Blokklánc adatvédelem: érkezik a nagy EU-s rendrakás

Az EU új irányelvei korlátozzák a blokkláncokon tárolt személyes adatok elérését – a cél az adatvédelem szigorítása.

EU kontra blokklánc: Új adatvédelmi szabályok

Az Európai Unió adatvédelmi hatósága új irányelveket javasolt a blokkláncokon tárolt személyes adatok kezelésére, figyelmeztetve: a decentralizált technológia több ponton is szembe mehet a hatályos adatvédelmi törvényekkel.

Az Európai Adatvédelmi Testület (EDPB) jóváhagyta azokat a tervezett szabályokat, amelyek meghatározzák, hogyan lehet a blokkláncon személyes adatokat tárolni és megosztani. Ezzel újabb lépést tettek afelé, hogy a blokklánc technológia is összhangba kerüljön a meglévő európai adatvédelmi normákkal.

Adatvédelem mindenek felett

Az új irányelvek korlátozzák a tárolt információkhoz való hozzáférést, és biztosítják az általános adatvédelmi rendelet (GDPR) előírásainak való megfelelést – közölte az EDPB, amely áprilisban hagyta jóvá az irányelveket, és június 9-ig nyilvános konzultációra bocsátotta azokat.

„A blokkláncok bizonyos sajátosságai kihívásokat jelenthetnek a GDPR követelményeivel szemben” – áll a dokumentumban. „Az irányelvek hangsúlyozzák az alapértelmezett és beépített adatvédelem, valamint az adekvát szervezeti és technikai intézkedések szükségességét."

A dokumentumban ez is olvasható:

„Általános szabályként kerülendő személyes adatok tárolása blokkláncon, ha ez ellentétes az adatvédelmi alapelvekkel.”

A szabályozás hátterében a blokklánc technológia adatbiztonsági aggályai állnak. A GDPR egyértelműen rögzíti azokat a jogokat, amelyek az egyének személyes adatainak védelmét szolgálják.

Az új irányelvek arra ösztönzik a szervezeteket, hogy már az adatkezelés tervezési fázisában vezessenek be technikai és szervezeti intézkedéseket, és különösen figyeljenek az átláthatóságra, a helyesbítésre és a személyes adatok törlésére.

A különböző résztvevőknek eltérő jogi és technikai felelősségük van

Az új EU-s irányelvek nem csak azt szabályozzák, hogyan kell kezelni a személyes adatokat a blokkláncon, hanem azt is, hogy ki milyen szerepet játszik ebben a folyamatban, és kinek mi a felelőssége a különböző lépések során.

A blokkláncos adatfeldolgozás általában többféle szereplőt érint, például:

• Adatkezelő: aki eldönti, hogy mi történjen az adatokkal (pl. ki, mikor és hogyan használhatja azokat).
• Adatfeldolgozó: aki technikailag végrehajtja az adatkezelést (pl. tárolás, továbbítás).
• Felhasználók vagy csomópontok (node-ok): akik részt vesznek a blokklánc működtetésében, és esetleg mások adataihoz is hozzáférhetnek.

Az irányelvek segítenek abban, hogy ne csússzanak el a felelősségek, és minden szereplő tisztában legyen azzal, milyen kötelezettségei vannak az adatvédelmi jog szerint – akkor is, ha a technológia decentralizált.

Az EDPB hangsúlyozta, hogy a szervezeteknek adatvédelmi hatásvizsgálatokat (DPIA) kell végezniük, mielőtt bármilyen személyes adatot feldolgoznának blokklánc-technológia segítségével – különösen akkor, ha ez valószínűsíthetően magas kockázatot jelent az érintettek jogaira és szabadságaira nézve.

A testület kiemelte: az a cél, hogy a személyes adatok ne legyenek „alapértelmezés szerint egy határozatlan számú személy számára elérhetők”.

Két tábor, két vélemény

Az adatvédelmi szakértők megosztottak a blokklánc szerepéről a személyes adatok védelmében és az új irányelvek hasznosságáról.

Bryn Bennett, a Hacken nevű ukrán Web3 biztonsági cég üzletfejlesztési vezetője a elmondta: 

„Az EDPB irányelvei időszerű emlékeztetők arra, hogy a decentralizáció nem jelent deregularizációt. Mi úgy tekintünk a magánélet védelmére, mint alapvető infrastruktúrára – nem egy utólagos kiegészítésre.

Azok a projektek, amelyek hanyagul bánnak a felhasználói adatokkal, jogi következményekre és biztonsági résekre számíthatnak. A privacy-by-design, az off-chain adattárolás és a megfelelő irányítás nemcsak legjobb gyakorlat – ezek a túlélés eszközei.”

Radikálisabb nézetek is születtek

Mások azonban komolyabb kritikával éltek. Harry Halpin, a decentralizált adatvédelemre fókuszáló Nym Technologies alapítója és vezérigazgatója úgy véli, hogy hiba személyes adatokat a blokkláncra helyezni.

„Az eddigi felhasználási esetek – például a digitális személyazonossági rendszerek, vagy ami még rosszabb, a COVID-útlevelek – eleve megsértik a magánszférát, és az autoriter rendszerekhez vezethetnek” – mondta Halpin.

 „A személyes adatokat off-chain, nullaismeretű bizonyítékokkal kell védeni, és a hálózati szintű adatvédelmet mixnetekkel kell biztosítani, ahogy mi is tesszük a fizetési információknál a Nym-nél.”

Majd hozzátette:

„Hiba az adatvédelmi törvényeket alkalmazni a blokkláncokra, mert például az ‘elfeledtetéshez való jog’ a decentralizált láncokat gyakorlatilag cenzúrázhatóvá és módosíthatóvá tenné a szabályozók által. Ha ez a cél, akkor egyszerűbb lenne központosított adatbázisokat használni.”

Az EU új blokklánc-irányelvei a decentralizált technológia és az adatvédelem határán mozognak. A kérdés adott: meddig fér meg a szabadság és a szabályozás ugyanazon láncon?