Blockchain & GDPR - Έννοιες ασύμμετρες ή μήπως συμπληρωματικές;

Μπορεί η τεχνολογία BLOCKCHAIN να είναι συμβατή με τις αρχές επεξεργασίας προσωπικών δεδομένων του Γενικού Κανονισμού Προσωπικών Δεδομένων (GDPR)?

Tου IΩΑΝΝΗ Ε. ΓΙΑΝΝΑΚΑΚΗ- ΔΙΚΗΓΟΡΟΥ- ΕΤΑΙΡΟΥ G+PLawFIRM FIP, CIPM,CIPP/E, CIPP/US, CDPO, CFE, Cert. GDPR PRACTICIONER, Co Founder @ The DPO Academy

Η πρόσφατη -στις 25 Μαΐου 2018 -έναρξη ισχύος του Γενικού Κανονισμού Προστασίας Δεδομένων ( ΕU 679/2016) του σημαντικότερου νομοθετήματος στον τομέα της προστασίας προσωπικών δεδομένων άλλαξε οριστικά το τοπίο στην παγκόσμια «ψηφιακή» οικονομία εντός αλλά και εκτός των ορίων της Ευρωπαϊκής Ένωσης .

Ο Γενικός Κανονισμός Προστασίας Δεδομένων ( General Data Protection Regulation) είναι ένα καινοτόμο νομοθέτημα που επιδιώκει την ενδυνάμωση των ατομικών δικαιωμάτων των Υποκειμένων των Δεδομένων, δηλαδή των Ευρωπαίων Πολιτών ή ορθότερα των φυσικών προσώπων που διαμένουν μόνιμα εντός της Ευρωπαϊκής Ένωσης ( European Residents) και δημιουργεί ένα σαφές και αυστηρό πλαίσιο επεξεργασίας των προσωπικών δεδομένων δηλαδή κάθε πληροφορίας που μπορεί να ταυτοποίησή άμεσα ή έμμεσα ένα φυσικό πρόσωπο από τα νομικά πρόσωπα του δημόσιού ή ιδιωτικού τομέα τους «Υπεύθυνους Επεξεργασίας» ( Data Controllers) και τους Εκτελούντες την Επεξεργασία ( Data Processors) Οι δημόσιοι και ιδιωτικοί οργανισμοί, εφόσον συνεχίσουν να λειτουργούν όπως στο παρελθόν τείνουν να συγκεντρώνουν δεδομένα ακόμα και πριν μάθουν τι θα κάνουν με αυτά πως θα τα προστατεύσουν και γιατί τα χρειάζονται .O GDPR αντίκειται στη συνήθεια αυτή διευκρινίζοντας ότι οι Υπεύθυνοι Επεξεργασίας δεν θα πρέπει να συλλέγουν δεδομένα πέρα ​​από αυτά που είναι άμεσα χρήσιμα για την άμεση αλληλεπίδρασή τους με τους καταναλωτές. Πράγματι, η συλλογή δεδομένων θα πρέπει να είναι «επαρκής, σχετική και περιορισμένη στο ελάχιστο αναγκαίο σε σχέση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία» (άρθρο 39 του GDPR).

Εκτός από τον καθορισμό του τι είναι ή δεν επιτρέπεται, ο ΓΚΠΔ καθορίζει επίσης τις οργανωτικές αρχές που θα χρειαστεί να υιοθετήσουν από τώρα και στο εξής οι Υπεύθυνοι Επεξεργασίας . Για παράδειγμα, η τεχνολογική τους αρχιτεκτονική θα πρέπει να περιλαμβάνει από τον σχεδιασμό την επιλογή της διαγραφής των προσωπικών δεδομένων των καταναλωτών - υποκειμένων των δεδομένων μετά την χρήση τους σύμφωνα με την απαίτηση για Ιδιωτικότητα από τον Σχεδιασμό ( άρθρο 25 ΓΚΠΔ Privacy by Design).

II. TEXNOΛΟΓΙΑ BLOCKCHAIN

H τεχνολογία Blockchain που δημιουργήθηκε από τον Satoshi Nakamoto και την ομάδα των συνεργατών του το 2009 είναι μια πρωτοποριακή τεχνολογία που επιτρέπει τη διανομή ψηφιακής πληροφορίας αλλά όχι την αντιγραφή ή μη εξουσιοδοτημένη αναπαραγωγή της υποστηρίζεται ότι στηρίζει πλέον την ραχοκοκαλιά ενός νέου τύπου Διαδικτύου. Αρχικά σχεδιάστηκε για την διαχείριση του κρυπτονομίσματος γνωστού ως Bitcoin η αξία του οποίου μόνο στις ΗΠΑ σήμερα φθάνει τα 9 δισεκατομμύρια δολάρια - το οποίο λειτουργεί μόνο χάρη στην τεχνολογία Blockchain το κύριο χαρακτηριστικό της οποίας είναι ότι επιτρέπει την καταγραφή μιας τεράστιας λίστας συναλλαγών σε ψηφιακό νόμισμα χωρίς να μπορεί όμως κανείς να παρέμβει και να αλλάξει την λίστα αυτή μετά από κάθε νέα συναλλαγή.

Η τεχνολογία blockchain προσομοιάζει σε αμετάβλητη (immutable) ψηφιακή βιβλιοθήκη οικονομικών συναλλαγών η οποία μπορεί να σχεδιαστεί ώστε να καταγράφει όχι μόνο χρηματοπιστωτικές συναλλαγές αλλά σχεδόν οτιδήποτε έχει οικονομική αξία, απαλλαγμένο από οποιαδήποτε κεντρικά ελεγχόμενη διαχείριση. Ένα αντίστοιχο αρχείου XL το οποίο αντιγράφεται εκατομμύρια φορές σε ένα δίκτυο υπολογιστών ενώ οι πληροφορίες που καταγράφονται στο αρχείο αυτό δεν μπορούν να μεταβληθούν ή να διαγραφούν από ΄τους χρήστες του αρχείου αλλά απλά ενημερώνονται και επικαιροποιούνται με κάθε νέα συναλλαγή ΧΩΡΙΣ ΝΑ ΧΑΝΕΤΑΙ ΤΟ ΙΧΝΟΣ ΔΗΛΑΔΗ Η ΙΣΤΟΡΙΚΗ ΣΥΝΕΧΕΙΑ ΤΩΝ ΠΡΟΗΓΟΥΜΕΝΩΝ ΣΥΝΑΛΛΑΓΩΝ . Συνδυάζοντας την κρυπτογραφία και τη διανομή, το blockchain καθιστά πολύ δύσκολη την αλλαγή ή τη διαγραφή των πληροφοριών που είναι αποθηκευμένες "στην αλυσίδα". ( ledger)

Έτσι, το GDPR και το blockchain ξεκινούν από διαμετρικά αντίθετες βάσεις εκκίνησης σχετικά με την ακεραιότητα των δεδομένων. Ενώ ο GDPR απαιτεί δυνατότητα προσαρμογής, το blockchain παρέχει αμετάβλητη συνέχεια συναλλαγών.

Τι συμβαίνει όταν τα δύο συναντηθούν;

Blockchain vs GDPR

Κάποιοι υποστηρίζουν ότι το blockchain και το GDPR είναι ουσιαστικά εννοιες ασυμβίβαστες Πρέπει οι επιχειρήσεις που χρησιμοποιούν blockchain να επεξεργάζονται προσωπικά δεδομένα στην ΕΕ απλώς να διακόψουν τις υπηρεσίες τους ;

GDPR και προσωπικά δεδομένα

Ο ΓΚΠΔ ισχύει για όσους επεξεργάζονται προσωπικά δεδομένα και είναι εγκατεστημένοι στην ΕΕ. Αλλά δεν περιορίζεται μόνο στις εταιρίες που είναι εγκατεστημένες στην ΕΕ. Εφαρμόζεται επίσης σε όσους βρίσκονται εκτός της ΕΕ και επεξεργάζονται τα προσωπικά δεδομένα προσώπων στην ΕΕ κατά τη διάρκεια της προσφοράς αγαθών ή υπηρεσιών.

Τα προσωπικά δεδομένα είναι ένας ευρύς όρος . Καλύπτει κάθε πληροφορία που μπορεί να ταυτοποιήσει άμεσα ή έμμεσα ένα φυσικό πρόσωπο δηλαδή ένα άτομο. Αυτό περιλαμβάνει τα ψευδονυμοποιημένα ή κρυπτογραφημένα δεδομένα.

Κατ αρχήν ένα blockchain που χρησιμοποιεί πλήρως ανώνυμα δεδομένα δεν φαίνεται να καταλαμβάνεται από τις διατάξεις του Γενικού Κανονισμού Προστασίας Δεδομένων Αλλά είναι δύσκολο να προσφέρουμε μια υπηρεσία όταν κανείς δεν γνωρίζει τα εμπλεκόμενα μέρη σε αυτήν την υπηρεσία Πράγματι, πολλές επιχειρήσεις θα χρειαστεί να καθορίσουν την ταυτότητα των πελατών βάσει των κανόνων της ΕΕ για το Know Your Customer (KYC) και την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες (AML) . Ως αποτέλεσμα, η συμμόρφωση με το KYC / AML θα οδηγήσει και τις συναλλαγές Blockchain στην ανάγκη συμμόρφωσης με το GDPR.

GDPR, blockchains, και σχεδιασμός

Ας εξετάσουμε ένα απλό παράδειγμα. Πολλοί άνθρωποι βρίσκονται στο βιογραφικό τους σημείωμα. Μερικοί ακόμη ψευδώς ισχυρίζονται ότι κατέχουν πτυχίο πανεπιστημίου, . Πώς εντοπίζουμε μια τέτοια περίπτωση απάτης ?

Μια ομάδα πανεπιστημίων θα μπορούσε να χτίσει ένα blockchain για πιστοποιημένα πανεπιστημιακά πτυχία . Κάθε πανεπιστήμιο θα έχει δικό του ιδιωτικό κλειδί, δηλαδή κάθε βαθμό που εγγράφει στην αλυσίδα που κατά πάσα πιθανότητα προέρχεται από αυτό το ίδρυμα. Οι εργοδότες θα μπορούσαν στη συνέχεια να αναζητήσουν μέσω του blockchain για να ελέγξουν τους ισχυρισμούς των αιτούντων.

Οι πανεπιστημιακοί τίτλοι περιλαμβάνουν προσωπικά δεδομένα Έτσι θα ήταν αυτό το blockchain συμβατό με GDPR; Η απάντηση εξαρτάται, σε μεγάλο βαθμό, από τον τρόπο με τον οποίο τα πανεπιστήμια διαρθρώνουν το blockchain τους. Ας εξετάσουμε δύο επιλογές.

Πρώτον, τα πανεπιστήμια θα μπορούσαν να δημιουργήσουν ένα ανοιχτό blockchain, που ονομάζεται επίσης σύστημα «δημόσιο» ή «άδειο» .

Για να γίνει αυτό, προετοιμάζουν το blockchain λογισμικό τους και το δημοσιοποιούν. Οποιοσδήποτε μπορεί να κατεβάσει το λογισμικό και να το εκτελέσει στο τοπικό του μηχάνημα. Όλοι όσοι κάνουν γίνεται αυτό που ονομάζεται "κόμβος". Οι κόμβοι διατηρούν ένα τοπικό αντίγραφο του blockchain και συνδέονται με άλλους κόμβους σε ένα δίκτυο peer-to-peer που διατηρεί το blockchain ενημερωμένο.

Το αποτέλεσμα θα μπορούσε να είναι εκατοντάδες - ή ακόμη και χιλιάδες - κόμβων. Αυτό είναι ένα πολύ ανθεκτικό σύστημα - αλλά είναι επίσης πολύ περίπλοκο υπο το πρισμα των απαιτήσεων του GDPR .

Πρώτον, ας εξετάσουμε τη λογοδοσία. Παρόλο που τα πανεπιστήμια σχεδίασαν την εφαρμογή, δεν επεξεργάζονται κατ 'ανάγκην τα προσωπικά δεδομένα τους μέσα από το blockchain. Οι ρυθμιστές (κόμβοι ) το κάνουν. Αλλά οι κόμβοι δεν έχουν κανέναν έλεγχο για το πώς λειτουργεί το σύστημα.

Σε αυτό το μοντέλο, τα πανεπιστήμια δεν είναι πραγματικά σαν ένας σεφ που είναι υπεύθυνος για μια κουζίνα. Αντ 'αυτού, είναι περισσότερο σαν να δημοσίευσαν ένα βιβλίο συνταγών που ο καθένας μπορεί να μαγειρέψει στο σπίτι Έτσι ποιος είναι Υπεύθυνος και ποιος Εκτελών την Επεξεργασία ; Και πώς πρέπει όλα τα μέρη να συνάψουν συμφωνίες επεξεργασίας δεδομένων μεταξύ Υπεύθυνου και Εκτελούντα

Δεύτερον, ας δούμε τα δικαιώματα των υποκειμένων των δεδομένων. Ας υποθέσουμε ότι δεν θέλω πλέον το πτυχίο μου αποθηκευμένο στην μπλοκ αλυσίδα. Πώς θα συμμορφωθούν τα πανεπιστήμια με το αίτημά μου για διαγραφή;

Για να συμμορφωθώ, θα πρέπει να πείσουν κάθε κόμβο να αφαιρέσει τα δεδομένα μου από το τοπικό αντίγραφό τους. Και ακόμα κι αν συμφωνούν οι κόμβοι, η τεχνολογία blockchain παρουσιάζει ένα πρόβλημα. Η κατάργηση των δεδομένων αλλάζει το κρυπτογραφικό hash ενός μπλοκ, Τα πανεπιστήμια θα μπορούσαν, αντίθετα, να δημιουργήσουν ένα κλειστό μπλοκ, το οποίο ονομάζεται επίσης «ιδιωτικό» ή «εξουσιοδοτημένο σύστημα» .

Για να γίνει αυτό, απλά τρέχουν το λογισμικό blockchain οι ίδιοι. Χρησιμοποιούν είτε τα τοπικά μηχανήματά τους είτε νοικιάζουν χώρο "στο σύννεφο". Κάθε πανεπιστήμιο τότε γίνεται κόμβος σε κλειστό, ιδιωτικό δίκτυο.

Από μια προοπτική GDPR, αυτό είναι ένα πολύ απλούστερο set-up . Όσον αφορά τη λογοδοσία, τα πανεπιστήμια δημιουργούν και λειτουργούν το σύστημα μαζί. Ως αποτέλεσμα, μπορούν να χαρακτηριστούν ως ελεγκτές. Ο φορέας παροχής υπηρεσιών cloud είναι πιθανώς επεξεργαστής, δεδομένου ότι επεξεργάζεται δεδομένα για λογαριασμό των πανεπιστημίων. Τα πανεπιστήμια και ο πάροχος σύννεφων πρέπει να υπογράψουν συμφωνίες ελεγκτή-επεξεργαστή.

Τι γίνεται με τα δικαιώματα των υποκειμένων των δεδομένων; Δεν θα μπορούσε ακόμα να σπάσει η αλυσίδα για να επεξεργαστεί ή να αφαιρέσει δεδομένα από προηγούμενα μπλοκ; Λοιπόν, εδώ θα χρειαστεί να σχεδιάσουμε έξυπνες λύσεις.

Σύμφωνα με το GDPR, οι εφαρμογές blockchain θα πρέπει να επιτρέπουν τρεις κύριες ενέργειες :

• Αναζητήστε όλες τις εμφανίσεις προσωπικών δεδομένων που σχετίζονται με ένα Υποκείμενο Προσωπικών Δεδομένων .
• Εξαγάγετε αυτά τα δεδομένα και τα παρέχετε στο άτομο σε φορητή μορφή.
• Επεξεργαστείτε ή αφαιρέστε τα δεδομένα κατόπιν αιτήματος.

Ας επικεντρωθούμε στο πιο δύσκολο κομμάτι: την επεξεργασία και την αφαίρεση δεδομένων από ένα blockchain.

Πώς διαγράφουμε τα δεδομένα από το blockchain?

Τα δεδομένα Blockchain δεν είναι πραγματικά αμετάβλητα - είναι δύσκολο να αλλάξουν. Συλλογικά, οι κόμβοι ελέγχουν όλα τα αντίγραφα του blockchain. Μπορούν να αλλάξουν τα δεδομένα που είναι αποθηκευμένα στην αλυσίδα μεταβαίνοντας σε μια νέα έκδοση, που ονομάζεται "forking".

Έτσι, εάν στο προηγούμενο παράδειγμα τα πανεπιστήμια συμφωνούν, μπορούν να διαγράψουν δεδομένα που αφορούν ένα συγκεκριμένο άτομο από ένα προηγούμενο μπλοκ. Είναι βέβαιο ότι θα μπορούσαμε να υποστηρίξουμε ότι αυτό ξεπερνά το σημείο χρήσης του blockchain . Εάν τα πανεπιστήμια μπορούν να αλλάξουν τα δεδομένα στην αλυσίδα, τότε οι εξωτερικοί δεν μπορούν πλέον να επαληθεύσουν ανεξάρτητα την ακεραιότητα του blockchain.

Το αν αυτό θα έχει σημασία θα διαφέρει ανάλογα με την εφαρμογή. Σε ορισμένες περιπτώσεις, θα πρέπει να είναι αρκετό ώστε οι κόμβοι να μπορούν να επαληθεύσουν και να εγγυηθούν την ακεραιότητα του blockchain ) .

Απόρρητο-από-σχεδιασμό: επιτρέποντας τη διαγραφή διατηρώντας ταυτόχρονα την ακεραιότητα

Ακούγεται σαν ένα παράδοξο: πώς επιτρέπετε τη διαγραφή των προσωπικών δεδομένων, αφενός, διατηρώντας ταυτόχρονα την ακεραιότητα του blockchain, αφετέρου; Ωστόσο, υπάρχουν πολλά υποσχόμενες λύσεις που το επιτυγχάνουν, κυρίως διαχωρίζοντας (κατανοητά) τα προσωπικά δεδομένα από την αλυσίδα.

Μια πρώτη τεχνική χρησιμοποιεί κρυπτογράφηση. Στο παραπάνω παράδειγμα, τα πανεπιστήμια θα μπορούσαν να κρυπτογραφήσουν κάθε είσοδο στο blockchain με το δικό του ζεύγος κλειδιών και να αποθηκεύσουν μόνο το κρυπτογραφημένο κείμενο κρυπτογράφησης στην αλυσίδα. Αντί να διαγράψει το κείμενο κρυπτογράφησης, το πανεπιστήμιο απλά θα διαγράψει το σχετικό δημόσιο κλειδί.

Παρόλο που το κείμενο κρυπτογράφησης θα παραμείνει στην αλυσίδα, δεν μπορεί πλέον να αποκρυπτογραφηθεί. Αυτό θα μπορούσε να θεωρηθεί ότι έχει διαγραφεί, τουλάχιστον στο Ηνωμένο Βασίλειο .

Βεβαίως, υπάρχουν κίνδυνοι για αυτήν την προσέγγιση. Βραχυπρόθεσμα, το δημόσιο κλειδί θα μπορούσε να διακυβευτεί σε περίπτωση παραβίασης της ασφάλειας πριν από τη διαγραφή. Μακροπρόθεσμα, ο μηχανισμός κρυπτογράφησης μπορεί τελικά να σπάσει , για παράδειγμα μέσω κβαντικών υπολογισμών.

Μια δεύτερη, ασφαλέστερη τεχνική χρησιμοποιεί αποθήκευση εκτός αλυσίδας. Στο παραπάνω παράδειγμα, τα πανεπιστήμια θα μπορούσαν να πάρουν ένα κρυπτογραφικό hash του βαθμού που επιθυμούν να επαληθεύσουν , εισάγοντας το βαθμό σε μια λειτουργία κατακερματισμού. Ωστόσο, θεωρητικά, το hash που παραμένει στην αλυσίδα θα μπορούσε ακόμα να χαρακτηριστεί ως προσωπικά δεδομένα στο GDPR. Οποιοσδήποτε έχει τα δεδομένα εισόδου, μπορεί να το εκτελέσει μέσω της ίδιας συνάρτησης κατακερματισμού και στη συνέχεια να συσχετίσει τον κατακερματισμό με το υποκείμενο των δεδομένων .

Μια λύση θα μπορούσε να είναι να προστεθεί ένα «nonce» (τυχαία σειρά δεδομένων) στα προσωπικά δεδομένα. Αυτό είναι γνωστό ως ' peppering ' στο hash, και καθιστά πολύ πιο δύσκολο για έναν ξένο να συνδέσει το hash επί της αλυσίδας στο άτομο.

Δημιουργία λύσεων blockchain συμβατών με το GDPR

Τα παραπάνω παραδείγματα απεικονίζουν το είδος της δημιουργικής σκέψης που απαιτείται για το σχεδιασμό και τη λειτουργία ιδιωτικών μπλοκ αλυσίδων με τρόπο που συμμορφώνεται με το GDPR. ορισμένοι πρότειναν να χρησιμοποιηθούν "δεσμευτικοί κανόνες δικτύου" ( Βιnding Network Rules) για να ανατεθεί η ευθύνη - και η έρευνα στον τομέα αυτό συνεχίζεται.

Ας συνεργαστούμε για να σχεδιάσουμε δημιουργικές λύσεις για να ξεπεράσουμε τις νομικές προκλήσεις του blockchain. Φανταστείτε εάν ένα χρόνο από τώρα, ένας πάροχος blockchain-as-a-service θα μπορούσε να προσφέρει ένα GDPR έτοιμο blockchain σε οποιονδήποτε στην ΕΕ που θέλει να επεξεργαστεί τα προσωπικά δεδομένα. Στη συνέχεια, μπορούμε πραγματικά να απελευθερώσουμε τη δύναμη αυτής της ανατρεπτικής τεχνολογίας, τηρώντας παράλληλα τα δικαιώματα προστασίας δεδομένων.