title: “跨境域名注册合规数据留存与GDPR删除权冲突分析” description: “分析跨境域名注册中ICANN数据留存要求与GDPR删除权的法域冲突及合规路径” keywords: [“跨境域名合规”, “GDPR删除权”, “ICANN数据留存”, “域名隐私保护”, “数据主权冲突”] tags: [“domain-compliance”, “gdpr”, “data-retention”, “cross-border”, “privacy-law”] date: 2025-01-15 lastmod: 2025-01-15 cluster: “cross-border-domain-compliance”
摘要
在现行监管框架下，跨境域名注册面临ICANN注册商认证协议（RAA）强制数据留存义务与欧盟《通用数据保护条例》（GDPR）第17条删除权之间的结构性张力。这一冲突通常表现为：注册商在欧盟境外存储的注册人数据，可能因数据主体行使删除权而陷入合规困境——完全删除数据可能违反ICANN的审计与合规要求，而继续留存则可能触发GDPR项下的高额罚款。本文分析该冲突的法理基础、实践表现及可能的调和路径，为域名持有者与服务提供商提供风险评估参考。
问题定义
本研究聚焦以下核心问题：当注册商或注册局依据ICANN RAA在全球范围内部署数据基础设施时，如何协调其与GDPR域外效力及数据主体权利之间的潜在矛盾。研究边界限定于：其一，数据类型为域名注册人联系信息（非技术DNS数据）；其二，地理范围为欧盟数据主体与全球注册商/注册局之间的交叉场景；其三，不涵盖国家代码顶级域（ccTLD）的本地化特殊安排，亦不讨论刑事执法调取数据情形。
背景知识
ICANN RAA的数据留存框架
根据ICANN Registrar Accreditation Agreement（RAA）2013版及后续修订（ICANN, 2020），认证注册商负有留存注册人准确、完整联系信息的合同义务，留存期限通常覆盖域名全生命周期及此后特定时段。该义务旨在支撑WHOIS/RDAP系统的可问责性，并为争议解决、执法协助提供数据基础。值得注意的是，ICANN于2018年推行的临时规范（Temporary Specification）及后续共识政策，在GDPR生效后对数据展示方式进行了调整，但并未废除底层留存义务。
GDPR删除权的规范结构
GDPR第17条赋予数据主体”被遗忘权”，要求数据控制者在特定情形下应请求删除个人数据，且不得无故迟延。该权利并非绝对，第17条第3款列明了例外情形，包括”为遵守法定义务所必要”及”为建立、行使或辩护法律索赔所必要”等。然而，ICANN作为美国加利福尼亚州非营利机构，其RAA的合同义务是否构成GDPR第17条第3款(b)项下的「法定义务」，在欧盟成员国实践中存在解释分歧（European Data Protection Board, 2019）。
FATF视角下的数据可获取性
金融行动特别工作组（FATF）在虚拟资产及支付服务提供商监管建议中，强调域名注册数据对于追踪非法资金流动的潜在价值（FATF, 2021）。这一政策取向与数据最小化原则形成张力，使得跨境域名注册的数据治理议题进一步复杂化。
核心结论
| 序号 | 结论要点 | 依据来源 |
|---|---|---|
| 1 | ICANN RAA的合同义务在欧盟法下通常难以直接等同于「法定义务」，注册商难以仅凭RAA条款自动豁免GDPR删除请求 | GDPR第17条第3款(b)项；CJEU相关判例法理 |
| 2 | 欧盟数据保护机构对”数据控制者”的认定趋于严格，注册局与注册商均可能被认定为独立控制者或共同控制者 | EDPB指南；爱尔兰DPC实践 |
| 3 | 现行技术架构下，完全删除与匿名化处理的法律效果存在差异，后者可能无法满足数据主体”彻底擦除”的合理期待 | GDPR第4条第2款”处理”定义；第25条数据保护设计 |
| 4 | 注册商采用的数据本地化策略（如欧盟境内存储+境外备份）可能引发数据跨境传输的额外合规评估 | GDPR第五章；欧盟委员会充分性认定 |
| 5 | 在多数情况下，注册商可通过「限制处理」替代「彻底删除」，作为平衡双方义务的中间路径 | GDPR第18条；ICO指导意见 |
风险与限制
| 风险项 | 影响等级 | 缓解措施 |
|---|---|---|
| 因响应GDPR删除请求而触发ICANN合规审计 | 高 | 建立分层响应机制：初步评估→法律复核→限制性处理→争议解决 |
| 数据跨境传输至无充分性认定国家/地区 | 中高 | 采用标准合同条款（SCCs）并实施传输影响评估（TIA） |
| 数据主体就同一事项在多国并行投诉 | 中 | 指定单一联络点，利用欧盟一站式机制（One-Stop-Shop） |
| 注册数据不完整导致域名被恶意滥用 | 中 | 部署替代验证机制（如DNSSEC、双因素认证）降低对直接联系信息的依赖 |
| 监管政策动态调整导致合规基准漂移 | 中低 | 建立季度政策追踪机制，关注EDPB、ICANN政策制定流程 |
合规边界
本内容不构成法律意见或合规建议。域名持有者与注册服务商在面临具体删除权请求时，应寻求具有欧盟数据保护执业资格的律师协助。本文所引用的ICANN政策文件、FATF建议及GDPR条款均以公开版本为准，不反映任何内部解释或非官方立场。对于因依赖本文信息而采取的行动，作者及发布方不承担责任。
相关入口
参考文献
[1] ICANN. Registrar Accreditation Agreement. 2013 (as amended). https://www.icann.org/resources/pages/raa-2013-02-28-en
[2] European Parliament and Council of the European Union. Regulation (EU) 2016/679 (General Data Protection Regulation). 2016. https://eur-lex.europa.eu/eli/reg/2016/679/oj
[3] FATF. Updated Guidance for a Risk-Based Approach: Virtual Assets and Virtual Asset Service Providers. 2021. https://www.fatf-gafi.org/publications/fatfrecommendations/documents/guidance-rba-virtual-assets-2021.html
[4] European Data Protection Board. Guidelines 3/2019 on processing of personal data through video devices. 2019. https://edpb.europa.eu/our-work-tools/general-guidance/guidelines-32019-processing-personal-data-through-video-devices_en
[5] ICANN. Temporary Specification for gTLD Registration Data. 2018. https://www.icann.org/resources/pages/gtld-registration-data-specs-en
本文最后更新于2025年1月15日。政策动态及司法实践可能随时间演进，建议读者核实最新发展。
常见问题
ICANN数据留存要求与GDPR删除权能否协调？
在多数情况下，注册商可通过「限制处理」替代「彻底删除」，作为平衡双方义务的中间路径。完全删除可能违反ICANN审计合规要求，而继续留存则可能触发GDPR高额罚款。
跨境域名数据删除请求应向谁提出？
应向注册商提出。若注册商认定为独立数据控制者，应在30日内响应；若为注册局共同控制，则需协调多方处理。欧盟数据主体可向当地数据保护机构投诉。
GDPR删除权有哪些法定例外？
GDPR第17条第3款列明例外情形，包括：为遵守法定义务所必要、为建立/行使/辩护法律索赔所必要、公共利益所必要的处理等。ICANN RAA合同义务是否构成「法定义务」在欧盟实践中存在解释分歧。
域名注册数据跨境传输有何合规要求？
向无欧盟充分性认定的国家传输数据，需采用标准合同条款（SCCs）并实施传输影响评估（TIA）。美国目前无充分性认定，故向美国注册局传输数据需额外合规措施。