Résumé

  • Le 17 mai 2018, le Conseil d’administration de l’ICANN a adopté une spécification temporaire modifiant les obligations relatives aux données d’enregistrement des gTLD avant le 25 mai, date d’application du RGPD. Elle s’imposait aux registres et bureaux d’enregistrement, mais par périodes de 90 jours et pendant un an au maximum.
  • La date d’expiration était aussi importante que le pouvoir d’urgence : elle obligeait le système à passer par le processus accéléré de la GNSO, l’adoption du Conseil, une politique intérimaire puis la politique entrée en vigueur en août 2025.

Le calendrier a précédé la règle. Le 17 mai 2018, le Conseil d’administration de l’ICANN a approuvé la Spécification temporaire relative aux données d’enregistrement des gTLD. Elle a pris effet le 25 mai, le jour où le RGPD est devenu applicable. Huit jours séparaient donc la décision institutionnelle de l’obligation opérationnelle.

Sans changement commun, les contrats de l’ICANN entraient dans une zone de conflit. Les registres et bureaux d’enregistrement devaient déjà collecter, publier, transférer et conserver des données. Le RGPD modifiait les conditions licites de traitement des données personnelles. Si chacun improvisait, le résultat aurait été une mosaïque de divulgations, de masquages et de transferts incompatibles.

Le Conseil n’a pas revendiqué un mandat général sur la vie privée. Il a utilisé la procédure de politique temporaire prévue dans les contrats. Il a constaté que l’établissement immédiat était nécessaire à la stabilité ou à la sécurité des services de registre, des services d’enregistrement, du DNS ou de l’Internet, et que les modifications étaient aussi étroitement ciblées que possible. La procédure exigeait aussi une majorité des deux tiers.

La spécification avait des effets concrets. Elle maintenait la collecte des données tout en retirant de l’affichage public la plupart des données personnelles. Elle conservait une voie de demande pour les personnes invoquant un objectif légitime et proportionné, ainsi qu’un contact par courrier électronique anonymisé ou formulaire web. Dans son champ contractuel, elle remplaçait dès sa prise d’effet les obligations incompatibles.

Mais l’instrument portait sa propre limite. Sa première durée était de 90 jours. Toute prolongation exigeait une réaffirmation du Conseil tous les 90 jours, dans la limite totale d’un an. La résolution du 21 août 2018 montre ce mécanisme en action : le Conseil a renouvelé ses constats de nécessité et de ciblage, puis prolongé la règle pour 90 jours supplémentaires.

Cette architecture séparait les pouvoirs. Le Conseil pouvait ouvrir et renouveler le pont. Les opérateurs appliquaient les obligations et restaient responsables des décisions de divulgation au regard du droit applicable. Mais l’instrument d’urgence ne pouvait pas se perpétuer seul. Une politique de consensus durable exigeait la procédure de la Generic Names Supporting Organization.

Le Conseil de la GNSO a lancé un processus accéléré le 19 juillet 2018. L’équipe devait déterminer si la spécification devait devenir une politique de consensus, avec ou sans modifications, en conformité avec le RGPD. Son rapport final de phase 1 a été publié le 20 février 2019. Le Conseil d’administration a adopté les recommandations, avec des exceptions précisées, le 15 mai 2019.

Le relais n’a pas été instantané. Une politique intérimaire a maintenu à partir de mai 2019 les mesures compatibles avec la spécification pendant la rédaction détaillée. La Politique relative aux données d’enregistrement a été publiée en février 2024, a connu une période de transition à partir d’août, puis est devenue obligatoire le 21 août 2025. Sa page officielle signale aussi une mise à jour de mai 2026 sur les demandes urgentes de divulgation licite.

Cette longue mise en œuvre ne transforme pas l’acte d’urgence en loi permanente du Conseil. La source d’autorité a changé : les recommandations de la GNSO adoptées par le Conseil ont fourni l’autorité de politique de consensus, tandis que l’instrument intérimaire a protégé la continuité.

La leçon dépasse les données d’enregistrement. Le mécanisme de 2018 était assez puissant pour modifier des obligations avant une échéance juridique, mais il associait ce pouvoir à des motifs écrits, une majorité renforcée, des renouvellements réguliers, une limite absolue et une sortie immédiate vers l’élaboration collective. Sa légitimité tenait à l’union de deux propriétés souvent séparées : être exécutoire et être réellement temporaire.

Sources