Защита персональных данных в блокчейне

Технология блокчейн представляет собой цепочку блоков с базами данных, в том числе персональных. В июне 2024 г. Европейская блокчейн-песочница выпустила отчет о применении европейского законодательства к технологии, включая¹ вопросы защиты персональных данных . Еще в 2018 г. Франция дала рекомендации по соблюдению европейского законодательства о персональных данных при использовании² блокчейн-технологий .

Важно отметить, что рекомендации о применении законодательства о персональных данных в первую очередь разработаны для приватных блокчейн-сетей (например, Ethereum Enterprise), регуляторы отмечают, что применение рекомендаций к публичным блокчейн-сетям (например, Bitcoin) требует дальнейшей проработки.

Опыт ЕС и Франции

Персональные данные – это данные, которые позволяют прямо или косвенно идентифицировать конкретное физическое лицо. ЕС и Франция выделяют следующие аспекты, влияющие на защиту персональных данных в блокчейне:

1. Виды данных, которые считаются персональными:

- приватные ключи (позволяют подтвердить транзакцию или действие в блокчейне), которые принадлежат конкретному физическому лицу. Например, пароль от криптокошелька;

- хешированные данные о транзакциях/действиях (любые данные, обработанные функцией шифрования в блокчейне). Например, данные о передаче криптоактивов или других сведений между криптокошельками;

- данные, содержащиеся в блокчейне, которые связаны с учетными или данными пользователя, расположенными вне блокчейна (например, такие данные входа в аккаунт на блокчейне, как логин и пароль);

- данные в блокчейне, связанные с конкретными продуктом, которые могут не признаваться персональными, однако связаны с лицом, которого можно определить. Например, данные об IP-адресе пользователя.

Перечисленные выше виды данных, которые могут использоваться в блокчейне, становятся персональными, если позволяют оператору данных идентифицировать лицо, которому они принадлежат. Например, оператор может определить, кому принадлежит хэш (идентифицирует лицо, оставившее запись (создавшее хэш) и время), либо, которому принадлежит приватный ключ, используемый в блокчейне. Это возможно за счет использования функции «коммитмента» в блокчейне, которая позволяет «замораживать» (хэшировать) данные таким образом, что распознать зашифрованные данные возможно при наличии дополнительной информации (например данных из других баз).

В деле Брейер 2016 г. суд ЕС уже признавал, что IP-адрес относится к персональным данным, если провайдер платформы имеет технические средства для идентификации конкретного лица, которому принадлежит IP-адрес, в том числе используя данные от третьих лиц, как интернет-провайдеры.

2. Участники блокчейн-системы, которые должны выполнять нормы по защите персональных данных.

В блокчейне участники, которые определяют цели и записывают данные в цепочке или принимают решение о направлении данных для валидации майнерами, являются контролерами в рамках закона о персональных данных ЕС. Например, нотариус (как физическое лицо), который вносит запись в блокчейне для регистрации сделки, определяя, что данные записываются во исполнение такой сделки. Или банк (как юридическое лицо), который вводит данные своих клиентов в блокчейн (осуществляет регистрацию данных третьих лиц в системе). В то же время лицо не может иметь статус контролера в отношении своих же данных. Например лицо, которое покупает или продает биткойн от своего имени.

Будут признаваться обработчиками персональных данных в значении закона ЕС майнеры, так как имеют доступ к данным о транзакциях (включая хэш), которые могут включать персональные данные, а также разработчик смарт-контракта, который обрабатывает персональные данные, полученные от лица, собирающего такие данные (контролер). Например, когда разработчик смарт-контракта для сделки получает данные от нотариуса, а майнер валидирует и записывает эту транзакцию в блокчейн.

В то же время к обработчикам данных не относятся:

− стороны смарт-контракта, так как лица не считаются обработчиками собственных данных;

− разработчики алгоритма смарт- контракта, если не имеют доступ к персональным данным, а только технически разрабатывают ИТ- решения.

3. Обеспечение права на удаление данных из блокчейна (ЕС, Франция).

Право субъекта персональных данных на их удаление означает право потребовать у контролера уничтожения собранных данных. Право на удаление персональных данных в блокчейне реализуется, когда происходит удаление приватного ключа или хэша, которые могут содержать персональные данные, в том числе зашифрованные через хэш.

Опыт России

В России отсутствуют специальные нормативно-правовые акты органов власти о защите персональных данных в блокчейне, что создает риски нарушения законодательства. Также в отличие от ЕС и Франции статус контролера данных и обработчика данных не различается. Это значит, что на практике в России любые участники блокчейна, которые имеют отношение к работе с данными, подпадают под определение оператора данных в рамках российского законодательства (например, майнеры). Но на практике каждый участник блокчейна может соблюдать требования к операторам персональных данных только в той части, которая входит в их функции как участника системы блокчейн. Например, разработчик смарт-контракта может обеспечивать меры безопасности обработки данных, но не может контролировать законность оснований для сбора персональных данных, записанных в блокчейне (например, наличие согласия субъекта этих данных).

Материал из выпуска мониторинга №6, июнь 2024. Скачать выпуск целиком (PDF) · страница выпуска на сайте Института Гайдара