Norids behandling av kundedata

Registrering og vedlikehold av norske domeneabonnement skjer via domeneforhandlere (registrarer). Forhandlerne er virksomheter som har en kontrakt med oss om å sende inn bestillinger på vegne av abonnenten, og generelt fungere som mellomledd mellom Norid og abonnenten. For å abonnere på et domenenavn må en abonnent inngå én avtale med oss og én med forhandleren.

Et domenenavn oppstår idet Norid tildeler et abonnement på et domenenavn til en organisasjon¹eller en privatperson. Abonnenten får en bruksrett til domenenavnet så lenge abonnementet gjelder, normalt til vedkommende selv avslutter det.

1. Formål med behandlingen

Noen underliggende behandlinger som følger av dette:

• Behandling av abonnementsbestillinger og tilhørende aktiviteter
• Inkludering av relevante data i sonefilen
• Tilgjengeliggjøring av enkelte opplysninger gjennom oppslagstjenesten for norske domenenavn
• Videreformidling av klager i klageordningen for .no
• Deling av data med domeneforhandlere slik at de kan handle på vegne av abonnenten
• Utvikling av registreringstjenesten slik at den er tilpasset behovene i samfunnet
• Drift av navnetjenesten for .no på en slik måte at stabilitet og teknisk kvalitet sikres
• Forskning og statistisk analyse

2. Type opplysninger

2.1 Opplysninger om abonnementet

Noen av opplysningene samles inn fra abonnenten via domeneforhandleren:

• Hvilket domenenavn abonnementet gjelder
• En bekreftelse av at abonnenten har avgitt en egenerklæring² (navn, dato, versjon)
• Flyttekode³
• DNSSEC-informasjon⁴

I tillegg oppretter systemet opplysninger om abonnementets varighet og status

• Når abonnementet ble opprettet, siste endring og når det utløper
• Status for abonnementet (under sletting, sperret for endring, e.l.)

En abonnent kan abonnere på flere domenenavn. På samme måte kan en teknisk kontakt være ansvarlig for flere domeneabonnementer og navnetjenere. Alle domeneforhandlere er ansvarlig for mange abonnementer på vegne av én abonnent eller flere.

2.2 Opplysninger om domeneabonnenten

Abonnenten kan være en privatperson eller en organisasjon (juridisk person). Når abonnenten er en organisasjon, samler vi inn informasjon om både organisasjonen og navn på dennes kontaktperson. Vi samler inn følgende informasjon:

Bruk av unik identifikator: Abonnenten er identifisert overfor oss gjennom en unik identifikator. For organisasjoner er dette organisasjonsnummeret i Brønnøysundregistrene, mens privatpersoner identifiseres med fødselsnummer. Den unike identifikatoren angir hvem som har bruksretten til domenet.

Privatpersoner oppgir fødselsnummer og det navnet de er registrert med i Folkeregisteret til oss, og vi kontrollerer opplysningene mot Folkeregisteret. For å begrense tilgangen til abonnentens fødselsnummer, oppretter vi en unik identifikator som abonnenten bruker i våre systemer og overfor domeneforhandleren. Kombinasjonen av navn, fødselsnummer og personidentifikator lagres i en spesielt sikret database hos oss hvor bare enkelte utvalgte ansatte har tilgang.

2.3 Opplysninger om tekniske kontakter

Hvert abonnement skal ha minst én teknisk kontakt som kan kontaktes hvis det oppstår tekniske feil ved domenet, eller hvis domenet brukes på en måte som skader funksjonalitet, sikkerhet eller stabilitet til andre domener eller til internett som infrastruktur. De tekniske kontaktene er roller, for eksempel en IT-avdeling eller internettleverandørens hostmaster.

Vi samler inn følgende informasjon om tekniske kontakter:

2.4 Opplysninger om navnetjenere

Hvert domene skal ha minst to navnetjenere. Dette er maskiner som besvarer spørsmål om adresser under domenet. Navnetjenerne er nødvendige for at domenet skal fungere. Navnetjenere kan ha en teknisk kontakt for kontakt ved feil ved tjenesten, men dette er det valgfritt å oppgi.

Vi samler inn følgende informasjon om navnetjenere:

2.5 Opplysninger om domeneforhandlere

Alle domeneabonnementer er knyttet til en domeneforhandler. Vi registrerer følgende informasjon om domeneforhandlere i kundedatabasen:

I tillegg registrerer vi ytterligere informasjon om domeneforhandlerne i egne forretningssystemer som ikke er en del av kundedatabasen. Det gjelder organisasjonsnavn og -nummer, kontaktpersoner, status, kontraktsbrudd, hvorvidt forhandleren tilbyr tjenester både til privatpersoner og virksomheter, hvorvidt de tilbyr DNSSEC-sikring av kundenes domener m.m.

3. Nærmere om behandling av personopplysninger

Deler av informasjonen vi samler inn, er opplysninger som kan knyttes til enkeltpersoner, og som regnes som personopplysninger i henhold til definisjonene i personvernforordningen (GDPR) artikkel 4,1.  

For Norid gjelder dette alle norske domenenavn, og mye av våre øvrige kundedata. Domeneabonnentene er enten privatpersoner, identifisert for oss gjennom navn og fødselsnummer, eller organisasjoner (virksomheter, offentlige organ og andre organisasjoner) der vi har krevd å få navnet på en kontaktperson i tillegg til organisasjonens navn og organisasjonsnummer.

Vi følger kravene i personvernforordningen og personopplysningsloven når vi behandler slike opplysninger.

Norids behandling av personopplysningene er nødvendig for:

• å oppfylle en avtale som abonnenten er part i, eller for å gjennomføre tiltak på abonnentens anmodning før en avtaleinngåelse (GDPR artikkel 6, 1b)
• å oppfylle en rettslig forpliktelse som påhviler Norid (GDPR artikkel 6, 1c)
• å ivareta Norids og tredjeparts berettigede interesser, med mindre abonnentens interesse i personvern eller grunnleggende rettigheter og friheter gjør at hensynet til personvern veier tyngre (GDPR artikkel 6, 1f)

Med unntak av abonnementets status, samt tidspunkt for etablering, endring og avslutning, samles Norids kundedata inn fra abonnenten. Innsamlingen skjer via en domeneforhandler.

Abonnenten må inngå én avtale med oss og én med domeneforhandleren, og Norid og forhandleren må begge behandle personopplysninger for å kunne oppfylle sin avtale med abonnenten. Vi og domeneforhandleren er dermed hver for oss selvstendige behandlingsansvarlige. Abonnenten kan bruke sin rettighet til å få innsyn i egne opplysninger, enten ved å kontakte sin domeneforhandler eller ved å kontakte oss.

4. Vedlikehold av kundedata

Abonnenten er ansvarlig for at kontaktinformasjonen som er knyttet til domeneabonnementet, er korrekt. Ved feil må abonnenten kontakte domeneforhandleren slik at informasjonen kan oppdateres. Norid behandler bestillinger av oppdateringer som kommer inn via forhandlerne på en rask og effektiv måte. På denne måten ajourføres opplysningene fortløpende.

En abonnent kan bestille sletting av opplysningene sine via sin domeneforhandler. Da må imidlertid alle abonnementene som er registrert på abonnenten slettes, og domenenavnene gjøres tilgjengelige for andre. Opplysninger som ikke er tilknyttet et eksisterende abonnement fjernes automatisk fra kundedatabasen etter en periode.