We gebruiken cookies om content en advertenties te personaliseren, om sociale mediafuncties aan te bieden en om ons verkeer te analyseren. We delen ook informatie over uw gebruik van onze site met onze sociale media-, advertentie- en analysepartners, die deze kunnen combineren met andere informatie die u aan hen heeft verstrekt of die zij hebben verzameld op basis van uw gebruik van hun diensten.
Onze privacyverklaring:
Hieronder kunt u kiezen voor welke doeleinden u cookies op de website van De Clercq wilt toestaan.
Wat is een blockchain? In het whitepaper van Satoshi Nakamoto over bitcoin komt het woord niet voor. In de praktijk wordt met de term ‘blockchain’ een combinatie van technieken aangeduid waarmee het mogelijk is om databases te synchroniseren binnen een peer-to-peer netwerk. Een van die technieken betreft de wijze waarop data in pakketjes (blokken) aan de database wordt toegevoegd. Deze pakketjes worden gehasht en ieder opvolgend blok bevat een verwijzing naar de hashwaarde van het voorliggende blok. Op die manier ontstaat een database waaraan data wel kan worden toegevoegd, maar waarvan de inhoud lastig kan worden gewijzigd. Deze technieken zijn weliswaar niet nieuw, maar zijn niettemin kenmerkend voor de techniek achter bitcoin. Vandaar in ieder geval de term ‘blockchain’.
Net als met andere databases is het mogelijk om persoonsgegevens op een blockchain op te slaan. Wie dat doet krijgt te maken met de AVG en de strenge eisen die de AVG stelt aan de verwerking van persoonsgegevens. Een aantal (ogenschijnlijke) knelpunten springt in het oog.
Het privacyrecht dwingt organisaties om alleen data te verzamelen voor helder omschreven en legitieme doeleinden, niet meer data dan nodig voor die doeleinden en deze data passend te beveiligen. Bij de bank heb ik daarom inzicht in mijn eigen transactiehistorie, maar niet die van mijn buurman. Dat is nergens voor nodig en dus ook niet toegestaan. Zou de bank mijn transactiehistorie toegankelijk maken voor andere klanten van de bank, dan noemen we die handeling een inbreuk in verband met persoonsgegevens in de zin van de AVG (een ‘datalek’). Toch is dat – althans tot op zekere hoogte – wat gebeurt bij de bitcoin.
Alle deelnemers aan het bitcoin-netwerk beschikken namelijk over een kopie van de volledige database, waarin de gehele transactiegeschiedenis van iedere bitcoin is opgenomen. Dat heeft een goede reden. Die transparantie is immers nodig om binnen het peer-to-peer netwerk consensus te bereiken over de informatie die aan de database mag worden toegevoegd. Vanuit privacy-oogpunt roept deze transparantie binnen het netwerk echter wel de nodige vragen op.
De datastructuur van een blockchain maakt dat eenmaal toegevoegde data niet meer gewijzigd kunnen worden. Er kunnen alleen steeds nieuwe blokken met data aan de blockchain worden toegevoegd. Hoe goed dat is uit oogpunt van systeemintegriteit, zo gespannen verhoudt deze eigenschap zich met het privacyrecht. Volgens de AVG mogen persoonsgegevens namelijk niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt. Ook hebben betrokkenen onder omstandigheden het recht om hun persoonsgegevens te laten rectificeren, wissen of de verwerking daarvan te beperken. De bank moet mijn persoonsgegevens daarom aanpassen als deze niet juist zijn en mag mijn transactiehistorie niet langer bewaren dan nodig. Zouden mijn gegevens zijn vastgelegd op een blockchain dan lijkt het lastig om aan deze verplichtingen te voldoen.
In een klassiek client-server model is het doorgaans eenvoudig om een of meerdere partijen te identificeren die betrekkelijk autonoom persoonsgegevens verwerken. De bank levert bijvoorbeeld betaaldiensten aan mij als consument en heeft daarvoor gegevens van mij nodig die de bank op haar eigen IT-infrastructuur verwerkt. De bank geldt dan als verwerkingsverantwoordelijke voor die verwerkingen in de zin van de AVG.
Bij een blockchain is een en ander minder evident. Daar wordt immers uitgegaan van collectieve en gedistribueerde dataverwerking. Een publieke blockchain heeft geen eigenaar of beheerder, geen centrale partij die het blockchain-protocol controleert en bestuurt. In de plaats daarvan wordt het systeem onderhouden door een losse online-gemeenschap van deelnemers. Moet een ontwikkelaar die in zijn of haar vrije tijd meewerkt aan een open source blockchain project beschouwd worden als een verwerkingsverantwoordelijke? Dat lijkt een onwenselijke situatie. We houden Tim Berners-Lee ook niet verantwoordelijk voor alle verwerkingen van persoonsgegevens die plaatsvinden over het internet. Maar wie is dan wel verantwoordelijk voor de privacy op de blockchain?
Hoewel de privacywetgeving technologieneutraal is geformuleerd, lijkt zij impliciet te zijn opgesteld voor centrale databases die beheerd worden door eenvoudig te identificeren spelers. Hierdoor bestaat een zekere spanning tussen de privacywetgeving enerzijds en de verwerking van persoonsgegevens binnen dynamische informatienetwerken anderzijds. Het radicale netwerkmodel dat de blockchain introduceert, brengt deze spanning in haar volle glorie aan het licht. De AVG is in zekere zin bedoeld als een middel om centrale data beheerders te reguleren. Blockchaintechniek is ontworpen om het systeem van centraal databeheer fundamenteel uit te dagen. Dat is een radicale benadering die niet direct aansluit op de AVG.
Overigens heeft de blockchain één troef in handen als het gaat om de meeste van deze knelpunten. Bitcoinwallets staan niet op naam en de houder van een bitcoinwallet is tot op zekere hoogte anoniem. In een volgend blog daarom meer over het anonimiseren van persoonsgegevens.
Heeft u nog vragen, neemt u dan contact op met Jeroen van Helden, Advocaat IT, Privacy & Cybersecurity
