GDPR和區(qū)塊鏈技術之間存在著哪些關系

區(qū)塊鏈技術是分布式賬本技術的一種形式，自2009年比特幣誕生以來，該技術就開始嶄露頭角。隨著加密貨幣資產(chǎn)之外的更多用例的出現(xiàn)，人們越來越擔心區(qū)塊鏈技術和GDPR之間可能存在一些根本的不兼容性問題。然而，這是一個過于簡單化的觀點。正如歐盟區(qū)塊鏈 Observatory和 Forum在2018年10月發(fā)布的報告中所指出的那樣，遵守一般數(shù)據(jù)保護法規(guī)（“GDPR”）與技術無關，而是與如何使用技術有關。不存在與GDPR兼容的區(qū)塊鏈技術，只有與GDPR 兼容的用例和應用程序。

?

最近歐洲議會在2019年7月的研究“區(qū)塊鏈和一般數(shù)據(jù)保護條例——分布式賬本是否能與歐洲數(shù)據(jù)保護法保持一致”（“研究”）中指出，GDPR和區(qū)塊鏈技術之間存在許多緊張關系，主要原因有兩個：

首先，GDPR需要一個可識別的控制器，數(shù)據(jù)主體可以根據(jù)歐盟數(shù)據(jù)保護法對其行使法律權利。許多區(qū)塊鏈的分散化本質(zhì)，用許多參與者取代了單一參與者。再加上對如何界定（聯(lián)合）控制權缺乏共識，可能使分配責任和問責制變得困難。

第二，GDPR要求數(shù)據(jù)可以在必要時修改或刪除，以符合法律要求。區(qū)塊鏈往往是不可變的，或者至少在單方面修改數(shù)據(jù)時是很麻煩的，這樣做是為了確保數(shù)據(jù)的完整性和在網(wǎng)絡中創(chuàng)建信任?！版溕稀眱Υ娴膫€人資料不太可能符合資料最小化和用途限制的原則。然而，新的和改進的技術可能有助于解決這個問題，因為這個過程允許在不再需要數(shù)據(jù)時從區(qū)塊鏈中刪除數(shù)據(jù)。最佳實踐是將所有個人數(shù)據(jù)“離線”存儲，然后通過哈希值將其鏈接回分類賬。目前還不清楚這個哈希值（無法從分類賬中刪除）是否構成個人數(shù)據(jù)。該研究尋求監(jiān)管指導來回答這個問題。

下面，我們將重點關注研究中關于識別控制器以支持區(qū)塊鏈處理個人數(shù)據(jù)的評論。雖然本研究提到可能會因Fashion ID案例的結果而發(fā)生變化（因為本研究發(fā)表的是預判），但我們認為，鑒于該判決的發(fā)表，其觀點不太可能發(fā)生變化。

誰或什么是控制器？

管制人是決定處理個人資料的目的及方法的實體，并負責履行根據(jù)《個人資料（私隱）規(guī)例》所產(chǎn)生的責任。這包括負責保存處理活動的記錄，并向資料當事人提供資料，包括其身分及聯(lián)絡資料。正如研究中所強調(diào)的，必須就每項處理個人資料的工作，指明有關的控權人。在ID方面，歐洲聯(lián)盟法院（“CJEU”）再次重申，應該對“財務主任”的概念作出廣泛的解釋，因為這確保有效和全面地保護數(shù)據(jù)主體。

聯(lián)合控制

《GDPR》第26條規(guī)定，聯(lián)合控制是“兩個或兩個以上的控制器共同決定處理的目的和方法”。 該研究提到了CJEU在Wirtschaftsakademie Schleswig-Holstein的判決，該判決強調(diào)了對聯(lián)合控制權進行廣泛解釋的重要性，以確保有效和完整地保護數(shù)據(jù)主體。法院以時髦的方式重申，若干行動者對同一處理的共同責任并不要求他們每一個人都能取得有關的個人資料。法院進一步指出，共同責任的存在并不一定意味著處理個人資料的各經(jīng)營者的責任相同。在每一種情況下，必須對這些經(jīng)營者的責任水平進行評估，因為經(jīng)營者可能涉及個人處理的不同階段，程度也不同。然而，這種分析的實際情況仍然不確定。

用于區(qū)塊鏈應用程序的控制器

研究指出，在評估誰是支持區(qū)塊鏈處理個人數(shù)據(jù)的控制器時，不僅要考慮誰確定該用例中數(shù)據(jù)處理的目的和手段，而且還要檢查給定區(qū)塊鏈的治理設計。它進一步指出，對于誰應該被視為支持區(qū)塊鏈的處理控制器，幾乎沒有共識，所提供的注釋只是一般性的。每個方案都必須逐案評估。

區(qū)塊鏈是分布式數(shù)據(jù)庫，可以由多方操作。因此，許多行動者影響處理方法的決定。正如CJEU最近的判例法所指出的，對任何處理目的的影響可能足以使行為人有資格成為控制器。因此，正如研究中所指出的，在使用區(qū)塊鏈技術時，許多不同的實體可能具有控制器的資格。在評估誰有資格成為財務總監(jiān)時，有許多不同的因素需要考慮。以下是本研究在為區(qū)塊鏈應用識別控制器方面考慮的一些一般事項： 應用層-有可能有一個多層區(qū)塊鏈，其中包括一個應用層。如果存在這樣一個應用層，則決定在應用層處理個人數(shù)據(jù)的目的的法人實體有可能成為控制器。

私有區(qū)塊鏈——在一個私有分布式賬本中，通常有一個法律實體來決定個人數(shù)據(jù)處理的方法，而且通常還決定了個人數(shù)據(jù)處理的目的。 該法人實體將有資格擔任財務主任。然而，其他參與方，如使用分布式賬本基礎設施的參與方，也可以作為聯(lián)合控制器。

公開和無許可區(qū)塊鏈：

軟件發(fā)展商-這項研究認為，軟件發(fā)展商不太可能具備數(shù)據(jù)管制員的資格，因為他們通常不會影響某項個人資料處理作業(yè)的目的，而且在決定處理方法方面的作用有限。

節(jié)點——這些計算機存儲區(qū)塊鏈的完整或部分副本，并參與新塊的驗證。在這個問題上沒有一致的意見，但是一些人認為節(jié)點是聯(lián)合控制器。

礦工-這些實體運行協(xié)議，可以添加到區(qū)塊鏈和存儲在他們的計算機上的共享分類帳副本。雖然他們對處理的方法有很大的控制，但對目的卻幾乎沒有控制，因此，在這項研究看來，他們不太可能有資格成為控制者。這回避了一個問題，即它們是否因此會成為處理器，而這一點的實際意義可能非常重要。然而，這項研究并沒有完全涉及這一點。

用戶-用戶有可能成為個人資料的控制人（即使在某些情況下，他們處理資料是為了自己的目的）。根據(jù)《國內(nèi)生產(chǎn)總值條例》第2條，自然用戶可享有家庭豁免，但若使用公眾及未經(jīng)許可的區(qū)塊鏈作為個人資料，則不太可能適用。

對于如何解釋區(qū)塊鏈技術的參與者以保護數(shù)據(jù)的目的，目前還沒有多少共識。特別是在如何識別節(jié)點和挖掘器方面，可能有更多的解釋空間。但是，正如整個研究中所指出的，每個用例可能與其他用例不同，需要根據(jù)其自身的結構和實現(xiàn)進行分析。

未來的發(fā)展

這項研究提到了新的和正在進行的技術發(fā)展，雖然這些發(fā)展仍然不成熟，需要進一步的發(fā)展才能使它們對預期的目標有用，但可以幫助解決諸如可伸縮性或改進治理結構等問題，以便在多個行動者之間分配責任。研究中引入的一些技術發(fā)展，試圖克服GDPR的匿名閾值，使數(shù)據(jù)超出GDPR的范圍。研究中涉及的技術包括零知識證明、隱地址、同態(tài)加密、狀態(tài)信道和環(huán)簽名、等。盡管其中一些技術比其他技術更有希望，但它可能需要結合技術發(fā)展，全面解決該研究在公共區(qū)塊鏈背景下提出的所有GDPR擔憂。

接下來是什么？

這項研究的結論建議如下：

歐洲數(shù)據(jù)保護委員會（“EDPB”）對區(qū)塊鏈技術的具體監(jiān)管指導，并更新未經(jīng)EDPB批準的相關第29條工作組指導;

為區(qū)塊鏈技術的跨學科研究提供資金

鼓勵使用區(qū)塊鏈技術的行業(yè)內(nèi)行為準則和認證機制。
來源；區(qū)塊網(wǎng)