Jarenlang kon iedereen opzoeken wie eigenaar was van een domeinnaam. Een naam, een adres, een telefoonnummer en een e-mailadres stonden in een openbare database genaamd WHOIS. Toen kwam de Algemene Verordening Gegevensbescherming (AVG) van de EU, en veel van die gegevens verdwenen uit het zicht. Dit artikel biedt een GDPR WHOIS-redactie uitgelegd in begrijpelijke bewoordingen, kijkt naar waarom Ierland's Data Protection Commission (DPC) zo belangrijk is voor handhaving, en eindigt met praktische stappen om je eigen domeingegevens te beschermen.

Het uitgangspunt is een gedocumenteerd dossier gepubliceerd door Thank Your Robot, dat behandelt hoe WHOIS donker werd, Ierland's DPC-vertrouwelijkheidswet, de LinkedIn-boete en de grootste DPC-boetes. De samenvatting die ons ter beschikking staat is beknopt, dus dit artikel houdt zich aan wat die samenvatting noemt en aan berichtgeving die we al hebben gepubliceerd.

Hoe GDPR WHOIS donker maakte

WHOIS was gebouwd als een open directory. Het vermeldt de identiteit en contactgegevens van de registrant van een domein, wat onder de AVG als persoonsgegevens geldt wanneer de registrant een individu is. Commentaar uit de periode vóór de inwerkingtreding van de AVG beschreef een tweeledig juridisch probleem: de database was ontworpen om publiek toegankelijk te zijn, en er rezen vragen over wie er controle over had en op welke rechtsgrond de gegevens werden gepubliceerd.

Het praktische resultaat, zoals een industriële analyse uit 2025 het verwoordde, is dat de meeste registrars begonnen met het standaard redigeren van registrantgegevens om nalevingsrisico's te vermijden. Toegang tot volledige records vereist nu vaak een specifiek verzoek in plaats van een eenvoudige opzoeking.

Er is een detail dat veel site-eigenaren missen. Een discussie op Cloudflare's communityforum merkt op dat WHOIS-servers van registries gegevens kunnen redigeren ongeacht je eigen instellingen. Met andere woorden, wat je publiekelijk ziet kan afhangen van meerdere lagen: het registry, de registrar en je eigen privacykeuzes. Redactie is daarom niet altijd iets dat je zelf aan of uit zet.

De verandering werd niet overal verwelkomd. Cybersecurity-commentatoren uitten in 2018 hun bezorgdheid dat het verlies van open WHOIS-gegevens het moeilijker zou maken om misbruik te onderzoeken. Die spanning tussen verantwoording online en persoonlijke privacy is nog steeds de kern van het debat.

Waarom Ierland's DPC belangrijk is voor handhaving

De AVG is een EU-brede wet, maar handhaving verloopt vaak via de nationale toezichthouder waar een bedrijf zijn Europese basis heeft. Voor veel grote technologiebedrijven is die toezichthouder Ierland's DPC. Daarom bepaalt de Ierse autoriteit hoe de regels worden toegepast op de gegevens van gewone gebruikers, ver buiten Ierland.

Het dossier van Thank Your Robot wijst ook op Ierland's DPC-vertrouwelijkheidswet, een herinnering dat hoe een toezichthouder zijn onderzoeken behandelt, en wat hij daarover kan openbaren, beïnvloedt hoe transparant handhaving van buitenaf lijkt. We kunnen de bepalingen van de wet niet uit de samenvatting details geven, dus raadpleeg de oorspronkelijke bron voor specifieke informatie.

Voor een beeld van de eigen prioriteiten van de toezichthouder, vat onze berichtgeving over Ierland's DPC 2025 Jaarverslag de belangrijkste nalevingsrisico's samen die de commissie signaleerde, gebaseerd op een samenvatting van advocatenkantoor Arthur Cox.

Wat de record DPC-boetes laten zien

Het dossier benadrukt de LinkedIn-boete en de grootste DPC-boetes. Die sancties tonen aan dat de AVG niet slechts een papieren oefening is. Toezichthouders kunnen en zullen grote financiële gevolgen verbinden aan hoe persoonsgegevens worden verwerkt.

Een voorbeeld dat we in detail hebben behandeld: de DPC beboette Google met €403 miljoen voor het onjuist verwerken van locatiegegevens van gebruikers, nadat was vastgesteld dat het bedrijf de AVG had geschonden door de manier waarop het die gegevens tussen 2018 en 2020 behandelde. Lees ons verslag over hoe Ierland Google €403M beboette wegens misbruik van locatiegegevens voor de specifieke details. We keken ook naar hoe de zaak een trackingfunctie blootlegde die nog steeds actief was, wat een nuttige herinnering is dat een boete niet automatisch een praktijk beëindigt.

De gemeenschappelijke draad tussen WHOIS-redactie en deze boetes is hetzelfde principe: persoonsgegevens mogen niet worden verzameld, gepubliceerd of verwerkt zonder een solide juridische reden. Domeinregistrars reageerden op dat principe door te redigeren. Grote platforms worden via sancties ter verantwoording geroepen.

Wat dit voor jou betekent

Als je als individu een domein bezit, konden je naam, huisadres, telefoonnummer en e-mailadres ooit voor iedereen zichtbaar zijn. Redactie heeft die blootstelling verminderd, maar het is geen garantie. Zoals de Cloudflare-discussie aantoont, hangt het resultaat af van je registry, je registrar en je instellingen.

Als je gewoon een internetgebruiker bent, zijn de recordboetes van de DPC een teken dat toezichthouders bereid zijn om gegevensbeschermingsregels te handhaven tegen zeer grote bedrijven. Ze nemen de noodzaak van je eigen voorzichtigheid niet weg, maar ze bepalen wel wat bedrijven met je gegevens mogen doen.

Hoe je je domeinregistratiegegevens privé houdt

  • Controleer de privacyinstellingen van je registrar. Zoek naar een optie voor domeinprivacy of WHOIS-privacy. Registrars zoals HostGator beschrijven het als een dienst die je persoonlijke contactgegevens verbergt voor de openbare WHOIS-database.
  • Verifieer wat daadwerkelijk openbaar is. Voer een WHOIS-opzoeking uit op je eigen domein en kijk wat er verschijnt. Ga er niet van uit dat redactie aan staat puur vanwege de AVG.
  • Onthoud dat instellingen en weergave kunnen verschillen. Registry-servers kunnen gegevens redigeren zelfs wanneer de privacyfunctie van je registrar is uitgeschakeld, dus een geredigeerd resultaat bewijst niet dat je instelling actief is.
  • Gebruik speciale contactgegevens. Een apart e-mailadres en een zakelijk of doorstuuradres beperken wat er kan worden blootgesteld als redactie faalt.
  • Houd je registrarrecord nauwkeurig. Privacyhulpmiddelen verbergen gegevens voor het publiek, maar je hebt nog steeds geldige contactgegevens nodig die bij je registrar zijn geregistreerd.

Belangrijkste punten

Een GDPR WHOIS-redactie uitgelegd in één zin: privacywetgeving heeft domeinregistratiegegevens uit het publieke zicht geduwd, en handhaving door toezichthouders zoals Ierland's DPC houdt de druk op bedrijven die persoonsgegevens verkeerd behandelen. Neem deze week een paar minuten om de privacy- en redactie-instellingen van je registrar te controleren en te bevestigen wat een publieke opzoeking voor je domeinen toont. Lees daarna over de grootste recente sancties van de DPC, te beginnen met onze berichtgeving over de Google €403M locatiegegevensboete en het DPC 2025 jaarverslag, om te zien hoe handhaving de bescherming van je gegevens vormgeeft.