自從去年5月生效后，《通用數(shù)據(jù)保護條例》改變了隱私和數(shù)據(jù)使用的游戲規(guī)則。今年夏天，英國數(shù)據(jù)隱私監(jiān)管機構信息專員辦公室宣布，打算對英國航空公司處以1.83億英鎊和萬豪國際0.99億英鎊的罰款，原因是不當管理個人數(shù)據(jù)。然而，盡管GDPR似乎處于強大的立法地位--尤其是在全球各地都在起草類似法規(guī)的時候--但它在新興的數(shù)字世界的應用，甚至它的恰當性，正受到區(qū)塊鏈的挑戰(zhàn)。

在歐盟關于區(qū)塊鏈和GDPR的報告中，監(jiān)管機構承認已經確定了“多個緊張點”，而且圍繞這一問題相當缺乏法律確定性。不確定性的一個方面是“個人數(shù)據(jù)”的定義。GDPR處理有關人們在線活動和個人細節(jié)的信息，但你可能會認為公鑰和交易記錄，這兩個區(qū)塊鏈網(wǎng)絡的賴以生存的東西，是另一種數(shù)據(jù)。

不變記錄

當個人數(shù)據(jù)被加密或散列時，標準就變得模糊了。散列是一種數(shù)據(jù)配置，其中個人標識符被替換為唯一的、固定長度的代碼。但是，如果散列仍然可以修改為一個特定的“散列函數(shù)”和收集到的個別細節(jié)，那么這些數(shù)據(jù)是否仍然是個人的呢？通常是的，因為它僅僅是“化名”，而不是完全的“假名化”。

這是一個重要的問題，因為區(qū)塊鏈的兩個核心功能似乎與GDPR有著更根本的沖突。第一種是記錄的不可改變的性質。區(qū)塊鏈分布式賬是有意設計的，以使以后的修改和刪除極其困難。雖然這允許一個可靠的數(shù)據(jù)記錄，但它顯然與GDPR的“存儲限制”的關鍵原則之一和被大肆宣揚的“被遺忘的權利”相沖突。

限制儲存原則意味著個人數(shù)據(jù)的保存時間不得超過為實現(xiàn)收集數(shù)據(jù)的目的而需要的時間。被遺忘的權利意味著在某些情況下，個人可以要求刪除以前公布的材料?？紤]到這一點，與區(qū)塊鏈的沖突是相當明顯的。區(qū)塊鏈除了在最特殊的情況下是不能改變的時候，這與一項要求個人數(shù)據(jù)的規(guī)則如何協(xié)調才能被共存呢？

這個問題可能很難解決，但也不是不可能的。一個解決方案可能不會實現(xiàn)完全刪除，但只要它能滿足監(jiān)管機構的要求，它就會奏效。例如，一種解決方案可能是刪除允許驗證的元素，例如哈希函數(shù)的“秘密密鑰”。這是用來生成散列的代碼，因此隱藏了原始數(shù)據(jù)。盡管這類解決方案不一定完全刪除區(qū)塊分類賬中的數(shù)據(jù)，但一些歐盟數(shù)據(jù)保護監(jiān)管機構認為，這是構成有效刪除的“次生之寶”。

分布式分類賬

區(qū)塊鏈的其他好處之一是其分類賬的“分布式”性質。沒有一個個人或代理人控制最終記錄，網(wǎng)絡中的每個成員通常都持有整個分類賬的完全相同的副本。雖然這在信息共享中嵌入了信任和可靠性，但它給GDPR對數(shù)據(jù)“控制器”的分類帶來了復雜性。

根據(jù)GDPR，決定處理個人數(shù)據(jù)的目的和手段的人，是一個“控制器”，負責確保按照GDPR的數(shù)據(jù)保護原則管理這些數(shù)據(jù)。區(qū)塊鏈可以分配和民主化任何交易的權力，但他們也分配責任。當數(shù)據(jù)被泄露，人們的生命受到影響時，誰能被追究責任？對數(shù)據(jù)占有中的任何變化分配責任份額并不可行。

問題并沒有就此結束。在對任何數(shù)據(jù)集的管理人員進行分類時，GDPR對在控制器指導下傳輸和修改數(shù)據(jù)的數(shù)據(jù)“控制器”和數(shù)據(jù)“處理器”進行了區(qū)分。在傳統(tǒng)的分析中，這是有意義的。處理器在數(shù)據(jù)管理方面有許多義務，但最終的責任在于控制器。

然而，在區(qū)塊鏈世界中，分類賬的分布特性意味著“控制器”和“處理器”之間的二進制區(qū)分很難進行。法國數(shù)據(jù)監(jiān)管機構CNIL最近得出結論，所有區(qū)塊鏈行為者都將被指定為“控制器”，在這里，區(qū)塊鏈捕獲專業(yè)或商業(yè)交易。

澄清立場

正如歐盟所強調的那樣，區(qū)塊鏈的兩個核心特征很難與GDPR相協(xié)調。但GDPR是一項基于原則的監(jiān)管，旨在實現(xiàn)技術中立，并對未來進行防范。因此，問題在很大程度上不是區(qū)塊鏈或GDPR本身，而是缺乏關于如何在這方面適用GDPR下的具體概念的法律明確性。

如果沒有一個清晰的框架和明確的規(guī)則，區(qū)塊鏈的開發(fā)可能很難取得進展。因此，歐洲數(shù)據(jù)保護委員會應該與國家監(jiān)管機構協(xié)調，起草關于區(qū)塊鏈的新指導，或許數(shù)據(jù)隱私監(jiān)管機構不久就會把注意力轉向區(qū)塊鏈，因為它為人工智能技術提供審計框架的工作已經結束。