データの公開範囲に変化が

GDPRで変わる「WHOIS」　どう変わるのか？　その影響は？

GDPRの施行は、広く活用されているドメイン所有者情報データベース「WHOIS」にも影響を及ぼしている。管理組織のICANNが示すWHOIS変更の内容と、その影響を整理する。

公開 2018年09月18日 05時00分

著者

Michael Cobb

[TechTarget]

印刷する

　ドメインやIPアドレスの管理組織ICANN（Internet Corporation for Assigned Names and Numbers）は、2018年5月施行の欧州連合（EU）「一般データ保護規則」（GDPR）に準拠して、ドメイン所有者情報をまとめたデータベース「WHOIS」に一部変更を加えることを提案した。これは、WHOIS内のデータにどのような影響を及ぼすのだろうか。正当な情報要求が認められる方法はあるのか。

　GDPRは2016年4月14日に採択された。施行されたのは、2年の移行期間を経た2018年5月25日だ。2年の猶予期間があったにもかかわらず、多くの企業は期間内のGDPR順守に悪戦苦闘した。全売上高の最大4％を罰金として科される恐れがあるにもかかわらずだ。理由の一つとして、ユーザーの同意を得る方法と、同意を得る必要があるデータの種類に関する理解が広がっていなかったことが挙げられる。ビジネスの既存の実践方法と、システムに加える必要のある変更の範囲についても、企業は正しく理解していなかった。

　非常に多くの企業にGDPRが影響を及ぼすのは、EU域外で処理しているデータも対象になるからだ。EU域外で処理していても、そのデータがEU域内の個人に商品やサービスを提供することや、EU域内の個人の行動を監視することに関連する場合は対象になる。GDPRは、幅広い個人データに適用される。EU域内の人々について集められた氏名、メールアドレス、位置情報、遺伝子データ、生体データなどは全て対象になる。性的嗜好（しこう）や政治信条など扱いに配慮が必要な情報も例外ではない。

　GDPRは第4条11項で「データ主体の希望が、自由に与えられた具体的な情報に基づく明示的な意思表示として、発言または明確な肯定的行動によって示される場合、そのデータ主体に関係する個人データが処理されることについて同意するものとする」と規定している。この「同意」がGDPRの要件を満たす方法について、IT部門や法務部門に大きな混乱を招いている。ICANNも例外ではない。

併せて読みたいお薦め記事

「GDPR」基礎解説

「GDPR」がもたらす影響

WHOISの変更がもたらす影響

　ICANNは適用法に従って、正確かつ完全なWHOIS情報を、制限なくタイムリーに利用できるようにする必要がある。こうした情報にはドメイン名の登録者や技術、経理、管理担当者の情報などがある。WHOISの基盤となる考え方は、特定のインターネットリソースに責任を持つ当事者と、そのリソースに関連する問題を解決できる当事者に連絡するのに、十分な情報を提供することだ。そのためドメイン名の購入者は、購入時点で名前と連絡先情報を提供する必要がある。

　裁判所が「自由意思による同意ではなく、強制や圧力など、自由意志を行使できない要素が含まれている」と判断することを避けるために、ICANNはWHOISのドメイン登録者の氏名、電話番号、住所、メールアドレスなど、一部の個人情報の扱いに変更を加えることを検討した。

　新しい仕組みでは、登録機関が顧客から収集するデータ要素は全く同じだが、WHOISから公開情報として参照できる情報の量を制限することになる。このことはITセキュリティの専門家や製品、サービスの多くに大きな問題を生み出す可能性がある。例えばレピュテーション（危険性に関する評判）を基に対処するセキュリティシステムや各種の犯罪防止システムのような製品／サービスだ。これらの中には、定期的にWHOISにアクセスして、トラフィックやWebサイトの合法性を判断したり、攻撃者を特定したり、ドメインの不法占拠に対処したりする製品／サービスがある。

　条件が満たされている限り、個人データの処理は合法になる。ただし条件の一つとして、個人の同意が含まれている必要がある。WHOISの個人データの利用が合法とされる可能性があるGDPRの条項は、以下の通りだ。

第6条1項c号：管理者が従うべき法的義務を順守するためにその処理が必要な場合
第6条1項e号：公共の利益または管理者に与えられた公的権利の行使のためにその処理が必要な場合
第6条1項f号：管理者または第三者が追求する正当な利益のためにその処理が必要な場合（後略）

　WHOIS内のデータ活用やその同意に関する議論には、2つの側面がある。1つ目は、同意は自由かつ条件を付けずになされる必要があるという側面。2つ目は、インターネットは公共ネットワークであり、公開されているドメイン所有者の連絡先情報は、日常業務の重要な要件となる側面だ。EUとICANNが全ての人々のニーズを最適に満たす方法について、早急に合意に達することを期待する。

印刷する