Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 05.12.2018
Naslov: GDPR in blockchain tehnologija
Številka: 0712-3/2018/2490
Vsebina: Moderne tehnologije
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem izpostavljate več vprašanj v zvezi z varstvom osebnih podatkov v kontekstu uporabe tehnologije veriženja podatkovnih blokov (ang. blockchain). Zanima vas, katere varnostne mehanizme naj bi se uporabljalo, da bi se zagotovilo uveljavljenje pravic, ki jih določa Splošna uredba o varstvu podatkov, prav tako vas zanima ali bi se pri oblikovanju in implementaciji nove tehnologije veriženja podatkovnih blokov opravilo oceno učinkov v zvezi z varstvom osebnih podatkov. Ob tem vas še zanima ali obstajajo kakšne smernice o varstvu osebnih podatkov pri uporabi tehnologije veriženja podatkovnih blokov.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Tehnologija veriženja podatkovnih blokov je koncept, ki označuje način učinkovitega, razpršenega in dobro varovanega shranjevanja informacij. Temelji na izdelavi podatkovnih zapisov, ki se imenujejo »bloki«, ti pa so med seboj povezani v zaporedno »verigo«. Od tod izraz »blockchain« oziroma tehnologija veriženja podatkovnih blokov. Sama vsebina blokov je lahko zelo različna, večinoma pa se uporabljajo za zapis transakcij s kriptovalutami. Poleg vsebine, ki lahko (ali tudi ne) vsebuje osebne podatke, so (osebni) podatki zapisani kot metapodatki posameznih podatkovnih blokov. Zapiše se vsaj časovni žig in zgoščevalna funkcija, če so bloki šifrirani, kar praviloma so, se zapišejo tudi javni šifrirni ključi in usmerjevalni podatki, ki kažejo kje se nahajajo drugi bloki v verigi.

 

Glavna značilnost tehnologije veriženja podatkovnih blokov je v učinkovitosti shranjevanja podatkov. To pa je mogoče zgolj v primeru, da se zagotovi celovitost (integriteto) podatkov v posameznem bloku, kar se doseže z izračunom zgoščevalne funkcije. Bloki podatkov, ki niso na koncu verige, se zato naj ne bi spreminjali, ker bi – kolikor bi bilo to tehnično mogoče – s spreminjanjem vmesnih blokov uničili celovitost podatkov v celotni verigi od spremenjenega bloka dalje, zaradi česar uporaba takšne verige (oz. koncepta veriženja podatkovnih blokov) ne bi bila več smotrna.

 

Dodatna značilnost tehnologije veriženja podatkovnih blokov je decentraliziranost podatkov. Bloki, ki vsebujejo podatke, so razpršeni med različne uporabnike oz. točke, podobno kot to velja za uporabo P2P omrežji za izmenjavo datotek, kjer poteka izmenjava podatkov oz. datotek med tisoči uporabnikov omrežja in kjer vsak posamezni uporabnik nastopa hkrati kot odjemalec (nekdo, ki pridobi datoteke) in strežnik (nekdo, ki hrani datoteke). Regulacija decentraliziranih omrežij je z vidika varstva osebnih podatkov izrazito zahtevna, pogosto celo nemogoča, saj je treba ugotoviti kdo sploh je upravljavec osebnih podatkov, kdo pogodbeni obdelovalec in kdo uporabnik. V primeru uporabe tehnologije veriženja podatkovnih blokov enotnega odgovora še ni, odgovor ki se nanaša na posamezni primer pa je odvisen tako od okoliščin (ali gre za javno ali zasebno tehnologijo veriženja podatkovnih blokov) kot tudi od samega tolmačenja pojmov »upravljavec« in »pogodbeni obdelovalec«.

 

V primeru javnih tehnologij veriženja podatkovnih blokov (ang. public blockchain) ni središčnega upravljavca, pač pa so upravljavci točke v mreži, ki omogočajo zapis podatkov v podatkovne bloke, hkrati pa te iste točke lahko nastopajo kot pogodbeni obdelovalci, če podatkovne bloke zgolj hranijo in vanje ne vpisujejo osebnih podatkov. Vprašanje kakšno mesto pripada komu z vidika obdelave osebnih podatkov je v teh primerih odprto. Niti Delovna skupina člena 29 (do 25. 5. 2018) niti po 25. 5. 2018 Evropski odbor za varstvo osebnih podatkov, ki se na EU (tudi na mednarodni ravni) ukvarja z vprašanji varstva osebnih podatkov v kontekstu posameznih tehnologij, pa o tem še nista izdala mnenja.

 

V primerih, ko gre za zasebne tehnologije veriženja podatkovnih blokov (ang. private blockchain), pa je veriga veliko bolj centralizirana, in praviloma obstaja eden ali več središčnih upravljavcev, ki v okviru hierarhične strukture določajo, kateri uporabniki lahko pristopijo k uporabi verige in kateri ne. V teh primerih bi bilo mogoče uresničevati zahtevke iz Splošne uredbe tako, da bi se posameznik obrnil na centralnega upravljavca oz. upravljavce.

 

V zvezi s samimi pravicami v glede obdelave osebnih podatkov, ki pripadajo posameznikom, velja pojasniti, da pri uresničevanju nekaterih pravic (seveda mora biti najprej jasno, kdo je upravljavec) ni predvidenih večjih ovir. Med uresničljive pravice v kontekstu obdelave osebnih podatkov v okviru tehnologije veriženja podatkovnih blokov sodi pravica do seznanitve glede obdelave osebnih podatkov ter pravica do prenosljivosti osebnih podatkov. Veliko večje težave pa nastanejo pri uresničevanju pravice do spremembe in pravice do izbrisa (t.i. pravica do pozabe) osebnih podatkov.

 

Uresničevanje pravice do spremembe podatkov in pravice do izbrisa osebnih podatkov je vsaj v primerih, ko gre za javne (odprte) implementacije tehnologije veriženja podatkovnih blokov, v praksi pogosto neizvedljivo. V prihodnosti se bodo morda oblikovali standardi, ki bodo omogočali enostavnejši izbris dela podatkov, vendar kot že pojasnjeno, tehnologija veriženja podatkovnih blokov izhaja iz ideje, da se (starih) blokov podatkov naj ne bi spreminjalo, sicer podatki ne bi bili več celoviti, veriga podatkov pa zato neuporabna.

 

V sklopu nasvetov, ki jih je mogoče najti v različnih smernicah in napotilih za zagotavljanje (delne) skladnosti obdelave osebnih podatkov v okviru tehnologije veriženja podatkovnih blokov, se pogosto namesto uresničevanje pravice do izbrisa predlaga anonimizacijo oziroma psevdonimizacijo podatkovnih blokov.

Tudi sicer zahteva pravice do izbrisa osebnih podatkov ni absolutna. Tako na primer 3. odstavek člena 17 Splošne uredbe, ki ureja pravico do izbrisa, določa, da ta ne velja kadar gre za

  1. uresničevanje pravice do svobode izražanja in obveščanja;
  2. izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
  3. razlogoe javnega interesa na področju javnega zdravja;
  4. namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali
  5. uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

 

Točka e je uporabna predvsem za primere (ne)uresničevanja pravice do izbrisa v kontekstu tehnologije veriženja podatkovnih blokov, saj gre pogosto za zapise o kopičenju ali transakcijah kriptovalut ter za zapise »pametnih pogodb«, kjer je celovitost podatkov nujna za uveljavljanje, izvajanje in obrambo pravnih zahtevkov.

 

Izvajanje ocene učinka v zvezi z varstvom podatkov se skladno s 3. odstavkom člena 35 Splošne uredbe izvaja zlasti v primeru:

  1. sistematičnega in obsežnega vrednotenja osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo;
  2. obsežne obdelave posebnih vrst podatkov ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški, ali
  3. obsežnega sistematičnega spremljanja javno dostopnega območja.

 

Ali bi obdelava osebnih podatkov v okviru posamezne implementacije tehnologije veriženja podatkovnih blokov sodila v kontekst, ki zahtevala izdelavo ocene učinka v zvezi z varstvom osebnih podatkov, je sicer odvisno od okoliščin posameznega primera, kljub vsemu pa IP priporoča, da se takšno oceno opravi kadar je le mogoče, saj se s tem vnaprej predvidi nekatera tveganja in rešitve v zvezi z obdelavo osebnih podatkov, hkrati pa se izkaže povečano zavedanje in odgovornost pri uporabi tehnologij veriženja podatkovnih blokov.

 

Splošna uredba v členu 32, ki ureja varnost obdelave osebnih podatkov, ne določa konkretnih tehnologij in načinov zavarovanja podatkov, pač pa navaja, da »ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje.«

Konkretnih varnostnih ukrepov in standardov Splošna uredba torej ne predpisuje, je pa smiselno uporabiti napotke, ki jih je IP opredelil v smernicah o zavarovanju osebnih podatkov (sicer se ne nanašajo na Splošno uredbo, pač pa na ZVOP-1, vendar so načela in napotki splošno uporabni). Dostopne so na spletni strani:  www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf

 

Priporočljivo se je seznaniti s smernicami o obdelavi osebnih podatkov v kontekstu tehnologije veriženja podatkovnih blokov, ki jih je na svoji spletni strani objavil francoski organ za varstvo osebnih podatkov (CNIL) in so dostopne na spodnjih povezavah:

www.cnil.fr/en/blockchain-and-gdpr-solutions-responsible-use-blockchain-context-personal-data

 

https://www.cnil.fr/sites/default/files/atoms/files/blockchain.pdf

 

 

Pripravil:

mag. Matjaž Drev,

državni nadzornik za varstvo osebnih podatkov

 

 

Mojca Prelesnik, univ.dipl.prav.,

Informacijska pooblaščenka