Podstawa prawna: art. 16b i art. 16c ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

1. Po co powstał ten dokument

EHOST Krzysztof Dziewoński (dalej: Administrator) rejestruje i utrzymuje domeny internetowe na rzecz swoich klientów. Ustawa o krajowym systemie cyberbezpieczeństwa nakłada na podmioty świadczące usługi rejestracji nazw domen dwa obowiązki, których dotyczy niniejszy dokument:

1. prowadzenie dokładnych i kompletnych danych o rejestracji domen oraz stosowanie procedur, które tę dokładność zapewniają (art. 16b);

2. udostępnianie tych danych uprawnionym organom na udokumentowane żądanie i w ustawowym terminie (art. 16c).

Ustawa wymaga przy tym, aby zasady realizacji obu obowiązków były jawne. Art. 16b ust. 6 nakazuje publikację polityk i procedur weryfikacji na stronie internetowej, a art. 16c ust. 3 nakazuje udzielanie odpowiedzi organom „w sposób określony w opracowanej przez siebie i podanej do publicznej wiadomości polityce i procedurze ujawniania takich danych". Niniejszy dokument jest wykonaniem obu tych wymogów.

Dla kogo jest ten dokument. Dla dwóch grup czytelników. Dla abonenta domeny, żeby wiedział, jakie dane o nim prowadzimy, jak sprawdzamy ich poprawność, co się stanie, jeśli będą nieprawdziwe, i w jakich sytuacjach mogą trafić do organu państwa. Dla sądu, prokuratury, Policji i pozostałych uprawnionych podmiotów, żeby wiedziały, gdzie, w jakiej formie i z jaką treścią złożyć żądanie, aby zostało rozpoznane w terminie.

Zgodność z zasadami operatorów rejestrów. Niniejsze zasady pozostają zgodne z politykami i procedurami publikowanymi przez operatorów rejestrów domen, w których Administrator rejestruje nazwy, w szczególności rejestru domeny .pl. Jeżeli zasady operatora rejestru dla konkretnej końcówki domeny idą dalej niż niniejszy dokument, stosuje się zasady operatora rejestru.

2. Słowniczek, pięć pojęć, które dalej wracają

Pojęcie	Co oznacza
Abonent domeny	Osoba lub firma, na rzecz której domena jest zarejestrowana, czyli ten, kto ma do niej prawo.
Dane rejestracyjne	Zestaw informacji o domenie i o jej abonencie, prowadzony przez Administratora i przekazywany do rejestru domeny. Zakres opisuje pkt 3.
Operator rejestru domeny	Instytucja prowadząca rejestr wszystkich domen z danej końcówki, na przykład .pl, .eu czy .com. To ona, a nie Administrator, prowadzi centralny rejestr domen i publiczny rejestr abonentów.
Publiczny rejestr abonentów domen (WHOIS)	Ogólnodostępna wyszukiwarka, w której każdy może sprawdzić informacje o domenie. Prowadzi ją operator rejestru. Szczegóły w pkt 14.
Zespół reagowania na incydenty bezpieczeństwa komputerowego (CSIRT)	Państwowa jednostka zajmująca się obsługą poważnych incydentów w sieci, na przykład ataków na strony internetowe lub kampanii wyłudzania danych.

3. Jakie dane zbieramy przy rejestracji domeny

Ustawa określa, co musi zawierać baza danych o rejestracji domen (art. 16b ust. 4). Są to:

• nazwa domeny;

• data rejestracji;

• imię i nazwisko albo nazwa abonenta, jego adres poczty elektronicznej i numer telefonu;

• adres poczty elektronicznej i numer telefonu punktu kontaktowego zarządzającego domeną, jeżeli różnią się od danych abonenta, a gdy dla danej końcówki domeny punkt kontaktowy nie jest przewidziany, dane identyfikujące podmiot świadczący usługi rejestracji nazw domen, czyli Administratora.

Poza tym zbieramy dane niezbędne do zawarcia i rozliczenia umowy oraz te, których wymaga operator rejestru wybranej końcówki, w szczególności adres abonenta, a przy abonentach prowadzących działalność gospodarczą także numer identyfikacji podatkowej (NIP) i numer REGON. Zbieramy również informację o tym, czy abonent będący osobą fizyczną zgodził się na publikację swoich danych w publicznym rejestrze abonentów domen (pkt 14).

Pełna informacja o tym, w jakim celu, na jakiej podstawie i jak długo przetwarzamy dane abonentów oraz jakie prawa im przysługują, znajduje się w Polityce Prywatności dostępnej na stronach internetowych Administratora. Niniejszy dokument tej informacji nie powtarza. Opisuje wyłącznie dokładność danych i ich udostępnianie uprawnionym podmiotom.

Zasada minimalizacji. Nie zbieramy dokumentów ani informacji, które nie są potrzebne do zarejestrowania i utrzymania domeny. Nie żądamy skanu dowodu osobistego, nie prosimy o numer PESEL osoby fizycznej rejestrującej domenę na siebie prywatnie i nie gromadzimy kopii dokumentów rejestrowych firmy, jeżeli te same dane da się potwierdzić w bezpłatnych źródłach publicznych.

4. Jak sprawdzamy poprawność danych

Ustawa wymaga, żeby procedury weryfikacji obejmowały działania na etapie rejestracji domeny albo po niej, były wyważone i proporcjonalne oraz prowadziły do zweryfikowania co najmniej jednego ze sposobów kontaktu z abonentem (art. 16b ust. 5). Administrator realizuje to w czterech krokach.

4.1. Weryfikacja adresu poczty elektronicznej, przy każdej rejestracji

Po złożeniu zamówienia na domenę Administrator wysyła wiadomość na wskazany adres poczty elektronicznej abonenta. Wiadomość zawiera dane, które trafią do rejestru, oraz prośbę o ich potwierdzenie. Jest to obowiązkowy sposób kontaktu weryfikowany przy każdej rejestracji.

Brak potwierdzenia albo zwrot wiadomości jako niedoręczonej uruchamia postępowanie opisane w pkt 5. Adres poczty elektronicznej jest kanałem, którym Administrator przekazuje abonentowi wszystkie istotne informacje o domenie, w tym przypomnienia o zbliżającym się wygaśnięciu. Adres, pod który nic nie dociera, jest zatem problemem nie tylko formalnym.

4.2. Sprawdzenie danych firmowych w rejestrach publicznych

Jeżeli abonentem jest firma, instytucja lub osoba prowadząca działalność gospodarczą, Administrator porównuje podane dane, nazwę, adres, numer identyfikacji podatkowej (NIP) i numer REGON, z bezpłatnymi rejestrami publicznymi: Centralną Ewidencją i Informacją o Działalności Gospodarczej (CEIDG), Krajowym Rejestrem Sądowym (KRS) oraz wykazem podatników podatku od towarów i usług prowadzonym przez Szefa Krajowej Administracji Skarbowej.

Sprawdzenie odbywa się w źródłach dostępnych publicznie i nie wymaga od abonenta przysyłania żadnych dokumentów.

4.3. Żądanie udokumentowania danych, tylko w uzasadnionych przypadkach

Ustawa przyznaje Administratorowi prawo żądania udokumentowania danych identyfikacyjnych abonenta, w szczególności numeru lub innego oznaczenia z rejestrów publicznych, jeżeli obowiązek jego posiadania wynika z przepisów prawa obowiązujących abonenta (art. 16b ust. 5 pkt 4). Administrator korzysta z tego uprawnienia wyjątkowo, gdy:

• danych nie da się potwierdzić w źródłach publicznych, a występują rozbieżności między nimi a treścią zamówienia;

• dane noszą znamiona oczywiście nieprawdziwych (pkt 5.1);

• otrzymaliśmy zgłoszenie osoby trzeciej albo organu wskazujące, że dane abonenta są nieprawdziwe.

Zakres żądania jest ograniczony do tego, co jest niezbędne do usunięcia konkretnej wątpliwości. Administrator nie stosuje wobec wszystkich abonentów jednakowego wymogu przedkładania dokumentów, ponieważ byłoby to nieproporcjonalne w rozumieniu art. 16b ust. 5 pkt 2 ustawy.

4.4. Weryfikacja po rejestracji, przy trzech zdarzeniach

Dokładność danych sprawdzana jest również w trakcie trwania rejestracji domeny:

• przy odnowieniu domeny, abonent otrzymuje wraz z informacją o zbliżającym się wygaśnięciu zestawienie danych zapisanych w rejestrze i prośbę o potwierdzenie ich aktualności albo o zgłoszenie zmian;

• przy każdej zmianie danych zgłoszonej przez abonenta. Zmieniony adres poczty elektronicznej weryfikowany jest ponownie w sposób opisany w pkt 4.1, a zmiana danych firmowych sprawdzana jest w rejestrach publicznych;

• przy zwrocie korespondencji, jeżeli wiadomość wysłana na adres abonenta wraca jako niedoręczona albo połączenie pod podanym numerem telefonu okazuje się niemożliwe, uruchamiane jest postępowanie z pkt 5.

5. Co się dzieje, gdy dane są niekompletne lub nieprawdziwe

5.1. Dwie różne sytuacje

Administrator rozróżnia dane niekompletne lub nieaktualne (na przykład nieaktualny adres poczty elektronicznej po zmianie dostawcy poczty albo zmieniony adres siedziby firmy) od danych oczywiście nieprawdziwych, czyli takich, których nie da się przypisać istniejącej osobie ani firmie: nazwiska nieodpowiadającego żadnej osobie, adresu, który nie istnieje, numeru identyfikacji podatkowej niewystępującego w żadnym rejestrze albo adresu poczty elektronicznej utworzonego wyłącznie na potrzeby jednej rejestracji i natychmiast porzuconego.

Pierwsza sytuacja jest zwykłym zaniedbaniem i wymaga przypomnienia. Druga jest sygnałem, że domena mogła zostać zarejestrowana w celu, którego abonent nie chce ujawnić.

5.2. Postępowanie

1. Wezwanie do uzupełnienia lub poprawienia danych. Administrator wysyła wezwanie na wszystkie znane sposoby kontaktu z abonentem, wskazując, które dane wymagają poprawy. Termin na odpowiedź wynosi 14 dni od wysłania wezwania.

2. Ponowne wezwanie. Jeżeli abonent nie odpowie, Administrator ponawia wezwanie i informuje o skutkach dalszego braku reakcji. Termin na odpowiedź wynosi kolejne 14 dni.

3. Skutki braku reakcji. Po bezskutecznym upływie drugiego terminu Administrator:

• wstrzymuje wykonywanie na domenie czynności wymagających potwierdzenia tożsamości abonenta, w szczególności zmiany abonenta, przeniesienia domeny do innego podmiotu świadczącego usługi rejestracji oraz zmiany danych rejestracyjnych;

• zawiadamia operatora rejestru właściwego dla danej domeny, jeżeli jego zasady taki obowiązek przewidują, i stosuje się do dalszego trybu wskazanego przez operatora rejestru.

1. Czego Administrator nie robi. Administrator nie usuwa domeny samodzielnie i nie wyrejestrowuje jej z powodu wadliwych danych. Decyzja o zablokowaniu albo wyrejestrowaniu domeny należy do operatora rejestru właściwego dla danej końcówki, a przy końcówkach globalnych do akredytowanego rejestratora, i zapada w trybie przewidzianym w ich zasadach. Zasady te mogą przewidywać zawieszenie albo wyrejestrowanie domeny, której dane abonenta pozostają niepotwierdzone. Administrator o takim rozstrzygnięciu abonenta zawiadamia, ale go nie podejmuje. Do czasu jego zapadnięcia utrzymanie domeny pozostaje niezmienione, a strona internetowa i poczta abonenta działają normalnie.

2. Dane oczywiście nieprawdziwe. W tej sytuacji Administrator dodatkowo odnotowuje sprawę w wewnętrznej ewidencji i wstrzymuje rejestrowanie kolejnych domen na te same dane do czasu wyjaśnienia.

5.3. Prawo abonenta do wyjaśnień

Abonent, wobec którego wszczęto postępowanie opisane wyżej, może w każdej chwili przedstawić wyjaśnienia albo poprawić dane. Przywrócenie pełnej obsługi następuje niezwłocznie po potwierdzeniu poprawności danych, bez dodatkowych opłat.

6. Aktualizacja danych przez abonenta

Obowiązek abonenta. Abonent zgłasza zmianę swoich danych rejestracyjnych niezwłocznie, nie później niż w terminie 14 dni od jej zaistnienia. Dotyczy to zwłaszcza zmiany adresu poczty elektronicznej, numeru telefonu, adresu oraz nazwy lub firmy.

Jak zgłosić zmianę. Zmianę danych zgłasza się wiadomością na adres biuro@ehost.pl wysłaną z adresu poczty elektronicznej zapisanego w danych rejestracyjnych domeny albo pisemnie na adres siedziby Administratora. Dane kontaktowe zapisane w panelu usługi hostingowej abonent może zaktualizować również samodzielnie.

Coroczne potwierdzenie. Raz w roku, wraz z informacją o zbliżającym się wygaśnięciu domeny, Administrator przesyła abonentowi zestawienie jego danych rejestracyjnych z prośbą o potwierdzenie ich aktualności. Brak reakcji nie jest traktowany jako potwierdzenie. Jeżeli wiadomość wróci jako niedoręczona, uruchamiane jest postępowanie z pkt 5.

Dlaczego to ma znaczenie praktyczne. Adres poczty elektronicznej zapisany w danych rejestracyjnych jest jedynym kanałem, którym docierają przypomnienia o wygasającej domenie. Domena, której abonent nie odnowi w terminie, przechodzi w stan pozwalający zarejestrować ją komuś innemu. Nieaktualny adres w danych rejestracyjnych jest najczęstszą przyczyną utraty domeny, częstszą niż jakikolwiek atak na stronę internetową.

7. Komu udostępniamy dane

Ustawa wskazuje zamknięty katalog podmiotów, które mogą żądać dostępu do danych rejestracyjnych domen, oraz cele, w jakich mogą to robić (art. 16c ust. 1). Są to:

Kto może żądać	W jakim celu
Sąd	przeprowadzenie dowodu w postępowaniu karnym, w sprawach o wykroczenia albo w postępowaniu cywilnym
Prokurator	przeprowadzenie dowodu w postępowaniu karnym albo w sprawach o wykroczenia
Policja oraz inne upoważnione organy prowadzące postępowanie karne albo czynności wyjaśniające w sprawie o wykroczenie	przeprowadzenie dowodu w postępowaniu karnym albo w czynnościach wyjaśniających i postępowaniu w sprawach o wykroczenia
CSIRT sektorowy, zespół reagowania na incydenty bezpieczeństwa komputerowego właściwy dla danego sektora	obsługa incydentu poważnego związanego z daną domeną
CSIRT GOV, CSIRT MON albo CSIRT NASK, krajowe zespoły reagowania na incydenty bezpieczeństwa komputerowego	obsługa incydentu poważnego albo incydentu krytycznego związanego z daną domeną
Podmiot wykonujący postanowienie sądu o zabezpieczeniu środka dowodowego (art. 4791°° § 1 Kodeksu postępowania cywilnego)	wykonanie tego postanowienia
Prezes Urzędu Komunikacji Elektronicznej	sprawdzenie, czy podmiot składający sprzeciw wobec wpisania domeny na listę ostrzeżeń dysponuje do tej domeny tytułem prawnym (art. 21 ust. 1 ustawy z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej)

Katalog jest zamknięty. Podmiot, którego nie ma w powyższej tabeli, nie może powołać się na art. 16c ustawy. Nie oznacza to, że nigdy nie otrzyma danych. Oznacza, że musi wskazać własną podstawę prawną, a jego żądanie rozpoznawane jest na zasadach ogólnych (pkt 11).

8. Co udostępniamy i czego nie

Administrator udziela dostępu wyłącznie do tych konkretnych danych dotyczących rejestracji domeny, które mają znaczenie dla prowadzonego postępowania albo czynności wyjaśniających, z zachowaniem przepisów o ochronie danych osobowych. Zakres wyznacza treść żądania.

W praktyce oznacza to trzy ograniczenia:

• nie przekazujemy całości wpisu, jeżeli żądanie dotyczy jego części, na przykład wyłącznie danych kontaktowych abonenta albo wyłącznie daty rejestracji;

• nie przekazujemy danych innych domen tego samego abonenta, jeżeli żądanie ich nie obejmuje;

• nie przekazujemy danych osób trzecich, które przypadkiem znalazły się w dokumencie objętym żądaniem; dane te są przed przekazaniem zasłaniane.

Żądanie sformułowane ogólnie, na przykład wnioskujące o „wszystkie dane, jakimi dysponujecie", Administrator wykonuje w zakresie danych rejestracyjnych domeny wskazanej w żądaniu, zwracając się jednocześnie o doprecyzowanie, jeżeli wskazanie domeny również jest nieostre.

9. Jak złożyć żądanie

9.1. Forma, wymóg ustawowy

Żądanie składa się w postaci elektronicznej i opatruje jednym z czterech podpisów (art. 16c ust. 2):

• kwalifikowanym podpisem elektronicznym,

• podpisem zaufanym,

• podpisem osobistym,

• albo kwalifikowaną pieczęcią elektroniczną.

Żądanie zawiera uzasadnienie. To również wymóg ustawowy, a nie oczekiwanie Administratora.

9.2. Adres

Żądania przyjmowane są na adres: biuro@ehost.pl

Adres do korespondencji papierowej: EHOST Krzysztof Dziewoński, ul. Teofila Cichockiego 13/6, 24-100 Puławy. Korespondencja papierowa nie spełnia jednak ustawowego wymogu postaci elektronicznej. Służy wyłącznie sprawom, które nie są żądaniem z art. 16c ustawy.

9.3. Treść, co przyspiesza rozpoznanie

Aby żądanie mogło zostać rozpoznane w terminie 72 godzin, powinno zawierać:

1. oznaczenie podmiotu żądającego, nazwę jednostki, imię, nazwisko i stanowisko osoby podpisującej;

2. podstawę prawną, przepis, z którego wynika uprawnienie do żądania danych;

3. sygnaturę sprawy albo inne jej oznaczenie;

4. nazwę domeny albo domen, których żądanie dotyczy;

5. zakres żądanych danych, jakie informacje i za jaki okres;

6. uzasadnienie, po co dane są potrzebne w prowadzonym postępowaniu;

7. adres, na który ma zostać wysłana odpowiedź, oraz dane kontaktowe do dalszej korespondencji.

10. Termin odpowiedzi, 72 godziny

Administrator udziela odpowiedzi nie później niż w terminie 72 godzin od dnia otrzymania żądania (art. 16c ust. 3).

Trzy uwagi praktyczne:

• Termin liczony jest w godzinach, nie w dniach roboczych. Weekend i dni świąteczne biegną tak samo jak dni pracy: żądanie, które wpłynie w piątek po południu, wyczerpuje termin już w poniedziałek.

• Bieg terminu rozpoczyna otrzymanie żądania spełniającego wymogi formalne z pkt 9.1. Pismo pozbawione wymaganego podpisu albo uzasadnienia nie uruchamia biegu terminu. Administrator odpowiada wówczas w trybie opisanym w pkt 11.

• Data i godzina wpływu odnotowywane są niezwłocznie i stanowią element dokumentacji sprawy.

11. Żądanie, które nie spełnia wymagań

Administrator nie pozostawia takiego żądania bez odpowiedzi. Postępowanie zależy od rodzaju braku:

Rodzaj braku	Co robi Administrator
Brak wymaganego podpisu elektronicznego albo pieczęci	Odpowiada na wskazany adres, wskazując brak i prosząc o ponowne przesłanie żądania w wymaganej formie. Termin 72 godzin biegnie od otrzymania żądania spełniającego wymogi.
Brak uzasadnienia albo podstawy prawnej	Zwraca się o ich wskazanie. Sama pieczęć jednostki nie zastępuje podstawy prawnej.
Żądanie nieostre co do zakresu albo domeny	Wykonuje żądanie w zakresie, w jakim jest ono jednoznaczne, i zwraca się o doprecyzowanie pozostałej części.
Żądanie od podmiotu spoza katalogu z pkt 7	Informuje, że art. 16c ustawy nie ma zastosowania, i wskazuje, że żądanie rozpoznane zostanie na zasadach ogólnych, jeżeli wnioskodawca poda własną podstawę prawną.
Wątpliwość co do autentyczności żądania	Weryfikuje je, kontaktując się z jednostką pod danymi ustalonymi samodzielnie. Nigdy pod danymi kontaktowymi podanymi w samym piśmie. Podszywanie się pod organy jest znanym sposobem wyłudzania danych.

Żądania podmiotów prywatnych. Kancelaria prawna, firma windykacyjna, detektyw, ubezpieczyciel czy pełnomocnik osoby pozostającej w sporze z abonentem nie są organami w rozumieniu art. 16c ustawy. Samo powołanie się na naruszenie praw autorskich albo prawa do znaku towarowego nie jest podstawą do ujawnienia niepublicznych danych abonenta. Żądania takie rozpoznawane są na zasadach ogólnych wynikających z przepisów o ochronie danych osobowych, a droga do uzyskania danych prowadzi zwykle przez sąd, który mieści się w katalogu z pkt 7.

Czego Administrator nie robi w żadnym wypadku. Nie podaje danych rejestracyjnych przez telefon, niezależnie od tego, kto się przedstawia i jak pilna jest sprawa. Na pismo odpowiada pismem.

12. Dokumentowanie udostępnień

Każde żądanie i każde udostępnienie danych rejestracyjnych jest odnotowywane. Administrator prowadzi ewidencję zawierającą:

• datę i godzinę wpływu żądania;

• oznaczenie podmiotu żądającego i sygnaturę sprawy;

• nazwę domeny, której żądanie dotyczyło;

• zakres przekazanych danych, jakie informacje, w jakiej formie i za jaki okres;

• datę i godzinę wysłania odpowiedzi wraz z potwierdzeniem jej nadania;

• informację o odmowie albo o wezwaniu do uzupełnienia braków, wraz z uzasadnieniem.

Kopia żądania i odpowiedzi przechowywana jest wraz z ewidencją. Dokumentacja służy wykazaniu, że obowiązek został wykonany w terminie i w prawidłowym zakresie.

Czy abonent dowiaduje się o udostępnieniu jego danych. Co do zasady nie. Poinformowanie abonenta o żądaniu organu mogłoby zaszkodzić prowadzonemu postępowaniu, a niekiedy jest wprost niedopuszczalne. Przepisy przewidują w takich sytuacjach ograniczenie obowiązku informacyjnego. Jeżeli żądanie nie zawiera zastrzeżenia tajemnicy, a przepisy nie stoją na przeszkodzie, poinformowanie abonenta jest dopuszczalne, ale nigdy nie następuje automatycznie: najpierw sprawdzane jest, czy jest dozwolone.

13. To są dwie różne rzeczy

Najczęstsze nieporozumienie w tej dziedzinie polega na myleniu publikacji danych w publicznym rejestrze abonentów domen z udostępnieniem danych uprawnionemu organowi. To dwie odrębne operacje, oparte na innych podstawach, obejmujące inny zakres danych i wywołujące inne skutki.

	Publikacja w rejestrze abonentów (WHOIS)	Udostępnienie uprawnionemu podmiotowi
Kto ma dostęp	każdy, kto wpisze nazwę domeny w wyszukiwarkę	wyłącznie podmioty z katalogu w pkt 7
Na czym się opiera	u osób fizycznych, na dobrowolnej zgodzie abonenta; dane niebędące danymi osobowymi publikowane są z mocy ustawy (art. 16b ust. 7)	na przepisie ustawy (art. 16c). Zgoda abonenta nie jest wymagana i nie ma znaczenia
Jaki zakres	wyłącznie dane objęte zgodą albo dane niebędące danymi osobowymi	pełne dane rejestracyjne, w zakresie mającym znaczenie dla postępowania
Kto publikuje lub przekazuje	operator rejestru domeny; Administrator jedynie odbiera i przekazuje oświadczenie abonenta	Administrator
Czy da się to cofnąć	tak, zgodę można wycofać w każdej chwili ze skutkiem na przyszłość	nie, obowiązek wynika z ustawy

Wniosek praktyczny dla abonenta. Niewyrażenie zgody na publikację danych w rejestrze abonentów nie ukrywa danych przed sądem, prokuraturą ani Policją. Chroni je wyłącznie przed powszechnym wglądem, a to zupełnie inna sprawa. Odwrotnie również: wyrażenie zgody na publikację nie rozszerza uprawnień organów, bo te wynikają z ustawy, a nie ze zgody.

14. Publikacja danych o rejestracji, jak to działa

Dane niebędące danymi osobowymi publikowane są zawsze. Ustawa nakazuje niezwłoczną publikację danych dotyczących rejestracji domeny z wyłączeniem danych osobowych (art. 16b ust. 7). Obowiązek realizowany jest przez ogólnodostępny rejestr abonentów prowadzony przez operatora rejestru domeny (art. 16b ust. 8). Dotyczy to na przykład nazwy domeny, dat rejestracji i wygaśnięcia oraz adresów serwerów nazw.

Dane osobowe abonenta będącego osobą fizyczną publikowane są wyłącznie za jego zgodą. Przy rejestracji domeny abonent będący osobą fizyczną dokonuje odrębnego wyboru: czy jego dane mają być widoczne w publicznym rejestrze abonentów domen. Zgoda jest dobrowolna, jej brak nie uniemożliwia rejestracji domeny, a wybór nie wpływa na cenę ani na sposób świadczenia usługi. Obowiązek odebrania zgody spoczywa na Administratorze jako podmiocie, który przetwarza te dane jako pierwszy (art. 16b ust. 9).

Wybór dotyczy domen .pl i .eu. Przy pozostałych końcówkach o zakresie danych widocznych w rejestrze abonentów decyduje operator rejestru właściwy dla danej końcówki, zgodnie ze swoimi zasadami.

Dane firm. Dane abonentów niebędących osobami fizycznymi (spółek, instytucji, stowarzyszeń) nie są danymi osobowymi w rozumieniu przepisów o ochronie danych i widoczne są w rejestrze abonentów na zasadach określonych przez operatora rejestru. Danymi osobowymi pozostają natomiast dane osób kontaktowych wskazanych przez taką firmę i są chronione tak samo jak dane osób fizycznych.

Wycofanie zgody. Zgodę na publikację danych w rejestrze abonentów można wycofać w każdej chwili, wiadomością na adres biuro@ehost.pl wysłaną z adresu poczty elektronicznej zapisanego w danych rejestracyjnych domeny. Administrator przekazuje oświadczenie operatorowi rejestru. Wycofanie działa na przyszłość i nie wpływa na zgodność z prawem publikacji dokonanej wcześniej. Nie wpływa też na obowiązek udostępniania danych podmiotom uprawnionym.

15. Gdzie abonent sprawdzi swoje dane

• W publicznym rejestrze abonentów domen prowadzonym przez operatora rejestru domeny, jeżeli abonent wyraził zgodę na publikację albo jest firmą.

• Zwracając się do Administratora na adres biuro@ehost.pl z adresu poczty elektronicznej zapisanego w danych rejestracyjnych domeny. Administrator przekazuje zestawienie danych rejestracyjnych domeny bez opłat.

• W panelu usługi hostingowej, w zakresie danych kontaktowych, które abonent może tam również samodzielnie zaktualizować.

Abonentom będącym osobami fizycznymi przysługują ponadto prawa wynikające z przepisów o ochronie danych osobowych, w tym prawo dostępu do danych, ich sprostowania oraz wniesienia skargi do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych (www.uodo.gov.pl). Sposób korzystania z tych praw opisuje Polityka Prywatności dostępna na stronach internetowych Administratora.

16. Kontakt

Sprawa	Adres
Żądanie udostępnienia danych rejestracyjnych (art. 16c ustawy)	biuro@ehost.pl
Zgłoszenie zmiany danych rejestracyjnych	biuro@ehost.pl
Wycofanie zgody na publikację danych w rejestrze abonentów	biuro@ehost.pl
Zgłoszenie, że dane abonenta domeny są nieprawdziwe	biuro@ehost.pl
Korespondencja papierowa	EHOST Krzysztof Dziewoński, ul. Teofila Cichockiego 13/6, 24-100 Puławy

17. Obowiązywanie i aktualizacja

Niniejsze zasady obowiązują od 02.09.2026 i są publikowane na stronach internetowych Administratora, zgodnie z art. 16b ust. 6 oraz art. 16c ust. 3 ustawy o krajowym systemie cyberbezpieczeństwa.

Administrator dokonuje przeglądu treści co najmniej raz w roku; najbliższy przegląd przypada na 02.09.2027. Przegląd następuje ponadto niezwłocznie po każdej zmianie przepisów, po zmianie zasad publikowanych przez operatora rejestru domeny oraz po każdej zmianie sposobu weryfikacji danych rejestracyjnych po stronie Administratora.

Zmiany publikowane są w tym samym miejscu co niniejszy dokument, wraz ze wskazaniem daty ich wejścia w życie.