dat openbaar is.

  • De informatie mag gebruikt worden voor de volgende doelen:

    • Om technische problemen met de werking van het internet te kunnen oplossen.

    • Om een .nl-domeinnaam aan te vragen of erachter te komen wie de houder is.

    • Om intellectuele eigendomsrechten te beschermen.

    • Om illegale en schadelijke inhoud op het internet te voorkomen en te bestrijden.

  • De Whois staat beschreven in artikel 23.2 van de algemene voorwaarden voor .nl-domeinnaamhouders. Details over de persoonsgegevens die we beschikbaar stellen via de publieke Whois lees je in bijlage 3.

• We mogen de gegevens delen met degenen die in artikel 7 van deze regeling staan.

  • Het gaat dan om de gegevens uit bijlage I.

Welke verantwoordelijkheden heeft de beheerder?

De beheerder heeft de dagelijkse leiding over de werkzaamheden voor de verwerking.

Van welke personen zijn de gegevens opgenomen?

• domeinnaamhouders

• contactpersonen voor een domeinnaam

• registrars en hun contactpersonen

• resellers

Welke gegevens nemen we op in het register?

Wij verwerken maximaal de volgende gegevens over de personen uit het vorige artikel:

• gegevens over de aanvraag en aanvrager van domeinnamen

• relatiemanagementgegevens

• gegevens over beveiliging

• publiek toegankelijke gegevens

Welke bronnen gebruiken wij voor de gegevens?

• de domeinnaamhouder

• de registrar die de domeinnaamaanvraag heeft verzorgd of de domeinnaam beheert

Met wie delen wij de gegevens?

• We verstrekken gegevens via de Whois, dit is het deel van het register dat openbaar is.

  • De Whois staat beschreven in artikel 23.2 van de algemene voorwaarden voor .nl-domeinnaamhouders.

  • Dit doen we volgens de Algemene Verordening Gegevensbescherming.

• Soms delen we de niet-openbare gegevens wel.

  • We delen ze dan met personen of instellingen die daar belang bij hebben (belanghebbenden).

  • Wij informeren de houder als we dat doen.

• We delen de niet-openbare gegevens ook met opsporings- en handhavingsautoriteiten.

  • Dat doen we als ze dat vorderen en dat mogen volgens de wet (gerechtigd zijn).

• We delen de niet-openbare gegevens ook met certification authorities.

  • Dat doen we als ze dit in opdracht van de houder vragen.

Wie mogen de gegevens verwerken?

De beheerder wijst de mensen aan die de gegevens mogen verwerken.

• Zij mogen de gegevens invoeren, verbeteren, aanvullen en verwijderen.

Wat doen we als er fouten in de gegevens zitten?

Wij passen de gegevens zo snel mogelijk aan bij fouten: onjuist, onvolledig.

• Zo zorgt de beheerder ervoor dat de gegevens kloppen.

Wanneer verwijderen wij de gegevens?

Als ze niet meer nodig zijn voor ons werk.

• Of als we ze niet mogen verwerken vanwege wetgeving.

Wie hebben er rechtstreeks toegang tot de gegevens?

• De beheerder bepaalt welke mensen die bij ons werken rechtstreeks toegang krijgen tot de gegevens.

  • Zij verwerken de gegevens alleen vanwege onze werkzaamheden en om klachten en vragen te behandelen.

• Iedereen mag de Whois gebruiken om de openbare gegevens op te vragen.

  • Iedereen heeft dus rechtstreeks toegang tot die gegevens.

• De beheerder bepaalt welke mensen rechtstreeks toegang krijgen tot de gegevens voor technische werkzaamheden.

Hoe beveiligen wij de gegevens?

We beveiligen de gegevens volgens de instructies van de beheerder.

Welke rechten hebben de betrokkenen?

• Iedereen kan contact opnemen met de beheerder om gebruik te maken van zijn rechten uit de Algemene Verordening Gegevensbescherming.

  • Je vindt de relevante artikelen uit die verordening in bijlage II.

• Je mag ook een advocaat contact laten opnemen met de beheerder.

  • Die geef jij dan schriftelijk toestemming daarvoor.

• Je mag ook een ander contact laten opnemen met de beheerder.

  • Die geef jij dan schriftelijk toestemming daarvoor.

    • Wij geven geen informatie aan die ander als die zelf een belang heeft bij de gegevens.

    • We geven ook geen informatie als wij sterke aanwijzingen hebben dat de schriftelijke toestemming vals is.

Wat zijn de afspraken over geheimhouding?

Je houdt gegevens over anderen geheim.

• Maar niet als het delen van de gegevens nodig is voor de taak waarvoor je ze kreeg.

• Ook niet als je ze volgens de Algemene Verordening Gegevensbescherming of deze regeling mag delen.

Bijlage 1 bij Privacyregeling voor .nl-domeinnamen

In deze tabel zie je wie welke gegevens in de Whois mogen zien.

^[1] Op verzoek in individuele gevallen. ^[2] De naam is alleen openbaar bij zakelijke houders. Dus niet bij particuliere houders. ^[3] Zakelijke houders kunnen kiezen of ze hun adres openbaar maken. Bij particuliere houders is het adres niet openbaar.

Bijlage 2 - Relevante artikelen uit de Algemene Verordening Gegevensbescherming

Artikel 15, Recht van inzage van de betrokkene

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

   1. de verwerkingsdoeleinden;

   2. de betrokken categorieën van persoonsgegevens;

   3. de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

   4. indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

   5. dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;

   6. dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

   7. wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

   8. het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

Artikel 16, Recht op rectificatie

De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.

Artikel 17, Recht op gegevenswissing (‘recht op vergetelheid)

1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:

   1. de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;

   2. de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;

   3. de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;

   4. de persoonsgegevens zijn onrechtmatig verwerkt;

   5. de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

   6. de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.

2. Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.

3. De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:

   1. voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;

   2. voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;

   3. om redenen van algemeen belang op het gebied van volksgezondheid overeenkomstig artikel 9, lid 2, punten h) en i), en artikel 9, lid 3;

   4. met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen;

   5. voor de instelling, uitoefening of onderbouwing van een rechtsvordering.

Artikel 18, Recht op beperking van de verwerking

1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:

   1. de juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren;

   2. de verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;

   3. de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;

   4. de betrokkene heeft overeenkomstig artikel 21, lid 1, bezwaar gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van de verwerkingsverantwoordelijke zwaarder wegen dan die van de betrokkene.

2. Wanneer de verwerking op grond van lid 1 is beperkt, worden persoonsgegevens, met uitzondering van de opslag ervan, slechts verwerkt met toestemming van de betrokkene of voor de instelling, uitoefening of onderbouwing van een rechtsvordering of ter bescherming van de rechten van een andere natuurlijke persoon of rechtspersoon of om gewichtige redenen van algemeen belang voor de Unie of voor een lidstaat.

3. Een betrokkene die overeenkomstig lid 1 een beperking van de verwerking heeft verkregen, wordt door de verwerkingsverantwoordelijke op de hoogte gebracht voordat de beperking van de verwerking wordt opgeheven.

Artikel 21, Recht van bezwaar

1. De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van artikel 6, lid 1, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

2. Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.

3. Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.

4. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.

5. In het kader van het gebruik van diensten van de informatiemaatschappij, en niettegenstaande Richtlijn 2002/58/EG, mag de betrokkene zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties.

6. Wanneer persoonsgegevens overeenkomstig artikel 89, lid 1, met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, heeft de betrokkene het recht om met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens, tenzij de verwerking noodzakelijk is voor de uitvoering van een taak van algemeen belang.

Bijlage 3 - Persoonsgegevens in de publieke Whois

1. Wat is het doel van de publieke Whois?

De Whois is een dienst van SIDN waarbij iedereen die aan de voorwaarden voldoet geautomatiseerd en zonder zich te identificeren bepaalde gegevens van een geregistreerde .nl-domeinnaam kan opvragen. De doelen waarvoor je de informatie mag opvragen zijn:

1. om technische problemen met de werking van het internet te kunnen oplossen.

2. om een .nl-domeinnaam aan te vragen of erachter te komen wie de houder is. ⁴

3. om intellectuele eigendomsrechten te beschermen.

4. om illegale en schadelijke inhoud op het internet te voorkomen en te bestrijden.

Je kunt de Whois is op 2 manieren bereiken:

• via de command line

• via de website van SIDN

De Whois via de command line geeft een heel beperkte set aan gegevens over de domeinnaamregistratie, daarom is het aantal keer dat je de Whois op deze manier kunt bevragen niet beperkt. De toegang via onze website kent wel beperkingen om geautomatiseerde en grootschalige opvragingen tegen te gaan. Hiervoor werken we met een beperking van het aantal opvragingen per IP-adres per dag. De mailadressen in de Whois zijn ook beschermd tegen geautomatiseerd kopiëren. ^[4] Met als doel deze te kunnen benaderen om de domeinnaam over te nemen.

2. Welke persoonsgegevens staan er in de Whois?

Op grond van artikel 4.1 van de Algemene Verordening Gegevensbescherming zijn ‘persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

Een domeinnaam zou daarom een persoonsgegeven kunnen zijn als de houder een natuurlijke persoon is. Als je vervolgens aan de hand van de Whois gegevens over een door een natuurlijke persoon geregistreerde domeinnaam opvraagt zijn eigenlijk alle gegevens die getoond worden als persoonsgegevens te beschouwen.

Ook gegevens van een houder die geen natuurlijke persoon is kunnen persoonsgegevens zijn. Het gaat hierbij om naam, handelsnaam en adresgegevens van een houder die de domeinnaam voor zakelijke doeleinden gebruikt. Daarnaast gaat het om een mailadres van de administratief en technische contactpersoon (voor zover het om mailadressen van natuurlijke personen gaat). Ten slotte laten we de (handels)naam en het adres van registrars en eventueel van resellers zien. Dit zijn ook persoonsgegevens als die bedrijven gedreven worden door natuurlijke personen, zoals bij een eenmanszaak.

3. Grondslag voor de verwerking via publicatie in de Whois

Voor alle persoonsgegevens die we in de Whois laten zien, geldt dat de verwerking noodzakelijk is voor de behartiging van onze gerechtvaardigde belangen als de verwerkingsverantwoor­delijke, van de betrokkene of van een derde waarbij wij hebben afgewogen dat de belangen noch de grondrechten en de fundamentele vrijheden van de betrokkene die bescherming van persoonsgegevens nopen, minder zwaar wegen dan die belangen.

Uitgaande van een natuurlijke persoon als houder, waarbij dus alle gegevens persoonsgegevens zijn, geven wij onderstaand aan welke gegevens wij met welk doel in de Whois laten zien. Daarbij beschrijven we ook de mogelijke op zichzelf staande persoonsgegevens.

• Domeinnaam: hetgeen waarop gezocht is, dus noodzakelijk om te vermelden.

• Status: geeft inzicht of de domeinnaam in gebruik is, maar bijvoorbeeld ook of deze na opheffing nog in quarantaine staat (noodzakelijk voor doel 2.)

• Houder: geeft informatie over wie verantwoordelijk is voor de domeinnaam (noodzakelijk voor doelen 1-4). Hier worden geen gegevens getoond van natuurlijke personen behalve als zij de domeinnaam voor zakelijke doeleinden gebruiken. Deze laatste groep kan optioneel kiezen hun (zakelijke) fysieke adres te laten zien.

• Administratieve contactpersoon: het mailadres waarop de houder mededelingen met betrekking tot de domeinnaamregistratie kan ontvangen. Dit adres kan van de houder zijn, maar ook van een derde (natuurlijke of rechtspersoon) die de domeinnaam voor de houder beheert. Het mailadres kan ieder willekeurig adres zijn en er is geen reden om een mailadres met de (voor)naam van de houder/contactpersoon te gebruiken, bijvoorbeeld xyz495@gmail.com volstaat. [doelen 1 – 4]

• Registrar: de naam en het fysieke adres van de bij ons aangesloten registrar, een professionele partij op het gebied van domeinnaamregistraties die op basis van een overeenkomst met SIDN de domeinnaamregistratie voor de houder beheert. Biedt een alternatieve manier om te proberen de houder te bereiken als deze niet op berichten naar de overige contacten reageert [doelen 1-4].

• [optioneel] Reseller: de naam en het fysieke adres van de eventuele reseller. Deze partij levert als tussenpersoon van de registrar registratie- en domeinnaambeheerdiensten aan de eindklant, de houder en staat vaak meer in direct contact met de houder dan de registrar. Wordt op verzoek van de registrar vermeld omdat deze een directere weg naar de houder biedt. [doelen 1-4]

• [optioneel] Abuse contact: als de registrar hiervoor kiest wordt hier een telefoonnummer en/of mailadres getoond, waarmee rechtstreeks de abuse-afdeling van de registrar bereikt kan worden [doel 4].

• Technische contactpersoon: een mailadres om technische problemen rond (het gebruik van) de domeinnaam te kunnen melden [doel 1]. In de praktijk is dit vaak een mailadres van (een technische supportafdeling van) de registrar/reseller of hoster, maar het kan ook van de houder of een andere derde zijn. Dit adres kan dus bijvoorbeeld techsupport@naamregistrar.nl zijn of het eerdergenoemde xyz495@gmail.com.

• DNSSEC: laat met ja of nee zien of de domeinnaam beschermd is met het DNSSEC-protocol. De vermelding is van belang bij verhuizing van een domeinnaam van de ene naar de andere registrar omdat de registrars/resellers/hosters bij ja moeten zorgen dat de bescherming bij de verhuizing in stand blijft [doel 1]

• Domeinnaamservers: de nameservers van de domeinnaam. [doel 1].

• Registratiedatum: de datum waarop de domeinnaam de laatste keer is geregistreerd. Dit speelt onder andere een rol in intellectuele eigendomsgeschillen, maar ook in de bestrijding van illegale activiteiten [doelen 3,4]

• Datum laatste wijziging: de datum waarop een laatste wijziging in de domeinnaamregistratie is doorgevoerd. Dit kunnen allerlei wijzigingen zijn bijvoorbeeld de houder zelf of zijn gegevens, maar ook een wijziging in nameservers, administratief of technisch contactpersoon of van de registrar. De datum wordt onder andere gebruikt in het kader van het bestrijden van illegale en schadelijke inhoud op het internet en de bescherming van tegen inbreuk op intellectuele eigendomsrechten. [doelen 3 en 4].

• Administratie door: hier wordt SIDN als de partij die de centrale administratie voor alle .nl- domeinnamen voert genoemd. Daarmee is ook helder dat SIDN de verwerkingsverantwoordelijke is.

4. Opt-out

Zoals gezegd publiceren we de persoonsgegevens in de Whois op basis van het gerechtvaardigde belang dat we daarbij hebben en maken we daarbij een belangenafweging tussen het belang om deze gegevens te publiceren en het belang van de betrokkene. Deze belangenafweging leidt in algemene zin tot de hierboven beschreven keuzes. Wij realiseren ons ook dat er zich situaties kunnen voordoen waarbij de afweging tot een andere uitkomst kan leiden. Voor dat soort gevallen bieden wij een opt-out-procedure. Als wij een opt-out verlenen, worden in de Whois geen houdergegevens en geen gegevens van de administratieve contactpersoon vermeld.