Notizie & Curiosità
21 Marzo 2026

Per anni il database WHOIS è stato il retrobottega trasparente di Internet: un archivio consultabile pubblicamente in cui comparivano nomi, indirizzi, email e numeri di telefono dei titolari di milioni di nomi a dominio. Con l'entrata in vigore del GDPR il 25 maggio 2018, quel paradigma si è incrinato in modo radicale. In Europa, e di riflesso nel resto del mondo, la registrazione di un dominio non è più un atto che espone automaticamente l'identità del registrante alla piazza globale della rete. Il cambiamento ha avuto un impatto profondo non solo sulla privacy dei dati, ma anche sulla cybersicurezza, sulle attività di due diligence, sulla tutela dei marchi e sulle indagini contro abusi online. Oggi, a distanza di anni dal regolamento europeo, il bilancio è chiaro: il GDPR ha ridefinito l'equilibrio tra trasparenza e protezione dei dati personali, ma ha anche lasciato aperti nodi operativi che il mercato dei domini continua a gestire con soluzioni ibride e spesso non uniformi.

Per comprendere la portata di questa svolta, bisogna partire dal ruolo che il WHOIS ha storicamente svolto nell'ecosistema digitale. Nato come strumento tecnico per identificare i referenti amministrativi e tecnici di una risorsa Internet, il WHOIS è diventato nel tempo un archivio pubblico utilizzato da registrar, forze dell'ordine, imprese, cybersecurity analyst, consulenti legali e giornalisti investigativi. La sua funzione si è estesa ben oltre la mera amministrazione tecnica. Prima del GDPR, chi registrava un dominio nell'Unione europea, salvo ricorrere a servizi specifici di privacy o proxy dove consentiti, vedeva spesso pubblicati dati anagrafici completi. In un contesto segnato da crescita dell'e-commerce, digitalizzazione dei servizi e aumento delle minacce informatiche, questa trasparenza era percepita da alcuni come necessaria, da altri come eccessiva.

I numeri spiegano il peso del fenomeno. Secondo i dati di Registro .it, il registro del ccTLD italiano gestito dall'Istituto di Informatica e Telematica del CNR, i domini .it hanno superato negli ultimi anni la soglia dei 3,4 milioni, confermando la rilevanza strategica dell'identità digitale nazionale per imprese e professionisti. Parallelamente, i dati Eurostat mostrano una progressiva crescita della presenza online delle imprese europee: nell'UE una quota molto elevata di aziende utilizza un sito web come canale di contatto e vendita, con percentuali particolarmente alte nelle imprese medio-grandi. In Italia, secondo ISTAT, la digitalizzazione delle imprese continua ad avanzare, anche se con divari dimensionali e territoriali ancora marcati. Più domini registrati e più aziende online significano inevitabilmente più dati associati a registranti, contatti amministrativi e operatori tecnici. In questo scenario, l'impatto del regolamento europeo non poteva che essere sistemico.

Il GDPR ha introdotto un principio semplice nella formulazione ma complesso nell'applicazione: i dati personali devono essere trattati in modo lecito, corretto, trasparente e per finalità determinate, nel rispetto di criteri di minimizzazione e proporzionalità. La pubblicazione indiscriminata nel WHOIS di dati personali di milioni di registranti europei è apparsa, fin da subito, difficilmente compatibile con questa impostazione. Per questa ragione, a ridosso dell'entrata in vigore del regolamento, ICANN ha adottato un Temporary Specification per i gTLD, introducendo una forte limitazione all'accesso pubblico ai dati WHOIS. Nomi, email, recapiti telefonici e indirizzi dei titolari sono stati in gran parte oscurati o sostituiti con dati minimizzati, mentre l'accesso ai dati completi è stato riservato a soggetti legittimati o subordinato a specifiche procedure.

Per l'utente comune il cambiamento più visibile è stato immediato: interrogando il WHOIS di molti domini registrati in Europa, o registrati da soggetti europei, non si trovavano più informazioni personali in chiaro. In diversi casi restavano consultabili solo dati tecnici essenziali, il registrar, lo stato del dominio e i nameserver. Dal punto di vista della privacy, si è trattato di una svolta storica. Dal punto di vista operativo, però, il mercato ha dovuto assorbire una perdita di trasparenza che ha inciso su prassi consolidate. Le imprese impegnate nella lotta alla contraffazione online hanno visto complicarsi l'identificazione rapida dei soggetti dietro a siti sospetti. Gli analisti di sicurezza hanno dovuto ricorrere con maggiore frequenza a fonti alternative. I professionisti legali hanno incontrato più ostacoli nel raccogliere elementi preliminari in materia di violazione di marchi, cybersquatting o phishing.

Secondo gli analisti di settore, il GDPR ha di fatto imposto al sistema dei domini una transizione da un modello di accesso pubblico generalizzato a un modello di accesso selettivo e giustificato. È un cambio culturale prima ancora che tecnico. In Europa si è affermata l'idea che la registrazione di un nome a dominio, pur avendo una dimensione pubblica e commerciale, non autorizzi automaticamente la diffusione indiscriminata dei dati personali del registrante. Questo orientamento ha trovato conferma anche nella prassi di molti registry e registrar, che hanno rivisto informative, procedure di raccolta dati e meccanismi di disclosure. Alcuni registri nazionali, come quelli dei ccTLD europei, hanno adottato modelli differenziati, spesso più rigorosi per le persone fisiche e più trasparenti per le persone giuridiche, sebbene l'approccio non sia stato uniforme in tutto il continente.

Il caso italiano è particolarmente interessante. Il Registro .it ha progressivamente adeguato le proprie policy alla normativa europea e nazionale, limitando la diffusione pubblica di talune informazioni e ridefinendo la gestione dei dati dei registranti. Questo ha avuto effetti concreti soprattutto per i liberi professionisti, le microimprese e i titolari di attività individuali, categorie nelle quali il confine tra dato aziendale e dato personale è spesso sottile. Prima del GDPR, un professionista che registrava un dominio per il proprio studio poteva trovarsi esposto con recapiti personali consultabili da chiunque; dopo il regolamento, la protezione è divenuta significativamente più robusta. In un Paese come l'Italia, caratterizzato da una forte presenza di piccole imprese e partite IVA, si tratta di un aspetto tutt'altro che marginale.

Le implicazioni pratiche per le aziende, tuttavia, sono ambivalenti. Da un lato, il GDPR riduce il rischio che dati personali associati a un dominio vengano utilizzati per spam, social engineering, stalking digitale o attività fraudolente. È un beneficio reale, soprattutto in una fase storica in cui, secondo i rapporti di Clusit e di altri osservatori della cybersicurezza, gli attacchi informatici ad alto impatto continuano a crescere su base annua. Dall'altro lato, l'oscuramento dei dati WHOIS può rallentare verifiche essenziali in ambito business. Chi valuta un'acquisizione di asset digitali, una partnership, o la legittimità di un sito con cui avviare rapporti commerciali, dispone oggi di meno informazioni immediatamente accessibili. La due diligence preventiva si è fatta più costosa e più dipendente da intermediari qualificati.

Anche il settore della cybersecurity ha dovuto adattarsi. Strumenti e database che per anni avevano integrato i dati WHOIS come fonte primaria di intelligence hanno perso una parte importante della loro capacità descrittiva. Secondo Netcraft, che monitora da anni l'evoluzione del panorama hosting e delle minacce online, la rapida rotazione di domini malevoli e siti fraudolenti rende cruciale la disponibilità di dati affidabili e tempestivi per correlare infrastrutture, individuare campagne di phishing e risalire a pattern ricorrenti. Il GDPR non ha impedito queste attività, ma le ha rese più dipendenti da procedure di accesso differenziato, richieste motivate e cooperazione tra operatori. In altre parole, la tutela della privacy ha introdotto attriti in un ambito in cui la velocità di reazione è spesso decisiva.

La risposta del mercato è stata un progressivo consolidamento di meccanismi di accesso "gated", cioè controllato. In sede ICANN si è a lungo discusso di modelli standardizzati per consentire a soggetti accreditati, come autorità, investigatori o titolari di diritti, di accedere a dati non pubblici in presenza di un interesse legittimo. Il dibattito sul cosiddetto SSAD, il System for Standardized Access/Disclosure, ha mostrato però quanto sia difficile conciliare ordinamenti diversi, obblighi di compliance e bisogni operativi del mercato. Il risultato, ad oggi, è una geografia frammentata: i processi di accesso ai dati WHOIS non pubblici esistono, ma variano per efficacia, tempi e criteri. Per un'impresa europea che voglia tutelare un brand o reagire a un abuso online, l'esperienza concreta può quindi essere disomogenea.

Dal punto di vista economico, la trasformazione del WHOIS si inserisce in un contesto più ampio di maturazione del mercato digitale. L'aumento della presenza online delle imprese, l'accelerazione dell'e-commerce e la centralità crescente dei domini come asset reputazionale e commerciale hanno reso più delicato il trattamento dei dati collegati alla titolarità. I dati Eurostat sull'adozione del commercio elettronico da parte delle imprese europee mostrano una tendenza di lungo periodo positiva, con incrementi significativi soprattutto dopo la pandemia. In parallelo, la crescita dei domini registrati e delle attività online ha accresciuto il valore informativo del WHOIS. Più valore informativo, però, significa anche maggiore esposizione al rischio di abuso. È questa la contraddizione che il GDPR ha cercato di governare.

Per i registrar e i registry il regolamento europeo ha comportato investimenti in revisione contrattuale, data governance, policy di retention e sistemi di gestione delle richieste di accesso. Non è stato soltanto un adeguamento formale. La necessità di distinguere tra dati indispensabili alla registrazione, dati pubblicabili e dati riservati ha imposto una nuova architettura di compliance. Per gli operatori più piccoli, soprattutto in una filiera composta anche da reseller e intermediari, questo ha rappresentato un costo organizzativo non trascurabile. Allo stesso tempo, la compliance è diventata un fattore competitivo: chi gestisce domini oggi non vende soltanto un servizio tecnico, ma garantisce anche corretto trattamento dei dati e presidio normativo.

Le conseguenze sono rilevanti anche per gli utenti finali. Un imprenditore che registra un dominio per il proprio e-commerce, un avvocato che apre il sito dello studio, un consulente che lancia un progetto personale: tutti beneficiano di una maggiore riservatezza. Ma devono anche essere consapevoli che la privacy non elimina gli obblighi di tracciabilità nei confronti dei soggetti autorizzati. I dati continuano a essere raccolti dai registrar e possono essere comunicati nei casi previsti dalla legge o dalle policy applicabili. In questo senso il GDPR non ha "cancellato" il WHOIS; ne ha modificato la visibilità pubblica e i criteri di accesso. È una distinzione cruciale, spesso fraintesa nel dibattito pubblico.

La riflessione finale riguarda proprio questo nuovo equilibrio. Il GDPR ha corretto un eccesso storico di esposizione, riaffermando che anche nell'infrastruttura di Internet i dati personali meritano tutela. Ma non ha risolto in modo definitivo la tensione tra riservatezza e accountability. In un ecosistema segnato da phishing, frodi, disinformazione commerciale e abusi sui marchi, la domanda di trasparenza non scomparirà. La partita dei prossimi anni si giocherà sulla capacità europea e internazionale di costruire modelli di accesso ai dati non pubblici più rapidi, verificabili e interoperabili, senza tornare alla pubblicazione indiscriminata del passato. È qui che si misurerà la maturità della governance digitale: non nel ripristino del vecchio WHOIS, ma nella creazione di un sistema in cui privacy, sicurezza e fiducia nel mercato dei domini possano coesistere davvero.