GDPR與區(qū)塊鏈在保護數據處理的方面能否依賴和相協調

GDPR：《通用數據保護條例》General Data Protection Regulation，簡稱GDPR，為歐洲聯盟的條例，前身是歐盟在1995年制定的《計算機數據保護法》。2018年5月25日，歐洲聯盟出臺《通用數據保護條例》。

自2013年以來，在Nasdag網站一直在探索和測試區(qū)塊鏈技術的可能用途。我們堅信，它有可能提高整個金融服務業(yè)和其他部門的效率、可靠性和透明度。它是否能很好地實現這一潛力，取決于它能否按照GDPR賦予個人新的隱私權和其他權利來運作。

雖然GDPR和區(qū)塊鏈在保護數據處理中的完整性和問責制方面有著類似的基本承諾，但也有人對GDPR的具體要求能否與區(qū)塊鏈的運作方式相一致表示關切。例如，GDPR的核心要求，如數據最小化、對國際轉讓的限制和個人的擦除權利（即“被遺忘的權利”）是否與區(qū)塊鏈對不可變的、分布式的分類賬的依賴相協調？

鑒于違反GDPR的后果（例如最高每年營業(yè)額的4%罰款、有可能的訴訟和聲譽損害），金融服務和其他行業(yè)正在尋求保證，確保GDPR的要求和區(qū)塊鏈的核心業(yè)務職能不會遭到不可調和的反對。法國數據保護當局的初步指導和報告開始討論如何根據GDPR兼容實施區(qū)塊鏈解決方案。這些數據保護組織包括全國信息自由委員會（CNIL）、歐盟區(qū)塊鏈觀測站和Forum（區(qū)塊鏈Forum，是BBS的一種，是基于BBS技術的可以通過WEB頁面訪問的站點。）。

迄今為止，歐洲數據保護委員會（EDPB）和國家數據保護當局（CNIL除外）都沒有發(fā)布關于如何按照GDPR實施區(qū)塊鏈的正式指南。CNIL（《在個人數據背景下負責任地使用區(qū)塊鏈個人數據的解決方案》）和區(qū)塊鏈論壇（《區(qū)塊鏈和GDPR》）的最近出版物代表了他們已經在這一問題上給出了第一個具體的答案。重要的是，這些出版物反映了監(jiān)管機構和思想領袖不斷承諾參與制定一個可行的框架，將區(qū)塊鏈技術應用于個人數據處理。這些出版物和其他在這一領域開始規(guī)劃的關鍵項目，符合GDPR的區(qū)塊鏈實現在金融服務領域將需要合并。這些措施包括：

將單個實體標識為數據“控制器”，由所有其他參與者和解決方案提供者作為數據“處理器”。根據GDPR，個人數據控制器負有第一線合規(guī)責任。在區(qū)塊鏈模型中，特別是在幾個實體共同利用區(qū)塊鏈的情況下，可以讓多個當事方充當數據控制器，從而增加了聯合控制器的潛在復雜情況。為了避免這種情況，實體應該創(chuàng)建一個新的特殊目的實體，或者以合同方式標識單個控制器。使用區(qū)塊鏈的其他實體和驗證條目的礦工將成為控制器合同下的處理器。

在可能的情況下，避免將個人數據存儲在區(qū)塊鏈上，如果需要存儲，請盡量減少個人數據，并采用強散列或加密措施。區(qū)塊鏈的核心用途是證明發(fā)生了事務或記錄是有效的。如果交易或記錄涉及自然人，則不可避免地涉及個人資料。然而，這樣的個人數據通常不需要存儲在區(qū)塊鏈上，相反，條目可以提供記錄本身存儲在區(qū)塊鏈之外的證據。這種方法有助于滿足GDPR下的數據最小化和安全性要求。

使用以私人和許可為基礎的區(qū)塊鏈，以合約方式解決GDPR的國際轉讓要求：GDPR對EEA以外的數據傳輸施加限制，個人數據只能轉讓給為數據提供充分保護的實體，或者受具有約束力的公司，再或者是受到示范合約條款約束的實體，以保護數據。這些要求不符合公共和無權限的區(qū)塊鏈網絡（在這種情況下，數據位置不能被限制）。因此，解決方案應該利用私有和基于許可的區(qū)塊鏈，在這種情況下，每個參與者都同意某些國際轉讓條款來交換信息。主要挑戰(zhàn)是在確保個人數據主體權利的情況下，如何以符合GDPR的方式實現區(qū)塊鏈解決方案的細節(jié)，最大的挑戰(zhàn)是任何解決方案如何能夠滿足GDPR規(guī)定的所有數據主體權利。

GDPR提供的某些個人權利，例如個人數據處理的可移植性、訪問權和統(tǒng)計權，可以很容易地通過區(qū)塊鏈技術加以解決，事實上，還可以發(fā)揮其優(yōu)勢。其他權利，如限制權，可以內置在解決方案的編程方式中，反對自動決策的權利可以通過業(yè)務流程來解決。

然而，由于區(qū)塊鏈技術是由持久、去中心化的記錄構成的，因此有效地確保GDPR賦予個人的擦除權和糾正權是一項重大的合規(guī)挑戰(zhàn)。如CNIL報告所述，當數據被記錄為承諾、散列或加密時，控制器可以“接近”這些權利，使其無法在功能上實現擦除，為進行糾正，控制器將無法訪問的記錄與新塊中的替換、校正條目結合起來。這些機制是否在法律上等同于GDPR提供的充分權利尚不確定，需要進一步分析，并最終由EDPB加以解決。

這是一個重要的第一步，但還需要更多，正如區(qū)塊鏈論壇指出的那樣：“這里不存在符合GDPR的區(qū)塊鏈技術，只有符合GDPR的用例和應用程序?！碧幚韨€人數據的任何技術也是如此，在區(qū)塊鏈的背景下提出的許多安全、透明度和數據主體權利等問題都面臨著其他類型的現有技術挑戰(zhàn)。與傳統(tǒng)技術相比，區(qū)塊鏈的獨特之處在于它的新穎性，雖然區(qū)塊鏈具有巨大的上行潛力，但要實現這一點，公司需要大量的投資和意愿。在如何開發(fā)滿足GDPR要求的區(qū)塊鏈解決方案方面仍然存在不確定性，即使是創(chuàng)新的公司也可能不愿意采取這些步驟。

CNIL和區(qū)塊鏈論壇的工作是消除這種不確定性的重要的第一步。我們同意區(qū)塊鏈論壇的觀點，認為下一步的一個重要步驟將是提高對潛在區(qū)塊鏈用例的理解，進一步研究某些GDPR要求可能對這些用途產生的影響。

然后，這種理解將有助于推動環(huán)境保護委員會、國家監(jiān)管機構、隱私倡導者、行業(yè)、技術創(chuàng)新者和其他利益攸關方之間的有效對話，以形成共識，需要對區(qū)塊鏈采取切實可行的全面監(jiān)管辦法，保護GDPR所包含的重要權利和利益，同時使其能夠帶來積極的利益。