Hva er WHOIS, og hva skjedde med det under GDPR?

WHOIS var en offentlig database som inneholdt en domeneeiers navn, adresse, telefonnummer og e-postadresse. Etter at GDPR kom, forsvant mye av disse dataene fra offentligheten fordi registrantopplysninger regnes som personopplysninger.

Hvorfor redigerer de fleste registrarer nå registrantinformasjon som standard?

De fleste registrarer begynte å redigere registrantinformasjon som standard for å unngå samsvarsrisiko under GDPR. Tilgang til fullstendige poster krever nå ofte en spesifikk forespørsel i stedet for et enkelt oppslag.

Hvis jeg endrer mine egne personverninnstillinger, vil WHOIS-dataene mine bli offentlige?

Ikke nødvendigvis, fordi registry-WHOIS-servere kan redigere data uavhengig av dine egne innstillinger. Det du ser offentlig, kan avhenge av registeret, registraren og dine egne personvernvalg.

GDPR WHOIS-redigering forklart: Irlands DPC og rekordbøter

Q: Hvorfor er Irlands Data Protection Commission viktig for GDPR-håndhevingen?

GDPR-håndheving går ofte gjennom den nasjonale regulatoren der et selskap har sin europeiske base, og for mange store teknologiselskaper er denne regulatoren Irlands DPC. Dette er grunnen til at den irske myndigheten former hvordan reglene anvendes på vanlige brukeres data langt utenfor Irland.

I årevis kunne hvem som helst slå opp hvem som eide et domenenavn. Et navn, en adresse, et telefonnummer og en e-postadresse lå i en offentlig database kalt WHOIS. Så kom EUs personvernforordning (GDPR), og mye av disse dataene forsvant fra offentligheten. Dette innlegget gir en GDPR WHOIS-redigering forklart i klarspråk, ser på hvorfor Irlands Data Protection Commission (DPC) betyr så mye for håndhevingen, og avslutter med praktiske tiltak for å beskytte dine egne domenedetaljer.

Utgangspunktet er en kildebelagt saksmappe publisert av Thank Your Robot, som dekker hvordan WHOIS ble mørklagt, Irlands DPC-konfidensialitetslov, LinkedIn-boten og de største DPC-bøtene. Sammendraget tilgjengelig for oss er kort, så denne artikkelen holder seg til det sammendraget navngir og til rapportering vi allerede har publisert.

Hvordan GDPR gjorde WHOIS mørkt

WHOIS ble bygget som en åpen katalog. Den lister opp identiteten og kontaktopplysningene til en domenes registrant, som under GDPR regnes som personopplysninger når registranten er en enkeltperson. Kommentarer fra perioden før GDPR trådte i kraft beskrev et todelt juridisk problem: databasen var offentlig tilgjengelig av design, og det oppsto spørsmål om hvem som kontrollerte den og på hvilket rettslig grunnlag dataene ble publisert.

Det praktiske resultatet, som en bransjeanalyse fra 2025 formulerte det, er at de fleste registrarer begynte å redigere registrantinformasjon som standard for å unngå samsvarsrisiko. Tilgang til fullstendige poster krever nå ofte en spesifikk forespørsel i stedet for et enkelt oppslag.

Det er en detalj mange nettstedseiere går glipp av. En diskusjon på Cloudflares fellesskapsforum bemerker at registry-WHOIS-servere kan redigere data uavhengig av dine egne innstillinger. Med andre ord kan det du ser offentlig, avhenge av flere lag: registeret, registraren og dine egne personvernvalg. Redigering er derfor ikke alltid noe du slår på eller av selv.

Endringen ble ikke ønsket velkommen overalt. Cybersikkerhetskommentatorer uttrykte bekymring i 2018 for at tapet av åpne WHOIS-data ville gjøre det vanskeligere å etterforske misbruk. Den spenningen mellom ansvarlighet på nettet og personvern er fortsatt kjernen i debatten.

Hvorfor Irlands DPC er viktig for håndhevingen

GDPR er en EU-omfattende lov, men håndhevingen går ofte gjennom den nasjonale regulatoren der et selskap har sin europeiske base. For mange store teknologiselskaper er denne regulatoren Irlands DPC. Dette er grunnen til at den irske myndigheten former hvordan reglene anvendes på vanlige brukeres data langt utenfor Irland.

Saksmappen fra Thank Your Robot peker også på Irlands DPC-konfidensialitetslov, en påminnelse om at måten en regulator håndterer sine undersøkelser på, og hva den kan offentliggjøre om dem, påvirker hvor transparent håndhevingen fremstår utenfra. Vi kan ikke gjengi lovens bestemmelser fra sammendraget, så sjekk den opprinnelige kilden for detaljer.

For en oversikt over regulatorens egne prioriteringer oppsummerer vår dekning av Irlands DPC 2025-årsrapport de viktigste samsvarsrisikoene kommisjonen flagget, basert på et sammendrag fra advokatfirmaet Arthur Cox.

Hva rekordbøtene fra DPC viser

Saksmappen fremhever LinkedIn-boten og de største DPC-bøtene. Disse sanksjonene viser at GDPR ikke bare er en papirøvelse. Regulatorer kan og gjør store økonomiske konsekvenser gjeldende for hvordan personopplysninger håndteres.

Et eksempel vi har dekket i detalj: DPC ila Google en bot på 403 millioner euro for feilaktig behandling av brukernes posisjonsdata, etter å ha funnet at selskapet brøt GDPR gjennom sin håndtering av disse dataene mellom 2018 og 2020. Les vår rapport om hvordan Irland ila Google en bot på 403 millioner euro for misbruk av posisjonsdata for detaljene. Vi så også på hvordan saken avslørte en sporingsfunksjon som fortsatt var aktiv, noe som er en nyttig påminnelse om at en bot ikke automatisk avslutter en praksis.

Den røde tråden mellom WHOIS-redigering og disse bøtene er det samme prinsippet: personopplysninger bør ikke samles inn, publiseres eller behandles uten en solid rettslig grunn. Domeneregistrarer svarte på dette prinsippet med å redigere. Store plattformer blir bedt om å stå til ansvar for det gjennom sanksjoner.

Hva dette betyr for deg

Hvis du eier et domene som enkeltperson, kunne navnet ditt, hjemadressen, telefonnummeret og e-postadressen din en gang ha vært synlig for hvem som helst. Redigering har redusert denne eksponeringen, men det er ingen garanti. Som Cloudflare-diskusjonen viser, avhenger resultatet av registeret ditt, registraren din og innstillingene dine.

Hvis du bare er en internettbruker, er DPCs rekordbøter et tegn på at regulatorer er villige til å håndheve personvernregler mot svært store selskaper. De fjerner ikke behovet for din egen forsiktighet, men de former hva selskaper har lov til å gjøre med dataene dine.

Hvordan holde domeneregistreringsopplysningene dine private

Sjekk registrarrens personverninnstillinger. Se etter et domene-personvern- eller WHOIS-personvernalternativ. Registrarer som HostGator beskriver det som en tjeneste som skjuler din personlige kontaktinformasjon fra den offentlige WHOIS-databasen.
Bekreft hva som faktisk er offentlig. Kjør et WHOIS-oppslag på ditt eget domene og se hva som vises. Ikke anta at redigering er på bare på grunn av GDPR.
Husk at innstillinger og visning kan variere. Registry-servere kan redigere data selv når registrarrens personvernfunksjon er deaktivert, så et redigert resultat beviser ikke at innstillingen din er aktiv.
Bruk dedikerte kontaktopplysninger. En separat e-postadresse og en forretnings- eller videresendingsadresse begrenser hva som kan eksponeres hvis redigeringen svikter.
Hold registraroppføringen din nøyaktig. Personverntiltak skjuler data fra offentligheten, men du trenger fortsatt gyldige kontaktopplysninger registrert hos registraren din.

Viktige punkter

En GDPR WHOIS-redigering forklart i én setning: personvernlovgivning presset domeneregistreringsdata ut av offentlighetens søkelys, og håndheving fra regulatorer som Irlands DPC holder presset oppe på selskaper som mishandler personopplysninger. Bruk noen minutter denne uken på å sjekke registrarrens personvern- og redigeringsinnstillinger og bekrefte hva et offentlig oppslag viser for domenene dine. Les deretter om DPCs største nylige sanksjoner, med start i vår dekning av Googles bot på 403 millioner euro for posisjonsdata og DPC 2025-årsrapport, for å se hvordan håndhevingen former beskyttelsen av dataene dine.