Vos coordonnées personnelles dans le WHOIS d’un nom de domaine : comment demander leur retrait

Le WHOIS permet de consulter des informations liées à l’enregistrement d’un nom de domaine. Selon l’extension, le bureau d’enregistrement et la situation du titulaire, certaines coordonnées peuvent apparaître dans un annuaire public, sur le site d’un prestataire ou dans les résultats d’un moteur de recherche. Une adresse électronique ou une adresse postale publiée de cette manière peut susciter du démarchage, faciliter l’usurpation d’identité ou révéler un lien entre une personne et un site.

La première démarche consiste à identifier qui publie réellement l’information. Le retrait à la source, auprès du bureau d’enregistrement ou de l’organisme qui gère l’extension, ne se confond pas avec le déréférencement Google. Ce dernier peut limiter l’apparition d’une page dans les résultats associés à votre nom, sans supprimer la page ni les données qui y figurent. Les possibilités varient selon l’extension du domaine, le statut du titulaire et les règles applicables. Voici une méthode prudente pour vérifier la situation et adresser une demande adaptée.

Comprendre quelles données le WHOIS rend visibles

Le WHOIS est un service de consultation d’informations relatives aux noms de domaine. Il peut renseigner, par exemple, sur le bureau d’enregistrement, les dates de création ou d’expiration, les serveurs associés et, dans certains cas, le titulaire du domaine. Certains services proposent désormais des données au moyen du protocole RDAP, conçu pour fournir un accès structuré à des informations d’enregistrement. Dans le langage courant, les internautes continuent souvent à parler de WHOIS pour désigner ces consultations.

La visibilité des données personnelles n’est pas identique partout. Elle dépend notamment de l’extension du nom de domaine, des règles du registre concerné, du fait que le titulaire soit une personne physique ou une organisation, et des options proposées par le bureau d’enregistrement. Pour certaines extensions, les coordonnées d’un particulier sont masquées ou remplacées par des informations de contact intermédiaires. Pour d’autres, des données peuvent rester accessibles, parfois sous une forme limitée. Ne partez donc pas du principe que toutes les extensions suivent les mêmes modalités.

Repérer précisément ce qui est exposé

Vérifiez quelles informations sont visibles et à quelle adresse. Il peut s’agir de votre nom, d’une adresse électronique, d’un numéro de téléphone, d’une adresse postale ou du nom de votre organisation. Notez aussi si la page consultée appartient au registre officiel, au bureau d’enregistrement, à un site tiers qui republie des données ou à une page conservée dans un cache. Cette distinction détermine l’interlocuteur à contacter.

Une donnée qui concerne une personne identifiable constitue généralement une donnée personnelle au sens du RGPD. Cela ne signifie pas que toute information d’enregistrement doit nécessairement disparaître : la publication ou la conservation peut répondre à des règles propres à l’extension ou à une obligation applicable. Votre demande doit donc porter sur des faits précis et demander, selon la situation, la limitation de l’accès public, la rectification ou l’effacement des coordonnées concernées.

Identifier le service qui contrôle chaque copie

Commencez par relever l’adresse exacte de chaque page où vos coordonnées apparaissent. Une recherche sur le nom de domaine peut faire ressortir plusieurs résultats qui se ressemblent, mais qui ne sont pas administrés par le même acteur. Le registre gère les règles de l’extension, tandis que le bureau d’enregistrement est le prestataire auprès duquel le domaine a été réservé. Un site tiers peut, de son côté, recopier des données déjà publiées ailleurs.

Consultez la page d’aide du bureau d’enregistrement et les informations relatives à la confidentialité des titulaires. Si vous ne savez plus quel prestataire gère le domaine, les informations d’enregistrement accessibles publiquement peuvent parfois l’indiquer. Vous pouvez aussi vous connecter au compte utilisé lors de l’achat du nom de domaine, si vous en avez encore l’accès. Évitez de transmettre des identifiants, un mot de passe ou une pièce d’identité à un interlocuteur dont vous n’avez pas vérifié l’identité.

• Le bureau d’enregistrement gère le contrat de réservation et peut proposer une option de confidentialité ou traiter une demande liée aux coordonnées communiquées lors de l’inscription.
• Le registre de l’extension fixe ou applique les règles propres à cette extension. Il peut fournir une procédure de réclamation ou orienter vers le bon interlocuteur.
• Le site tiers contrôle la copie qu’il héberge. Même si les données ne sont plus visibles sur le service officiel, il peut rester nécessaire de lui adresser une demande distincte.
• Le moteur de recherche indexe des pages publiées ailleurs. Il ne contrôle généralement ni le contenu de la page source ni les données de l’enregistrement initial.

Conservez les URL exactes, la date de consultation et une capture d’écran montrant les coordonnées exposées. Ces éléments facilitent la vérification et évitent de décrire de mémoire une page qui pourrait changer. Sur une capture, masquez les données qui ne sont pas nécessaires à la demande et ne publiez pas cette preuve sur un réseau social ou un forum.

Préparer une demande de suppression à la source

Lorsque les coordonnées sont visibles dans un service officiel ou dans l’annuaire proposé par votre prestataire, adressez d’abord votre demande au bureau d’enregistrement ou au responsable de traitement désigné dans sa politique de confidentialité. Le responsable de traitement est l’organisme qui décide des finalités et des moyens du traitement de données. Le registre peut être un interlocuteur complémentaire, en particulier si le prestataire vous renvoie vers les règles de l’extension.

Expliquez simplement quelles données apparaissent, sur quelle page, et ce que vous demandez. Selon les circonstances, vous pouvez demander le masquage des coordonnées dans l’annuaire public, leur remplacement par un moyen de contact indirect, leur rectification si elles sont erronées, ou leur effacement si les conditions le permettent. Le droit à l’effacement n’est pas absolu : l’organisme peut devoir conserver certaines informations pour respecter une obligation ou établir, exercer ou défendre des droits. Il doit toutefois examiner votre demande et vous répondre sur son traitement.

Joindre des pièces utiles sans en divulguer trop

Une demande utile contient généralement votre identité, la référence du nom de domaine, les URL concernées et une description claire des données en cause. Ajoutez une capture d’écran ou un extrait qui permet de repérer le problème. Si vous avez besoin de prouver que vous êtes titulaire du domaine, privilégiez les éléments de votre espace client ou une preuve adaptée que le prestataire accepte.

Une copie de pièce d’identité ne doit pas être envoyée automatiquement. Si l’organisme la réclame pour vérifier votre identité, demandez si une autre méthode est possible et vérifiez l’adresse de transmission. Si une copie est nécessaire, ne fournissez que ce qui est demandé et, lorsque cela est accepté, marquez-la comme étant destinée uniquement au traitement de cette demande. Évitez d’envoyer des documents contenant des informations sans rapport avec le dossier.

Objet : demande de limitation de la publication de mes coordonnées dans l’annuaire du nom de domaine

Je suis titulaire du nom de domaine [nom de domaine]. À l’adresse [URL], les données suivantes apparaissent : [indiquer les catégories de données]. Je vous demande d’examiner leur masquage ou leur suppression de l’affichage public, et de m’indiquer les éventuelles informations que vous devez conserver ainsi que leur fondement. Vous trouverez en pièce jointe les éléments utiles pour localiser la publication. Merci de me confirmer la réception de cette demande et de m’indiquer les suites qui lui sont données.

Adaptez ce modèle à votre situation et n’ajoutez pas de données sensibles qui ne sont pas nécessaires. Envoyez la demande par le formulaire officiel ou à l’adresse de contact dédiée à la protection des données. Gardez une copie du message, des pièces transmises et de l’accusé de réception. Le RGPD prévoit en principe un délai de réponse d’un mois pour les demandes relatives aux droits des personnes. Ce délai peut être prolongé dans certaines situations complexes, mais l’organisme doit vous informer de cette prolongation et de ses motifs dans le délai initial.

Vérifier le retrait et traiter les copies conservées ailleurs

Après l’envoi, consultez de nouveau la page source à intervalle raisonnable et vérifiez si les données ont été masquées, modifiées ou retirées. Ne vous fiez pas uniquement à un résultat de moteur de recherche : celui-ci peut afficher pendant quelque temps un ancien extrait alors que la page a été corrigée. À l’inverse, la disparition d’un résultat ne prouve pas que la donnée a été supprimée du service d’enregistrement.

Si la page source a été modifiée, mais que Google affiche encore un extrait obsolète, vous pouvez signaler au moteur de recherche que son résultat ne reflète plus la page actuelle. Cette démarche vise à actualiser l’extrait ou l’index. Elle ne remplace pas la demande faite au responsable de traitement. Si la page demeure en ligne et que sa présence dans les résultats associés à votre nom porte atteinte à vos droits, une demande de déréférencement peut être examinée séparément.

Quand envisager le déréférencement

Le déréférencement consiste à demander à un moteur de recherche de ne plus afficher certains résultats à partir de requêtes portant sur le nom d’une personne. Il ne supprime pas la page d’origine et ne garantit pas que le résultat sera absent de toutes les recherches. Le moteur met en balance les droits de la personne, la nature des données, leur actualité, le contexte de publication et l’intérêt du public à accéder à l’information.

Pour déposer une demande, rassemblez l’adresse de la page, les requêtes de recherche concernées et une explication concrète du préjudice ou du caractère inadapté du résultat. Dans le cas de coordonnées présentes dans un annuaire technique, expliquez pourquoi leur association à votre nom est excessive ou présente un risque, sans exagérer les conséquences. Une réponse favorable au déréférencement peut réduire la visibilité de la page sur certaines recherches nominatives, mais la suppression à la source reste la démarche à privilégier lorsque l’objectif est de faire retirer les coordonnées elles-mêmes.

Réagir à un refus ou à l’absence de réponse

Si le prestataire refuse, relisez sa réponse pour comprendre s’il invoque une règle de l’extension, une obligation de conservation ou un défaut de vérification d’identité. Demandez, si nécessaire, des précisions sur les données qui restent publiques, les raisons de leur publication et les solutions de masquage disponibles. Une réponse générale qui ne traite pas les éléments de votre demande peut justifier une relance claire, en rappelant la date du premier message et les URL concernées.

En l’absence de réponse dans le délai applicable, ou si vous estimez que la demande n’a pas été examinée correctement, vous pouvez déposer une plainte auprès de la CNIL lorsque le traitement relève de sa compétence. Joignez les échanges, les captures utiles, les URL, la preuve de votre demande initiale et la réponse reçue, le cas échéant. La CNIL peut examiner la situation et demander des explications à l’organisme. La saisine ne garantit pas une suppression et ne remplace pas, si le litige le nécessite, l’analyse d’un professionnel du droit.

Pour une extension gérée par un organisme établi dans un autre pays de l’Union européenne, les autorités de protection des données peuvent coopérer selon les règles du RGPD. La CNIL peut vous orienter sur la démarche adaptée. Pour une extension ou un prestataire situé hors de l’Union, les procédures et les interlocuteurs peuvent différer. Vérifiez les coordonnées officielles du registre et évitez les services payants qui prétendent agir au nom d’une autorité publique sans mandat vérifiable.

Réduire le risque de nouvelle exposition

Une fois les coordonnées retirées ou masquées, vérifiez si elles apparaissent encore sur des pages copiées par des tiers. Chaque responsable de traitement doit être contacté séparément pour les données qu’il contrôle. Une demande adressée au bureau d’enregistrement ne supprime pas automatiquement une copie hébergée sur un site de recherche de domaines, une archive ou un autre annuaire.

Pour vos prochains enregistrements, examinez les options de confidentialité proposées avant de réserver un nom de domaine et lisez leurs limites : elles peuvent masquer certaines coordonnées dans l’affichage public sans empêcher le prestataire de conserver vos informations dans votre compte. Utilisez une adresse de contact dédiée lorsque cela est possible, tout en maintenant un moyen de recevoir les notifications importantes relatives au domaine. Vérifiez aussi les paramètres de renouvellement et la sécurité du compte associé, notamment l’authentification à plusieurs facteurs si le service la propose.

Enfin, gardez une trace de vos démarches et limitez la circulation des justificatifs. Une suppression à la source, un déréférencement et une demande auprès d’un site tiers répondent à des objectifs différents : les combiner peut être utile, mais chaque étape dépend du service qui détient ou affiche l’information. Si la publication expose une adresse privée, s’accompagne de menaces ou semble liée à une usurpation, conservez les éléments pertinents et demandez un accompagnement adapté. La maîtrise de vos données en ligne repose souvent sur plusieurs interlocuteurs ; une vérification régulière des résultats permet de repérer plus tôt une nouvelle copie ou une réapparition.