Estar constituido en Estados Unidos no exime de las obligaciones europeas
Un registrador de dominios establecido en Estados Unidos puede estar sujeto tanto a la legislación estadounidense como a la europea. Su lugar de constitución no lo sitúa automáticamente fuera del ámbito de aplicación de la normativa de la Unión Europea.
El Reglamento General de Protección de Datos (RGPD) puede aplicarse a proveedores establecidos fuera de la UE cuando se cumplen las condiciones de su artículo 3, incluido el tratamiento de datos personales relacionado con la oferta de servicios a personas que se encuentran en la Unión. Artículo 3 del RGPD
La Directiva NIS2 también contempla expresamente a los proveedores de servicios de registro de nombres de dominio establecidos fuera de la Unión que ofrecen servicios dentro de ella, incluyendo disposiciones sobre representación en la UE y jurisdicción recogidas en su artículo 26. Artículo 26 de la Directiva NIS2
La dificultad reside en garantizar que las obligaciones aplicables puedan cumplirse y hacerse efectivas a través de las fronteras. Los clientes y las autoridades necesitan puntos de contacto operativos, procedimientos claros y mecanismos eficaces para escalar las incidencias.
Un proveedor que se limite a afirmar que opera conforme a la legislación estadounidense, sin explicar cómo cumple los requisitos europeos que le resultan aplicables, deja sin resolver una cuestión fundamental. Los clientes europeos deberían exigir esta explicación antes de confiarle la gestión de dominios críticos para su organización.
La mitigación de abusos requiere procedimientos específicos
Consideremos un ataque hipotético de phishing contra una organización europea. Un ciberdelincuente registra un dominio muy similar al legítimo y lo utiliza para recopilar credenciales de acceso. La organización denuncia la URL completa, aporta capturas de pantalla y explica cómo se está suplantando su identidad.
Surgen entonces dos cuestiones diferentes: ¿qué medidas deben adoptarse para detener el phishing y en qué condiciones pueden divulgarse los datos personales del titular del dominio?
Ambas cuestiones requieren evaluaciones independientes. Las restricciones relativas a la divulgación de datos personales no determinan, por sí solas, la responsabilidad del registrador de investigar y mitigar las actividades abusivas.
Desde el 5 de abril de 2024, los requisitos contractuales modificados de ICANN obligan a los registradores acreditados que gestionan determinados dominios genéricos de nivel superior a adoptar medidas de mitigación rápidas y adecuadas cuando disponen de pruebas suficientes y susceptibles de fundamentar una actuación frente a abusos del DNS.
Las categorías definidas incluyen phishing, software malicioso, redes de bots (botnets) y pharming, así como el correo no deseado utilizado para distribuir estas amenazas. Esta obligación no está condicionada a la obtención previa de una orden judicial estadounidense. Obligaciones de ICANN relativas a los abusos del DNS
Las medidas adoptadas deben ajustarse a las circunstancias de cada caso. Suspender un dominio legítimo que haya sido comprometido también puede interrumpir el correo electrónico y otros servicios esenciales. Por este motivo, ICANN exige medidas de mitigación adecuadas, pero no establece un plazo universal para la suspensión de dominios. Obligaciones de ICANN relativas a los abusos del DNS
Para las organizaciones que contratan estos servicios, lo importante es determinar si el registrador puede demostrar que investiga las incidencias con diligencia, adopta decisiones fundamentadas y aplica medidas proporcionales al daño que pretende evitar. Una confirmación automática de recepción, por sí sola, ofrece escasas garantías.
NIS2 refuerza la responsabilidad sobre los datos de registro de dominios
El artículo 28 de la Directiva NIS2 exige a los Estados miembros establecer requisitos relativos a la exactitud e integridad de los datos de registro de nombres de dominio, procedimientos de verificación y acceso lícito a dichos datos por parte de solicitantes legítimos.
También establece que las solicitudes de acceso deben recibir respuesta sin demora indebida y, en cualquier caso, dentro de un plazo de 72 horas. Se trata de una obligación de respuesta, no de una garantía de divulgación de los datos ni de un plazo general para suspender dominios. Directiva NIS2
La legislación nacional de transposición aplicable y las actividades concretas del proveedor son factores determinantes. No debe suponerse que los servicios de registro de dominios, los servicios DNS y las operaciones de los registros de dominios de nivel superior (TLD) están sujetos a obligaciones idénticas en virtud de NIS2. Directiva NIS2
Las organizaciones europeas deberían preguntar a sus registradores cómo verifican la información de registro, cómo evalúan las solicitudes legítimas de acceso a los datos y cómo justifican las posibles denegaciones. Estos procedimientos resultan especialmente importantes en investigaciones relacionadas con la suplantación de identidad y otras actividades perjudiciales vinculadas a los nombres de dominio.
El Reglamento de Servicios Digitales añade nuevas obligaciones
El Reglamento de Servicios Digitales (Digital Services Act, DSA) se aplica a determinados servicios intermediarios ofrecidos en la Unión Europea, independientemente del lugar de establecimiento del proveedor. Su artículo 13 exige que los proveedores sujetos al Reglamento que no estén establecidos en la UE designen un representante legal dentro de la Unión. Reglamento de Servicios Digitales
Las obligaciones dependen del tipo de servicio prestado. Los registradores de dominios figuran entre las categorías de proveedores que pueden considerarse servicios de mera transmisión (mere conduit), mientras que los requisitos de notificación y acción establecidos en el artículo 16 se aplican a los servicios de alojamiento de datos.
Por tanto, una empresa que ofrezca tanto servicios de registro de dominios como alojamiento web debe evaluar las obligaciones correspondientes a cada actividad. Reglamento de Servicios Digitales
Los clientes deberían exigir que sus proveedores identifiquen claramente sus responsabilidades y expliquen qué canales deben utilizarse para cada tipo de denuncia, notificación o solicitud legal.
Las solicitudes de divulgación de datos por parte de autoridades extranjeras requieren un examen riguroso
Las organizaciones europeas también deben considerar cómo las solicitudes procedentes de autoridades extranjeras pueden afectar a los datos de sus cuentas y a la información de registro de sus dominios.
Las directrices definitivas del Comité Europeo de Protección de Datos (CEPD) sobre el artículo 48 del RGPD aclaran que una solicitud de una autoridad extranjera no constituye, por sí misma, una base jurídica para el tratamiento de datos personales ni una justificación suficiente para realizar una transferencia internacional de datos.
Cualquier divulgación de información debe cumplir tanto los requisitos del RGPD relativos al tratamiento de datos personales como las disposiciones aplicables a las transferencias internacionales. Directrices del CEPD sobre el artículo 48 del RGPD
Los clientes deberían preguntar quién evalúa las posibles obligaciones legales contradictorias, qué garantías se aplican y en qué circunstancias es posible informarles sobre una solicitud de divulgación.
La ubicación geográfica de un centro de datos, por sí sola, no permite responder a estas cuestiones.
Priorice la responsabilidad jurídica europea y verifique su cumplimiento
Para las organizaciones de la Unión Europea, contratar a un registrador establecido en la UE, con una estructura de propiedad transparente, vías accesibles de recurso legal y procedimientos eficaces de escalado de incidentes, puede ofrecer importantes ventajas prácticas. Sin embargo, estas ventajas deben estar respaldadas por pruebas verificables.
El mero hecho de que una empresa esté constituida en Europa no garantiza una gestión adecuada de los abusos ni elimina las dependencias de proveedores extranjeros.
La estructura de propiedad, los subcontratistas y el operador del registro responsable de cada dominio de nivel superior también deben formar parte de la evaluación. Cambiar a un registrador europeo no implica necesariamente que cambie la jurisdicción del registro del TLD correspondiente.
Antes de seleccionar un registrador o renovar un contrato existente, las organizaciones deberían exigir:
- Identificación clara de la entidad contratante, su estructura de propiedad y las jurisdicciones aplicables.
- Información sobre los representantes pertinentes en la Unión Europea y canales de contacto operativos para las autoridades.
- Procedimientos documentados para investigar actividades abusivas y escalar urgentemente los incidentes.
- Procesos diferenciados para la mitigación de abusos y la divulgación de datos personales.
- Procedimientos de verificación de los datos de registro y de gestión de solicitudes legítimas de acceso a la información.
- Medidas sólidas de protección de cuentas, procedimientos de recuperación y un plan viable para la transferencia de dominios.
Nuestra recomendación es convertir la responsabilidad jurídica europea demostrable en un criterio fundamental para la selección de registradores de dominios.
Cuando un proveedor no puede explicar sus responsabilidades legales ni demostrar que sus procedimientos de gestión de abusos funcionan eficazmente, esa incertidumbre debe incorporarse a la evaluación de riesgos de la organización.
Un registrador de dominios tiene bajo su responsabilidad una parte esencial de la identidad digital de una organización. Su capacidad para proteger esa identidad, responder ante actividades abusivas y colaborar en investigaciones legalmente fundamentadas merece el mismo nivel de escrutinio que cualquier otra relación contractual con un proveedor crítico para la actividad empresarial.
