EDPB ha adottato, a seguito di una precedente consultazione pubblica, la versione definitiva delle proprie linee guida in tema di blockchain.
La natura distribuita della blockchain e i complessi concetti matematici che ne sono alla base comportano un elevato grado di complessità e incertezza che pone sfide specifiche per quanto riguarda il trattamento dei dati personali: in questo contesto, al fine di garantire che il trattamento dei dati personali sia conforme al GDPR, è necessario valutare i rischi per i diritti e le libertà degli interessati.
Deve precisarsi come alcuni di questi possano essere mitigati attraverso misure tecniche preventive.
Le blockchain, però, presentano alcune caratteristiche che comportano difficoltà nel soddisfare i requisiti del GDPR, richiedendo quindi il rafforzamento delle misure di protezione dei dati by design, come il principio di limitazione della conservazione, di rettifica e il diritto all’oblio.
Il titolare del trattamento è, quindi, chiamato a valutare la soluzione con attenzione la soluzione blockchain che intende utilizzare per evitare rischi di non conformità e rischi specifici per i diritti e le libertà degli interessati.
Le linee guida in oggetto forniscono un quadro di riferimento per le organizzazioni, delineando le considerazioni chiave in materia di conformità al GDPR per le attività di trattamento pianificate.
Forniscono, inoltre, una panoramica dei principi fondamentali della tecnologia blockchain, valutando le diverse architetture possibili e le loro implicazioni per il trattamento dei dati personali.
Inoltre, chiariscono che i ruoli e le responsabilità dei soggetti coinvolti in un trattamento basato sulla blockchain devono essere valutati in fase di progettazione di tale trattamento e quali elementi debbano essere presi in considerazione a tale riguardo.
A seconda delle finalità del trattamento per cui viene utilizzata la tecnologia blockchain, possono essere trattate diverse categorie di dati personali.
Il Comitato evidenzia la necessità della protezione dei dati c.d. by design e by default e di adeguate misure organizzative e tecniche.
Vengono, inoltre, forniti esempi di diverse tecniche per la minimizzazione dei dati e per la gestione e conservazione dei dati personali.
In particolare, in generale la conservazione dei dati personali su una blockchain dovrebbe essere evitata, qualora ciò sia in contrasto con i principi di protezione dei dati. Nell’ipotesi in cui, invece, si prenda in considerazione l’archiviazione on-chain dei dati personali, il rispetto di tali principi dovrebbe basarsi su una delle tecniche avanzate disponibili, su misure organizzative adeguate e su politiche di protezione dei dati appropriate.
Le linee guida, si precisa, descrivono gli aspetti tecnici e le diverse modalità di implementazione di tali tecniche, evidenziandone i punti di forza e di debolezza.
In aggiunta, forniscono un’analisi dell’interazione tra gli aspetti tecnici della blockchain e i principi di protezione dei dati di cui all’art.5 del GDPR, sottolineando l’importanza dei diritti degli interessati, in particolare per quanto riguarda la trasparenza, la rettifica e la cancellazione.
È importante, poi, secondo il Comitato la realizzazione della valutazione d’impatto sulla protezione dei dati (DPIA) prima di implementare un trattamento che utilizzi la tecnologia blockchain.
