長年にわたり、誰でもドメイン名の所有者を調べることができました。名前、住所、電話番号、メールアドレスがWHOISと呼ばれる公開データベースに載っていたのです。そこにEUの一般データ保護規則（GDPR）が登場し、そうしたデータの多くが閲覧できなくなりました。本記事では、GDPRによるWHOISの秘匿化をわかりやすく解説し、アイルランドのデータ保護委員会（DPC）が執行においてなぜそれほど重要であるかを考察し、最後にご自身のドメイン情報を保護するための実践的な手順を紹介します。

出発点となるのは、Thank Your Robotが公開した出典付きのケースファイルです。これはWHOISがどうやって非公開になったか、アイルランドのDPCの機密保持法、LinkedInへの制裁金、そしてDPCによる過去最大の制裁金を扱っています。私たちが利用できる要約は簡潔なため、本記事はその要約が挙げている内容と、すでに公開した報道に限定しています。

GDPRはどのようにしてWHOISを非公開にしたのか

WHOISはオープンなディレクトリとして作られました。ドメインの登録者の身元と連絡先情報を一覧にするものであり、GDPRの下では登録者が個人である場合、これは個人データに該当します。GDPRが発効する前の時期の論評は、二重の法的問題を指摘していました。すなわち、このデータベースは設計上公開されており、誰がそれを管理し、どのような法的根拠に基づいてデータが公開されているのかという疑問が生じていたのです。

2025年のある業界分析が述べたように、実際の結果として、ほとんどのレジストラはコンプライアンス上のリスクを避けるため、登録者情報をデフォルトで秘匿化するようになりました。完全な記録へのアクセスは、今では単純な検索ではなく、特定の申請を必要とすることがよくあります。

多くのサイト所有者が見落としている詳細があります。Cloudflareのコミュニティフォーラムでの議論は、レジストリのWHOISサーバーがあなた自身の設定に関係なくデータを秘匿化する場合があると指摘しています。言い換えれば、公開されているものは、レジストリ、レジストラ、そしてあなた自身のプライバシー設定という複数の層に依存する可能性があるのです。したがって、秘匿化は必ずしも自分でオン・オフを切り替えられるものではありません。

この変化はどこでも歓迎されたわけではありません。サイバーセキュリティの評論家たちは2018年、オープンなWHOISデータが失われると不正行為の調査が難しくなると懸念を表明しました。オンライン上の説明責任と個人のプライバシーの間のこの緊張は、今なお議論の核心です。

アイルランドのDPCが執行において重要な理由

GDPRはEU全域の法律ですが、執行はしばしば企業が欧州拠点を置く国の規制当局を通じて行われます。多くの大手テクノロジー企業にとって、その規制当局がアイルランドのDPCです。だからこそ、アイルランドの当局が、アイルランドをはるかに超えて、一般ユーザーのデータに規則がどのように適用されるかを形作っているのです。

Thank Your Robotのケースファイルは、アイルランドのDPCの機密保持法にも言及しており、規制当局が調査をどのように扱い、それについて何を開示できるかが、執行が外部からどれだけ透明に見えるかに影響するという注意喚起になっています。要約からは法律の規定を詳述できないため、 specificsについては原典を確認してください。

規制当局自身の優先事項については、アイルランドのDPC 2025年次報告書に関する私たちの報道が、法律事務所Arthur Coxの要約に基づき、委員会が指摘した主要なコンプライアンスリスクをまとめています。

DPCの過去最高の制裁金が示すもの

ケースファイルはLinkedInへの制裁金とDPCによる過去最大の制裁金を強調しています。これらの制裁は、GDPRが単なる書類仕事ではないことを示しています。規制当局は個人データの取り扱い方に対して、大きな金銭的結果を課すことができ、実際に課しています。

私たちが詳しく報じた一例を挙げます。DPCは、2018年から2020年にかけてのデータの取り扱いを通じて同社がGDPRに違反したと認定した後、ユーザーの位置データを不適切に処理したとしてGoogleに4億300万ユーロの制裁金を課しました。詳細については、アイルランドが位置データの悪用でGoogleに4億300万ユーロの制裁金を課した経緯に関する私たちの報告書をお読みください。また、この事件が今なお稼働していた追跡機能を暴露した経緯も取り上げました。これは、制裁金が自動的に慣行を終わらせるわけではないという有用な注意喚起です。

WHOISの秘匿化とこれらの制裁金に共通する糸は同じ原則です。個人データは、確固たる法的理由なしに収集、公開、処理されるべきではないということです。ドメインレジストラはこの原則に応じて秘匿化を行いました。大規模プラットフォームは制裁金を通じてその責任を問われています。

これがあなたにとって意味すること

個人としてドメインを所有している場合、あなたの名前、自宅住所、電話番号、メールアドレスはかつて誰にでも見えていた可能性があります。秘匿化はその露出を減らしましたが、保証ではありません。Cloudflareの議論が示すように、結果はあなたのレジストリ、レジストラ、そして設定に依存します。

単なるインターネットユーザーであれば、DPCの過去最高の制裁金は、規制当局が非常に大規模な企業に対してデータ保護規則を執行する用意があることの証です。それはあなた自身の注意の必要性を取り除くものではありませんが、企業があなたのデータで何をすることを許されるかを形作るものです。

ドメイン登録情報を非公開に保つ方法

  • レジストラのプライバシー設定を確認する。 ドメインプライバシーまたはWHOISプライバシーのオプションを探してください。HostGatorなどのレジストラは、公開WHOISデータベースからあなたの個人的な連絡先情報を隠すサービスとして説明しています。
  • 実際に何が公開されているかを確認する。 ご自身のドメインでWHOIS検索を実行し、何が表示されるかを確認してください。GDPRがあるからといって秘匿化がオンになっていると決めつけないでください。
  • 設定と表示は異なる場合があることを忘れないでください。 レジストラのプライバシー機能が無効であっても、レジストリサーバーがデータを秘匿化する場合があるため、秘匿化された結果はあなたの設定が有効であることを証明するものではありません。
  • 専用の連絡先情報を使用する。 別のメールアドレスと、ビジネス用または転送用の住所を使用することで、秘匿化が失敗した場合に露出する可能性があるものを制限できます。
  • レジストラの記録を正確に保つ。 プライバシーツールはデータを一般公開から隠しますが、レジストラに有効な連絡先情報を登録しておく必要は依然としてあります。

まとめ

GDPRによるWHOISの秘匿化を一文で説明すると、プライバシー法がドメイン登録データを一般の目から追い出し、アイルランドのDPCなどの規制当局による執行が、個人データを不適切に扱う企業への圧力を維持しているということです。今週数分時間を取って、レジストラのプライバシーと秘匿化の設定を確認し、あなたのドメインについて公開検索で何が表示されるかを確認してください。そして、DPCの最近の最大の制裁金について、Googleへの4億300万ユーロの位置データ制裁金とDPC 2025年次報告書に関する私たちの報道から始めて、執行がどのようにあなたのデータの保護を形作っているかを読んでください。