El blockchain, caracterizado por su inmutabilidad y transparencia, está cobrando cada vez más relevancia en el mundo digital, especialmente por ser parte esencial de los smart contracts. Sin embargo, al tratar con datos personales y debido a algunas de sus características, el blockchain y el RGPD chocan en diferentes aspectos. En las siguientes líneas exploramos esta relación entre blockchain y protección de datos.
Contenido del artículo
Relación entre blockchain y protección de datos
La relación entre blockchain y protección de datos no la vamos a encontrar explícitamente recogida en la normativa; ni el Reglamento General de Protección de Datos (RGPD) ni la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) lo mencionan ni incluyen una regulación específica.
Sin embargo, no es necesaria esa mención específica cuando el uso del blockchain implica el tratamiento de datos personales, puesto que se usan identificadores únicos que, cruzados entre sí, pueden conducir a la identificación de las personas. Y al realizarse un tratamiento de datos personales, es de aplicación al blockchain el RGPD y la LOPDGDD.
No obstante, y cómo veremos más adelante, la aplicación de la normativa de protección de datos al blockchain plantea una serie de problemas debido a la propia naturaleza de esta tecnología y la forma en la que registra y almacena la información en la cadena de bloques.
Debemos recordar que el blockchain es una base de datos distribuida (compuesta de diferentes nodos y en la que no hay intervención humana) que permite registrar transacciones de información, que son validadas por todos los nodos de la cadena. Este sistema se basa en las redes entre pares (P2P) y el cifrado de información para garantizar la transparencia y la privacidad de las transacciones.
Es decir, que al llevar a cabo una transacción mediante blockchain, se genera un nodo o bloque de datos, que se conecta a un nodo anterior y a otro posterior, de manera que cada nodo verifica y valida la transacción, lo que imposibilita la manipulación de la información y garantiza su inmutabilidad, es decir, que no se puede modificar ni eliminar.
¿Cumple el blockchain el RGPD?
El blockchain cumple con algunas de las obligaciones y requisitos establecidos en la normativa de protección de datos, pero con otros choca frontalmente, planteando desafíos legales a los que será necesario buscar una solución técnica, si se quiere poder usar el blockchain dentro de las condiciones que recoge la normativa de protección de datos.
En lo que respecta al cumplimiento y la privacidad de los datos, el blockchain permite asegurar la privacidad de transacciones y usuarios, puesto que una de sus principales características es el uso de seudónimos y el cifrado de la información que viaja y se registra en cada nodo de la cadena. Es decir, en el blockchain no se registran nombres ni otros datos personales (con la excepción de la IP, de lo que hablaremos más adelante) y se emplean técnicas de cifrado avanzadas para que solo el emisor y el receptor de la información tengan acceso a ella.
En otras palabras, si un tercero intentara acceder la información registrada en uno de los nodos de la cadena, no podría «leerla».
En ese sentido, cualquier transacción realizada en blockchain cumpliría con el principio de privacidad desde el diseño.
El blockchain también tiene la capacidad de dar un mayor control de los datos a los titulares de los mismos, permitiéndoles determinar quién puede acceder a sus datos personales y con qué finalidad usarlos.
Sin embargo, pese a las ventajas que para la privacidad parece aportar el blockchain, cómo decíamos, plantea una serie de problemas de cumplimiento respecto al RGPD y la LOPDGDD que es necesario conocer y tener presentes, si está considerando utilizar el blockchain dentro de la empresa.
Desafíos para el uso del blockchain y cumplir el RGPD
La descentralización y la inmutabilidad del blockchain son los principales focos de conflicto con el cumplimiento del RGPD y generan una serie de desafíos y problemas en el uso del blockchain y la protección de datos.
Registro de la dirección IP
Pese a que a priori parece que el blockchain no registra datos de carácter personal, esto no es del todo cierto, puesto que cada vez que se accede a la cadena para efectuar una transacción, quedan registradas las entradas y salidas, es decir, se registra la dirección IP del usuario cada vez que realiza una transacción.
De acuerdo a la AEPD y al Tribunal Supremo, la dirección IP es un dato personal, ya que permite identificar a la persona a la que pertenece dicha dirección (es cierto que no es algo que se pueda hacer de manera sencilla, pero la posibilidad está ahí).
Esto solo ya implica la aplicación del RGPD y la LOPDGDD en el uso del blockchain, lo que nos lleva a los siguientes problemas.
Identificar al responsable del tratamiento
Como sabéis, la normativa de protección nos dice que debe haber un responsable del tratamiento, encargado de cumplir con las obligaciones de la misma y ante quien los interesados (los usuarios) pueden ejercer sus derechos.
Dado que el blockchain es una base de datos descentralizada, no hay realmente un responsable del tratamiento al que acudir ni que se responsabilice de informar los usuarios del tratamiento de sus datos, de quién los está tratando ni con qué finalidad. Así mismo, tampoco es posible ejercer ninguno de los derechos sobre los datos personales que tenemos los usuarios (acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición).
No se puede fijar un plazo de supresión de los datos
El RGPD establece que los datos personales solo pueden tratarse por un plazo de tiempo limitado, que será el mínimo necesario para cumplir con la finalidad propuesta. El conflicto entre el blockchain y RGPD surge porque una vez registrados en los nodos de la cadena, los datos, como decíamos, son inmutables e irreversibles. Es decir, que no se pueden borrar.
Esto plantea un problema claro, y es que no se puede fijar un plazo de conservación de los datos ni eliminarlos una vez terminado. Además, quién fija ese plazo es el responsable del tratamiento, que, como ya hemos visto, no existe en el blockchain.
Dificultad para atender el derecho de supresión y la limitación del tratamiento
En línea con lo anterior, y debido a esa imposibilidad de borrar o alterar la información registrada en los nodos de la cadena, resulta imposible que ningún usuario pueda ejercer su derecho de supresión (o derecho al olvido) y/o su derecho de limitación del tratamiento en las circunstancias y casos que establece el RGPD.
Así mismo, la inexistencia de un responsable del tratamiento, también dificulta este ejercicio de derechos, porque ¿ante quién presentaríamos la solicitud de estos derechos?
La inmutabilidad de los datos, que garantiza la seguridad de las transacciones en el blockchain, hace imposible que se puedan suprimir o limitar los datos. La única forma de hacerlo, sería que todos los participantes de la cadena se pusieran de acuerdo para llevar a cabo la supresión o limitación de los datos en sus copias de la base de datos (sus nodos), algo prácticamente imposible desde un nivel organizacional. Pero, además, habría otro problema técnico, y es que modificar la información cifrada en los nodos sería muy complejo.
No obstante, la AEPD ha publicado una nota técnica sobre blockchain y derecho de supresión en la que presenta una prueba de concepto que demuestra la posibilidad de construir infraestructuras blockchain que permitan suprimir datos de la cadena.
Smart contracts y decisiones automatizadas
Finalmente, el último problema del blockchain frente al RGPD está relacionado con los smart contracts, ya que estos se basan en la cadena de bloques para la ejecución de los términos del contrato cuando las condiciones acordadas entre las partes se cumplan.
El problema de los smart contracts y la protección de datos está en la aplicación del artículo 22 del RGPD, que regula el uso de las decisiones automatizadas con impacto jurídico en los interesados.
Debemos tener en cuenta que los smart contracts se basan, precisamente, en decisiones automatizadas, si dichos contratos implican el uso de datos personales que pudieran afectar de forma significativa al interesado, sería necesario que estos cumpliesen con los requisitos que establece el citado artículo 22, es decir, el interesado debe tener derecho a obtener intervención humana por parte del responsable del tratamiento, a expresar su punto de vista y a impugnar su decisión.
En el momento en que es necesario cumplir esas obligaciones, las ventajas que aporta el uso de un smart contract pueden perderse (puesto que su finalidad es automatizar ciertos procesos).
Así mismo, a estas medidas de seguridad, ante el eventual uso de smart contracts hay que sumar el resto de obligaciones que establece el RGPD (medidas de seguridad que garanticen la privacidad desde el diseño y por defecto, realizar evaluaciones de impacto o la información a los usuarios sobre las decisiones automatizadas, etc.).
Estrategias y soluciones técnicas para blockchain y protección de datos
Implementar blockchain de manera compatible con el RGPD requiere la adopción de soluciones técnicas innovadoras y prácticas adaptadas a los principios de privacidad y protección de datos. A continuación, analizamos algunas de estas estrategias y soluciones.
Anonimización y seudonimización en blockchain
- Anonimización: En blockchain, la anonimización se puede lograr mediante la creación de identificadores criptográficos que no estén asociados con datos personales directamente identificables, como direcciones de wallet que no están vinculadas a nombres reales.
- Seudonimización: En blockchain, la seudonimización se utiliza mediante el cifrado de datos personales, donde la clave para descifrar la información se mantiene separada de los datos almacenados en la cadena. De este modo, solo las partes autorizadas pueden acceder a los datos completos, garantizando que no se vulneren los derechos de los usuarios. Esta solución también ayuda a cumplir con el principio de seguridad del RGPD, ya que solo los usuarios o entidades con acceso adecuado pueden conocer los datos personales asociados.
Almacenamiento de datos off-chain
El almacenamiento de datos off-chain es una estrategia fundamental para resolver el problema de la inmutabilidad de los datos del blockchain. En lugar de almacenar directamente los datos personales en la cadena, la información sensible se guarda fuera de la cadena (en bases de datos tradicionales u otros sistemas de almacenamiento seguros) y solo se almacenan referencias o hashes de esos datos en la blockchain.
Este enfoque permite que los datos sean modificados o eliminados de los sistemas off-chain sin afectar la integridad de la cadena de bloques. Si un usuario solicita la eliminación de sus datos, la acción se realiza en el almacenamiento off-chain, garantizando el cumplimiento del derecho de supresión sin comprometer la estructura de la cadena de bloques. Además, como solo se almacenan hashes, el acceso a los datos personales se limita y se minimiza el riesgo de exposición.
Pruebas de conocimiento cero
Las Pruebas de conocimiento cero (Zero-Knowledge Proofs o ZKPs) son una tecnología emergente que permite verificar la validez de una afirmación sin revelar información adicional sobre los datos asociados. Esta tecnología ha sido cada vez más integrada en las soluciones de blockchain para mejorar la privacidad y cumplir con los requisitos del RGPD.
Las ZKPs permiten transacciones y verificaciones en la blockchain sin que se compartan datos personales sensibles, lo que es esencial para cumplir con el principio de minimización de datos del RGPD. Además, son una herramienta poderosa, especialmente en escenarios donde se necesita garantizar la autenticidad de una transacción o la veracidad de los datos sin comprometer la privacidad del usuario.
En definitiva, los problemas y desafíos en protección de datos que plantea el blockchain deben tenerse en cuenta a la hora de adoptar y usar esta tecnología, por lo que ante cualquier duda, es recomendable consultar con un especialista en protección de datos, para asegurar que no estamos infringiendo la normativa al usarla.
