區塊鏈技術是分布式賬本技術的一種形式，自2009年比特幣誕生以來，該技術就開始嶄露頭角。隨著加密貨幣資產之外的更多用例的出現，人們越來越擔心區塊鏈技術和GDPR之間可能存在一些根本的不兼容性問題。然而，這是一個過于簡單化的觀點。正如歐盟區塊鏈 Observatory和 Forum在2018年10月發布的報告中所指出的那樣，遵守一般數據保護法規（“GDPR”）與技術無關，而是與如何使用技術有關。不存在與GDPR兼容的區塊鏈技術，只有與GDPR 兼容的用例和應用程序。

?

最近歐洲議會在2019年7月的研究“區塊鏈和一般數據保護條例——分布式賬本是否能與歐洲數據保護法保持一致”（“研究”）中指出，GDPR和區塊鏈技術之間存在許多緊張關系，主要原因有兩個：

首先，GDPR需要一個可識別的控制器，數據主體可以根據歐盟數據保護法對其行使法律權利。許多區塊鏈的分散化本質，用許多參與者取代了單一參與者。再加上對如何界定（聯合）控制權缺乏共識，可能使分配責任和問責制變得困難。

第二，GDPR要求數據可以在必要時修改或刪除，以符合法律要求。區塊鏈往往是不可變的，或者至少在單方面修改數據時是很麻煩的，這樣做是為了確保數據的完整性和在網絡中創建信任。“鏈上”儲存的個人資料不太可能符合資料最小化和用途限制的原則。然而，新的和改進的技術可能有助于解決這個問題，因為這個過程允許在不再需要數據時從區塊鏈中刪除數據。最佳實踐是將所有個人數據“離線”存儲，然后通過哈希值將其鏈接回分類賬。目前還不清楚這個哈希值（無法從分類賬中刪除）是否構成個人數據。該研究尋求監管指導來回答這個問題。

下面，我們將重點關注研究中關于識別控制器以支持區塊鏈處理個人數據的評論。雖然本研究提到可能會因Fashion ID案例的結果而發生變化（因為本研究發表的是預判），但我們認為，鑒于該判決的發表，其觀點不太可能發生變化。

誰或什么是控制器？

管制人是決定處理個人資料的目的及方法的實體，并負責履行根據《個人資料（私隱）規例》所產生的責任。這包括負責保存處理活動的記錄，并向資料當事人提供資料，包括其身分及聯絡資料。正如研究中所強調的，必須就每項處理個人資料的工作，指明有關的控權人。在ID方面，歐洲聯盟法院（“CJEU”）再次重申，應該對“財務主任”的概念作出廣泛的解釋，因為這確保有效和全面地保護數據主體。

聯合控制

《GDPR》第26條規定，聯合控制是“兩個或兩個以上的控制器共同決定處理的目的和方法”。 該研究提到了CJEU在Wirtschaftsakademie Schleswig-Holstein的判決，該判決強調了對聯合控制權進行廣泛解釋的重要性，以確保有效和完整地保護數據主體。法院以時髦的方式重申，若干行動者對同一處理的共同責任并不要求他們每一個人都能取得有關的個人資料。法院進一步指出，共同責任的存在并不一定意味著處理個人資料的各經營者的責任相同。在每一種情況下，必須對這些經營者的責任水平進行評估，因為經營者可能涉及個人處理的不同階段，程度也不同。然而，這種分析的實際情況仍然不確定。

用于區塊鏈應用程序的控制器

研究指出，在評估誰是支持區塊鏈處理個人數據的控制器時，不僅要考慮誰確定該用例中數據處理的目的和手段，而且還要檢查給定區塊鏈的治理設計。它進一步指出，對于誰應該被視為支持區塊鏈的處理控制器，幾乎沒有共識，所提供的注釋只是一般性的。每個方案都必須逐案評估。

區塊鏈是分布式數據庫，可以由多方操作。因此，許多行動者影響處理方法的決定。正如CJEU最近的判例法所指出的，對任何處理目的的影響可能足以使行為人有資格成為控制器。因此，正如研究中所指出的，在使用區塊鏈技術時，許多不同的實體可能具有控制器的資格。在評估誰有資格成為財務總監時，有許多不同的因素需要考慮。以下是本研究在為區塊鏈應用識別控制器方面考慮的一些一般事項： 應用層-有可能有一個多層區塊鏈，其中包括一個應用層。如果存在這樣一個應用層，則決定在應用層處理個人數據的目的的法人實體有可能成為控制器。

私有區塊鏈——在一個私有分布式賬本中，通常有一個法律實體來決定個人數據處理的方法，而且通常還決定了個人數據處理的目的。 該法人實體將有資格擔任財務主任。然而，其他參與方，如使用分布式賬本基礎設施的參與方，也可以作為聯合控制器。

公開和無許可區塊鏈：

軟件發展商-這項研究認為，軟件發展商不太可能具備數據管制員的資格，因為他們通常不會影響某項個人資料處理作業的目的，而且在決定處理方法方面的作用有限。

節點——這些計算機存儲區塊鏈的完整或部分副本，并參與新塊的驗證。在這個問題上沒有一致的意見，但是一些人認為節點是聯合控制器。

礦工-這些實體運行協議，可以添加到區塊鏈和存儲在他們的計算機上的共享分類帳副本。雖然他們對處理的方法有很大的控制，但對目的卻幾乎沒有控制，因此，在這項研究看來，他們不太可能有資格成為控制者。這回避了一個問題，即它們是否因此會成為處理器，而這一點的實際意義可能非常重要。然而，這項研究并沒有完全涉及這一點。

用戶-用戶有可能成為個人資料的控制人（即使在某些情況下，他們處理資料是為了自己的目的）。根據《國內生產總值條例》第2條，自然用戶可享有家庭豁免，但若使用公眾及未經許可的區塊鏈作為個人資料，則不太可能適用。

對于如何解釋區塊鏈技術的參與者以保護數據的目的，目前還沒有多少共識。特別是在如何識別節點和挖掘器方面，可能有更多的解釋空間。但是，正如整個研究中所指出的，每個用例可能與其他用例不同，需要根據其自身的結構和實現進行分析。

未來的發展

這項研究提到了新的和正在進行的技術發展，雖然這些發展仍然不成熟，需要進一步的發展才能使它們對預期的目標有用，但可以幫助解決諸如可伸縮性或改進治理結構等問題，以便在多個行動者之間分配責任。研究中引入的一些技術發展，試圖克服GDPR的匿名閾值，使數據超出GDPR的范圍。研究中涉及的技術包括零知識證明、隱地址、同態加密、狀態信道和環簽名、等。盡管其中一些技術比其他技術更有希望，但它可能需要結合技術發展，全面解決該研究在公共區塊鏈背景下提出的所有GDPR擔憂。

接下來是什么？

這項研究的結論建議如下：

歐洲數據保護委員會（“EDPB”）對區塊鏈技術的具體監管指導，并更新未經EDPB批準的相關第29條工作組指導;

為區塊鏈技術的跨學科研究提供資金

鼓勵使用區塊鏈技術的行業內行為準則和認證機制。
來源；區塊網