Durante años, cualquiera podía consultar quién era el propietario de un nombre de dominio. Un nombre, una dirección, un número de teléfono y un correo electrónico estaban en una base de datos pública llamada WHOIS. Luego llegó el Reglamento General de Protección de Datos (RGPD) de la UE y gran parte de esos datos desaparecieron de la vista. Este artículo ofrece una explicación de la redacción de WHOIS según el RGPD en términos sencillos, analiza por qué la Comisión de Protección de Datos (DPC) de Irlanda es tan importante para la aplicación de la norma y termina con pasos prácticos para proteger los datos de tu propio dominio.

El punto de partida es un expediente documentado publicado por Thank Your Robot, que aborda cómo WHOIS quedó a oscuras, la ley de confidencialidad de la DPC de Irlanda, la multa a LinkedIn y las mayores multas de la DPC. El resumen disponible para nosotros es breve, por lo que este artículo se ciñe a lo que ese resumen menciona y a la información que ya hemos publicado.

Cómo el RGPD dejó a WHOIS a oscuras

WHOIS se creó como un directorio abierto. Enumera la identidad y los datos de contacto del registrante de un dominio, que según el RGPD cuentan como datos personales cuando el registrante es una persona física. Los comentarios del período previo a la entrada en vigor del RGPD describían un doble problema legal: la base de datos era de acceso público por diseño, y surgieron dudas sobre quién la controlaba y con qué base legal se publicaban los datos.

El resultado práctico, como lo expresó un análisis del sector de 2025, es que la mayoría de los registradores comenzaron a redactar la información del registrante por defecto para evitar riesgos de cumplimiento. El acceso a los registros completos ahora suele requerir una solicitud específica en lugar de una simple consulta.

Hay un detalle que muchos propietarios de sitios pasan por alto. Una discusión en el foro comunitario de Cloudflare señala que los servidores WHOIS del registro pueden redactar datos independientemente de tu propia configuración. En otras palabras, lo que ves públicamente puede depender de varias capas: el registro, el registrador y tus propias opciones de privacidad. Por lo tanto, la redacción no siempre es algo que actives o desactives tú mismo.

El cambio no fue bien recibido en todas partes. Los comentaristas de ciberseguridad plantearon en 2018 su preocupación de que la pérdida de datos WHOIS abiertos dificultaría la investigación de abusos. Esa tensión entre la rendición de cuentas en línea y la privacidad personal sigue siendo el núcleo del debate.

Por qué la DPC de Irlanda importa para la aplicación de la norma

El RGPD es una ley de toda la UE, pero la aplicación a menudo pasa por el regulador nacional donde una empresa tiene su base europea. Para muchas grandes empresas tecnológicas, ese regulador es la DPC de Irlanda. Por eso la autoridad irlandesa determina cómo se aplican las normas a los datos de los usuarios comunes mucho más allá de Irlanda.

El expediente de Thank Your Robot también señala la ley de confidencialidad de la DPC de Irlanda, un recordatorio de que la forma en que un regulador gestiona sus investigaciones, y lo que puede divulgar sobre ellas, afecta a cómo se ve la transparencia en la aplicación desde fuera. No podemos detallar las disposiciones de la ley a partir del resumen, así que consulta la fuente original para los detalles específicos.

Para una visión de las propias prioridades del regulador, nuestra cobertura del Informe Anual 2025 de la DPC de Irlanda resume los principales riesgos de cumplimiento que señaló la comisión, basándose en un resumen del bufete de abogados Arthur Cox.

Qué muestran las multas récord de la DPC

El expediente destaca la multa a LinkedIn y las mayores multas de la DPC. Esas sanciones demuestran que el RGPD no es solo un ejercicio burocrático. Los reguladores pueden imponer, y de hecho imponen, grandes consecuencias financieras a la forma en que se tratan los datos personales.

Un ejemplo que hemos cubierto en detalle: la DPC multó a Google con 403 millones de euros por procesar indebidamente los datos de ubicación de los usuarios, tras concluir que la empresa infringió el RGPD en el tratamiento de esos datos entre 2018 y 2020. Lee nuestro informe sobre cómo Irlanda multó a Google con 403 M€ por el uso indebido de datos de ubicación para conocer los detalles. También analizamos cómo el caso reveló una función de rastreo que seguía activa, lo que es un recordatorio útil de que una multa no pone fin automáticamente a una práctica.

El hilo común entre la redacción de WHOIS y estas multas es el mismo principio: los datos personales no deben recopilarse, publicarse ni tratarse sin una razón legal sólida. Los registradores de dominios respondieron a ese principio redactando. A las grandes plataformas se les está exigiendo responder por él mediante sanciones.

Qué significa esto para ti

Si eres propietario de un dominio como particular, tu nombre, dirección de casa, número de teléfono y correo electrónico podrían haber estado visibles para cualquiera. La redacción ha reducido esa exposición, pero no es una garantía. Como muestra la discusión de Cloudflare, el resultado depende de tu registro, tu registrador y tu configuración.

Si eres simplemente un usuario de internet, las multas récord de la DPC son una señal de que los reguladores están dispuestos a hacer cumplir las normas de protección de datos contra empresas muy grandes. No eliminan la necesidad de tu propia cautela, pero sí determinan lo que las empresas pueden hacer con tus datos.

Cómo mantener privados los datos de tu registro de dominio

  • Revisa la configuración de privacidad de tu registrador. Busca una opción de privacidad de dominio o privacidad WHOIS. Registradores como HostGator lo describen como un servicio que oculta tu información de contacto personal de la base de datos pública WHOIS.
  • Verifica qué es realmente público. Realiza una consulta WHOIS de tu propio dominio y observa qué aparece. No des por hecho que la redacción está activada solo por el RGPD.
  • Recuerda que la configuración y la visualización pueden diferir. Los servidores del registro pueden redactar datos incluso cuando la función de privacidad de tu registrador está desactivada, así que un resultado redactado no prueba que tu configuración esté activa.
  • Usa datos de contacto dedicados. Una dirección de correo electrónico separada y una dirección comercial o de reenvío limitan lo que podría quedar expuesto si la redacción falla.
  • Mantén actualizado tu registro de registrador. Las herramientas de privacidad ocultan los datos al público, pero sigues necesitando datos de contacto válidos registrados con tu registrador.

Conclusiones clave

La redacción de WHOIS según el RGPD explicada en una frase: la legislación de privacidad sacó los datos de registro de dominios de la vista pública, y la aplicación por parte de reguladores como la DPC de Irlanda mantiene la presión sobre las empresas que tratan mal los datos personales. Dedica unos minutos esta semana a revisar la configuración de privacidad y redacción de tu registrador y confirma qué muestra una consulta pública para tus dominios. Luego infórmate sobre las mayores sanciones recientes de la DPC, empezando por nuestra cobertura de la multa de 403 M€ a Google por datos de ubicación y el informe anual 2025 de la DPC, para ver cómo la aplicación de la norma está moldeando la protección de tus datos.