DPIA

L'attesa è finita
Ailance™ DPIA è qui!

Blockchain e GDPR: EDSA pubblica nuove linee guida

La blockchain deve anche essere conforme al GDPR
Categorie:

Le tecnologie blockchain aprono nuove prospettive per il trattamento decentralizzato dei dati. Tuttavia, le loro caratteristiche speciali comportano notevoli sfide per la protezione dei dati che richiedono un attento esame nel contesto del Regolamento generale sulla protezione dei dati (GDPR). Nelle sue attuali linee guida, il Comitato europeo per la protezione dei dati (EDPB) fornisce una panoramica delle sfide legali e tecniche, nonché raccomandazioni per l'azione.

Che cos'è una blockchain?

Una blockchain è un database distribuito e coerente che non richiede un'istanza centralizzata. Le transazioni sono memorizzate in cosiddetti blocchi, collegati tra loro in modo crittografico e documentati cronologicamente. Ciò significa che la manipolazione dei dati memorizzati è praticamente impossibile o possibile solo con un notevole sforzo. Le blockchain possono essere pubbliche o private e si differenziano in particolare per la possibilità di convalidare le transazioni da parte di tutti i partecipanti (permissionless) o solo di alcuni (permissioned).

Soprattutto, la tecnologia blockchain consente di effettuare transazioni tra diversi attori in modo diretto, trasparente e a prova di manomissione e di automatizzare i singoli processi di lavoro, ad esempio nelle operazioni di pagamento con criptovalute. 

Le tecnologie blockchain aprono nuove possibilità per il trattamento decentralizzato dei dati. Tuttavia, le caratteristiche peculiari della tecnologia blockchain, come la decentralizzazione, l'immutabilità e la trasparenza, pongono notevoli sfide in termini di legge sulla protezione dei dati. Queste richiedono un attento esame nel contesto del GDPR. Nelle sue attuali linee guida 02/2025, l'EDPB sottolinea la necessità di garantire pienamente i principi fondamentali della protezione dei dati anche per le soluzioni blockchain.

Sfide per la protezione dei dati

Le particolari caratteristiche tecniche delle blockchain sono in parte in conflitto con i principi di base del GDPR, in particolare con la Minimizzazione dei datiil Limitazione della memoria e il Diritti di rettifica, cancellazione e opposizione.

Una volta memorizzati, i dati non possono essere cancellati o modificati. Ciò rende particolarmente difficile l'attuazione del diritto alla cancellazione (art. 17 GDPR) e del diritto alla rettifica (art. 16 GDPR). Anche l'adempimento degli obblighi di trasparenza (artt. 13 e 14 del GDPR) è complesso, poiché il gran numero di soggetti coinvolti rende difficile una chiara attribuzione delle responsabilità.

Raccomandazioni del TOM per l'utilizzo della blockchain

Per ridurre efficacemente i rischi di protezione dei dati quando si utilizzano le tecnologie blockchain, il Comitato europeo per la protezione dei dati raccomanda una serie di misure tecniche e organizzative:

In primo luogo, ove possibile, i dati personali non dovrebbero essere memorizzati direttamente sulla blockchain. Al contrario, i dati dovrebbero essere memorizzati il più possibile al di fuori della blockchain. Solo i riferimenti crittografici, come i valori di hash o gli impegni che possono stabilire un collegamento alle informazioni originali senza rivelarle, dovrebbero essere memorizzati sulla blockchain stessa.

Se la memorizzazione di dati personali sulla blockchain è inevitabile, è necessario utilizzare metodi di crittografia moderni. Una crittografia forte garantisce che solo le parti autorizzate possano accedere al contenuto. Tuttavia, l'EDPB sottolinea espressamente che anche i dati criptati o con hash sono ancora considerati dati personali e sono quindi soggetti a tutti i requisiti del GDPR.

Un altro aspetto fondamentale è l'implementazione della protezione dei dati attraverso la progettazione della tecnologia e le impostazioni predefinite favorevoli alla protezione dei dati (privacy by design e default). Quando si pianifica un progetto blockchain, si devono già adottare misure per garantire che i dati personali siano fondamentalmente protetti e trattati solo nella misura necessaria per il rispettivo scopo. Ciò include, ad esempio, la decisione consapevole di utilizzare una blockchain privata e autorizzata invece di una blockchain pubblica, la chiara restrizione dei diritti di accesso e la minimizzazione della quantità di dati trattati.

Nel complesso, la progettazione conforme alla protezione dei dati delle tecnologie blockchain richiede un'attenta pianificazione tecnica, uno stretto coordinamento tra le parti coinvolte e una documentazione continua delle misure di protezione adottate.

Responsabilità e governance

La struttura decentralizzata di una blockchain non la esime dall'obbligo di definire chiare responsabilità in conformità all'art. 4 n. 7 del GDPR. Soprattutto nel caso di blockchain autorizzate, è necessario creare una struttura di governance che definisca chiaramente ruoli e responsabilità.

Chiarire i ruoli può essere più difficile con le blockchain permissionless. Gli operatori dei nodi (nodi) potrebbero essere considerati (co)controllori se hanno un'influenza significativa sulle finalità e sui mezzi di elaborazione.

Suggerimento di lettura: L'EDPB pubblica nuove linee guida sulla pseudonimizzazione

Necessità di una valutazione d'impatto sulla protezione dei dati

I progetti blockchain richiedono regolarmente un Valutazione d'impatto sulla protezione dei dati (DPIA) richiesto ai sensi dell'art. 35 del GDPR. In particolare, la DPIA deve verificare

  • se l'uso della tecnologia blockchain sia necessario e proporzionato,
  • che i dati sono memorizzati sulla blockchain o al di fuori di essa,
  • quali rischi si presentano per i diritti e le libertà degli interessati,
  • e come vengono gestiti i trasferimenti internazionali di dati.


Una DPIA deve anche considerare soluzioni tecniche alternative e valutarne i rischi su base comparativa.

Diritti degli interessati

Le applicazioni blockchain devono essere progettate in modo tale da salvaguardare pienamente i diritti degli interessati ai sensi del GDPR. Ciò vale in particolare per il diritto all'informazione, all'accesso, alla rettifica, alla cancellazione, alla portabilità dei dati e al diritto di opposizione.

Il diritto all'informazione (artt. 13 e 14 GDPR) richiede che gli interessati siano informati in modo chiaro e comprensibile sul trattamento dei dati prima o al più tardi al momento del trattamento. Questo flusso di informazioni deve essere garantito anche per le applicazioni blockchain - ad esempio, quando si creano i portafogli o prima di trasferire i dati a una rete blockchain. In questo caso, possono essere d'aiuto piattaforme informative centralizzate o istruzioni per l'utente all'interno delle applicazioni.

Il diritto all'informazione e alla portabilità dei dati (art. 15, 20 GDPR) significa che gli interessati possono richiedere informazioni sui loro dati personali e, se necessario, il loro trasferimento in un formato strutturato e di uso comune. Anche se i dati sono distribuiti tra diversi nodi, un punto centrale (ad esempio il responsabile del trattamento) deve essere accessibile e fornire queste informazioni.

I diritti di rettifica e cancellazione (artt. 16 e 17 del GDPR) rappresentano una sfida particolare nei sistemi blockchain. L'immutabilità della blockchain è un ostacolo fondamentale al diritto di rettifica o cancellazione dei dati. L'EDPB raccomanda pertanto di memorizzare i dati personali al di fuori della blockchain, ove possibile. Se si desidera la cancellazione, questa può essere effettuata rimuovendo i dati fuori dalla catena in modo che i dati sulla catena non abbiano più alcun riferimento personale. È inoltre possibile utilizzare transazioni aggiuntive per revocare o annullare inserimenti errati.

Il diritto di opposizione (art. 21 GDPR) deve essere preso in considerazione anche nell'architettura del sistema. Le misure tecniche e organizzative devono garantire che il trattamento dei dati possa essere revocato in caso di obiezione giustificata.

Sintesi e raccomandazioni

L'EDSA raccomanda:

  • L'uso delle tecnologie blockchain solo se chiaramente necessario e dopo un'attenta valutazione.

  • La preferenza per blockchain autorizzate con struttura ad accesso controllato.

  • Considerazione tempestiva dei requisiti di protezione dei dati nel contesto di Privacy by design e default.

  • Strutture di governance chiare per definire le responsabilità.

  • Documentazione di tutte le decisioni, in particolare per quanto riguarda la struttura dei dati, il controllo degli accessi e la valutazione dei rischi.

Fonte: Linee guida 02/2025 sul trattamento dei dati personali attraverso le tecnologie blockchain

Avete bisogno di supporto per l'implementazione nella vostra azienda? Offriamo consulenza pratica sulla protezione dei dati e soluzioni digitali - efficienti, comprensibili e conformi alla legge.

Contattateci: possiamo aiutarvi!
☎️ +49 (228) 926165-100
📧  verona@2b-advice.com

Tag:
Condividi questo post :
it_ITItalian