El Whois y la normativa de protección de datos de carácter personal

por Jorge Campanillas Ciaurriz

publicado el 20 febrero 2008

Categorías: Agencia Proteccion Datos / Dominios / Protección de Datos / Red.es

Hace unas semanas la Entidad Pública Empresarial Red.es envió una comunicación a los Agentes Registradores sobre «Consideraciones Generales acerca del cumplimiento de la Ley Orgánica de Protección de Datos de Carácter Personal». En la comunicación Red.es recordaba a los Agentes Registradores los principios de calidad de los datos, cancelación y demás obligaciones de la normativa. Seguramente dicha comunicación se ha haya producido por algún incumplimiento de la normativa de protección de datos y algún exceso realizado con los datos públicos del Whois. ¿Cómo afecta la normativa de protección de datos al Whois?

Primeramente debemos explicar para los no iniciados que por «whois» se entiende actualmente la base de datos de acceso más o menos pública (dependiendo de la entidad registradora y del tipo de dominio al que nos estemos dirigiendo) en la que aparecen los datos del titular del nombre de dominio, así como los datos de contacto técnico, administrativo y de facturación de dicho nombre de dominio. En la actualidad continuamos con la discusión sobre la necesidad de su acceso público o no, pero eso lo dejamos para otros comentarios. Lo importante es la regulación que se ha dado al whois para los nombres de dominio «.es».

A falta de una regulación específica sobre el Whois del «.es», nos puede servir el aviso legal que deben incluir los Agentes Registrdores según el contrato firmado con Red.es:

Esta Entidad observará en el tratamiento de los datos personales del solicitante lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y normativa de desarrollo, sin utilizarlos para finalidades distintas de las previstas en las normas que rigen la asignación de nombres de dominio bajo el “.es” y en el presente contrato. Se le informa de que la asignación del nombre de dominio requiere necesariamente que los datos personales del solicitante sean publicados en la Base de Datos del Registro de nombres de dominio bajo “.es” accesible al público a través de Internet. Con la firma del presente documento, el solicitante presta su consentimiento para dicha comunicación y tratamiento, incluyendo la publicación de sus datos personales en la Base de Datos del Registro de nombres de dominio bajo “.es”.

Por consiguiente, existe un fichero denominado Base de Datos del Registro que será accesible al público a través de Internet, si hacemos una búsqueda en la aplicación de la Agencia Española de Protección de Datos nos encontramos que Red.es ha creado una Base de Datos:

Una vez detectado el fichero, se debe aclarar si el término accesible al público se acoge al término de fuente accesible al público de la LOPD, Art. 3 (no haremos referencia a la definición que recoge el real Decreto 1720/2007, puesto que no aporta nada nuevo, exceptuando el tema de las guías de servicios de comunicaciones electrónicas, está por ver si realmente no vulnera la Ley Orgánica):

j) Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación.

Por ello la base de datos del Whois no se puede considerar una fuente accesible al público, su única finalidad es conocer la titularidad de un dominio, con lo que para realizar cualquier acción de envío de comunicaciones comerciales, cesión de los datos, etc. deberemos en todo momento contar con el consentimiento del afectado e informarle sobre la finalidad de la utilización de los datos, la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición, etc.