Aquellos que han oído hablar de la tecnología "blockchain" generalmente la conocen como la base de la moneda virtual de Bitcoin, pero hay miles de organizaciones que planean diferentes tipos de aplicaciones para ella: ejecutar contratosmodernizando registros de tierras, incluso proporcionando nuevos sistemas para de gestión de identidades.

Sin embargo, hay un gran problema en el horizonte: la ley europea de privacidad.

La ley general de protección de datos del bloque, que entrará en vigencia dentro de unos meses, dice que las personas deben poder exigir que sus datos personales sean rectificados o eliminados en muchas circunstancias. Una cadena de bloques es esencialmente un registro creciente y compartido de actividades pasadas que se distribuye en muchas computadoras, y el punto es que esta cadena de transacciones (u otros fragmentos de información) es inmutable en la práctica: esto es lo que garantiza la confiabilidad de la información almacenada en la blockchain 

Para proyectos de blockchain que involucran el almacenamiento de datos personales, estos dos hechos no se mezclan bien. Y con las sanciones por ignorar el GDPR que incluyen multas de hasta 20 millones de euros o el 4 por ciento de los ingresos globales, muchas empresas pueden encontrar que la tendencia de la cadena de bloques ultra-zumbido es mucho menos apetecible de lo que pensaban.

"[El RGPD] es independiente de qué tecnología específica se utiliza para el procesamiento, pero introduce una obligación obligatoria para los controladores de datos de aplicar el principio de 'protección de datos por diseño'", dijo Jan Philipp Albrecht, miembro del Parlamento Europeo. quien guió el GDPR a través del proceso legislativo. “Esto significa, por ejemplo, que los derechos del sujeto de datos pueden ejercerse fácilmente, incluido el derecho a la eliminación de datos cuando ya no sean necesarios.

"Aquí es donde las aplicaciones de blockchain se encontrarán con problemas y probablemente no serán compatibles con GDPR". - Jan Philipp Albrecht, eurodiputado

"Aquí es donde las aplicaciones de blockchain se encontrarán con problemas y probablemente no serán compatibles con GDPR".

La alteración de datos "simplemente no funciona en una cadena de bloques", dijo John Mathews, el director financiero de Bitnation Un proyecto que tiene como objetivo proporcionar servicios de identidad y gobierno basados ​​en blockchain, así como el almacenamiento de documentos. “Las blockchains son por naturaleza inmutables. El RGPD dice que debe ser capaz de eliminar algunos datos, por lo que esas dos cosas no cuadran ".

Hay dos tipos principales de blockchain: blockchains privados o "autorizados" que están bajo el control de un grupo limitado (como el blockchain Ripple que está diseñado para facilitar los pagos entre proveedores de servicios financieros); y blockchains públicos o "sin permiso" que no están realmente bajo el control de nadie (como las redes Bitcoin o Ethereum).

Es técnicamente posible reescribir los datos almacenados en una cadena de bloques, pero solo si la mayoría de los nodos en la red acuerdan crear una nueva "bifurcación" (versión) de la cadena de bloques que incluye los cambios, y luego continuar usando esa versión en lugar de la original. Eso es relativamente fácil en una cadena de bloques privada, si no ideal, pero en una cadena de bloques pública es un sísmico y evento extremadamente raro. Al menos como la tecnología está diseñada actualmente, hay poco o ningún margen para arreglar o eliminar bits de información aquí y allá de manera continua.

"Desde el punto de vista de blockchain, el GDPR ya está desactualizado", dijo Mathews. “La regulación se pone al día con la tecnología. El GDPR fue escrito bajo el supuesto de que tiene servicios centralizados que controlan los derechos de acceso a los datos del usuario, que es lo opuesto a lo que hace una cadena de bloques sin permiso ". 

Jutta Steiner es la fundadora de Parity.io, una startup que desarrolla tecnologías descentralizadas, y la ex jefa de seguridad de la Fundación Ethereum. Ella está de acuerdo con Mathews en que "el GDPR necesita una revisión adecuada".

"Desde la perspectiva de un profesional, me parece que fue redactado tratando de implementar una cierta perspectiva de cómo debería ser el mundo sin tener en cuenta cómo funciona realmente la tecnología", dijo Steiner. “La forma en que funciona la arquitectura [de red pública descentralizada] significa que no existe la eliminación de datos personales. El problema con la información es una vez que está fuera, está fuera "

"Dada la etapa en la que se encuentra la tecnología, creo que hay tiempo para ajustar ciertas cosas en el GDPR", agregó Steiner. “No puedo ver que los reguladores sean tan tercos como para no ajustar la regulación. ... Simplemente verán que los otros países usarán la tecnología y Europa está en desventaja ".

“No veo que los reguladores sean tan tercos como para no ajustar la regulación. ... Verán que los otros países utilizarán la tecnología y que Europa está en desventaja ". - Jutta Steiner, Parity.io

Parece poco probable que suceda pronto. El GDPR es una nueva regulación, y las leyes de la UE tienden a durar mucho tiempo antes de la revisión: la Directiva de protección de datos que precedió al GDPR se redactó en 1995.

"Ciertas tecnologías no serán compatibles con el RGPD si no prevén [el ejercicio de los derechos de los interesados] en función de su diseño arquitectónico", insistió Albrecht. “Esto no significa que la tecnología blockchain en general tenga que adaptarse al GDPR, solo significa que probablemente no se pueda usar para el procesamiento de datos personales. Esta decisión es responsabilidad de cada organización que procesa datos personales ".

Aunque el choque entre el GDPR y la tecnología blockchain ha recibido poca atención hasta el momento, se le ha ocurrido a algunas personas.

La Base de Datos Interplanetaria fue, hasta que su principal financiador recientemente obtuvo apoyo, un proyecto que tenía como objetivo construir un sistema de base de datos basado en blockchain: iba a ser una especie de blockchain híbrido privado-público, donde los nodos en la red fueron preseleccionados, pero cualquiera podría enviar transacciones a la red o leer los datos almacenados en ella. Según el cofundador de la Fundación IPDB, Greg McMullen, el equipo con sede en Berlín era muy consciente de los problemas planteados por el GDPR.

Un problema, dijo McMullen, fue la incapacidad de modificar o eliminar datos almacenados en una cadena de bloques. Pero también había otro problema.

"El RGPD está escrito para un modelo de servicios en la nube donde, por ejemplo, soy una startup y recopilo datos de pedidos de restaurantes y los almaceno todo en Amazon Web Services, y ellos hacen mi hosting por mí, así que tengo que tener un contrato con Amazon que les pasa mis obligaciones de privacidad ", dijo McMullen. “Funciona realmente bien cuando hay uno o dos proveedores, pero cuando comienzas a tener una red descentralizada se descompone por completo. No puede tener un contrato con [todos] los nodos en la red Ethereum. Es inviable ".

Entonces, ¿quién es realmente responsable de la protección de datos en una red descentralizada? Después de todo, una de las grandes atracciones de tales redes es que son resistentes a la censura, porque no hay un cuerpo central, ni Amazon ni Facebook, para que los ejecutores persigan, y porque los nodos o usuarios que componen la red están dispersos. el mundo.

Según Albrecht, si se trata de una cadena de bloques privada, el cumplimiento del RGPD es responsabilidad de la organización que lo está implementando. "Para las aplicaciones de blockchain públicas y descentralizadas, sería responsabilidad de cada usuario que ponga datos personales en el libro mayor distribuido asegurarse de que cumple con el RGPD", dijo el parlamentario. "Lo que en la mayoría de los casos no [será]".

"Es cierto que las regulaciones tendrán que ponerse al día con la tecnología, pero debes ser realista sobre el hecho de que el RGPD es algo real y está sucediendo, y se hará cumplir". -Greg McMullen, IPDB

El problema de responsabilidad asustará a muchas empresas usando blockchains, advirtió McMullen. "Es cierto que las regulaciones tendrán que ponerse al día con la tecnología, pero hay que ser realistas sobre el hecho de que el GDPR es algo real y está sucediendo, y se hará cumplir", dijo. "Cuando le pides a las empresas que usen blockchains, no van a correr ese riesgo con los datos de sus clientes, o al menos no deberían hacerlo".

Según McMullen, la Fundación IPDB había estado trabajando en varias ideas para abordar el problema de protección de datos. Uno era un sistema de "poner en la lista negra" ciertos datos para que, incluso si no se eliminaban de la red cuando era necesario, no se publicarían cuando se solicitaran. 

Otra idea era poner solo "hashes" de datos personales en la cadena de bloques, en lugar de los datos en sí. Los hashes son derivaciones matemáticas de datos que, si se implementan adecuadamente, no se pueden aplicar ingeniería inversa para exponer los datos que se representan, pero usted podemos utilícelos para verificar los datos subyacentes, repitiendo el algoritmo de hash en esos datos y comparando el resultado con el hash almacenado. Con una cadena de bloques de hashes, en lugar de los datos subyacentes, podría ser posible eliminar los datos sin tener que modificar la cadena de bloques. De esa manera, la cadena de bloques podría ser útil para verificar los datos sin dejar de cumplir con el RGPD, sugirió McMullen.

Sin embargo, ¿es probable que los reguladores tomen medidas enérgicas contra este sector emergente? McMullen, un abogado, dijo que los primeros objetivos de ejecución probablemente serían "los sospechosos habituales: Google, Facebook, Amazonas", pero "podría ser muy fácil para un regulador decidir hacer un espectáculo de perseguir a una empresa de blockchain porque es un término muy publicitado ".

"A medida que las empresas comienzan a comprender [las implicaciones del GDPR], podríamos ver un movimiento real para ajustarse a las leyes mediante la recopilación de menos datos y el uso de los datos de una manera que no lo exponga a Internet público, como con hashes". Dijo McMullen. “De esa manera, la tecnología podría ajustarse a la ley, así como la ley ajustarse a la tecnología. Al final, podría ser muy bueno para la privacidad del usuario ".

Crédito de la foto: btckeychain Cadena de Bitcoin IMG_9185 vía PhotoPin (Licencia)

Fuente: https://iapp.org/news/a/blockchain-technology-is-on-a-collision-course-with-eu-privacy-law/