GDPR與區(qū)塊鏈在保護(hù)數(shù)據(jù)處理的方面能否依賴和相協(xié)調(diào)

GDPR：《通用數(shù)據(jù)保護(hù)條例》General Data Protection Regulation，簡稱GDPR，為歐洲聯(lián)盟的條例，前身是歐盟在1995年制定的《計算機(jī)數(shù)據(jù)保護(hù)法》。2018年5月25日，歐洲聯(lián)盟出臺《通用數(shù)據(jù)保護(hù)條例》。

自2013年以來，在Nasdag網(wǎng)站一直在探索和測試區(qū)塊鏈技術(shù)的可能用途。我們堅信，它有可能提高整個金融服務(wù)業(yè)和其他部門的效率、可靠性和透明度。它是否能很好地實(shí)現(xiàn)這一潛力，取決于它能否按照GDPR賦予個人新的隱私權(quán)和其他權(quán)利來運(yùn)作。

雖然GDPR和區(qū)塊鏈在保護(hù)數(shù)據(jù)處理中的完整性和問責(zé)制方面有著類似的基本承諾，但也有人對GDPR的具體要求能否與區(qū)塊鏈的運(yùn)作方式相一致表示關(guān)切。例如，GDPR的核心要求，如數(shù)據(jù)最小化、對國際轉(zhuǎn)讓的限制和個人的擦除權(quán)利（即“被遺忘的權(quán)利”）是否與區(qū)塊鏈對不可變的、分布式的分類賬的依賴相協(xié)調(diào)？

鑒于違反GDPR的后果（例如最高每年?duì)I業(yè)額的4%罰款、有可能的訴訟和聲譽(yù)損害），金融服務(wù)和其他行業(yè)正在尋求保證，確保GDPR的要求和區(qū)塊鏈的核心業(yè)務(wù)職能不會遭到不可調(diào)和的反對。法國數(shù)據(jù)保護(hù)當(dāng)局的初步指導(dǎo)和報告開始討論如何根據(jù)GDPR兼容實(shí)施區(qū)塊鏈解決方案。這些數(shù)據(jù)保護(hù)組織包括全國信息自由委員會（CNIL）、歐盟區(qū)塊鏈觀測站和Forum（區(qū)塊鏈Forum，是BBS的一種，是基于BBS技術(shù)的可以通過WEB頁面訪問的站點(diǎn)。）。

迄今為止，歐洲數(shù)據(jù)保護(hù)委員會（EDPB）和國家數(shù)據(jù)保護(hù)當(dāng)局（CNIL除外）都沒有發(fā)布關(guān)于如何按照GDPR實(shí)施區(qū)塊鏈的正式指南。CNIL（《在個人數(shù)據(jù)背景下負(fù)責(zé)任地使用區(qū)塊鏈個人數(shù)據(jù)的解決方案》）和區(qū)塊鏈論壇（《區(qū)塊鏈和GDPR》）的最近出版物代表了他們已經(jīng)在這一問題上給出了第一個具體的答案。重要的是，這些出版物反映了監(jiān)管機(jī)構(gòu)和思想領(lǐng)袖不斷承諾參與制定一個可行的框架，將區(qū)塊鏈技術(shù)應(yīng)用于個人數(shù)據(jù)處理。這些出版物和其他在這一領(lǐng)域開始規(guī)劃的關(guān)鍵項(xiàng)目，符合GDPR的區(qū)塊鏈實(shí)現(xiàn)在金融服務(wù)領(lǐng)域?qū)⑿枰喜ⅰ＿@些措施包括：

將單個實(shí)體標(biāo)識為數(shù)據(jù)“控制器”，由所有其他參與者和解決方案提供者作為數(shù)據(jù)“處理器”。根據(jù)GDPR，個人數(shù)據(jù)控制器負(fù)有第一線合規(guī)責(zé)任。在區(qū)塊鏈模型中，特別是在幾個實(shí)體共同利用區(qū)塊鏈的情況下，可以讓多個當(dāng)事方充當(dāng)數(shù)據(jù)控制器，從而增加了聯(lián)合控制器的潛在復(fù)雜情況。為了避免這種情況，實(shí)體應(yīng)該創(chuàng)建一個新的特殊目的實(shí)體，或者以合同方式標(biāo)識單個控制器。使用區(qū)塊鏈的其他實(shí)體和驗(yàn)證條目的礦工將成為控制器合同下的處理器。

在可能的情況下，避免將個人數(shù)據(jù)存儲在區(qū)塊鏈上，如果需要存儲，請盡量減少個人數(shù)據(jù)，并采用強(qiáng)散列或加密措施。區(qū)塊鏈的核心用途是證明發(fā)生了事務(wù)或記錄是有效的。如果交易或記錄涉及自然人，則不可避免地涉及個人資料。然而，這樣的個人數(shù)據(jù)通常不需要存儲在區(qū)塊鏈上，相反，條目可以提供記錄本身存儲在區(qū)塊鏈之外的證據(jù)。這種方法有助于滿足GDPR下的數(shù)據(jù)最小化和安全性要求。

使用以私人和許可為基礎(chǔ)的區(qū)塊鏈，以合約方式解決GDPR的國際轉(zhuǎn)讓要求：GDPR對EEA以外的數(shù)據(jù)傳輸施加限制，個人數(shù)據(jù)只能轉(zhuǎn)讓給為數(shù)據(jù)提供充分保護(hù)的實(shí)體，或者受具有約束力的公司，再或者是受到示范合約條款約束的實(shí)體，以保護(hù)數(shù)據(jù)。這些要求不符合公共和無權(quán)限的區(qū)塊鏈網(wǎng)絡(luò)（在這種情況下，數(shù)據(jù)位置不能被限制）。因此，解決方案應(yīng)該利用私有和基于許可的區(qū)塊鏈，在這種情況下，每個參與者都同意某些國際轉(zhuǎn)讓條款來交換信息。主要挑戰(zhàn)是在確保個人數(shù)據(jù)主體權(quán)利的情況下，如何以符合GDPR的方式實(shí)現(xiàn)區(qū)塊鏈解決方案的細(xì)節(jié)，最大的挑戰(zhàn)是任何解決方案如何能夠滿足GDPR規(guī)定的所有數(shù)據(jù)主體權(quán)利。

GDPR提供的某些個人權(quán)利，例如個人數(shù)據(jù)處理的可移植性、訪問權(quán)和統(tǒng)計權(quán)，可以很容易地通過區(qū)塊鏈技術(shù)加以解決，事實(shí)上，還可以發(fā)揮其優(yōu)勢。其他權(quán)利，如限制權(quán)，可以內(nèi)置在解決方案的編程方式中，反對自動決策的權(quán)利可以通過業(yè)務(wù)流程來解決。

然而，由于區(qū)塊鏈技術(shù)是由持久、去中心化的記錄構(gòu)成的，因此有效地確保GDPR賦予個人的擦除權(quán)和糾正權(quán)是一項(xiàng)重大的合規(guī)挑戰(zhàn)。如CNIL報告所述，當(dāng)數(shù)據(jù)被記錄為承諾、散列或加密時，控制器可以“接近”這些權(quán)利，使其無法在功能上實(shí)現(xiàn)擦除，為進(jìn)行糾正，控制器將無法訪問的記錄與新塊中的替換、校正條目結(jié)合起來。這些機(jī)制是否在法律上等同于GDPR提供的充分權(quán)利尚不確定，需要進(jìn)一步分析，并最終由EDPB加以解決。

這是一個重要的第一步，但還需要更多，正如區(qū)塊鏈論壇指出的那樣：“這里不存在符合GDPR的區(qū)塊鏈技術(shù)，只有符合GDPR的用例和應(yīng)用程序?！碧幚韨€人數(shù)據(jù)的任何技術(shù)也是如此，在區(qū)塊鏈的背景下提出的許多安全、透明度和數(shù)據(jù)主體權(quán)利等問題都面臨著其他類型的現(xiàn)有技術(shù)挑戰(zhàn)。與傳統(tǒng)技術(shù)相比，區(qū)塊鏈的獨(dú)特之處在于它的新穎性，雖然區(qū)塊鏈具有巨大的上行潛力，但要實(shí)現(xiàn)這一點(diǎn)，公司需要大量的投資和意愿。在如何開發(fā)滿足GDPR要求的區(qū)塊鏈解決方案方面仍然存在不確定性，即使是創(chuàng)新的公司也可能不愿意采取這些步驟。

CNIL和區(qū)塊鏈論壇的工作是消除這種不確定性的重要的第一步。我們同意區(qū)塊鏈論壇的觀點(diǎn)，認(rèn)為下一步的一個重要步驟將是提高對潛在區(qū)塊鏈用例的理解，進(jìn)一步研究某些GDPR要求可能對這些用途產(chǎn)生的影響。

然后，這種理解將有助于推動環(huán)境保護(hù)委員會、國家監(jiān)管機(jī)構(gòu)、隱私倡導(dǎo)者、行業(yè)、技術(shù)創(chuàng)新者和其他利益攸關(guān)方之間的有效對話，以形成共識，需要對區(qū)塊鏈采取切實(shí)可行的全面監(jiān)管辦法，保護(hù)GDPR所包含的重要權(quán)利和利益，同時使其能夠帶來積極的利益。