隐私权遭遇区块链 “永久记忆”难题，全球还没有监管部门能够解答

欧盟《通用数据保护条例》（General Data Protection Regulation，以下简称GDPR）的“被遗忘权”与区块链技术似乎存在一种不可调和的矛盾——数据隐私权包含个人对其信息删除和被遗忘的权利，而区块链的技术特征却是“永远不忘记”它收集的所有信息。

越来越多的企业甚至政府机构都在使用区块链技术。欧洲的公司尤其希望隐私监管机构能够明确阐明——区块链和欧盟通用数据保护条例（GDPR）如何能够共存？

1 无法回避的问题——区块链的隐私悖论

全球区块链市场预计将在这十年内爆发式增长——从2021年约 60 亿美元增长到 2029年1600 亿美元。

而在中国，有市场研究机构调查，区块链市场规模从2017年的0.85亿美元增长至2020年的5.61亿美元，年均复合增长率达87.58%，预计2022年将增长至14.09亿美元（见下图）。

由此可以预判，受法律保护的个人信息“被遗忘权”与区块链“永远不忘记”之间的利害关系和冲突正在越发鲜明。

▲ 数据来源：IDC、中商产业研究院整理

区块链的分布式账本（包含无法删除或更改的数据）正在全球迅速发展，超越了加密货币交易，以促进高效的供应链管理、产品可追溯性、身份证明以及无数其他业务功能。

对于监管机构来说，这是一个全新的领域，会引发大量问题，由此欧洲的隐私监管机构必须解决如下问题：

（1）区块链“不变性”vs “被遗忘权”

发布到区块链的记录不能被删除，但大多数现代隐私立法赋予个人“被遗忘的权利”。当记录在区块链账本上的信息是永久性的时，个人或数据主体如何行使其被遗忘的权利？

（2）区块链“透明度”vs. 数据主体的保护

去中心化网络的信任基础源于账本的透明度。公共区块链网络中的所有参与者都相信信息的神圣性，因为他们都可以平等、实时地查看和分析这些信息。但是，如果所有信息都是透明的，那么任何人都可以访问它，并且理论上可能会被未知行为者用于未知目的。因此，利用区块链技术执行交易和/或存储信息的实体如何为数据主体提供适当的保护，以解决他们的信息如何被使用或披露？

（3）区块链“去中心化”vs. 数据问责制

公共区块链是有意去中心化的，因此没有一个负责的实体。此外，通过公共区块链组成的网络通常跨越司法管辖区，可能由数百、数千或数百万人组成，他们在技术上都有能力通知区块链的更新——这近乎于管理决策的能力。在这种情况下，当维护、管理和持续开发的责任分散在一个不相关的个人社区中时，监管机构如何对公共区块链采取监管或处罚行动？

2 规则的不确定性让企业却步——欧盟、美国、加拿大

很多正在或打算进入该领域的人经常咨询律师：区块链是合法还是非法？莫里森&福斯特律师事务所（Morrison & Foerster LLP）的数据保护律师Marijn Storm并没有给出绝对的答案——“这取决于如何使用这项技术。”

根据德勤《2021 年全球区块链调查》，对于那些刚刚进入区块链的企业来说，数据安全和隐私是最重要的问题。而法律不确定性可能是一些领先的公司采取观望态度、不使用区块链的一个理由，特别是在欧盟的企业。

尽管存在不确定性，但大多数国家的数据保护部门迟迟没有介入。

（1）欧盟

负责推动GDPR的欧盟独立机构欧洲数据保护委员会（European Data Protection Board）正在制定区块链指南，但它在一份电子邮件声明中表示，该机构不能保证指南何时发布，也不能对其中的内容发表评论。这就迫使企业尽可能地快速发展该技术。

法国国家信息与自由委员会（Commission Nationale de l'Informatique et des Libertés，以下简称CNIL）在2018年发布了指南，发现在区块链上存储个人数据应仅限于“承诺”或“哈希值”，它们与链下数据相关联。CNIL还表示，受许可的区块链，或由有限数量的已知用户建立的非公共区块链，比公共区块链更可取。

TIPS：

哈希值，又称“散列函数”，是一种从任何一种数据中创建小的数字"指纹"的方法。简单来说，它可以把消息或数据压缩成摘要，使得数据量变小，将数据的格式固定下来。

CNIL表示，要发布关于区块链和GDPR的明确指南，“在欧洲层面的反思至关重要”。

但四年过去了，这一指南仍然没有发布。

（2）美国

在美国，国会2022年夏天首次考虑全面的数字隐私立法，部分原因是欧盟的刺激，还有一些模仿 GDPR 的州法律已经在2018 年生效了。

得到两党支持并正在等待众议院投票的联邦《美国数据隐私和保护法案》（American Data Privacy and Protection Act）将首次赋予所有美国人访问、更正和删除其数据的权利。加利福尼亚州、科罗拉多州、康涅狄格州、弗吉尼亚州和犹他州的法律包括删除权，类似于欧洲的删除权。

（3）加拿大

加拿大尚未发布有关如何在公共或私有区块链上处理个人数据的官方建议或解释。

然而，根据加拿大法律，对个人信息的广泛解释可能会阻止区块链利益相关者处理公共区块链上的个人数据，因为任何有权访问该区块链的人都可以访问区块链上的数据，并且分布/存储在所有节点之间在公共区块链网络中。

在私有区块链环境中，个人信息的个人权利管理是可能的，因为这里存在指定的和负责的实体，他们控制着有权访问区块链的利益相关者的数量。在这种情况下，利益相关者可能需要遵守隐私法规作为访问私有区块链及其相关应用程序的一种方式。利益相关者也可能因未能遵守而被从网络中删除，并且参与者可以通过协作覆盖足够中心化的私有区块链以响应某些侵犯隐私的事件。

3 未来的风险：可被穿透“面纱”的加密数据

区块链上数据的加密性质——即通常是链接到钱包地址的散列——也使得在实际操作中很难真正访问个人数据。通过使用加密技术，区块链是一种管理数据的工具，可以保护信息并促进对记录保存的信任，而不是暴露信息或损害其完整性。

人们普遍认为区块链技术使用的都是匿名数据，但事实并非如此。

《商业区块链:下一个前沿的实用指南》（Blockchain for Business: A Practical Guide for the Next Frontier）的作者Yannis Kalfoglou说，数据“可以匿名化，可以化名，哈希化，但这并不意味着它不可恢复。你总能看穿那层面纱。”

任何人都可以访问的公共区块链，如以太坊和比特币，并不完全符合数据合规要求中的最小化原则，也不能总是确保数据主体更改或删除数据的能力。对于定义上任何人都可以加入的公共区块链，可能无法确定负责合规的中央数据控制者，这让想要知道如果出现任何问题谁负责的监管部门感到头疼。

数字 ID 赋予了公民很多所有权，但前提是他们必须“积极管理”他们的凭据，以确保他们不会落入坏人之手。

【注释】

•https://news.bloomberglaw.com/privacy-and-data-security/businesses-adopting-blockchain-question-eus-strict-privacy-law

• https://www.dentons.com/en/insights/articles/2022/june/9/the-privacy-paradox-in-blockchain-best-practices-for-data-management-in-crypto 

• https://baijiahao.baidu.com/s?id=1730609322559708029&wfr=spider&for=pc 

【免责声明】本文撰写所需的信息采集自合法公开的渠道，我们无法对信息的真实性、完整性和准确性提供任何形式的保证。

本文仅为分享、交流信息之目的，不构成对任何企业、组织和个人的决策依据。

本文来自微信公众号“Internet Law Review”（ID:Internet-law-review），作者：张颖，36氪经授权发布。