Quel que soit le lieu o\u00f9 vous r\u00e9sidez, vous devez vous familiariser avec ces quatre lettres qui plongent toutes les entreprises en Europe dans un \u00e9tat voisin de la panique et font appara\u00eetre sur le visage de nombreux avocats un grand sourire de satisfaction.<\/p>\n
Nous \u00e9voquons ici, bien s\u00fbr, le RGPD de l’Union Europ\u00e9enne, c\u2019est-\u00e0-dire le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es.<\/p>\n
Le RGPD, adopt\u00e9 depuis avril 2016, sera mis en \u0153uvre le 25 mai 2018<\/strong>, apr\u00e8s une p\u00e9riode de transition de deux ans. Applicable \u00e0 tous les \u00c9tats membres de l’UE, ce r\u00e8glement vise \u00e0 renforcer et harmoniser les proc\u00e9dures permettant d\u2019assurer la protection des donn\u00e9es des r\u00e9sidents europ\u00e9ens.<\/p>\n L\u2019intention est certes louable et, sans doute le croyez-vous vraiment, n\u00e9cessaire dans un monde o\u00f9 les donn\u00e9es personnelles deviennent plus pr\u00e9cieuses que l\u2019or (les prix d\u2019acquisition d\u2019Instagram, WhatsApp et Waze \u00e9taient tous bas\u00e9s sur le nombre d\u2019utilisateurs, pas sur le montant du chiffre d\u2019affaires). Or, cette fois, il se pourrait que le l\u00e9gislateur ait agi trop rapidement. Il semble en effet que les agences de protection des donn\u00e9es, charg\u00e9es simultan\u00e9ment de veiller au respect du RGPD et de sanctionner les cas de manquements \u00e0 ce r\u00e8glement, ont \u00e9t\u00e9 prises au d\u00e9pourvu. Elles tentent donc toujours de trouver quelles seraient les meilleures conditions de mise en \u0153uvre de ce nouveau r\u00e8glement.<\/p>\n Ce qu\u2019est le RGPD, deux vid\u00e9os en anglais :<\/p>\n Pour mieux comprendre les probl\u00e8mes associ\u00e9s au RGPD, il faut savoir ceci :<\/p>\n Tout service en ligne, y compris pour l’enregistrement d\u2019un nom de domaine, exige que vous fournissiez certaines donn\u00e9es personnelles. Sans ces donn\u00e9es, le syst\u00e8me de noms de domaine serait instable et anarchique.<\/p>\n Ainsi, lorsqu\u2019EBRAND enregistre un nom de domaine en votre nom, nous devons savoir qui vous \u00eates afin de vous facturer mais aussi afin de nous assurer que le nom de domaine consid\u00e9r\u00e9 vous appartient. Cet enregistrement est int\u00e9gr\u00e9 et g\u00e9r\u00e9 dans une base de donn\u00e9es appel\u00e9e WHOIS qui permet \u00e0 toute partie int\u00e9ress\u00e9e de v\u00e9rifier \u00ab qui est \u00bb (who is) le<\/p>\n titulaire d\u2019un nom de domaine donn\u00e9. Or, le fait que cette base de donn\u00e9es soit accessible au public sans aucune restriction est le probl\u00e8me majeur que l\u2019industrie des noms de domaine doit r\u00e9soudre avant de pouvoir respecter le RGPD.<\/p>\n Il convient de noter ici qu’EBRAND propose une option de confidentialit\u00e9<\/strong> qui permet de remplacer les donn\u00e9es personnelles par des informations de contact dites proxy (le proxy \u00e9tant le mandataire) dans la base de donn\u00e9es WHOIS. Toutefois, les d\u00e9clarants ne sont pas tenus d’utiliser ce service qui, actuellement, n\u2019est pas propos\u00e9 par tous les bureaux d’enregistrement. Dans ces deux cas, il y a incompatibilit\u00e9 avec un principe fondamental du RGPD : la confidentialit\u00e9 doit \u00eatre un param\u00e8tre par d\u00e9faut plut\u00f4t qu\u2019une option<\/strong>.<\/p>\n La communaut\u00e9 de l’ICANN \u00e9tait consciente de ce probl\u00e8me de confidentialit\u00e9 avant l’adoption du RGPD, mais comme toujours avec le mod\u00e8le multipartite, le processus d’\u00e9laboration des politiques progresse au rythme de l\u2019escargot. Un groupe de travail a \u00e9t\u00e9 constitu\u00e9 en janvier 2016, avec pour objectif la cr\u00e9ation d\u2019un RDS (Registration Directory Service) de nouvelle g\u00e9n\u00e9ration pour remplacer le WHOIS. Cependant, il n’y a aucune chance qu’il puisse produire quoi que ce soit susceptible d\u2019\u00eatre mis en \u0153uvre par l’industrie des noms de domaine d\u2019ici mai 2018.<\/p>\n Lors de l’ICANN 60, ce groupe de travail a rapport\u00e9 que le nombre de membres participant \u00e0 cette d\u00e9marche \u00e9tait si grand (plus de 130) que plusieurs \u00e9quipes de r\u00e9daction, plus petites et plus fonctionnelles, ont \u00e9t\u00e9 constitu\u00e9es, chacune d\u2019entre elles \u00e9tant charg\u00e9e de travailler sur des questions sp\u00e9cifiques.<\/p>\n Naturellement, pour progresser, l\u2019enjeu num\u00e9ro un du groupe travail consistera \u00e0 d\u00e9finir ce qu\u2019est aujourd\u2019hui la finalit\u00e9 l\u00e9gitime de la base de donn\u00e9es WHOIS et ce qu\u2019elle sera \u00e0 l\u2019avenir.<\/p>\n Comme Kevin Murphy l\u2019explique plus en d\u00e9tail dans son excellent blog*, les registres n\u00e9erlandais derri\u00e8re les .Amsterdam et .FRL ont choisi de se conformer strictement au RGPD. Ils ont anonymis\u00e9 les informations relatives \u00e0 chaque \u00ab registrant \u00bb dans leur base de donn\u00e9es WHOIS, comme nous l\u2019avons d\u00e9j\u00e0 vu faire par les registres .CAT et .TEL. Cependant, contrairement \u00e0 ces registres, qui ont tous deux demand\u00e9 l’approbation pr\u00e9alable de l’ICANN, les deux registres n\u00e9erlandais ont agi sans le consentement de cette derni\u00e8re.<\/p>\n Ceci, bien s\u00fbr, a provoqu\u00e9 la col\u00e8re du service de la conformit\u00e9 de l’ICANN qui a envoy\u00e9 un avis de violation aux registres n\u00e9erlandais.<\/p>\n Au cours de l’ICANN 60, une lettre de l’Agence n\u00e9erlandaise de protection des donn\u00e9es est opportun\u00e9ment arriv\u00e9e pour confirmer que la politique WHOIS actuelle n’est pas conforme au RGPD car elle ne fixe pas de limitations \u00e0 la publication de donn\u00e9es personnelles.<\/p>\n Cela a conduit le service juridique de l’ICANN \u00e0 envoyer sa propre r\u00e9ponse, d\u00e9clarant qu’aucun des deux registres n’\u00e9tait consid\u00e9r\u00e9 en infraction, mais cherchait plut\u00f4t \u00e0 trouver une solution avec l’ICANN.<\/p>\n Il n’est pas facile d’\u00e9quilibrer \u00e0 la fois les besoins des organismes charg\u00e9s de l\u2019application des lois, des soci\u00e9t\u00e9s de cybers\u00e9curit\u00e9, des chercheurs, des courtiers en noms de domaine, tout en garantissant le droit de chaque individu \u00e0 la confidentialit\u00e9. Notons cependant que de nombreux registres nationaux de premier niveau (dits ccTLDs), comme par exemple les .FR, .EU, et.IT, ont r\u00e9ussi \u00e0 cr\u00e9er un syst\u00e8me \u00e9quilibr\u00e9.<\/p>\n Pour parvenir \u00e0 un semblable \u00e9quilibre, les registres et les bureaux d’enregistrement doivent accepter de changer de culture et adopter le principe du respect \u00ab de la vie priv\u00e9e d\u00e8s la conception \u00bb lorsqu’ils \u00e9tabliront des proc\u00e9dures propres \u00e0 garantir la confidentialit\u00e9.<\/p>\n Un dossier \u00e0 suivre\u2026<\/p>\n By Luc \u2013 09.11.2017. Traduit et adapt\u00e9 par Sophie Audousset pour EBRAND France le 22.11.2017<\/p>\n *L\u2019article de Kevin Murphy cit\u00e9 plus haut sur :<\/p>\n Amsterdam refuses to publish Whois records as GDPR row escalates<\/a><\/p><\/blockquote>\n\n
Les enjeux du RGPD<\/h4>\n
Comment travaille l’ICANN pour am\u00e9liorer la compatibilit\u00e9 WHOIS et RGPD<\/h4>\n
Ping-pong n\u00e9erlandais<\/h4>\n
L’Europe ouvre la voie \u00e0 une meilleure protection de la vie priv\u00e9e<\/h4>\n