區(qū)塊鏈和GDPR可以學(xué)到哪些

區(qū)塊鏈技術(shù)是分布式賬本技術(shù)的一種形式，自2009年比特幣誕生以來，該技術(shù)就開始嶄露頭角。隨著加密貨幣資產(chǎn)之外的更多用例的出現(xiàn)，人們越來越擔(dān)心區(qū)塊鏈技術(shù)和GDPR之間可能存在一些根本的不兼容性問題。然而，這是一個過于簡單化的觀點。正如歐盟區(qū)塊鏈 Observatory和 Forum在2018年10月發(fā)布的報告中所指出的那樣，遵守一般數(shù)據(jù)保護(hù)法規(guī)（“GDPR”）與技術(shù)無關(guān)，而是與如何使用技術(shù)有關(guān)。不存在與GDPR兼容的區(qū)塊鏈技術(shù)，只有與GDPR 兼容的用例和應(yīng)用程序。

最近歐洲議會在2019年7月的研究“區(qū)塊鏈和一般數(shù)據(jù)保護(hù)條例——分布式賬本是否能與歐洲數(shù)據(jù)保護(hù)法保持一致”（“研究”）中指出，GDPR和區(qū)塊鏈技術(shù)之間存在許多緊張關(guān)系，主要原因有兩個：

首先，GDPR需要一個可識別的控制器，數(shù)據(jù)主體可以根據(jù)歐盟數(shù)據(jù)保護(hù)法對其行使法律權(quán)利。許多區(qū)塊鏈的分散化本質(zhì)，用許多參與者取代了單一參與者。再加上對如何界定（聯(lián)合）控制權(quán)缺乏共識，可能使分配責(zé)任和問責(zé)制變得困難。

第二，GDPR要求數(shù)據(jù)可以在必要時修改或刪除，以符合法律要求。區(qū)塊鏈往往是不可變的，或者至少在單方面修改數(shù)據(jù)時是很麻煩的，這樣做是為了確保數(shù)據(jù)的完整性和在網(wǎng)絡(luò)中創(chuàng)建信任?！版溕稀眱Υ娴膫€人資料不太可能符合資料最小化和用途限制的原則。然而，新的和改進(jìn)的技術(shù)可能有助于解決這個問題，因為這個過程允許在不再需要數(shù)據(jù)時從區(qū)塊鏈中刪除數(shù)據(jù)。最佳實踐是將所有個人數(shù)據(jù)“離線”存儲，然后通過哈希值將其鏈接回分類賬。目前還不清楚這個哈希值（無法從分類賬中刪除）是否構(gòu)成個人數(shù)據(jù)。該研究尋求監(jiān)管指導(dǎo)來回答這個問題。

下面，我們將重點關(guān)注研究中關(guān)于識別控制器以支持區(qū)塊鏈處理個人數(shù)據(jù)的評論。雖然本研究提到可能會因Fashion ID案例的結(jié)果而發(fā)生變化（因為本研究發(fā)表的是預(yù)判），但我們認(rèn)為，鑒于該判決的發(fā)表，其觀點不太可能發(fā)生變化。

誰或什么是控制器？

管制人是決定處理個人資料的目的及方法的實體，并負(fù)責(zé)履行根據(jù)《個人資料（私隱）規(guī)例》所產(chǎn)生的責(zé)任。這包括負(fù)責(zé)保存處理活動的記錄，并向資料當(dāng)事人提供資料，包括其身分及聯(lián)絡(luò)資料。正如研究中所強調(diào)的，必須就每項處理個人資料的工作，指明有關(guān)的控權(quán)人。在ID方面，歐洲聯(lián)盟法院（“CJEU”）再次重申，應(yīng)該對“財務(wù)主任”的概念作出廣泛的解釋，因為這確保有效和全面地保護(hù)數(shù)據(jù)主體。

聯(lián)合控制

《GDPR》第26條規(guī)定，聯(lián)合控制是“兩個或兩個以上的控制器共同決定處理的目的和方法”。 該研究提到了CJEU在Wirtschaftsakademie Schleswig-Holstein的判決，該判決強調(diào)了對聯(lián)合控制權(quán)進(jìn)行廣泛解釋的重要性，以確保有效和完整地保護(hù)數(shù)據(jù)主體。法院以時髦的方式重申，若干行動者對同一處理的共同責(zé)任并不要求他們每一個人都能取得有關(guān)的個人資料。法院進(jìn)一步指出，共同責(zé)任的存在并不一定意味著處理個人資料的各經(jīng)營者的責(zé)任相同。在每一種情況下，必須對這些經(jīng)營者的責(zé)任水平進(jìn)行評估，因為經(jīng)營者可能涉及個人處理的不同階段，程度也不同。然而，這種分析的實際情況仍然不確定。

用于區(qū)塊鏈應(yīng)用程序的控制器

研究指出，在評估誰是支持區(qū)塊鏈處理個人數(shù)據(jù)的控制器時，不僅要考慮誰確定該用例中數(shù)據(jù)處理的目的和手段，而且還要檢查給定區(qū)塊鏈的治理設(shè)計。它進(jìn)一步指出，對于誰應(yīng)該被視為支持區(qū)塊鏈的處理控制器，幾乎沒有共識，所提供的注釋只是一般性的。每個方案都必須逐案評估。

區(qū)塊鏈?zhǔn)欠植际?u>數(shù)據(jù)庫，可以由多方操作。因此，許多行動者影響處理方法的決定。正如CJEU最近的判例法所指出的，對任何處理目的的影響可能足以使行為人有資格成為控制器。因此，正如研究中所指出的，在使用區(qū)塊鏈技術(shù)時，許多不同的實體可能具有控制器的資格。在評估誰有資格成為財務(wù)總監(jiān)時，有許多不同的因素需要考慮。以下是本研究在為區(qū)塊鏈應(yīng)用識別控制器方面考慮的一些一般事項： 應(yīng)用層-有可能有一個多層區(qū)塊鏈，其中包括一個應(yīng)用層。如果存在這樣一個應(yīng)用層，則決定在應(yīng)用層處理個人數(shù)據(jù)的目的的法人實體有可能成為控制器。

私有區(qū)塊鏈——在一個私有分布式賬本中，通常有一個法律實體來決定個人數(shù)據(jù)處理的方法，而且通常還決定了個人數(shù)據(jù)處理的目的。 該法人實體將有資格擔(dān)任財務(wù)主任。然而，其他參與方，如使用分布式賬本基礎(chǔ)設(shè)施的參與方，也可以作為聯(lián)合控制器。

公開和無許可區(qū)塊鏈：

軟件發(fā)展商-這項研究認(rèn)為，軟件發(fā)展商不太可能具備數(shù)據(jù)管制員的資格，因為他們通常不會影響某項個人資料處理作業(yè)的目的，而且在決定處理方法方面的作用有限。

節(jié)點——這些計算機存儲區(qū)塊鏈的完整或部分副本，并參與新塊的驗證。在這個問題上沒有一致的意見，但是一些人認(rèn)為節(jié)點是聯(lián)合控制器。

礦工-這些實體運行協(xié)議，可以添加到區(qū)塊鏈和存儲在他們的計算機上的共享分類帳副本。雖然他們對處理的方法有很大的控制，但對目的卻幾乎沒有控制，因此，在這項研究看來，他們不太可能有資格成為控制者。這回避了一個問題，即它們是否因此會成為處理器，而這一點的實際意義可能非常重要。然而，這項研究并沒有完全涉及這一點。

用戶-用戶有可能成為個人資料的控制人（即使在某些情況下，他們處理資料是為了自己的目的）。根據(jù)《國內(nèi)生產(chǎn)總值條例》第2條，自然用戶可享有家庭豁免，但若使用公眾及未經(jīng)許可的區(qū)塊鏈作為個人資料，則不太可能適用。

對于如何解釋區(qū)塊鏈技術(shù)的參與者以保護(hù)數(shù)據(jù)的目的，目前還沒有多少共識。特別是在如何識別節(jié)點和挖掘器方面，可能有更多的解釋空間。但是，正如整個研究中所指出的，每個用例可能與其他用例不同，需要根據(jù)其自身的結(jié)構(gòu)和實現(xiàn)進(jìn)行分析。

未來的發(fā)展

這項研究提到了新的和正在進(jìn)行的技術(shù)發(fā)展，雖然這些發(fā)展仍然不成熟，需要進(jìn)一步的發(fā)展才能使它們對預(yù)期的目標(biāo)有用，但可以幫助解決諸如可伸縮性或改進(jìn)治理結(jié)構(gòu)等問題，以便在多個行動者之間分配責(zé)任。研究中引入的一些技術(shù)發(fā)展，試圖克服GDPR的匿名閾值，使數(shù)據(jù)超出GDPR的范圍。研究中涉及的技術(shù)包括零知識證明、隱地址、同態(tài)加密、狀態(tài)信道和環(huán)簽名、等。盡管其中一些技術(shù)比其他技術(shù)更有希望，但它可能需要結(jié)合技術(shù)發(fā)展，全面解決該研究在公共區(qū)塊鏈背景下提出的所有GDPR擔(dān)憂。

接下來是什么？

這項研究的結(jié)論建議如下：

歐洲數(shù)據(jù)保護(hù)委員會（“EDPB”）對區(qū)塊鏈技術(shù)的具體監(jiān)管指導(dǎo)，并更新未經(jīng)EDPB批準(zhǔn)的相關(guān)第29條工作組指導(dǎo);

為區(qū)塊鏈技術(shù)的跨學(xué)科研究提供資金

鼓勵使用區(qū)塊鏈技術(shù)的行業(yè)內(nèi)行為準(zhǔn)則和認(rèn)證機制。

來源： 區(qū)塊網(wǎng)