Blockchain e Privacy: due rette parallele destinate a non incontrarsi mai?

Intro

Il sistema della blockchain è rappresentato da un insieme composito quanto ampio di tecnologie all’interno delle quali il registro venga strutturato come una catena di blocchi contenenti le transazioni che siano state effettuate dagli utenti¹.

In questo complesso processo la validazione è affidata ad un preciso meccanismo determinata da uno specifico consenso il quale sia suddiviso relativamente ai vari operatori della rete su tutti i nodi autorizzati che saranno inseriti nel registro della summenzionata validazione².

Con un sano realismo prosaico e soprattutto sintetico la blockchain può essere definita come una «catena di blocchi» che riesca a creare un registro digitale e le operazioni connesse, come per un atto di transazione o compravendita in moneta virtuale, le quali siano controllate da molteplici operatori in maniera tale che possa esserne garantita l’autenticità.

Con l’introduzione del G.D.P.R. (General Data Protection Regulation) il Regolamento Europeo n.679/16 nell’ambito della protezione dei dati personali, come successivamente sia stato enfatizzato anche dal Parlamento Europeo nella Risoluzione del 3 ottobre 2018, appare evidente che per questa tipologia di tecnologie di registro debbano essere affrontate adeguatamente le problematiche inerenti ai principi dell’accountability (consapevolezza dei trattamenti) ed al principio della privacy by design in riferimento alla blockchain³.

Nello specifico della questione i dati personali presenti all’interno di una blockchain non sono modificabili nel caso in cui non vengano coinvolti tutti i blocchi gerarchicamente adeguati.

In ogni caso la normativa europea attinente alla tutela della privacy prevede che un singolo utente possa richiedere la modifica di tali dati ed inoltre i dati personali inseriti in una blockchain sono pubblici e consultabili da tutti i partecipanti ma non è detto che un utente abbia indicato che tali dati possano concretamente risultare accessibili⁴.

Difatti con la definizione di “dato personale” viene generalmente intesa qualunque tipo di informazione che possa essere ricondotta ad uno specifico individuo, ai sensi dell’art. 4 del G.D.P.R., è facile dedurre come possano crearsi dei contrasti con la blockchain, in quanto sistema distribuito e stratificato che possa essere potenzialmente incontrollabile; e di conseguenza non venga garantita nella sua completezza la tutela dei dati personali come statuito dalla normativa europea sulla privacy.

Nel merito della questione potrebbe divenire estremamente complessa la gestione di eventuali bugs connessi ai medesimi dati che rappresentino il logico presupposto derivante da una “catena” poco flessibile per ragioni dirimenti di sicurezza.

In ogni caso il dato personale non potrà essere conservato per sempre, sulla base dell’art. 5 comma 1 lett. e, l’eventuale cancellazione nel rispetto della normativa europea sarebbe particolarmente complicata.

DPO e Blockchain

La nuova figura giuridica specificamente elaborata dal Regolamento Europeo attinente alla privacy ovvero quella del D.P.O., Data Protection Officer, un professionista dotato di specifiche competenze tecniche e giuridiche la cui precipua funzione sia quella di verificare che tutti i partecipanti ad un sistema all’interno del quale vengano gestiti dei dati personali (anche una catena di blocchi) debbano osservare il regolamento in materia di trattamento dei dati personali.

D’altro canto merita una menzione speciale il fatto che un controllo di matrice centralizzata vada a ledere il principio in nuce della blockchain stessa.

Un’altra questione rilevante riguarda il rapporto tra: Blockchain ed il cosiddetto diritto all’oblio,⁵ secondo lo studio condotto dall’università londinese Queen Mary, dovrebbe essere ipotizzata una blockchain compliant al G.D.P.R. mediante un’apposita crittografia dei dati personali con pedissequa successiva eliminazione delle corrispettive chiavi decrittografiche, in modo tale che possano essere lasciati unicamente i dati indecifrabili oppure utilizzando dei cosiddetti modelli di memoria “fuori catena”.

In maniera speculare l’anonimizzazione propone anch’essa numerose problematiche dato che in una blockchain, venga tutto crittografato ma essa possa comunque essere violata e di conseguenza i dati personali potranno essere esposti a dei rischi.

In conclusione una delle soluzioni con maggiore lungimiranza prospettica potrebbe prevedere la possibilità di immettere i dati all’interno di una catena di blocchi unicamente come collegamento esterno in maniera tale che l’informazione rimanga fuori dalla catena dei blocchi .

——————————————————————————————————————————

¹ www.bucap.it/news/approfondimenti-tematici/digitalizzazione-documenti/blockchain-e-privacy.htm.

² www.agendadigitale.eu/sicurezza/blockchain-e-privacy-soluzioni-per-la-compliance-alle-norme.

³ www.privacylab.it/IT/345/Cosa-significa-accountability%3F/.

⁴ Il G.D.P.R. conferisce nel merito ai cittadini dell’Ue il diritto di: poter cancellare i dati personali nel momento in cui non risultino più necessari per lo scopo della raccolta ed inoltre potranno: chiedere la correzione dei dati errati; limitare l’elaborazione o l’utilizzo dei dati personali.

⁵ Difatti come sancisce l’articolo 17 del GDPR: “L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardino senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali”.

Sitografia: