Per anni, chiunque poteva verificare chi possedeva un nome a dominio. Un nome, un indirizzo, un numero di telefono e un'email erano contenuti in un database pubblico chiamato WHOIS. Poi è arrivato il Regolamento generale sulla protezione dei dati (GDPR) dell'UE, e gran parte di quei dati è scomparsa dalla vista. Questo articolo offre una spiegazione in termini semplici della redazione WHOIS secondo il GDPR, esamina perché la Data Protection Commission (DPC) irlandese sia così importante per l'applicazione delle norme e si conclude con passi pratici per proteggere i dettagli del tuo dominio.

Il punto di partenza è un fascicolo documentato pubblicato da Thank Your Robot, che tratta di come WHOIS sia diventato oscurato, della legge irlandese sulla riservatezza del DPC, della multa a LinkedIn e delle multe più elevate del DPC. Il riassunto a nostra disposizione è breve, quindi questo articolo si attiene a ciò che quel riassunto menziona e alle notizie che abbiamo già pubblicato.

Come il GDPR ha oscurato WHOIS

WHOIS è stato creato come una directory aperta. Elenca l'identità e i dettagli di contatto del registrante di un dominio, che ai sensi del GDPR costituiscono dati personali quando il registrante è una persona fisica. I commenti del periodo precedente all'entrata in vigore del GDPR descrivevano un duplice problema giuridico: il database era accessibile al pubblico per concezione, e sorgevano questioni su chi lo controllasse e su quale base giuridica i dati fossero pubblicati.

Il risultato pratico, come ha sintetizzato un'analisi di settore del 2025, è che la maggior parte dei registrar ha iniziato a oscurare le informazioni del registrante per impostazione predefinita, per evitare rischi di conformità. L'accesso ai registri completi ora richiede spesso una richiesta specifica anziché una semplice consultazione.

C'è un dettaglio che molti proprietari di siti trascurano. Una discussione sul forum della community di Cloudflare rileva che i server WHOIS del registro possono oscurare i dati indipendentemente dalle tue impostazioni. In altre parole, ciò che vedi pubblicamente può dipendere da diversi livelli: il registro, il registrar e le tue scelte in materia di privacy. La redazione, quindi, non è sempre qualcosa che attivi o disattivi da solo.

Il cambiamento non è stato accolto ovunque con favore. I commentatori della cybersicurezza hanno sollevato preoccupazioni nel 2018 sul fatto che la perdita dei dati WHOIS aperti avrebbe reso più difficile indagare sugli abusi. Quella tensione tra responsabilità online e privacy personale è ancora il nucleo del dibattito.

Perché il DPC irlandese è importante per l'applicazione delle norme

Il GDPR è una legge valida in tutta l'UE, ma l'applicazione passa spesso attraverso l'autorità nazionale di controllo del paese in cui un'azienda ha la propria base europea. Per molte grandi aziende tecnologiche, quell'autorità è il DPC irlandese. È per questo che l'autorità irlandese influenza il modo in cui le regole vengono applicate ai dati degli utenti comuni ben oltre l'Irlanda.

Il fascicolo di Thank Your Robot fa riferimento anche alla legge irlandese sulla riservatezza del DPC, un promemoria del fatto che il modo in cui un'autorità di controllo gestisce le proprie indagini, e ciò che può divulgare al riguardo, influisce su quanto trasparente appaia l'applicazione delle norme dall'esterno. Non possiamo dettagliare le disposizioni della legge a partire dal riassunto, quindi consulta la fonte originale per i dettagli specifici.

Per una panoramica delle priorità della stessa autorità di controllo, la nostra copertura del Rapporto annuale 2025 del DPC irlandese riassume i principali rischi di conformità segnalati dalla commissione, sulla base di un riassunto dello studio legale Arthur Cox.

Cosa dimostrano le multe record del DPC

Il fascicolo mette in evidenza la multa a LinkedIn e le multe più elevate del DPC. Quelle sanzioni dimostrano che il GDPR non è solo un esercizio burocratico. Le autorità di controllo possono e applicano effettivamente gravi conseguenze finanziarie al modo in cui vengono trattati i dati personali.

Un esempio che abbiamo trattato in dettaglio: il DPC ha multato Google per 403 milioni di euro per aver trattato impropriamente i dati di localizzazione degli utenti, dopo aver accertato che l'azienda ha violato il GDPR attraverso la gestione di quei dati tra il 2018 e il 2020. Leggi il nostro report su come l'Irlanda ha multato Google per 403 milioni di euro per uso improprio dei dati di localizzazione per i dettagli specifici. Abbiamo anche esaminato come il caso abbia rivelato una funzione di tracciamento ancora attiva, il che è un utile promemoria del fatto che una multa non pone automaticamente fine a una pratica.

Il filo conduttore tra la redazione WHOIS e queste multe è lo stesso principio: i dati personali non dovrebbero essere raccolti, pubblicati o trattati senza una solida ragione giuridica. I registrar di domini hanno risposto a quel principio oscurando i dati. Alle grandi piattaforme viene chiesto di risponderne attraverso le sanzioni.

Cosa significa per te

Se possiedi un dominio come persona fisica, il tuo nome, indirizzo di casa, numero di telefono ed email un tempo potevano essere visibili a chiunque. La redazione ha ridotto quell'esposizione, ma non è una garanzia. Come mostra la discussione su Cloudflare, il risultato dipende dal tuo registro, dal tuo registrar e dalle tue impostazioni.

Se sei semplicemente un utente di internet, le multe record del DPC sono un segnale che le autorità di controllo sono disposte ad applicare le norme sulla protezione dei dati nei confronti di aziende molto grandi. Non eliminano la necessità della tua cautela personale, ma influenzano ciò che le aziende sono autorizzate a fare con i tuoi dati.

Come mantenere privati i dettagli della registrazione del tuo dominio

  • Controlla le impostazioni di privacy del tuo registrar. Cerca un'opzione di privacy del dominio o privacy WHOIS. Registrar come HostGator la descrivono come un servizio che nasconde le tue informazioni di contatto personali dal database WHOIS pubblico.
  • Verifica cosa è effettivamente pubblico. Esegui una ricerca WHOIS sul tuo dominio e guarda cosa appare. Non dare per scontato che la redazione sia attiva solo per via del GDPR.
  • Ricorda che impostazioni e visualizzazione possono differire. I server del registro possono oscurare i dati anche quando la funzione di privacy del tuo registrar è disabilitata, quindi un risultato oscurato non prova che la tua impostazione sia attiva.
  • Usa dettagli di contatto dedicati. Un indirizzo email separato e un indirizzo commerciale o di inoltro limitano ciò che potrebbe essere esposto se la redazione fallisce.
  • Mantieni accurato il tuo record presso il registrar. Gli strumenti di privacy nascondono i dati al pubblico, ma hai comunque bisogno di dettagli di contatto validi archiviati presso il tuo registrar.

Punti chiave

La redazione WHOIS secondo il GDPR spiegata in una frase: la legge sulla privacy ha spinto i dati di registrazione dei domini fuori dalla vista del pubblico, e l'applicazione delle norme da parte di autorità come il DPC irlandese mantiene la pressione sulle aziende che gestiscono male i dati personali. Dedica qualche minuto questa settimana a controllare le impostazioni di privacy e redazione del tuo registrar e a confermare cosa mostra una ricerca pubblica per i tuoi domini. Poi leggi delle più recenti sanzioni più elevate del DPC, iniziando dalla nostra copertura della multa di 403 milioni di euro a Google per i dati di localizzazione e del rapporto annuale 2025 del DPC, per vedere come l'applicazione delle norme stia plasmando la protezione dei tuoi dati.