[Zoom sur la crypto par Kang Ryeon-ho] Blockchain et protection des données personnelles : un design plus important que la technologie

Les informations on-chain doivent être minimisées et les données personnelles doivent être gérées séparément

Il est également important de mettre en place des mesures techniques et administratives pour le traitement des données personnelles

Un design centré sur la vie privée détermine la durabilité de la blockchain

Récemment, la blockchain a attiré l'attention en tant que technologie innovante capable d'assurer l'intégrité et la fiabilité des données sur la base de la technologie des registres distribués. En particulier, son utilisation s'étend rapidement à divers domaines tels que la finance, l'administration publique, la logistique et les soins de santé, et elle est reconnue pour son potentiel élevé en matière de prévention de la falsification des données et de mise en œuvre de transactions basées sur la confiance.

Cependant, ces avantages techniques soulèvent également de nouveaux risques en matière de protection des données personnelles, nécessitant une évaluation systématique et des réponses appropriées.

Dans ce qui suit, nous examinerons les concepts et caractéristiques clés de la blockchain sur la base des lignes directrices sur la protection des données personnelles pour les services blockchain présentées par la Commission de protection des données personnelles, en analysant les risques liés aux problèmes de protection des données personnelles qui peuvent survenir dans la structure de combinaison des informations on-chain et off-chain, et en proposant des mesures de gestion à cet égard.

La blockchain est une technologie qui génère des données par blocs et les stocke de manière distribuée sous forme de chaîne sur de nombreux participants au réseau (nœuds). Chaque nœud participe à la création, à la validation et au stockage des données, garantissant ainsi l'intégrité et la fiabilité des données en partageant le même registre.

Dans ce processus, les données de la blockchain sont principalement divisées en informations on-chain et off-chain. Les informations on-chain sont des données enregistrées sur le réseau blockchain qui, en raison de leurs caractéristiques techniques, ne peuvent pratiquement pas être modifiées ou supprimées. En revanche, les informations off-chain sont des données stockées dans des bases de données ou des serveurs externes, utilisées en lien avec des valeurs de hachage ou des adresses de portefeuille on-chain.

Le problème est que lorsque ces informations on-chain et off-chain sont combinées, il est possible d'identifier des individus spécifiques. Dans ce cas, l'entité traitant ces informations devient un responsable du traitement des données personnelles au sens de la loi sur la protection des données personnelles, avec des obligations légales. En particulier, dans un environnement blockchain où il y a de nombreux participants et une structure décentralisée, la responsabilité du traitement des données personnelles peut devenir floue, nécessitant une approche différente de celle des systèmes centralisés existants.

La blockchain possède généralement trois caractéristiques clés : la transparence, la décentralisation et l'irréversibilité. Cependant, ces caractéristiques peuvent également agir comme des facteurs de risque en matière de protection des données personnelles.

Premièrement, en ce qui concerne la transparence. Les informations on-chain enregistrées sur la blockchain sont accessibles aux participants du réseau, et en particulier dans le cas des blockchains publiques, tout le monde peut consulter et analyser ces données. Cela crée un risque de violation de la vie privée, car il existe une possibilité de suivre des individus spécifiques par l'analyse des modèles de transaction.

Deuxièmement, en ce qui concerne la décentralisation. La blockchain n'a pas de gestionnaire central et a une structure où de nombreux participants gèrent conjointement les données. Cela présente l'avantage d'augmenter la stabilité et la fiabilité du système, mais rend également difficile la détermination des responsables du traitement des données personnelles. De plus, à mesure que le nombre de nouveaux participants augmente, la possibilité d'accès aux données s'élargit, augmentant ainsi le risque d'identification des individus.

Troisièmement, en ce qui concerne l'irréversibilité. Les données enregistrées sur la blockchain ne peuvent pratiquement pas être modifiées ou supprimées. Cela constitue un élément clé pour prévenir la falsification des données, mais complique l'exécution des droits de rectification et de suppression requis par la loi sur la protection des données personnelles. En particulier, il est difficile de traiter techniquement les cas où des données personnelles incorrectes sont enregistrées ou des demandes de suppression sont émises.

Compte tenu de ces facteurs de risque, il est essentiel que les services basés sur la blockchain intègrent la protection des données personnelles dès la phase de conception technique. Les principales mesures de gestion proposées dans les lignes directrices sont les suivantes.

Premièrement, minimiser les informations on-chain et anonymiser les données. Les données personnelles directement identifiables telles que le nom et le numéro d'identification ne doivent pas être enregistrées on-chain en principe. Au lieu de cela, seules les informations cryptées doivent être enregistrées, et les données personnelles réelles doivent être gérées séparément off-chain. Cela permet de minimiser le risque d'exposition des données personnelles en raison de la transparence de la blockchain.

Deuxièmement, renforcer la protection des données off-chain. Les données off-chain liées aux informations on-chain peuvent conduire à l'identification des individus en cas de fuite de données personnelles, il est donc nécessaire de mettre en œuvre rigoureusement des mesures de sécurité conformément à la loi sur la protection des données personnelles, telles que le chiffrement, le contrôle d'accès et la gestion des journaux d'accès.

Troisièmement, renforcer la gestion des technologies de cryptage et des nombres aléatoires. Lors de la génération d'informations on-chain, il est nécessaire d'appliquer des algorithmes de cryptage sécurisés et de gérer les valeurs aléatoires utilisées pour les signatures électroniques afin qu'elles ne soient pas réutilisées. Cela contribue à réduire la possibilité d'identification des mêmes utilisateurs et à diminuer le risque de suivi.

Quatrièmement, clarifier les relations de traitement des données personnelles entre les participants. Les obligations légales qui s'appliquent dépendent de la relation entre les participants de la blockchain, qu'il s'agisse d'un transfert de données personnelles à un tiers ou d'une sous-traitance. Par conséquent, il est important de clarifier les rôles et responsabilités de chaque participant par le biais de contrats, d'accords ou de politiques opérationnelles.

Cinquièmement, établir un système de réponse à la destruction des données personnelles. En raison de l'irréversibilité de la blockchain, il est difficile de supprimer les données on-chain elles-mêmes, il est donc nécessaire de n'enregistrer que des informations anonymes on-chain et de supprimer les données personnelles stockées off-chain ainsi que les informations supplémentaires utilisées pour générer des valeurs de hachage, afin de réaliser une destruction effective des données personnelles.

La blockchain s'est établie comme une infrastructure clé pour réaliser une économie numérique basée sur la confiance, et son champ d'application devrait s'élargir encore davantage à l'avenir. Cependant, l'avancement de la technologie ne doit pas entraîner une diminution du niveau de protection des données personnelles. En particulier, les caractéristiques structurelles de la blockchain présentent un risque de conflit avec les systèmes de protection des données personnelles existants, ce qui nécessite des réponses juridiques et techniques pour y remédier.

En fin de compte, la protection des données personnelles dans l'environnement blockchain doit aller au-delà de la simple conformité réglementaire et se diriger vers la mise en œuvre d'un "design centré sur la vie privée". Il est crucial d'intégrer dès la phase de conception des services la minimisation des données personnelles, l'anonymisation et le contrôle d'accès, tout en clarifiant la structure de responsabilité entre les participants. Ce n'est qu'en menant ces efforts de manière conjointe que la blockchain pourra évoluer en une technologie durable qui atteint à la fois la fiabilité et la protection des données personnelles.

Avertissement : Ce contenu est fourni à des fins de communication et d'information générale uniquement et ne constitue en aucun cas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, événements en ligne ou toute information mentionnée dans ce document ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, échanger ou traiter de quelque manière que ce soit des actifs crypto, ni à utiliser un quelconque service. Les actifs crypto sont très volatils et peuvent entraîner des pertes. Les services et événements en ligne de WEEX peuvent ne pas être disponibles dans toutes les régions et sont soumis aux lois, réglementations et conditions d'éligibilité applicables. Il vous appartient de veiller à ce que votre utilisation des services WEEX respecte la législation locale et d'évaluer soigneusement les risques avant de participer à toute activité liée aux cryptomonnaies.