Rapport explicatif

service WHOIS pour les domaines Internet génériques (gTLD's) (cf. ci-après les explications ad art. 52 ODI). La Suisse constitue du reste l'un des derniers pays en Europe qui prévoit la publication de don- nées personnelles concernant les titulaires dans le WHOIS pour son ccTLD «.ch».

Il convient d'adapter en conséquence le service WHOIS du «.ch» conformément aux exigences ac- tuelles de protection des données en interdisant désormais toute publication de données personnelles relatives aux titulaires de noms de domaine (nom et l'adresse postale du titulaire du nom de domaine concerné, ainsi que nom et adresse postale du responsable technique), tout en garantissant en paral- lèle un accès aux données personnelles des titulaires de noms de domaine à toute personne qui justi- fie d'un intérêt prépondérant.

L'art. 46 ODI, qui a désormais plus globalement pour objet la "mise à disposition de données" (nou- veau titre), doit dès lors être complètement remanié. Les données publiées dans le WHOIS concer- nent désormais exclusivement les noms de domaine en tant que tels (art. 46, al. 1, let. a à d), ainsi que des informations sur le registraire opérant pour le compte du titulaire du nom de domaine con- cerné, y compris désormais ses données de contact (comme une adresse e-mail ou un numéro de té- léphone) qui permettent de l'atteindre sûrement pour lui signaler notamment des abus ou des pro- blèmes (let. f). Il y a par ailleurs lieu de compléter les informations contenues dans le WHOIS par l'indication d'un moyen anonyme de contacter le titulaire du nom de domaine concerné (let. e). Ce moyen peut consister en un lien vers un formulaire électronique publié sur le site web du registre - sé- curisé au moyen d'un captcha pour éviter le spam – qui permet de transférer le contenu du message à l'adresse électronique du contact concerné. Une autre alternative consiste pour le registre à publier dans le WHOIS une adresse de courrier électronique virtuelle anonyme permettant d'adresser une communication électronique au contact concerné du nom de domaine (via redirection à l'adresse ré- elle de ce dernier).

Il convient de donner en sus au registre la faculté de publier certaines données personnelles particu- lières (art. 46, al. 2, ODI). Cela concerne d'abord les données d'identification et de contact du titulaire du nom de domaine concerné lorsque ce titulaire est une personne morale (let. a). La publication peut se justifier dans ce cas au regard du besoin de transparence concernant les personnes morales (qui souvent constituent des entreprises) et du fait que les données relatives aux personnes morales ne sont pas (au regard du RGPD) ou pourraient ne plus être (au regard de la LPD qui pourrait être adap- tée dans ce sens) protégées au titre de la vie privée. Des données de contact et d'identification de tout titulaire devraient pouvoir être publiées lorsque ce dernier y a consenti ("opt-in" de la let. b).

Le fait que les données d'identification et de contact des titulaires de noms de domaine ne soient plus publiées dans le WHOIS implique que l'on règle l'accès à ces données personnelles lorsque des inté- rêts légitimes et prépondérants de tiers le justifient (art. 46, al. 3); cela vaut en particulier à l'égard des autorités de poursuite pénales et autres autorités publiques, des chercheurs et organisations actives dans la cyerbersécurité, des titulaires de droits de la propriété intellectuelle et de leurs avocats, des organisations de lutte contre les fraudes, mais aussi de consommateurs lésés et de toute autre per- sonne qui justifie d'un intérêt prépondérant à obtenir des données sur le titulaire d'un nom de do- maine. Il convient de présumer que toute personne ayant un intérêt digne de protection à faire valoir ses droits en justice (cf. en particulier art. 59, al. 2, let. a, du Code de procédure civile [RS 272]) dis- pose d'un intérêt prépondérant à accéder aux données personnelles qui se rapportent à un titulaire de nom de domaine et qui sont nécessaires pour procéder en justice.

L'éventuelle rémunération qui peut être demandée pour obtenir l'accès (al. 3 in fine) doit s'orienter en fonction des coûts effectifs supportés par le registre, mais ne devrait en aucun cas constituer de par son montant une barrière à l'accès de tout un chacun aux données. Une telle rémunération ne peut bien entendu être exigée lorsque la gratuité est imposée par une autre base légale. Il y a lieu de noter que l'obligation de donner l'accès vaut non seulement pour le registre, mais aussi pour les registraires lorsque ceux-ci opèrent pour le compte des titulaires de noms de domaine dont les données person- nelles sont demandées (al. 4).