Trong nhiều năm, bất kỳ ai cũng có thể tra cứu ai là chủ sở hữu một tên miền. Tên, địa chỉ, số điện thoại và email nằm trong một cơ sở dữ liệu công khai có tên WHOIS. Rồi Quy định Bảo vệ Dữ liệu Chung (GDPR) của EU ra đời, và phần lớn dữ liệu đó biến mất khỏi tầm nhìn. Bài viết này giải thích bằng ngôn ngữ dễ hiểu về việc che khuất dữ liệu WHOIS theo GDPR, xem xét vì sao Ủy ban Bảo vệ Dữ liệu (DPC) của Ireland lại quan trọng đến vậy đối với việc thực thi, và kết thúc bằng các bước thực tế để bảo vệ thông tin tên miền của chính bạn.

Điểm khởi đầu là một hồ sơ vụ việc có nguồn do Thank Your Robot công bố, đề cập đến việc WHOIS bị "tối đen" như thế nào, luật bảo mật của DPC Ireland, án phạt LinkedIn và các án phạt lớn nhất của DPC. Bản tóm tắt mà chúng tôi có được rất ngắn gọn, vì vậy bài viết này chỉ bám sát những gì bản tóm tắt đó nêu tên và các bài báo cáo chúng tôi đã từng công bố.

GDPR đã khiến WHOIS bị "tối đen" như thế nào

WHOIS được xây dựng như một danh bạ mở. Nó liệt kê danh tính và thông tin liên hệ của chủ thể đăng ký tên miền, mà theo GDPR được coi là dữ liệu cá nhân khi chủ thể đăng ký là một cá nhân. Bình luận từ giai đoạn trước khi GDPR có hiệu lực đã mô tả một vấn đề pháp lý gồm hai mặt: cơ sở dữ liệu vốn được thiết kế để công khai, và các câu hỏi đặt ra về việc ai kiểm soát nó và dữ liệu được công bố dựa trên cơ sở pháp lý nào.

Kết quả thực tế, như một phân tích ngành từ năm 2025 đã nêu, là hầu hết các nhà đăng ký bắt đầu che khuất thông tin chủ thể đăng ký theo mặc định để tránh rủi ro tuân thủ. Việc truy cập hồ sơ đầy đủ giờ đây thường cần một yêu cầu cụ thể thay vì chỉ tra cứu đơn giản.

Có một chi tiết mà nhiều chủ trang web bỏ qua. Một cuộc thảo luận trên diễn đàn cộng đồng của Cloudflare lưu ý rằng các máy chủ WHOIS của cơ quan đăng ký có thể che khuất dữ liệu bất kể cài đặt của chính bạn. Nói cách khác, những gì bạn thấy công khai có thể phụ thuộc vào nhiều lớp: cơ quan đăng ký, nhà đăng ký và lựa chọn quyền riêng tư của chính bạn. Do đó, việc che khuất không phải lúc nào cũng là thứ bạn tự bật hay tắt.

Sự thay đổi này không được chào đón ở mọi nơi. Các nhà bình luận về an ninh mạng đã nêu lo ngại vào năm 2018 rằng việc mất dữ liệu WHOIS mở sẽ khiến việc điều tra hành vi lạm dụng trở nên khó khăn hơn. Căng thẳng giữa trách nhiệm giải trình trên mạng và quyền riêng tư cá nhân vẫn là cốt lõi của cuộc tranh luận.

Vì sao DPC Ireland lại quan trọng đối với việc thực thi

GDPR là luật toàn EU, nhưng việc thực thi thường diễn ra thông qua cơ quan quản lý quốc gia nơi một công ty đặt trụ sở châu Âu. Với nhiều công ty công nghệ lớn, cơ quan quản lý đó là DPC của Ireland. Đây là lý do vì sao cơ quan quản lý Ireland định hình cách các quy tắc được áp dụng đối với dữ liệu của người dùng thông thường vượt xa khỏi Ireland.

Hồ sơ vụ việc của Thank Your Robot cũng chỉ ra luật bảo mật của DPC Ireland, một lời nhắc rằng cách một cơ quan quản lý xử lý các cuộc điều tra của mình, và những gì cơ quan đó có thể tiết lộ về chúng, ảnh hưởng đến mức độ minh bạch của việc thực thi nhìn từ bên ngoài. Chúng tôi không thể trình bày chi tiết các quy định của luật này từ bản tóm tắt, vì vậy hãy kiểm tra nguồn gốc để biết chi tiết cụ thể.

Để có cái nhìn về các ưu tiên của chính cơ quan quản lý, bài viết của chúng tôi về Báo cáo thường niên 2025 của DPC Ireland tóm tắt các rủi ro tuân thủ chính mà ủy ban đã nêu, dựa trên bản tóm tắt từ công ty luật Arthur Cox.

Các án phạt kỷ lục của DPC cho thấy điều gì

Hồ sơ vụ việc nhấn mạnh án phạt LinkedIn và các án phạt lớn nhất của DPC. Những hình phạt đó cho thấy GDPR không chỉ là một bài tập giấy tờ. Các cơ quan quản lý có thể và thực sự áp đặt những hậu quả tài chính lớn đối với cách dữ liệu cá nhân được xử lý.

Một ví dụ chúng tôi đã đề cập chi tiết: DPC đã phạt Google 403 triệu euro vì xử lý dữ liệu vị trí của người dùng không đúng cách, sau khi phát hiện công ty này vi phạm GDPR thông qua cách xử lý dữ liệu đó trong giai đoạn 2018–2020. Đọc báo cáo của chúng tôi về cách Ireland phạt Google 403 triệu euro vì lạm dụng dữ liệu vị trí để biết chi tiết cụ thể. Chúng tôi cũng đã xem xét cách vụ việc phơi bày một tính năng theo dõi vẫn còn hoạt động, một lời nhắc hữu ích rằng một án phạt không tự động chấm dứt một hành vi.

Điểm chung giữa việc che khuất WHOIS và những án phạt này là cùng một nguyên tắc: dữ liệu cá nhân không nên bị thu thập, công bố hoặc xử lý mà không có lý do pháp lý vững chắc. Các nhà đăng ký tên miền đã phản ứng với nguyên tắc đó bằng cách che khuất dữ liệu. Các nền tảng lớn đang bị yêu cầu phải chịu trách nhiệm về nguyên tắc này thông qua các hình phạt.

Điều này có ý nghĩa gì với bạn

Nếu bạn sở hữu một tên miền với tư cách cá nhân, tên, địa chỉ nhà, số điện thoại và email của bạn có thể từng hiển thị công khai với bất kỳ ai. Việc che khuất đã giảm bớt sự phơi bày đó, nhưng không phải là sự bảo đảm. Như cuộc thảo luận trên Cloudflare cho thấy, kết quả phụ thuộc vào cơ quan đăng ký, nhà đăng ký và cài đặt của bạn.

Nếu bạn chỉ là một người dùng internet, các án phạt kỷ lục của DPC là dấu hiệu cho thấy các cơ quan quản lý sẵn sàng thực thi các quy tắc bảo vệ dữ liệu đối với những công ty rất lớn. Chúng không loại bỏ nhu cầu cẩn trọng của chính bạn, nhưng chúng định hình những gì các công ty được phép làm với dữ liệu của bạn.

Cách giữ thông tin đăng ký tên miền của bạn riêng tư

  • Kiểm tra cài đặt quyền riêng tư của nhà đăng ký. Tìm tùy chọn quyền riêng tư tên miền hoặc quyền riêng tư WHOIS. Các nhà đăng ký như HostGator mô tả đây là dịch vụ ẩn thông tin liên hệ cá nhân của bạn khỏi cơ sở dữ liệu WHOIS công khai.
  • Xác minh những gì thực sự công khai. Chạy tra cứu WHOIS trên tên miền của chính bạn và xem những gì hiển thị. Đừng cho rằng việc che khuất đang bật chỉ vì GDPR.
  • Nhớ rằng cài đặt và hiển thị có thể khác nhau. Các máy chủ của cơ quan đăng ký có thể che khuất dữ liệu ngay cả khi tính năng quyền riêng tư của nhà đăng ký bị tắt, vì vậy một kết quả bị che khuất không chứng minh rằng cài đặt của bạn đang hoạt động.
  • Dùng thông tin liên hệ riêng. Một địa chỉ email riêng và địa chỉ doanh nghiệp hoặc địa chỉ chuyển tiếp sẽ giới hạn những gì có thể bị phơi bày nếu việc che khuất thất bại.
  • Giữ hồ sơ nhà đăng ký của bạn chính xác. Các công cụ quyền riêng tư ẩn dữ liệu khỏi công chúng, nhưng bạn vẫn cần thông tin liên hệ hợp lệ được lưu với nhà đăng ký.

Những điểm chính

Giải thích về việc che khuất dữ liệu WHOIS theo GDPR trong một câu: luật quyền riêng tư đã đẩy dữ liệu đăng ký tên miền ra khỏi tầm nhìn công chúng, và việc thực thi của các cơ quan quản lý như DPC Ireland duy trì áp lực đối với các công ty xử lý dữ liệu cá nhân sai cách. Hãy dành vài phút trong tuần này để kiểm tra cài đặt quyền riêng tư và che khuất của nhà đăng ký và xác nhận những gì một tra cứu công khai hiển thị cho các tên miền của bạn. Sau đó đọc về các hình phạt lớn gần đây nhất của DPC, bắt đầu với bài viết của chúng tôi về án phạt 403 triệu euro của Google về dữ liệu vị trí và báo cáo thường niên 2025 của DPC, để thấy việc thực thi đang định hình việc bảo vệ dữ liệu của bạn như thế nào.