ICANN opublikował ocenę projektu operacyjnego (ODA) dla systemu SSAD, który ma zastąpić whois. Prawdopodobnie nie poprawi on znacząco dostępu do danych abonenckich, które są ukrywane z powodu RODO i za pomocą usług proxy.

Od czasu wejścia w życie RODO (ang. GDPR) w maju 2018 r. dostęp do danych abonenckich za pomocą baz whois dramatycznie się zmniejszył. Mimo że rozporządzenie dotyczy krajów Unii Europejskiej, w praktyce zakres jego oddziaływania ma charakter globalny.

RODO odpowiada za 57,3 proc. ukrytych danych whois

Jak wynika z raportu Interisle Consulting Group (ICG) opublikowanego na początku zeszłego roku, obecnie w bazach whois dostępne są dane abonenckie jedynie dla 13,5 proc. domen. Z poprawką na fakt, że chodzi jedynie końcówki generyczne (gTLD), które podlegają ICANN – nadzór nad ccTLD, czyli domenami krajowymi, leży w gestii rządów państw. Wciąż jednak mowa o zdecydowanie większej części rynku.

Według danych z ostatniego raportu Verisign liczba zarejestrowanych adresów z końcówkami generycznymi (legacy gTLD i nTLD) wynosi ponad 211 milionów, podczas gdy ccTLD – ok. 153 miliony. W dodatku dla sporej części domen ccTLD dane abonenckie również pozostają ukryte, jednak statystyki na ten temat nie zostały uwzględnione w opracowaniu ICG.

Odsetek ukrytych danych to jedna sprawa, druga to dynamika, z jaką te dane znikały z whois. Otóż przed wejściem w życie RODO dane abonentów były jawne dla 75,7 proc. domen. Pozostała część była objęta rozmaitymi usługami prywatności, często świadczonymi przez firmy działające jako proxy. Obecnie, twierdzą autorzy raportu, odsetek danych ukrytych na mocy przepisów ICANN wprowadzonych po rozpoczęciu obowiązywania RODO wynosi 57,3 proc., a za pozostałą część odpowiadają usługi prywatności.

Wykorzystanie usług prywatności w ciągu niespełna dekady wzrosło o ponad jedną trzecią

Wykorzystanie tych usług znacząco wzrosło w ciągu ostatniej dekady. W 2013 r. obejmowały one 20,1 proc. wszystkich domen generycznych, podczas gdy w roku 2020 już 29,2 proc.

W przypadku 23,1 proc. adresów z końcówkami generycznymi dane abonenckie chronione są bezpośrednio na mocy RODO – są to domeny, w przypadku których abonent, rejestrator, rejestr lub dostawca usług backendowych dla rejestru ma siedzibę na terenie Unii Europejskiej.

Co istotne, szacunki wskazują, że jedynie 11,5 proc. domen o danych utajnionych na mocy RODO utrzymywanych jest na rzecz osób fizycznych, których dane są objęte ochroną wynikającą z rozporządzenia. Pozostałe należą do osób prawnych.

Co to oznacza w praktyce? Autorzy opracowania sugerują, że rejestry wykazują nadgorliwość w utajnianiu danych abonenckich i stosują zróżnicowaną politykę w tym zakresie. Między innymi taką, która polega na ukrywaniu danych abonenckich również poza obszarem jurysdykcji RODO lub w stosunku do podmiotów nieobjętych ochroną RODO, takich jak firmy czy organizacje.

Znamienne, że jedynie 23,1 proc. uwzględnionych w badaniu domen podpada pod zakres oddziaływania RODO, a jeszcze mniej, bo 12,5 proc. domen ma abonentów, którzy są rezydentami Europejskiego Obszaru Gospodarczego (UE + Islandia, Liechtenstein i Norwegia).

SSAD jako odpowiedź ICANN na RODO

By rozwiązać problem nieustandaryzowanego dostępu do danych abonenckich w warunkach obowiązywania RODO, ICANN podjął prace nad nowym systemem o nazwie Standardized System for Access and Disclosure (SSAD), czyli zestandaryzowany system dostępu i ujawniania.

Prace nad rozwiązaniem trwają od kilku lat, ale niedawno przyniosły „plon” w postaci Operational Design Assessment (ODA). Pod tą nazwą kryje się dokument będący oceną projektu operacyjnego, stanowiący finalny wkład ICANN do Nonpublic generic Top-Level Domain Registration Data Operational Design Phase (ODP), czyli fazy projektu operacyjnego w zakresie dostępu do danych rejestracyjnych nazw w rozszerzeniach generycznych.

ODP, SSAD, GNSO, EPDP, czyli Bizancjum w wydaniu ICANN

ODP to przedsięwzięcie zainicjowane przez radę ICANN 25 marca zeszłego roku w związku z koniecznością omówienia i wdrożenia rekomendacji dotyczących SSAD, które zostały sformułowane w ostatecznym raporcie GNSO (komitet doradczy, wspierający ICANN w pracy nad przepisami dotyczącymi domen generycznych) dotyczącym Expedited Policy Development Process (EPDP), czyli przyspieszonego procesu opracowania nowego standardu zastępującego whois. (Pełna nazwa podmiotu wymieniona w dokumencie ICANN jest absolutnie karkołomna i odzwierciedla poziom zbiurokratyzowania procesów w tej instytucji: Generic Names Supporting Organization (GNSO) Expedited Policy Development Process (EPDP) on the Temporary Specification for gTLD Registration Data Phase 2).

Publikacja ODA nastąpiła 25 stycznia br., a dwa dni później o godzinie 21 rada ICANN spotkała się via Zoom z GNSO w celu przedyskutowania dokumentu. Wnioski z posiedzenia na razie nie zostały opublikowane. Wszystkie znaki na niebie i w sieci wskazują jednak, że nie dojdzie do istotnego przełomu w kwestii dostępu do danych abonenckich – przynajmniej dla zwykłego użytkownika internetu, który chciałby sprawdzić, do kogo należy dana domena.

System do udostępniania danych rejestracyjnych nie ułatwi dostępu do danych rejestracyjnych…

Takie domniemanie potwierdza m.in. opinia Maartena Bottermana, przewodniczącego rady ICANN, który w liście z 24 stycznia adresowanym do szefostwa GNSO napisał:

„Nie ma gwarancji, że użytkownicy SSAD uzyskają dane rejestracyjne, których zażądają za pośrednictwem systemu. SSAD nie może zmienić istniejących praw, które ograniczają dostęp do danych osobowych w ramach danych rejestracyjnych.”

…i nie wiadomo, na ile w ogóle jest potrzebny (ani ile będzie kosztował)

Co więcej, Botterman zaznacza, że zapotrzebowanie rynkowe na SSAD pozostaje niejasne. Trudno jest więc przewidzieć koszty obsługi takiego systemu, a zbyt mała liczba jego użytkowników mogłaby się przełożyć na wyższe stawki za dostęp do danych. ICANN szacuje, że stworzenie narzędzia może kosztować od 20 do 27 milionów dolarów. Te wydatki bledną jednak w porównaniu do rocznych kosztów utrzymania systemu. Korporacja Internetowa podaje tu bardzo szerokie widełki między 14 a 106 milionami dolarów.

Pojawiły się też prognozy dotyczące terminu oddania systemu do użytku. ICANN ocenia, że SSAD zostanie wdrożony w ciągu 5–6 lat, czyli nawet w 2028 r. Biorąc pod uwagę tempo prac nad narzędziem i poziom zbiurokratyzowania Korporacji, nie będzie ryzykownym przypuszczenie, że ten termin się opóźni.

Tagi: dane abonenckie, EPDP, Expedited Policy Development Process, GDPR, GNSO, ICANN, ICG, Interisle Consulting Group, ODP, Operational Design Assessment, RODO, SSAD, Standardized System for Access and Disclosure, usługa prywatności, Whois