RGPD: definição

O Regulamento Geral sobre a Proteção de Dados (RGPD, em inglês GDPR) é a lei da União Europeia (UE) que protege os dados pessoais. É o principal motivo pelo qual uma consulta de domínio hoje raramente mostra o nome, o endereço ou o telefone do titular A pessoa ou organização que detém o registro de um nome de domínio. Definição completa de titular.

O que é o RGPD e por que ele mudou os dados de domínios

O RGPD é o Regulamento (UE) 2016/679, abre outro site em uma nova aba, adotado em 27 de abril de 2016 e aplicado a partir de 25 de maio de 2018. Ele protege os dados pessoais: qualquer informação sobre uma pessoa viva identificada ou identificável, chamada titular dos dados A pessoa cujos dados pessoais são tratados, geralmente o titular do domínio. Definição completa de titular dos dados. Aplica-se ao tratamento realizado no contexto de um estabelecimento na União, onde quer que o tratamento ocorra, e também pode alcançar controladores fora da União que oferecem serviços a pessoas que estão nela.

A ICANN afirmou que, sem mudanças nos seus contratos, registros e registradores não conseguiriam cumprir ao mesmo tempo a lei e esses contratos. As multas previstas no RGPD podem chegar a € 20 milhões ou a 4% do faturamento anual mundial de uma empresa, o que for maior.

O que está oculto hoje e o que continua público

Em outubro de 2026, a Política de Dados de Registro da ICANN (em vigor desde 21 de agosto de 2025, revisada pela última vez em 12 de maio de 2026) define as regras para os gTLD domínio de topo genérico Domínio de topo não vinculado a um país, operado sob contratos com a ICANN. Definição completa de gTLD:

Sempre públicos: o nome de domínio Nome legível da internet formado por rótulos separados por pontos. Definição completa de nome de domínio, o registrador com seu URL, seu identificador de registrador na IANA Autoridade para Atribuição de Números da Internet Funções que coordenam a zona raiz, os endereços IP e os números de protocolo. Definição completa de IANA e seus contato de abuso Contato publicado no qual registradores e registros recebem denúncias de abuso. Definição completa de contato de abuso, as datas de criação e de vencimento, os status e o país do titular (e o estado ou a província, se coletados).
Ocultados quando a lei exige, e permitido ocultá-los quando for comercialmente razoável: o nome, a rua, o código postal, o telefone e o fax do titular, e o nome e o telefone do contato técnico. A cidade também pode ser ocultada.

Um campo ocultado deve indicar isso. No lugar do endereço de e-mail, o registrador publica um endereço de encaminhamento ou um formulário web que não identifica a pessoa. O titular pode consentir com a publicação dos campos ocultados. Os contatos administrativo e de cobrança deixaram de ser obrigatórios, e um domínio que usa um serviço de privacidade/proxy Um serviço que oculta os dados pessoais de um titular nas consultas públicas. Definição completa de serviço de privacidade/proxy ou de proxy afiliado ou credenciado mostra os dados do serviço.

Empresas e pessoas físicas

O RGPD não abrange dados sobre pessoas jurídicas, como o nome e os contatos de uma empresa. Os dados sobre funcionários identificados continuam sendo dados pessoais: em uma carta recebida pela ICANN em 5 de julho de 2018, o Comitê Europeu para a Proteção de Dados afirmou que os dados dos funcionários não devem ser públicos por padrão, e que publicar um endereço genérico de função não seria ilegal.

A política da ICANN permite que registros e registradores tratem as empresas de forma diferente, mas não os obriga a isso. Se o campo campo Organização do titular O campo opcional com a organização titular de um domínio, publicado só com consentimento. Definição completa de campo Organização do titular for preenchido, a organização passa a ser a titular registrada do nome. Seu nome é publicado se o titular concordar; caso contrário, o registrador pode ocultá-lo.

Os ccTLD domínio de topo de código de país Domínio de topo de um país ou território, normalmente com duas letras. Definição completa de ccTLD definem as próprias regras. Em outubro de 2026, o WHOIS web do .eu mostra apenas e-mail e idioma para pessoas físicas e acrescenta empresa, cidade, região e país para organizações; o titular escolhe a categoria.

Controladores, operadores e quem é responsável

O controlador decide as finalidades e os meios do tratamento de dados pessoais; o operador trata os dados em nome do controlador. As partes que decidem juntas são controladores conjuntos. O operador trabalha com base em um contrato que define o objeto, a duração, a natureza e a finalidade do tratamento: o contrato de tratamento de dados O contrato do RGPD entre uma organização e uma empresa que trata dados em nome dela. Definição completa de contrato de tratamento de dados.

Qual papel cabe à ICANN, aos registros e aos registradores foi debatido durante anos. Hoje eles devem assinar acordos de proteção de dados entre si quando a lei exige. Um registro ou registrador que precise de um com a ICANN solicita a Data Processing Specification (Especificação de Processamento de Dados Um anexo contratual opcional sobre como a ICANN e as partes contratadas tratam os dados de registro de acordo com a lei. Definição completa de Especificação de Processamento de Dados), que trata as duas partes como controladores independentes. A ICANN diz que ela não é um contrato de tratamento de dados e que abrange qualquer lei de proteção de dados aplicável, não apenas o RGPD.

Como a ICANN respondeu: da Especificação Temporária à política atual

17 de maio de 2018: a Diretoria da ICANN Conselho de administração da ICANN, que adota políticas e aprova as decisões principais. Definição completa de Diretoria da ICANN adota a Especificação Temporária, em vigor a partir de 25 de maio de 2018.
15 de maio de 2019: a Diretoria adota as recomendações da Fase 1 do EPDP Processo Expedito de Desenvolvimento de Políticas Processo de políticas mais rápido da ICANN, conhecido sobretudo pelo trabalho sobre dados de registro após o RGPD. Definição completa de EPDP, com algumas exceções.
20 de maio de 2019: a Política Provisória de Dados de Registro Política provisória que manteve as regras da Especificação Temporária em vigor de 2019 até agosto de 2025. Definição completa de Política Provisória de Dados de Registro mantém as medidas da Especificação Temporária depois que ela expira, em 25 de maio de 2019.
10 de março de 2022: a Diretoria adota a Fase 2A, sobre pessoas jurídicas e pessoas físicas Distinção entre empresas e seres humanos, que define se a lei de privacidade protege os dados de registro. Definição completa de pessoas jurídicas e pessoas físicas e endereços de e-mail anonimizados.
21 de agosto de 2025: a Política de Dados de Registro, publicada em 21 de fevereiro de 2024, passa a ser aplicada integralmente.

Quem quer acessar dados ocultos faz o pedido pelo processo de divulgação, que todo registrador e todo registro devem indicar com um link na página inicial. Em outubro de 2026, o recebimento deve ser confirmado em até 2 dias úteis e a resposta dada em até 30 dias corridos após a confirmação, salvo circunstâncias excepcionais. Uma recusa deve explicar como o interesse legítimo Base legal do RGPD para tratar dados pessoais, ponderada contra os direitos de privacidade do titular. Definição completa de interesse legítimo do solicitante foi ponderado em relação aos direitos do titular dos dados. Prazos menores para solicitação urgente Pedido emergencial de dados de registro ocultos, com prazo de resposta de 24 horas ainda não em vigor. Definição completa de solicitação urgente constam da política, mas ainda não estão em vigor.

Em outubro de 2026, o RDRS Serviço de Solicitação de Dados de Registro O serviço gratuito da ICANN para solicitar dados de registro ocultados de gTLDs aos registradores participantes. Definição completa de RDRS da ICANN, que funcionou como piloto de 28 de novembro de 2023 a 30 de novembro de 2025 e foi prorrogado por até mais dois anos, encaminha pedidos aos registradores participantes. Ele não garante a divulgação.

Direitos dos titulares de domínios segundo o RGPD

O RGPD prevê os direitos de acesso, retificação, eliminação, limitação do tratamento, portabilidade dos dados e oposição (artigos 15 a 18, 20 e 21). O controlador deve responder em até um mês, prazo que pode ser prorrogado por mais dois meses quando necessário. Cada direito tem condições: a eliminação de dados que um registrador precisa manter para que um domínio continue registrado, por exemplo, não é garantido.

O titular dos dados pode apresentar uma reclamação a uma autoridade de proteção de dados Um regulador nacional que aplica o RGPD e coopera por meio do Comitê Europeu para a Proteção de Dados. Definição completa de autoridade de proteção de dados, em especial no Estado-Membro onde vive, onde trabalha ou onde ocorreu a suposta infração. Na Espanha, a autoridade de controle nacional é a Agencia Española de Protección de Datos (AEPD); também existem autoridades regionais. Para um caso específico, convém consultar o registrador, o registro ou um advogado.

RGPD