Vuosien ajan kuka tahansa saattoi tarkistaa, kuka omisti verkkotunnuksen. Nimi, osoite, puhelinnumero ja sähköposti olivat julkisessa tietokannassa nimeltä WHOIS. Sitten EU:n yleinen tietosuoja-asetus (GDPR) saapui, ja suuri osa tästä datasta katosi näkyvistä. Tämä artikkeli tarjoaa GDPR WHOIS -sensoroinnin selityksen selkokielellä, tarkastelee, miksi Irlannin tietosuojavirasto (DPC) on niin merkittävä täytäntöönpanon kannalta, ja päättyy käytännön toimenpiteisiin omien verkkotunnustietojesi suojaamiseksi.

Lähtökohtana on Thank Your Robot -sivuston julkaisema lähdemerkitty tapausaineisto, joka käsittelee sitä, miten WHOIS pimeni, Irlannin DPC:n salassapitolakia, LinkedInin sakkoa ja DPC:n suurimpia sakkoja. Käytettävissämme oleva tiivistelmä on lyhyt, joten tämä artikkeli pitäytyy siinä, mitä kyseinen tiivistelmä nimeää, sekä jo julkaisemassamme uutisoinnissa.

Miten GDPR pimensi WHOISin

WHOIS rakennettiin avoimeksi hakemistoksi. Se luettelee verkkotunnuksen rekisteröijän henkilöllisyyden ja yhteystiedot, jotka GDPR:n mukaan lasketaan henkilötiedoiksi, kun rekisteröijä on yksityishenkilö. GDPR:n voimaantuloa edeltäneen ajan kommentaareissa kuvattiin kaksitahoista oikeudellista ongelmaa: tietokanta oli suunnitellusti julkisesti saatavilla, ja heräsi kysymyksiä siitä, kuka sitä hallitsi ja millä oikeusperusteella tiedot oli julkaistu.

Käytännön seuraus, kuten eräs vuoden 2025 toimialaanalyysi asian ilmaisi, on se, että useimmat rekisterinpitäjät alkoivat sensuroida rekisteröijätietoja oletusarvoisesti välttääkseen vaatimustenmukaisuusriskejä. Täydellisiin tietueisiin pääsy edellyttää nyt usein erillistä pyyntöä yksinkertaisen haun sijaan.

On yksityiskohta, jonka monet sivuston omistajat jättävät huomaamatta. Cloudflaren yhteisöfoorumilla käydyssä keskustelussa todetaan, että rekisterin WHOIS-palvelimet voivat sensuroida tietoja omista asetuksistasi riippumatta. Toisin sanoen se, mitä julkisesti näet, voi riippua useista kerroksista: rekisteristä, rekisterinpitäjästä ja omista tietosuojavalinnastasi. Sensorointi ei siis aina ole jotain, jonka voit itse kytkeä päälle tai pois.

Muutos ei saanut kaikkialla hyväksyntää. Kyberturvallisuuden kommentaattorit esittivät vuonna 2018 huolenaiheita siitä, että avoimen WHOIS-datan menettäminen vaikeuttaisi väärinkäytösten tutkimista. Jännite verkossa tapahtuvan vastuullisuuden ja henkilökohtaisen yksityisyyden välillä on edelleen keskustelun ydin.

Miksi Irlannin DPC on merkittävä täytäntöönpanon kannalta

GDPR on EU:n laajuinen laki, mutta täytäntöönpano kulkee usein sen kansallisen valvontaviranomaisen kautta, jossa yrityksellä on eurooppalainen kotipaikkansa. Monille suurille teknologiayrityksille tämä valvontaviranomainen on Irlannin DPC. Tästä syystä Irlannin viranomainen muokkaa sitä, miten sääntöjä sovelletaan tavallisten käyttäjien dataan paljon Irlannin ulkopuolellakin.

Thank Your Robot -tapausaineisto viittaa myös Irlannin DPC:n salassapitolakiin, mikä muistuttaa siitä, että se, miten valvontaviranomainen hoitaa tutkimuksiaan ja mitä se voi niistä paljastaa, vaikuttaa siihen, miten läpinäkyvältä täytäntöönpano näyttää ulkopuolelta. Emme voi eritellä lain säännöksiä tiivistelmän perusteella, joten tarkista yksityiskohdat alkuperäisestä lähteestä.

Saadaksesi kuvan valvontaviranomaisen omista prioriteeteista, katsauksemme Irlannin DPC:n vuoden 2025 vuosikertomuksesta tiivistää keskeiset vaatimustenmukaisuusriskit, jotka komissio nosti esiin lakitoimisto Arthur Coxin tiivistelmän pohjalta.

Mitä ennätys sakot DPC:ltä osoittavat

Tapausaineisto korostaa LinkedInin sakkoa ja DPC:n suurimpia sakkoja. Nämä seuraamukset osoittavat, että GDPR ei ole pelkkä paperityö. Valvontaviranomaiset voivat ja todella liittävät suuria taloudellisia seurauksia siihen, miten henkilötietoja käsitellään.

Yksi esimerkki, jota olemme käsitelleet yksityiskohtaisesti: DPC sakotti Googlea 403 miljoonalla eurolla käyttäjien sijaintitietojen asianmukaisesta käsittelystä sen jälkeen, kun se totesi yhtiön rikkoneen GDPR:ää kyseisten tietojen käsittelyssä vuosina 2018–2020. Lue raporttimme siitä, miten Irlanti sakotti Googlea 403 miljoonalla eurolla sijaintitietojen väärinkäytöstä saadaksesi yksityiskohdat. Tarkastelimme myös, miten tapaus paljasti seurantaominaisuuden, joka oli edelleen käytössä, mikä on hyödyllinen muistutus siitä, että sakko ei automaattisesti lopeta käytäntöä.

Yhteinen lanka WHOIS-sensoinnin ja näiden sakkojen välillä on sama periaate: henkilötietoja ei tulisi kerätä, julkaista tai käsitellä ilman vankkaa oikeudellista perustetta. Verkkotunnusten rekisterinpitäjät vastasivat tähän periaatteeseen sensuroimalla. Suuria alustoja vaaditaan vastaamaan siitä seuraamusten kautta.

Mitä tämä tarkoittaa sinulle

Jos omistat verkkotunnuksen yksityishenkilönä, nimesi, kotiosoitteesi, puhelinnumerosi ja sähköpostiosoitteesi ovat ennen saattaneet olla kenen tahansa nähtävissä. Sensorointi on vähentänyt tätä altistumista, mutta se ei ole tae. Kuten Cloudflare-keskustelu osoittaa, tulos riippuu rekisteristäsi, rekisterinpitäjästäsi ja asetuksistasi.

Jos olet pelkästään internetin käyttäjä, DPC:n ennätyssakot ovat merkki siitä, että valvontaviranomaiset ovat valmiita valvomaan tietosuojasääntöjä hyvin suuria yrityksiä vastaan. Ne eivät poista oman varovaisuutesi tarvetta, mutta ne muokkaavat sitä, mitä yritykset saavat tehdä datallasi.

Miten pitää verkkotunnuksen rekisteröintitietosi yksityisinä

  • Tarkista rekisterinpitäjäsi tietosuoja-asetukset. Etsi verkkotunnuksen tietosuoja- tai WHOIS-tietosuojavaihtoehtoa. Rekisterinpitäjät, kuten HostGator, kuvailevat sitä palveluna, joka piilottaa henkilökohtaiset yhteystietosi julkisesta WHOIS-tietokannasta.
  • Varmista, mikä todella on julkista. Tee WHOIS-haku omalle verkkotunnuksellesi ja katso, mitä näkyy. Älä oleta, että sensorointi on päällä vain GDPR:n vuoksi.
  • Muista, että asetukset ja näyttö voivat erota. Rekisterin palvelimet voivat sensuroida tietoja, vaikka rekisterinpitäjäsi tietosuojaominaisuus olisi poissa käytöstä, joten sensuroitu tulos ei todista, että asetuksesi on aktiivinen.
  • Käytä erillisiä yhteystietoja. Erillinen sähköpostiosoite ja yritys- tai välitysosoite rajoittavat sitä, mitä voisi paljastua, jos sensorointi epäonnistuu.
  • Pidä rekisterinpitäjätietosi paikkansapitävinä. Tietosuojatyökalut piilottavat tietoja yleisöltä, mutta tarvitset silti voimassa olevat yhteystiedot rekisterinpitäjän tietoihin.

Keskeiset huomiot

GDPR WHOIS -sensorointi selitettynä yhdellä lauseella: tietosuojalaki työnsi verkkotunnusten rekisteröintitiedot pois julkisesta näkyvyydestä, ja valvontaviranomaisten, kuten Irlannin DPC:n, täytäntöönpano pitää painetta yllä yrityksiin, jotka käsittelevät henkilötietoja väärin. Käytä muutama minuutti tällä viikolla tarkistaaksesi rekisterinpitäjäsi tietosuoja- ja sensorointiasetukset ja varmista, mitä julkinen haku näyttää verkkotunnuksillesi. Lue sitten DPC:n suurimmista viimeaikaisista seuraamuksista alkaen katsauksestamme Googlen 403 miljoonan euron sijaintitietosakkoon ja DPC:n vuoden 2025 vuosikertomukseen nähdäksesi, miten täytäntöönpano muokkaa datasi suojaa.