Blockchain et RGPD : L'EDSA publie de nouvelles lignes directrices

Les blockchains doivent également se conformer au RGPD
Catégories :

Les technologies blockchain ouvrent de nouvelles perspectives pour le traitement décentralisé des données. Toutefois, leurs caractéristiques particulières posent d'importants défis en matière de protection des données, qui nécessitent un examen minutieux dans le cadre du règlement général sur la protection des données (RGPD) sont nécessaires. Le Comité européen de la protection des données (CEPD) indique dans ses derniers Lignes directrices un aperçu des défis juridiques et techniques ainsi que des recommandations d'action.

Qu'est-ce qu'une chaîne de blocs ?

Une blockchain est une base de données distribuée et cohérente qui se passe d'instance centrale. Les transactions sont enregistrées dans des blocs, reliées entre elles de manière cryptographique et documentées chronologiquement. De ce fait, les manipulations des données enregistrées sont pratiquement exclues ou ne sont possibles qu'au prix d'efforts considérables. Les chaînes de blocs peuvent être publiques ou privées et se distinguent notamment par le fait que tous les participants (permissionless) ou seulement certains (permissioned) peuvent valider les transactions.

La technologie blockchain permet avant tout d'effectuer des transactions entre différents acteurs de manière directe, transparente et inviolable et de traiter certains processus de travail de manière automatisée - par exemple dans le trafic des paiements avec des crypto-monnaies.

Les technologies blockchain ouvrent de nouvelles possibilités pour le traitement décentralisé des données. Les caractéristiques particulières de la technologie blockchain telles que la décentralisation, l'immuabilité et la Transparence impliquent toutefois des défis considérables en matière de protection des données. Ceux-ci nécessitent un examen minutieux dans le cadre de la RGPD. Dans ses dernières lignes directrices 02/2025, l'EDSA souligne la nécessité de garantir pleinement les principes de base de la protection des données, même dans le cas de solutions blockchain.

Les défis de la protection des données

Les caractéristiques techniques particulières des blockchains entrent parfois en conflit avec les principes fondamentaux de la RGPD, en particulier la Minimisation des données, qui Limitation de la mémoire ainsi que le Droits sur Rectification, Suppression et Opposition.

Une fois enregistrées, les données ne peuvent guère être effacées ou modifiées. Cela complique notamment la mise en œuvre du droit à Suppression (Art. 17 RGPD) et sur Rectification (Art. 16 RGPD). De même, le respect des obligations de transparence (art. 13, 14 RGPD) est complexe, car la multiplicité des intervenants rend difficile l'attribution claire des responsabilités.

Recommandations de la TOM pour l'utilisation de la blockchain

Afin de minimiser efficacement les risques pour la protection des données lors de l'utilisation des technologies blockchain, le Comité européen de la protection des données recommande une série de mesures techniques et organisationnelles :

Tout d'abord, il convient d'éviter, dans la mesure du possible données à caractère personnel directement sur la blockchain. Au lieu de cela, les données devraient être stockées autant que possible en dehors de la blockchain. Seules les références cryptographiques telles que les valeurs de hachage ou les "engagements", qui peuvent établir un lien avec l'information originale sans la révéler, devraient être stockées sur la chaîne de blocs elle-même.

Si le stockage de données à caractère personnel sur la blockchain est inévitable, il convient d'utiliser des méthodes de cryptage modernes. Une forte Cryptage garantit que seules les parties autorisées peuvent accéder au contenu. Cependant, la BDEP indique expressément que même les données cryptées ou hachées restent des données à caractère personnel et répondent ainsi à toutes les exigences de la RGPD sont soumis.

Un autre aspect essentiel est la mise en œuvre de la protection des données par la conception technique et les paramètres par défaut favorables à la protection des données (Privacy by Design et Default). Dès la planification d'un projet de blockchain, il convient de prévoir des mesures garantissant que données à caractère personnel sont en principe protégées et ne sont traitées que dans la mesure nécessaire à la réalisation de l'objectif en question. Il s'agit par exemple d'opter délibérément pour une blockchain privée et autorisée plutôt que pour une blockchain publique, de limiter clairement les droits d'accès et de minimiser la quantité de données traitées.

Dans l'ensemble, la conception des technologies de la chaîne de blocs dans le respect de la protection des données nécessite une planification technique minutieuse, une coordination étroite entre les parties prenantes et une surveillance continue. Documentation des mesures de protection prises.

Responsabilités et gouvernance

La structure décentralisée d'une blockchain ne dispense pas de l'obligation de définir des responsabilités claires conformément à l'article 4, point 7. RGPD de la gouvernance. En particulier pour les blockchains à autorisation, une structure de gouvernance devrait être mise en place pour définir clairement les rôles et les responsabilités.

Dans les chaînes de blocs sans permission, la clarification des rôles peut être plus difficile. Les opérateurs de nœuds (nodes) pourraient, dans certains cas, être considérés comme des (co-)opérateurs.Responsable être considérées comme ayant une influence déterminante sur les fins et les moyens de la Traitement ont.

Conseil de lecture : L'EDSA publie un nouveau Lignes directrices vers Pseudonymisation

Les projets de blockchain impliquent régulièrement une Analyse d'impact sur la protection des données (DSFA) selon l'art. 35 RGPD est nécessaire. Un DSFA doit notamment vérifier

  • si l'utilisation de la technologie blockchain est nécessaire et proportionnée,
  • quelles données sont stockées sur ou en dehors de la blockchain,
  • quels sont les risques pour les droits et libertés des personnes concernées,
  • et comment les transferts internationaux de données sont gérés.


Une AIPD devrait également envisager des solutions techniques alternatives et évaluer comparativement leurs risques.

Droits des personnes concernées

Les applications blockchain doivent être conçues de manière à garantir les droits des personnes concernées en vertu de la RGPD soient pleinement respectés. Cela concerne en particulier le droit à l'information, au renseignement, Rectification, SuppressionLe droit d'accès aux données personnelles, la portabilité des données et le droit d'opposition.

Le droit à l'information (art. 13, 14 RGPD) exige que les personnes concernées soient informées, avant ou au plus tard au moment de la Traitement être informés de manière claire et compréhensible sur le traitement des données. Ce flux d'informations doit également être garanti dans les applications blockchain - par exemple lors de la création de portefeuilles ou avant le transfert de données dans un réseau blockchain. Des plateformes d'information centralisées ou des indications pour les utilisateurs au sein des applications peuvent aider dans ce domaine.

Le droit d'accès et de portabilité des données (art. 15, 20 RGPD) signifie que Personnes concernées demander l'accès à leurs données à caractère personnel et, le cas échéant, leur transfert dans un format structuré et courant. Même si les données sont réparties entre différents nœuds, un service central (par exemple le Responsable) et mettre ces informations à disposition.

Les droits à Rectification et Suppression (Art. 16, 17 RGPD) représentent un défi particulier dans les systèmes de chaînes de blocs. L'immuabilité de la blockchain s'oppose au droit de Rectification ou Suppression des données. La CEPD recommande donc données à caractère personnel si possible en dehors de la blockchain. Si une Suppression cela peut se faire en supprimant les données off-chain, de sorte que les données on-chain ne présentent plus de référence personnelle. En complément, des transactions supplémentaires peuvent être utilisées pour révoquer ou remplacer des entrées erronées.

Le droit d'opposition (art. 21 RGPD) doit également être prise en compte dès l'architecture du système. Mesures techniques et organisationnelles doivent prévoir que les traitements de données peuvent être effectués en cas de motif légitime. Opposition peuvent être annulées.

Résumé et recommandations

L'EDSA recommande

  • N'utiliser les technologies de la blockchain qu'en cas de besoin clair Nécessité et après mûre réflexion.

  • La préférence donnée à blockchains à autorisation avec une structure d'accès contrôlée.

  • Prise en compte précoce des exigences en matière de protection des données dans le cadre de Privacy by design et par défaut.

  • Des structures de gouvernance claires pour déterminer les responsabilités.

  • Documentation de toutes les décisions, notamment en ce qui concerne la structure des données, Contrôle d’accès aux données et l'évaluation des risques.

Source : Lignes directrices 02/2025 sur le traitement des données personnelles par les technologies blockchain

Vous avez besoin d'aide pour la mise en œuvre dans votre entreprise ? Nous proposons des conseils pratiques en matière de protection des données et des solutions numériques - efficaces, compréhensibles et conformes à la législation.

Contactez-nous - nous vous aiderons !
☎️ +49 (228) 926165-100
📧paris@2b-advice.com

Les tags :
Partager ce post :