域名查询日期注册时间_GDPR与WHOIS：域名注册信息收集与使用合规争议的现实与价值

有人说GDPR、WHOIS和ICANN已经组成了一个地狱组合。虽然ICANN近期将GDPR合规作为重大议题，并在各类会议上不断提出各种ICANN协议和政策的改进模式或临时规范，向各国数据保护机构（DPA）甚至欧盟数据保护委员会提出建议，甚至在德国发起禁令诉讼，试图从司法角度认可WHOIS的“公共利益价值”，但看来，任重道远。

一些基本知识点

1.什么是ICANN？

2. 什么是 WHOIS？

3.什么是GDPR？

4. GDPR 对域名注册的影响

1.什么是ICANN？

ICANN，全称是“互联网名称与数字地址分配机构”，是一个非盈利性的国际组织，负责协调互联网唯一标识符系统及其在全球范围内的安全稳定运行，简而言之，ICANN管理着域名和地址资源的分配。

2. 什么是 WHOIS？

WHOIS是ICANN在域名系统上提供的一项不可或缺的信息服务，是一种用于查询域名IP地址和所有者的传输协议。在GDPR实施之前，WHOIS是一个用于查询域名是否被注册，以及注册域名详细信息（如域名注册商、注册代理、注册人姓名、地址、注册邮箱、电话号码、注册日期、更新日期、到期日期等）的数据库。打个比方，WHOIS就像一本向公众开放的网络电话簿。然而，由于GDPR的限制，这本电话簿的影响和价值将发生重大变化。

3.什么是GDPR？

GDPR，即《通用数据保护条例》（ Data ，GDPR），是欧盟于2018年5月25日正式实施的一套个人信息保护规则，普遍适用于欧盟成员国。适用企业在数据收集和处理个人信息方面必须符合GDPR的要求，否则将面临高达其全球营业收入4%或2000万欧元的罚款。

4. GDPR 对域名注册的影响

GDPR 实施后，主要将影响 ICANN 执行 WHOIS 政策的方式。域名 WHOIS 信息的收集和展示，以及 ICANN 可能产生的新的合规要求，将导致域名注册局（）、域名注册商（）、注册人（）对 WHOIS 信息的提供和使用方式发生根本性变化。具体的影响以及由此引发的域名注册流程变化，目前 ICANN 和社区正在讨论中，最新成果体现在《框架要素：持续访问完整 WHOIS 数据库的统一模型》（详情见本文第三部分）中。

ICANN 实施 WHOIS 政策以解决 GDPR 合规问题

✦早在2017年10月，即GDPR正式实施前，荷兰域名注册局的代表律师就曾以书面形式回应ICANN的法律警告。尽管ICANN认为该注册局未能向ICANN提供注册人的个人联系信息违反了注册协议，但该机构认为注册协议中的WHOIS条款无效，因为它与GDPR以及荷兰基于GDPR制定的个人信息保护法相冲突。

✦2017年12月11日，GDPR第29条数据保护小组（WP29）在一封信中明确表示，ICANN 对公开发布 WHOIS 数据没有合法权益。

✦2018年1月12日，ICANN发布符合GDPR的ICANN协议和政策临时模型提案（讨论稿）。2月，欧盟委员会对ICANN的临时模型作出回应，包括一系列技术建议，尤其是要让这些抽象模型更加实用。随后，2月28日和3月8日，又提出了两个版本的临时模型Mode和。

✦2018 年 3 月，ICANN CEO 致函 28 个欧洲数据保护机构，要求根据 GDPR 暂停 WHOIS 服务。然而，WP29 在 4 月拒绝了这一请求，并表示对 和 表示担忧，包括文件中的访问理由不符合 GDPR 的“正当理由（ ）”，访问非公开的 WHOIS 数据需要具体而精确的正当理由。WP29 欢迎分层访问形式，但要求更具体地描述在何种情况下授予访问权限以及将实施哪些保护措施和访问条件。ICANN 还需要提供足够的理由来保留数据，最长可达他们提议的 2 年。其他考虑因素包括如何向执法机构提供访问权限。

✦ICANN 于 2018 年 5 月 17 日公布《通用顶级域名数据临时政策细节》，要求注册局和注册服务机构对 WHOIS 查询服务公开显示的信息进行必要的调整。具体变化是所有个人信息将默认隐藏，即现有模板和新建模板均将按照 ICANN 临时规范附录 A 第 2.3 节的要求显示 WHOIS 字段。目的是在维护互联网唯一标识符系统安全稳定的同时，确保尽可能持续地提供 WHOIS。

✦2018年6月，ICANN推出了《持续访问完整 WHOIS 数据库的统一模型-讨论稿》（框架要素：持续访问完整 WHOIS 数据库的统一模型-讨论稿，简称“统一模型”）草案，该草案成为ICANN推动的主要内容。然而，有新闻报道显示，2018年7月5日，ICANN向欧洲数据委员会提出的各项提案，尤其是上述统一模型，均被否决。

ICANN 就 WHOIS 政策是否符合 GDPR 要求开展的最新工作

ICANN 最新的成果就是上面提到的统一模型。该模型是一个粗略的框架，旨在推动一个统一的模型，让经过认证的、具有合法目的的用户能够按照 GDPR 的要求持续访问所有非公开的 WHOIS 数据。模型包括：获取数据的资格、提供访问权限的流程、定义访问权限的范围、如何保证透明度、是否收费、定期审查模型、技术细节、行为准则以及如何将这些方面落实到实践中，形成一些规则。

上述统一模型是由 ICANN 开发的，作为允许长期访问 WHOIS 数据的潜在解决方案，但我们仍不确定这将如何与目前正在进行的快速政策制定流程 (EPDP) 配合使用，该流程包括 WHOIS 数据访问临时规范 ( ) - EPDP 是否会包括该模型？EPDP 是否会被搁置？这一切都取决于政府数据保护机构如何反应，以及是否采用该模型。

WHOIS 仅仅不泄露个人信息就够了吗？

其实并不是。

按照GDPR的要求，欧盟国家的注册机构认为没有合法理由收集个人信息，不再收集域名管理联系人和技术联系人的信息。

GDPR实施当天，ICANN对德国注册商EPAG提起禁令诉讼，称该注册商有义务根据与ICANN的合同继续收集信息。ICANN寻求法院支持，要求EPAG继续收集新域名注册的管理和技术联系数据。德国波恩地区法院驳回了ICANN的禁令诉讼。

ICANN 就波恩地区法院的裁决向高等地区法院提出上诉，ICANN 要求高等地区法院发布禁令，要求 EPAG 恢复收集 EPAG 与 ICANN 签订的注册商认证协议所要求的所有 WHOIS 数据。如果高等法院不同意 ICANN 的观点，或者对 GDPR 的范围不确定，ICANN 希望高等法院将该问题提交欧洲法院。

ICANN 总法律顾问兼秘书长约翰表示：“我们已向德国政府提出申诉，要求对 WHOIS 数据进行收集，并澄清 ICANN 未来可能继续收集这些数据。ICANN 的公共利益职责是为通用顶级域名系统提供分散的全球 WHOIS 服务。ICANN 需要 2,500 个注册机构和组织继续收集这些数据，以帮助 ICANN 管理全球信息资源。”

“公共利益”与“正当理由”

我们将拭目以待EPAG案在司法层面的进展。ICANN所倡导的普遍“公共利益”是否足以让注册局有合理的“收集”依据来要求域名注册人提供联系信息，或者承认收集此类信息的必要性？我认为ICANN可能需要缩小信息收集的范围（例如，是否需要将管理联系人和技术联系人的信息分开），并对收集此类个人信息的必要性提供更详细的解释。

在数据收集后期，虽然有正当理由的人可以向注册局和注册服务机构提出访问请求，但如果数据主体的权利更为重要，这些请求可能会被拒绝。在这个早期阶段，注册局和注册服务机构很难在没有法律先例和建议的情况下做出这一决定。目前，对此类请求的默认回应是拒绝请求，这阻碍了品牌调查不当使用的能力。例如，会议上报告称，自 GDPR 实施以来，已有 1,736 份合法的 WHOIS 请求提交给 167 个不同的注册局和注册服务机构，但只有三份得到了回应。AT&T 欧盟事务总监、ICANN 商业选区主席 Selli 指出，这种回应以及可用数据的缺乏正在影响公司的调查。她补充说：“在网络安全风险的情况下，调查中浪费的每一分钟都可能对全球用户产生重大影响。”

此外，从网络安全角度来看，域名注册信息对于网络安全研究人员检测 DNS 滥用、恶意软件、僵尸网络攻击等非常重要。网络安全调查人员依靠所有这些信息来检测趋势和模式，并经常与执法机构合作制止此类恶意行为并协助调查。因此，限制 WHOIS 域名信息的收集和公开查询将在多大程度上影响网络安全，或者如何在个人隐私保护和公共安全利益之间取得平衡，我认为需要一些事件来讨论并形成最终结论。

结论

GDPR与ICANN在WHOIS政策上的矛盾与交锋，让我们看到了GDPR强大的影响力，它直接影响一个行业的国际政策。这个漫长的过程，是在个人隐私保护与公共利益之间寻求适当的平衡，也是域名所有者、注册代理、注册管理机构、ICANN组织等不同主体考虑不同出发点的交锋过程。无论如何，在GDPR之下，值得期待重新审视域名注册系统中收集和公布的个人信息是否在最小必要范围内保护了个体主体，重新建立更加完善、审慎的收集使用体系！