Vie privée : ce qui est public et ce qui ne l'est pas

Module 4: WHOIS, RDAP et vie privée · Temps de lecture : 9 minutes

Objectif pédagogique : À l'issue de cette leçon, vous saurez expliquer, extension par extension, quelles données d'un titulaire sont publiques depuis le RGPD et NIS2, et comment une personne ayant un intérêt légitime peut demander les données masquées.

Notions clés : RGPD, masquage des données personnelles, personne morale et personne physique, confidentialité WHOIS, service proxy, demandeurs légitimes, contact par formulaire

De tout public à masqué

Autrefois, n'importe qui pouvait lire dans le WHOIS le nom, l'adresse, le numéro de téléphone et l'adresse e-mail de chaque titulaire. C'était pratique pour qui voulait joindre un titulaire, mais aussi pour les spammeurs et les escrocs. Depuis le RGPD (le règlement européen sur la protection des données, mai 2018), cela a changé. Les données personnelles des titulaires sont depuis lors en grande partie masquées.

La règle principale est la même chez presque tous les registres :

• Les données d'une personne physique (un être humain, comme un particulier) sont en grande partie masquées.
• Les données d'une personne morale (une société, une fondation, une association ou une autre organisation) ne sont pas des données personnelles et sont en principe publiques.

NIS2 a inscrit cette deuxième règle dans la loi : les registres et les bureaux d'enregistrement doivent publier les données qui ne sont pas des données personnelles (leçon 3.3). Si vous êtes une organisation, votre nom figure donc tout simplement dans les données publiques. C'est d'ailleurs voulu : la personne qui visite un site doit pouvoir voir quelle organisation se trouve derrière.

Ce que vous voyez selon l'extension

Les détails varient d'un registre à l'autre. Voici la situation (état en novembre 2026) :

Quelques points ressortent :

• Pour le .nl, le Whois affiche bien l'adresse e-mail du contact administratif. Elle sert à pouvoir écrire au titulaire. Si votre adresse personnelle y figure, elle est donc visible. Le bureau d'enregistrement, le revendeur, le contact technique, le statut, les serveurs de noms et les dates sont également publics.
• Pour le .eu, l'adresse e-mail d'un particulier est visible. Utilisez-y une adresse que vous acceptez de partager.
• Pour le .be, un titulaire peut choisir, via son bureau d'enregistrement, d'afficher davantage d'informations.
• Pour les gTLD, si l'adresse e-mail du titulaire est masquée, il doit exister une adresse de transfert ou un formulaire web permettant tout de même de joindre le titulaire.

Confidentialité WHOIS et services proxy

De nombreux bureaux d'enregistrement proposent la confidentialité WHOIS : un service qui masque vos coordonnées dans le WHOIS public. Pour les gTLD, il existe aussi des services proxy : un intermédiaire figure alors dans les données publiques à votre place.

Attention :

• Pour le .nl et le .eu, le titulaire ne peut pas être un service de confidentialité ou un service proxy. Le domaine doit être au nom du véritable titulaire. Le masquage y est assuré par le registre lui-même, conformément au tableau ci-dessus.
• La confidentialité WHOIS n'est pas disponible pour toutes les extensions, et pour de nombreuses extensions nationales elle n'est pas non plus nécessaire, car le registre masque déjà les données des particuliers.
• Pour une organisation, le masquage a peu d'intérêt : le nom d'une société n'est pas une donnée personnelle. Si, en tant qu'organisation, vous ne souhaitez pas afficher le nom de vos collaborateurs, utilisez des adresses génériques comme contact (leçon 3.3).

Qui peut voir les données masquées ?

Masqué ne signifie pas secret. Toute personne ayant un intérêt légitime peut demander les données. Pensez à la police et aux autres autorités compétentes, mais aussi à quelqu'un qui possède une marque et veut agir contre un nom qui lui ressemble. Quelques exemples :

• DENIC ne communique les données des particuliers qu'à qui démontre de façon plausible un intérêt légitime, ou à qui DENIC y est légalement tenu.
• NIS2 oblige les registres et les bureaux d'enregistrement à répondre rapidement aux demandes légitimes et motivées, en tout cas dans les 72 heures.
• Pour les gTLD, le contact avec un titulaire masqué passe par l'adresse de transfert ou le formulaire web du bureau d'enregistrement.

Vous souhaitez joindre un titulaire, par exemple parce que vous voulez lui racheter son nom ou parce que son site utilise votre marque ? Utilisez alors le moyen de contact indiqué dans le WHOIS ou le RDAP. Si cela ne suffit pas, vous pouvez adresser une demande au registre ou au bureau d'enregistrement, avec une bonne motivation. En cas de conflit portant sur une marque, c'est le moment de consulter un juriste (leçon 7.2).

Ce que cela signifie pour vous

Partez du principe que tout ce que vous saisissez pour un domaine peut devenir visible pour quelqu'un. Le registre et votre bureau d'enregistrement voient toutes vos données, les demandeurs légitimes aussi. Ce n'est pas une raison pour saisir des données inexactes : c'est interdit, et vous risquez de perdre votre nom (leçon 3.3). C'est en revanche une raison de faire des choix réfléchis :

• En tant qu'organisation : une adresse e-mail générique et un numéro de téléphone générique comme contact.
• En tant que particulier : une adresse e-mail que vous acceptez de partager, surtout pour le .eu et pour l'admin-c du .nl.

Vérifiez régulièrement vous-même ce qui est public au sujet de votre domaine. Vous verrez ainsi immédiatement si les données sont toujours exactes.

En pratique : comment cela fonctionne chez WebOké

Dans Mon WebOké, la carte Avancé de la page du domaine contient l'option de confidentialité WHOIS : « Masque vos coordonnées dans le WHOIS public. » Elle n'est pas disponible pour toutes les extensions. Pour voir ce qui est public au sujet d'un domaine, utilisez la recherche WHOIS (https://www.weboke.fr/toondomein). Chez d'autres bureaux d'enregistrement, le fonctionnement est comparable : la confidentialité se trouve généralement dans les paramètres du domaine, et chaque bureau d'enregistrement propose une fonction de recherche WHOIS.

Résumé

• Depuis le RGPD, les données des particuliers sont masquées ; les données des organisations sont publiques, et NIS2 l'inscrit dans la loi.
• Ce que vous voyez varie selon l'extension : pour le .eu par exemple l'adresse e-mail d'un particulier, pour le .nl l'adresse e-mail de l'admin-c.
• Pour le .nl et le .eu, un service de confidentialité ou un service proxy ne peut pas figurer comme titulaire.
• Toute personne ayant un intérêt légitime peut demander les données masquées ; NIS2 exige une réponse dans les 72 heures.

Quiz

Exercice

Exercice D4.2 : Que trouve-t-on à votre sujet ? Recherchez votre propre domaine (ou celui de votre organisation) dans la recherche WHOIS (https://www.weboke.fr/toondomein). Si votre extension dispose du RDAP, consultez aussi la page RDAP du registre (leçon 4.1). Notez ce que tout le monde peut voir à votre sujet ou au sujet de votre organisation, et décidez si cela vous convient.

Cochez :

• J'ai recherché mon domaine dans le WHOIS et, si possible, dans le RDAP.
• Je sais si je suis enregistré en tant que particulier ou en tant qu'organisation.
• J'ai vérifié quels noms, adresses et adresses e-mail sont visibles.
• Je sais si la confidentialité WHOIS existe pour mon extension et si j'en ai besoin.

Complétez :

1. Quelles données sur le titulaire et les contacts sont publiques ?
2. Une donnée personnelle que vous préférez ne pas partager y figure-t-elle ? Comment y remédier sans saisir de données inexactes ?
3. Une personne qui souhaite vous joindre peut-elle le faire grâce à ces données ? Comment ?

Pour aller plus loin

• Guide WebOké 5.14: Protection WHOIS
• Enregistrement de domaine anonyme
• Guide WebOké 14.3: WHOIS, recherche IP et vérificateur SSL
• Explication du Whois (SIDN, en néerlandais) : https://www.sidn.nl/nl-domeinnaam/uitleg-whois