2018. május 25-én életbe lép a GDPR-ként emlegetett Általános Adatvédelmi Rendelet. Az új adatkezelési szabályozás célja, hogy a felhasználók nagyobb kontrollt gyakorolhassanak a személyes adataik felett. A rendeletnek való megfelelés fejtörést okozhat a blockchain megoldások fejlesztői számára. A felhasználóknak biztosított jogosultságok közül az egyik a blokklánc alapvető működési elvével ellentétes.
Intenzíven tesztelik a blockchain technológiát a pénzügyi szektorban, és idén több kezdeményezés is kiléphet a zártkörű tesztelési fázisból. A 4 fő terület, ahol a legtöbb projekt fut: a fizetésforgalom, az értékpapír kereskedelem, a trade finance (kereskedelem finanszírozás) és az ügyfélhitelesítés, vagy más néven KYC (Know-Your-Customer). Ez utóbbi esetben különösen érdekes lehet a kérdés: Hogyan tud megfelelni egy blokkláncra épülő megoldás a GDPR adatkezelési szabályainak, ha a felhasználó az adatai törlését kéri?
Ehhez hasonló izgalmas kérdéseket is feszegetni fogunk a májusi FinTechShow blockchain mini-akadémiájának kerekasztal beszélgetésében.
A blockchain erőssége egyúttal az Achilles-sarka is lehet
A blockchain és a GDPR “ütközési” pontjának forrása a blockchain alapvető működési elvében keresendő. A blockchain egy az elosztott adatbázis technológiák közül. Egy olyan decentralizált, peer-to-peer hálózat, ahol a tranzakciós adatbázist kriptográfiai eljárással védik. Az adatbázis alkalmazásoknál 4 alakpfunkció (CRUD) van, alapesetben 4 dolgot tehetünk az adattal:
- “Create” (Létrehoz): új tranzakciót írhatunk az adatbázisba;
- “Read” (Olvas): olvashatjuk az adatbázis;
- “Update” (Módosít): módosíthatjuk;
- “Delete” (Töröl): és törölhetjük.
A blokklánc azonban egy olyan adatbázis technológia, ahol a fenti alapfunkciók közül 2 nem használható: a törlés és a módosítás. Az alapvető működési elve az, hogy a láncból adatot törölni nem lehet és a láncba már felírt adat módosítása sem értelmezhető. A blokklánc visszamenőleg megmásíthatatlan. Ebben rejlik az ereje, ez a jellemzője biztosítja az olyan előnyeit, mint a transzparencia és a hamisíthatóság kizárása. De egyúttal ez lehet a gyenge pontja is, ami miatt ütközésbe kerülhet a GDPR-ral.
Mit szabályoz a GDPR?
A 2018. május 25-én életbe lépő Általános Adatvédelmi Rendelet (General Data Protection Regulation) az EU-ban lévő magánszemélyek személyes adatainak kezelését szabályozza. Az adatkezelés tekintetében egységes szabályozást vezet be az Európai Unió országaiban működő vállalkozásokra, függetlenül azok székhelyétől.
Az “adatkezelés” a személyes adatokon végzett műveletek széles körét öleli fel, beleértve a manuális vagy automatizált eszközökkel végrehajtott műveleteket is. Idetartozik többek között: a gyűjtés, a rendszerezés, a tárolás, a megváltoztatás, a betekintés, a továbbítás és terjesztés, valamint a törlés, illetve megsemmisítés.
GDPR “ütközési” pont: a személyes adatok törléséhez való jog
A szigorúbb adatvédelmi szabályok révén a felhasználók fokozottabb felügyeletet gyakorolhatnak a személyes adataik felett. Számos jogosultsággal rendelkeznek majd, melyek közül a legkritikusabb a blockchain szempontjából a rendelet 17. cikkében megfogalmazott törléshez való jog. Ennek értelmében az adatkezelőnek “indokolatlan késedelem nélkül” törölnie kell a felhasználó személyes adatait többek között akkor, ha a felhasználó visszavonja az adatkezelésre korábban adott hozzájárulását és az adatkezelésnek más jogalapja nincs.
Ez az, ami fejtörést okozhat a blockchain projektek számára. A személyes adatok törléséhez, illetve elfeledtetéséhez való jog alapjaiban ellentétes a blockchain működési elvével.
CRAB: egy új megközelítés a blockchain működés leírására
A BigchainDB német startup egy új terminológiát alkotott a blockchain adatbázis működésének leírására – a CRAB-et, ahol a “módosítás” és a “törlés” funkciók helyett két blockchain specifikus működést takar az utolsó két betű:
- “Append” (Hozzáfűz): a blockchain azon funkcójára utal, amellyel egy új adatcsomag (blokk) hozáfűzhető a lánchoz.
- “Burn” (“Eléget”): ebben az esetben a titkosításhoz használt kulcsot kvázi “eldobjuk”, így a blokklánchoz további tranzakció nem fűzhető.
A titkosításhoz használt kulcs “elégetését” lehet úgy is értelmezni, hogy a kulcs eldobása egyben azt is jelenti, a titkosítás feloldása, visszafejtése sem lehetséges, így az adat véglegesen olvashatatlanná válik. Ez a fajta működés megfelelhet a GDPR által rögzített törlési kötelezettségnek? A rendelet e tekintetben nem ad egyértelmű választ.
A személyes adatok blockchain-en kívüli tárolása lehet csak a megoldás?
A május 25-én életbe lépő rendelet nem tartalmaz egyértelmű meghatározást arra vonatkozóan, hogy az adat törlése mit jelent pontosan, mikor számít egy adat töröltnek. Így kérdéses, hogy az előbb felvázolt “kulcselégetés” átmenne-e a GDPR vizsgán. Amennyiben az adatvédelmi rendeletnek megfelelő törlés nem megvalósítható, személyes adatok tárolása nem lesz lehetséges blochain-en.
Az persze lehet egy megoldás, hogy a személyes adatokat a blockchain-en kívül, egy másik adatbázisban tárolják és csak egy referencia adat kerül a blokkláncba. Így működik például egy amerikai szövetkezeti hitelintézeteket tömörítő konzorcium – a CULedger – által minap elindított megoldás, a MyCUID is.
De vajon nem veszítjük el egy ilyen megoldás esetében a blockchain által nyújtott előnyőket – a transzparenciát és az adathamisítás kizárását – és kapunk helyette egy bonyolultabb, támadhatóbb, kevésbé átlátható rendszert?
A cikk a Medium-on megjelent “The Blockchain – GDPR Paradox” című írás felhasználásával készült.
