Blockchain a GDPR

Před dvěma lety vydala Evropská Komise nařízení o nakládání s osobními údaji klientů, které vešlo ve známost jako General Data Protection Regulation (GDPR). Toto nařízení je účinné od letošního 25. května a za nedodržení hrozí vysoké pokuty. Ačkoli pro lidi obecně je to dobrá zpráva, může to znamenat velkou ránu pro digitální měny.

GDPR – co si pamatovat

Je spousta pravidel, které budou muset firmy od konce května dodržovat. Cílem je ochránit osobní údaje klientů před ztrátou a zneužitím – což může být například prodej dat třetí straně bez vašeho výslovného souhlasu, nepřehledné podmínky za tímtéž účelem atd. Pokud pracujete v IT, nebo máte vlastní společnost, doporučuju si GDPR pročíst. Přinejmenším jeden bod může ale být vysloveně destruktivní pro digitální měny.

Podle směrnice mají všichni uživatelé právo být zapomenuti. To znamená, že všechna data o vás musí být možné trvale odstranit ze všech systémů. Řekněme, že chci, aby z facebooku zmizelo vše, co jsem tam doteď publikoval – obrázky, komentáře, lajky atd. To se zdá být jednoduché v případě facebooku, kdy máte vlastní infrastrukturu. Ale co když zapisujete data o transakcích do blockchainu, společně s dalšími uživateli? Nejdůležitější vlastností blockchainu je totiž nemožnost zpětně změnit jeho obsah. Už chápete, kde je ten problém?

Jakákoli platforma, která používá pro skladování dat distribuovanou účetní knihu (a nemusí nutně jít jen o kryptoměny) je vlastně v pasti. Nelze to nijak obejít – buď budou záznamy zpětně nezměnitelné, nebo se vyhoví GDPR. Neexistuje způsob, jak to obejít. A když se rozhodnete směrnici ignorovat? Pokuty jsou „pouhé“ 4% obratu, maximálně 20 milionů euro.

Pokud jste tedy investovali do vlastního projektu, pak si zapamatujte následující: ukládání osobních dat do blockchainu je začátek velmi, velmi drahého dobrodružství. Všechny burzy, peněženky a platformy musí data ukládat někam, odkud je bude možno eventuálně vymazat. Takže ještě jednou: velké ne-eee ukládání dat do distribuované účetní knihy, odkud je nebudete moci vymazat!

A co další pravidla?

Ostatní klíčové změny lze provést i bez zpětných změn v blockchainu. Podíváme se na ně pěkně zblízka a to pohledem softwarového inženýra, který má i právnické vzdělání.

Tím nejtěžším na zkombinování blockchainu a GDPR jsou následující protichůdné požadavky:

  • Zpětná neměnnost blockchainu x právo být zapomenut podle GDPR
  • Replikace x minimalizace dat

Blockchain byl navržen tak, abyste nemohli data v něm zpětně měnit, a to ani tehdy, když to po vás chce zákon. Nemůžete to udělat ani proto, že to po vás chce vlastník dat (právo být zapomenut), ani proto, že tato data již nejsou potřeba (minimalizace dat). Přirozenou vlastností blockchainů je také sdílení s ostatními uzly sítě, díky čemuž můžete protiprávně šířit osobní data (požadavek na minimalizaci využití dat). Rozhodně tuto situaci nepodceňujte, protože by vás to mohlo stát hromadu peněz na pokutách.

APLIKOVATELNOST

Osobní data

Chceme-li vědět, jestli se nás GDPR týká, je nutné si nejdříve zodpovědět otázku, zda nakládáme s osobními daty. Ta jsou definována velice široce (šířeji, než například v americké legislativě) – jednoduše je to každá informace, podle které může být identifikována konkrétní osoba:

  • Jméno a příjmení
  • IP adresa
  • Poznávací značka auta
  • Data o poloze vašeho mobilu přes GPS
  • Identifikátor elektronického zařízení (počítače, telefonu…)
  • Číslo bankovního účtu

… nebo jakákoli další kombinace informací, které mohou odhalit vaší identitu.

Teritoriální dosah směrnice

Co když vaše firma sídlí v Asii a všechny blockchainové uzly se nacházejí mimo EU? Na tom nezáleží, pokud nabízíte služby občanům EU, nebo jen využíváte jejich agregovaná data třeba pro cílení reklamy, pak se vás stejně GDPR týká.

Šifrování

Co když nyní nelze uživatele jednotlivě identifikovat, ale v budoucnu to může být možné? I tak, podle článku 29, musíte tato data považovat za osobní. To je důležité v případě, že chcete ukládat šifrovaná data do blockchainu. To vás nezbavuje odpovědnosti jako zpracovatele dat. Každé šifrování totiž bude asi možné v budoucnu prolomit.

Anonymizace a hešování

A co když je informace anonymizovaná? S tímhle opravdu opatrně. Laťka pro anonymitu je nastavena opravdu vysoko – v bezpečí budete jen tehdy, pokud je skutečně nemožné data zpětně odanonymizovat. Pokud tedy například ukládáte pouhé heše dat, podle autora směrnice by mohlo být možné (například pomocí kvantového počítače v budoucnosti) tato data zpětně získat pomocí reverzního inženýrství. Podle expertů je nemožné zpětně získat data zahešovaná s pomocí náhodného balastu (viz náš článek o prolomení SHA-1), ale Evropská Komise tento názor zjevně nesdílí. Nejbezpečnější tedy v současnosti bude považovat heše dat za rovná datům samotným, a řídit se tím. Jen budoucnost nám zodpoví otázku, jestli i Evropský Soud považuje zahešovaná data za prolomitelná.

MINIMALIZACE RIZIK

Analýza dopadů

Budete-li nakládat s osobními daty, je důležité a často i povinné udělat Dopadovou Analýzu Ochrany Dat (DPIA). Díky ní získáte přehled, kde vám mohou data unikat.

Technické řešení

Co se blockchainu týká, jediná rada, jak dodržet směrnici, je neukládat osobní informace do blockchainu. Podle směrnice osobní data prostě do blockchainu nepatří. Pokud už v něm něco ukládat chcete / musíte:

  • Omezte maximálně počet uzlů, které data uvidí
  • Použijte šifrování – tím snížíte riziko a zvýšíte soukromí
  • Vymyslete co dělat, když vyprší váš mandát na uložení dat, nebo když jsou data ukradena (například periodické zálohy)

Použití blockchainu s nastavením oprávnění pro každého uživatele dává větší smysl, než veřejný blockchain, kam může zapisovat každý. Máte tak větší kontrolu nad celým řetězcem a informace nemůže kdokoli změnit.

Závěr

GDPR bylo navrženo tak, aby dalo uživateli kontrolu nad vlastními osobními daty. To je jistě chvályhodný účel. Díky tomu, v kombinaci s regulací pohybu dat, se váhy trochu naklonily zpět od korporací k obyčejným lidem. Je na každém správci blockchainu, jak se s touto směrnicí popasuje. Jasná zpráva z tohoto článku v každém případě je, že ukládání osobních informací do blockchainu je cestou do pekel a může vyjít velmi draho. Ujistěte se tedy, že vaše společnost identifikovala všechna osobní data, se kterými nakládá. V případě digitálních měn to ale nebude až tak jednoduché…

Související

PŘIDEJTE SE DO DISKUZE