Rapport explicatif

en date du 17 mai 2018 par le Board (comité ou conseil d'administration) de l'ICANN d'une "Tempo- rary Specification for gTLD Registration Data" qui fixe les exigences en matière de traitement des don- nées DNS et détermine de manière très limitative les données personnelles qui peuvent être publiées dans le WHOIS à partir du 25 mai 2018. Ces nouvelles exigences ont été mises en œuvre par le re- gistre du «.swiss» qui est soumis aux spécifications adoptées par l'ICANN en la matière en tant que gestionnaire d'un gTLD.

La "Temporary Specification" a été remplacée en date du 20 mai 2019 par une "Interim Registration Data Policy for gTLDs" qui en reprend largement le contenu, tout en se fondant sur les recommanda- tions adoptées par le Board de l'ICANN le 15 mai 2019 (issues du "Final Report of the Temporary Specification for gTLD Registration Data" du 20 février 2019). De nombreux travaux concernant le ser- vice WHOIS se poursuivent par ailleurs au sein de l'ICANN et notamment du Team EPDP ("Expedited Policy Development Process"), en collaboration avec les autorités de l'UE comme le Comité européen de la protection des données. Ces travaux devraient déboucher in fine sur l'adoption en 2020 par le Board de l'ICANN d'une "Registration Data Policy for gTLDs" conforme aux exigences posées par le RGPD. Les travaux de l'ICANN sont toutefois sous la menace d'une intervention réglementaire de la "National Telecommunications and Information Administration" (NTIA) qui s'impatiente et a exigé que les travaux progressent de manière significative d'ici novembre 2019.

Les nouvelles spécifications de l'ICANN interdisent pratiquement toute publication dans le WHOIS de données personnelles relatives aux titulaires de noms de domaine:

- Toutes les données d'identification des titulaires de noms de domaine ont été retranchées ("re-

dacted") du WHOIS, en particulier: nom, adresse postale, numéro de téléphone et adresse de courrier électronique des titulaires; il en va de même des données d'identification concernant les administrateurs de noms de domaine. Les questions actuellement débattues au sein de l'ICANN concernent la publication ou non des données d'identification des personnes morales (qui ne bé- néficient pas de la protection du RGPD), du nom des organisations qui sont titulaires de noms de domaine, de données concernant les contacts techniques et d'une certaine localisation géogra- phique des titulaires. Il devrait en outre être possible de publier dans le WHOIS des informations d'identification et de contact lorsque les titulaires le permettent.

- Pour le reste, les données relatives aux noms de domaine en tant que tels continuent à être pu-

bliées dans le WHOIS comme par le passé, à savoir notamment la dénomination du nom de do- maine attribué et l'ACE-String correspondant, les informations relatives au statut technique, opé- rationnel ou administratif des noms de domaine, les données des serveurs de noms qui sont as- signés aux noms de domaine activés ou encore les informations conduisant aux moyens mis en œuvre pour contacter le titulaire du nom de domaine concerné et/ou son contact technique. Ce moyen peut consister en un lien vers un formulaire électronique publié sur le site web du registre

- sécurisé au moyen d'un captcha pour éviter le spam – qui permet de transférer le contenu du message à l'adresse électronique du contact concerné. Une autre alternative consiste pour le re- gistre à publier dans le WHOIS une adresse de courrier électronique virtuelle et anonymisée per- mettant d'adresser une communication électronique au contact concerné du nom de domaine (via redirection à l'adresse réelle de ce dernier).

Dans ce contexte d'incertitude générale concernant la publication de données dans le WHOIS pour les gTLD's comme le «.swiss», il convient de renvoyer aux spécifications qui vont être prises par l'I- CANN (art. 52, al. 1, ODI). Ce renvoi général se justifie aussi du fait que les données désormais pu- bliées dans le WHOIS ne sont guère sensibles et ne constituent pas en grande partie des données personnelles au sens du RGPD européen ou de la LPD suisse. Il en va aussi de la praticabilité et de la sécurité juridique, afin d'éviter de devoir adapter continuellement l'ODI en fonction des modifications apportées par l'ICANN à ses spécifications en la matière qui s'imposent au «.swiss».