Rapport explicatif

Les besoins liés au domaine «.swiss» justifient toutefois de donner au registre la possibilité de publier certaines données personnelles particulières (art. 52, al. 2, ODI). Cela concerne d'abord le nom de l'organisation titulaire d'un nom de domaine, organisation qui se réfère à une entreprise ou à une per- sonne morale (let. a); la publication se justifie dans ce cas au regard du besoin de transparence con- cernant les entreprises et les personnes morales actives dans le «.swiss», et du fait que les données concernant des personnes morales ne sont pas (au regard du RGPD) ou pourraient ne plus être (au regard de la LPD qui pourrait être adaptée dans ce sens) protégées au titre de la vie privée. Dans ce contexte, les données d'identification et de contact des titulaires de noms de domaine devraient pou- voir être publiées lorsque ces titulaires constituent des personnes morales (let. b; actuellement en dis- cussion au sein de l'ICANN). Finalement, des données de contact et d'identification de tout titulaire devraient pouvoir être publiées lorsque ce dernier y a consenti ("opt-in" de la let. c). L'art. 52, al. 3,

ODI reprend par ailleurs sans modifications l'al, 2 actuel.

Le fait que les données d'identification et de contact des titulaires de noms de domaine ne soient plus publiées dans le WHOIS implique que l'on règle l'accès à ces données personnelles lorsque des inté- rêts légitimes et prépondérants de tiers le justifient (art. 52, al. 4, ODI); cela vaut en particulier à l'égard des autorités de poursuite pénales et autres autorités publiques, des chercheurs et organisa- tions actives dans la cybersécurité, des titulaires de droits de la propriété intellectuelle et de leurs avo- cats, des organisations de lutte contre les fraudes, mais aussi des consommateurs lésés et de toute autre personne qui justifie d'un intérêt prépondérant à obtenir des données sur le titulaire d'un nom de domaine particulier. Ces questions font l'objet de travaux intensifs notamment au sein du team EPDP de l'ICANN qui veut introduire un système unifié d'accès aux données applicable à l'ensemble des re- gistres et registraires des gTLD's ("Unified Access Model» ou «System for Standardized Access/Dis- closure of Non-Public Registration Data" [SSAD]). Le modèle qui sera mis en œuvre est encore loin d'être déterminé, mais pourrait consister en un portail centralisé géré par l'ICANN qui donnerait accès aux données après un processus d'authentification et d'autorisation, processus dont les modalités res- tent toutefois encore entièrement à définir. En parallèle, une refonte a été entreprise du protocole technique vieillissant (publié par l'IEFT [Internet Engineering Task Force] en 1982 !) qui sous-tend le fonctionnement du WHOIS. Le nouveau protocole RDAP ("Registration Data Access Protocol") a ainsi été développé conjointement par l'ICANN et l'IETF, qui standardise de nouveaux formats d'accès sé- curisés et différenciés à des banques de données comme WHOIS. Les registres et registraires des gTLD's ont été tenus de mettre en œuvre un service RDAP avant le 26 août 2019.

C'est donc également la plus grande incertitude qui prévaut à l'heure actuelle en matière d'accès aux données personnelles des titulaires de noms de domaine et il convient de s'en remettre à ce sujet principalement aux spécifications de l'ICANN (art. 52, al. 6, ODI). Il y a lieu de noter que l'obligation de donner l'accès vaut non seulement pour le registre, mais aussi pour les registraires lorsque ceux-ci opèrent pour le compte du titulaire du nom de domaine dont les données personnelles sont deman- dées (al. 5). Sur la base des spécifications de l'ICANN, le registre pourrait devoir mettre sur pied un accès facilité aux données pour les autorités publiques, voire pour d'autres catégories de personnes.

Il convient de donner à l'OFCOM la compétence de régler, en complément et au besoin, les modalités et procédures d'accès dans le respect des prescriptions de l'ICANN et le montant de la rémunération exigée pour un accès dans le cas d'espèce (art. 52 al. 6 ODI). L'OFCOM a au demeurant la compé- tence générale d'édicter les prescriptions administratives et techniques nécessaires (art. 60, al. 1,

ODI), qui pourraient porter sur les questions techniques ou administratives liées à la banque de don- nées WHOIS ou à l'accès aux données non publiées.

Art. 53 Conditions particulières d'attribution

Conformément à l'al. 2, let. a, le registre peut refuser l'attribution d'un nom de domaine lorsque la dé- nomination choisie peut manifestement porter à confusion avec un nom de domaine déjà attribué.

Cette protection des signes distinctifs de grande réputation attribués en tant que noms de domaine