Hvilke konsekvenser får GDPR for mine domener og for mitt kundeforhold til Domeneshop?
EUs nye personvernforordning (General Data Protection Regulation) trådte i kraft 25. mai 2018. Hensikten med forordningen er å styrke og harmonisere personvernet ved behandling av personopplysninger for innbyggere i EU og EØS. For kunder hos Domeneshop og innehavere av domenenavn har GDPR en del praktiske konsekvenser, og vi nevner her noen av de viktigste.
Ny personvernerklæring
Våre
avtalevilkår har fått et ny seksjon med en egen
personvernerklæring. Denne erklæringen beskriver hvordan personopplysninger samles inn, lagres, behandles, utleveres og makuleres hos oss. Den lister opp hvilke personopplysninger vi samler inn, hvorfor vi gjør det, hvordan opplysningene brukes og hvem vi deler dem med. Den forklarer også hvordan du kan få tilgang til de personopplysningene vi har om deg, og hvordan du endrer og eventuelt sletter disse. Videre beskrives hvor lenge vi tar vare på personopplysninger, hvordan opplysningene eventuelt kan overføres til en ny leverandør (dataportabilitet) og hvem du kan klage til dersom du mener at vi ikke følger gjeldende regelverk for behandling av personopplysninger.
Nye vilkår for mange europeiske toppdomener
Registreringsenhetene for mange av de europeiske toppdomenene har gjort endringer i sine vilkår for å tilpasse seg de nye personvernreglene. Vi minner om at du som innehaver av et domenenavn selv er pliktig til å holde deg oppdatert på de til enhver tid gjeldende vilkårene som gjelder for det toppdomenet ditt domene er registrert under. For enkelhets skyld nevner vi her noen av de registreringsenhetene som nylig har endret sine vilkår:
Færre personopplysninger kreves for å registrere domener
Registreringsenhetene for mange av de ulike toppdomenene har innsett at de tidligere har etterspurt flere personopplysninger enn strengt tatt nødvendig. De har derfor redusert en del av de opplysningene som kreves for å kunne registrere et nytt domenenavn. For eksempel så har Norid (registreringsenheten for .no) besluttet å sløyfe all kontaktinformasjon (postadresse, telefon og epost) for juridisk kontaktperson, og teknisk kontaktperson skal heretter være en rollekontakt og ikke en personkontakt. Andre registreringsenheter som f.eks. DENIC (.de-domener) har valgt å fjerne kontaktobjektene for administrativ kontakt og teknisk kontakt helt og holdent. Som en følge av dette har vi i Domeneshop endret våre systemer slik at vi også bare etterspør de personopplysningene som faktisk er nødvendige for å registrere domenenavn under hvert enkelt toppdomene.
Søketjenesten for domenenavn (WHOIS) gir ikke lenger tilgang til alle personopplysninger
Selv om Domeneshop fremdeles vil fortsette å sende inn alle påkrevde personopplysninger til den aktuelle registreringsenheten i forbindelse med en domeneregistrering, så fører de nye GDPR-kravene til at mange registreringsenheter har valgt å innføre begrensninger i hvilke opplysninger som gis ut ved bruk av den offentlige
WHOIS-søketjenesten. Der man tidligere fikk listet opp både personnavn, postadresse, telefon og epost-adresse for innehaveren og alle kontaktpersonene for et domene, får man nå svært begrenset informasjon, i enkelte tilfeller bare organisasjonsnavn og en anynymisert epost-adresse. Her kan du lese om noen av endringene som er innført for WHOIS-tjenesten:
Personvern som standardinnstilling
De nye GDPR-reglene innebærer også et prinsipp om "personvern som standardinnstilling" (privacy by default), som betyr at det alltid skal velges de innstillingene som gir best mulig beskyttelse av dine persondata, med mindre du har gitt ditt eksplisitte samtykke til noe annet. Det betyr blant annet at Domeneshop som standard vil be registreringsenheten om å publisere i WHOIS bare det minimum av persondata som er nødvendig, og at du selv aktivt må velge dersom du ønsker at det skal publiseres mer informasjon enn det som er påkrevd. Det innebærer også at du eksplisitt må bekrefte dersom du ønsker å motta nyhetsbrev på epost fra Domeneshop når du registrerer deg som ny kunde hos oss ("opt-in" istedenfor "opt-out").
Egen databehandleravtale er ikke nødvendig
Noen kunder har tatt kontakt med oss og spurt om de trenger å inngå en separat databehandleravtale med Domeneshop. Dette er ikke nødvendig. Våre
avtalevilkår inkluderer en standard databehandleravtale som trer i kraft dersom man bruker Domeneshops hostingtjenester (DNS, epost, webhotell, etc.) for å behandle personopplysninger. Egen databehandleravtale er heller ikke nødvendig for kunder som ønsker å videreselge tjenester fra Domeneshop til egne kunder, og som videreformidler personopplysninger til oss. Slike videreselgere vil automatisk falle innunder kategorien behandlingsansvarlig ("data controller") i GDPR-terminologi, dvs. ikke databehandler ("data processor"), siden de har et selvstendig behov for å definere formålet med behandlingen av personopplysninger i forbindelse med kundeforholdet til sine egne kunder. De må da sørge for å etterleve alle GDPR-kravene i avtalene de inngår med sine kunder, men de trenger ingen separat databehandleravtale med Domeneshop.
Mer informasjon
For ytterligere informasjon om GDPR kan vi bl.a. anbefale følgende:
kundeservice
03333 (åpent)
