GDPR e Whois: cosa è cambiato
L'entrata in vigore del Regolamento Generale per la Protezione dei Dati (GDPR) nel maggio 2018 ha rivoluzionato il funzionamento del WHOIS pubblico: dati personali un tempo accessibili a chiunque sono oggi mascherati per impostazione predefinita per le persone fisiche europee. Vediamo cosa è cambiato, le implicazioni per registranti e investigatori, e l'evoluzione verso RDAP.
WHOIS prima del GDPR
Storicamente WHOIS esponeva pubblicamente nome, indirizzo, email e telefono del titolare di qualsiasi dominio. Concepito per garantire trasparenza tecnica in tempi pionieristici, era diventato anche fonte di spam, profilazione e identity theft. Era anche strumento essenziale per giornalisti, ricercatori cybersicurezza e detective digitali.
Esempi storici di abuso: ricercatori di marketing utilizzavano database WHOIS aggregati per profilare imprese e contattare massicciamente, criminali identificavano vittime di phishing mirato verificando proprietà di dominio, stalker localizzavano vittime tramite indirizzo registrante. Il GDPR ha posto fine a queste pratiche imponendo redaction by default.
L'impatto immediato del GDPR
Da maggio 2018 i registrar UE hanno adottato policy temporanee di mascheramento dei dati personali nel WHOIS pubblico. ICANN ha pubblicato la "Temporary Specification" che impone redaction dei campi personali (nome, indirizzo, telefono, email) per le persone fisiche. I dati restano accessibili solo a soggetti con legittimo interesse (forze ordine, ricercatori autorizzati).
Il primo impatto fu il caos: registrar UE iniziarono a redacare unilateralmente, registry mantenevano comportamenti diversi, ricercatori di sicurezza e forze ordine persero accesso ai dati. ICANN intervenne con Temporary Specification che è stata poi raffinata negli anni in policy permanente con accesso granulare.
RDAP: il successore moderno
RDAP (Registration Data Access Protocol) è il successore tecnico di WHOIS, progettato per gestire nativamente livelli di accesso differenziati: dati base pubblici, dati estesi su richiesta autenticata. Offre risposta strutturata in JSON, internazionalizzazione completa e gestione dei diritti GDPR-compliant. È ormai standard ufficiale dei registri principali.
RDAP è oggi obbligatorio per tutti i gTLD ICANN dal 2019 e per la maggior parte dei ccTLD principali. Offre framework moderno con autenticazione OAuth/JWT per livelli di accesso differenziati: ricercatore accreditato, forze ordine, registrar, pubblico generale. Ogni livello vede campi diversi della stessa registrazione.
Procedura passo-passo
- Verifica come appare il tuo dominio nel WHOIS pubblico attuale.
- Per persone fisiche: i campi personali dovrebbero già essere mascherati.
- Per persone giuridiche: alcuni dati restano visibili per trasparenza commerciale.
- Se sei una persona giuridica che vuole privacy aggiuntiva, valuta WHOIS Privacy Proxy.
- Per accesso a dati protetti, presenta richiesta motivata al registrar (forze ordine, avvocato).
- Usa RDAP per consultazione tecnica moderna.
- Verifica che la tua privacy policy includa la registrazione dominio se gestisci per terzi.
- Per giornalismo investigativo, considera servizi di accesso WHOIS storico.
Implicazioni per ricercatori
Ricercatori di sicurezza, giornalisti investigativi e accademici hanno perso accesso privilegiato post-GDPR. ICANN ha lavorato a SSAD (Standardized System for Access/Disclosure) per fornire accesso autenticato a richiedenti legittimi. Implementazione tecnica in corso. Nel frattempo si usano accessi caso-per-caso ai registrar con motivazione documentata.
Tendenze future
RDAP sostituirà gradualmente WHOIS nei prossimi anni. Già diversi registry hanno annunciato sunset di WHOIS legacy. Modelli di accesso differenziato continuano a evolvere per bilanciare privacy e legittime esigenze investigative. Aspetta requisiti maggiori di autenticazione per ricerche su dati personali, accesso pubblico continuerà solo per dati tecnici (nameserver, status, date).
Errori comuni e come risolverli
- Aspettativa di anonimato totale: GDPR maschera, non rende anonimi. Su mandato giudiziario i dati emergono.
- Confusione tra persone fisiche e giuridiche: le aziende hanno meno protezione, sono soggette a trasparenza commerciale.
- Ignorare RDAP: per consultazioni moderne usa RDAP, non WHOIS legacy.
- Spam ancora ricevuto: con WHOIS mascherato lo spam dovrebbe diminuire; se persiste verifica altre fonti di leak.
Implicazioni per business e marketing
Implicazioni del nuovo regime WHOIS per business legittimi: ricerche di concorrenza tramite WHOIS sono diventate più limitate (i contatti diretti del concorrente sono mascherati), database di prospect basati su WHOIS sono meno utili, attività di outreach via email del WHOIS sono praticamente impossibili. Per marketing legittimo si usano altri canali (LinkedIn, ricerca aziendale, contatti diretti da sito). Per ricercatori autorizzati ICANN sta sviluppando SSAD per accesso controllato. La trasparenza è sostituita da accesso autenticato, principio in linea con altri regimi di protezione dati personali nell'era digitale.
Domande frequenti
D: I dati WHOIS sono definitivamente nascosti?
R: Per le persone fisiche residenti UE sì by default. Restano accessibili a soggetti legittimati (forze ordine, dispute).
D: GDPR si applica anche al .com?
R: Sì se il registrante è UE. ICANN ha imposto policy globali GDPR-compliant.
D: Posso ancora fare ricerche WHOIS investigative?
R: Dati pubblici sì (registrar, nameserver, date). Per dati personali serve canale autorizzato.
D: GDPR si applica retroattivamente al WHOIS?
R: Sì, anche dati storici sono soggetti a protezione. Archivi pre-2018 non possono essere ripubblicati senza basi giuridiche legittime.
D: Posso fare opt-out da archivi WHOIS storici?
R: Sì, GDPR garantisce diritto cancellazione (right to be forgotten). Contatta operatori archivio (Whoisology, DomainTools) per richiesta motivata di rimozione.
D: GDPR ha ridotto cybersecurity research?
R: Inizialmente sì, ma SSAD e accesso autenticato stanno gradualmente ripristinando capacità ricercatori. Equilibrio tra privacy e legittima ricerca in continuo affinamento.
Hai bisogno di aiuto?
Se vuoi gestione domini affidata a G Tech Group, scrivici tramite il modulo di contatto.