
<html><head><meta http-equiv="Content-Type" content="text/html; charset=us-ascii"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><br class=""><div><br class=""><blockquote type="cite" class=""><div class="">On 14 Feb 2018, at 18:07, John Horton via gnso-rds-pdp-wg <<a href="mailto:gnso-rds-pdp-wg@icann.org" class="">gnso-rds-pdp-wg@icann.org</a>> wrote:</div><br class="Apple-interchange-newline"><div class=""><div dir="ltr" class=""><div class="gmail_default" style="font-family:arial,helvetica,sans-serif;color:#444444">Thanks, Chuck. I think whatever changes are required by the GDPR can be accomplished with changes that, in my view, do not constitute a fundamental change to Whois/RDS. Beyond what I think are non-fundamental changes relating to the GDPR, I do not believe that any changes are a "must." As to your question:</div><div class="gmail_default"><ul class=""><li class=""><font color="#444444" face="arial, helvetica, sans-serif" class="">There is a limited set of registrants that is entitled to GDPR protection. There is a very large class of registrants that is not entitled to GDPR protection. There is disagreement about where this line is, but this seems to be something where consensus is possible and there's an objectively, legally correct answer. </font></li></ul></div></div></div></blockquote><div><br class=""></div>Nope, GDPR applies to all domain services provided by a party that does business targeting EEA. So there is no agreement in limiting to whom GDPR applies to. You know what is in the Hamilton memo that you disagree with, and while it's your right to disagree, you can't define things as having agreement when there is no such thing. </div><div><br class=""></div><div><br class=""><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_default"><ul class=""><li class=""><font color="#444444" face="arial, helvetica, sans-serif" class="">It is possible to protect that subset of registrants through (e.g.) complimentary privacy protection, as well as some other limited policies granting access to the data for a legitimate purpose (etc., everything we've been discussing). </font></li></ul></div></div></div></blockquote><div><br class=""></div>Nope, that would only be valid for publishing of data. For collection and processing of data, private WHOIS as we know it might not be enough to achieve compliance, depending on TLD and ICANN requirements. </div><div><br class=""><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_default"><ul class=""><li class=""><font color="#444444" face="arial, helvetica, sans-serif" class="">Whether a registrant is, in fact, an entity that is in the very limited class entitled to GDPR protection can be determined during the registration process, and ICANN policy can require registrars to add these fields to the registration process. Existing registrants can be asked to update their information. </font></li><li class=""><font color="#444444" face="arial, helvetica, sans-serif" class="">Aside from the policies requiring that those additional data fields be collected during the registration process (e.g., are you an EU citizen and other relevant questions), and that if certain answers are "TRUE" then privacy protection is automatically granted, Whois would not change. Port 43 access would continue as is, and so on. </font></li></ul><div class=""><font color="#444444" face="arial, helvetica, sans-serif" class="">I guess I would turn around and ask you and others if everyone agrees with these two statements:</font></div><div class=""><ol class=""><li class="">The GDPR applies to, and is intended to benefit, a limited set of registrants. <br class=""></li></ol></div></div></div></div></blockquote><div><br class=""></div>No, no agreement with that statement. </div><div><br class=""><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_default"><div class=""><ol class="" start="2"><li class="">Registrar convenience or business objectives is not a valid basis to support a policy change. </li></ol></div></div></div></div></blockquote><div><br class=""></div><div><br class=""></div>That depends on level. If by business objectives you mean deny service for whole Europe, that's a pretty hard business hit. It's something like 20% of world's GDP. </div><div><br class=""></div><div><br class=""></div><div><br class=""></div><div><br class=""></div><div><br class=""></div><div>Rubens</div><div><br class=""></div><div><br class=""></div></body></html>