《通用數據保護條例》GDPR是為收集和處理歐盟公民的個人資料訂立規(guī)則的條例。2016年4月4日，歐洲議會通過并于2018年5月25日生效。

GDPR只適用于處理“個人資料”，即“與已識別或可識別的自然人（“資料當事人”）有關的任何資料”，可識別的自然的人可以通過直接或間接的方式確定的，特別是通過引用自然人的標識符，比如名字，身份證號碼，位置數據，在線標識符或特定的一個或多個因素的物理、生理、遺傳、心理、經濟、文化和社會身份。

該法規(guī)的目的是擴大與收集和使用其數據相關的個人權利，包括向數據收集者詢問其擁有信息以及信息作用的權利。收集個人信息取決于個人的可撤銷同意。最值得注意的是，個人有權要求更正，提出投訴，反對處理，或要求刪除他們的個人數據，稱為“被遺忘的權利”。

區(qū)塊鏈的新面孔

2012年，當歐盟委員會首次提交GDPR時，區(qū)塊鏈技術還沒有像現在這么受歡迎，顯然，它們當時不是監(jiān)管的重點。與比特幣一樣，公開的區(qū)塊鏈也是一個數據庫，可以同時在多臺計算機上復制。這個數據庫不是由中央管理機構管理的，相反，網絡中的每個人都可以獲得相同的整個數據庫的副本，并可以對其進行添加。要進入數據庫，任何新增加的內容都必須得到網絡上其他參與者的確認，從而就分類賬的當前狀態(tài)達成共識。這樣一個區(qū)塊鏈上的事務是永久的（不可變的）公共記錄，公開至整個網絡。

基于區(qū)塊鏈的系統有潛力比傳統的數據存儲系統更好地保護個人數據，而傳統的數據存儲系統被認為是符合GDPR的（將個人數據保存在紙質文檔的塑料文件中，“安全地”鎖在抽屜里?。窟@真的很令人費解。）與集中控制的數據模型相比，區(qū)塊鏈的一些技術特性，如個人信息的匿名化和網絡的去中心化模型，能夠更好地抵御攻擊，使數據更不易被濫用。

我本人更愿意依賴區(qū)塊鏈網絡來保存我的數據，而不是把控制權交給人類的那些“企業(yè)高管”。然而，如果嚴格遵守條例上的逐字逐句，這些開放的公共區(qū)塊鏈就會出現與GDPR要求相關的一系列問題：

1.比特幣協議和公共區(qū)塊鏈通常包含的信息并不是真正匿名的。相反，它是假名的，因此被視為個人數據，追蹤比特幣地址到一個可識別的自然人并非不可能。

2.GDPR的邏輯和術語，以“數據主體”、“數據控制器”和“數據處理器”為概念，似乎難以應用于區(qū)塊鏈。目前還不清楚哪一種概念會歸屬于區(qū)塊鏈，根據GDPR，這些概念要實現什么功能。

3.但就GDPR而言，公共區(qū)塊鏈最大的問題在于要求數據對象具有“被遺忘權”，即任何個人都有權要求將其個人數據從記錄中刪除。刪除或修改區(qū)塊鏈上的數據幾乎是不可能的，因為數據已經廣播給所有網絡參與者。此外，刪除一條記錄將更改包含數據的各個塊的哈希值，并使所有后續(xù)塊無效。

等等，也許有辦法…

就在最近，在日內瓦大學和WSIS（信息社會世界峰會論壇）于4月8日舉行的兩個關于區(qū)塊鏈和GDPR的研討會上，區(qū)塊鏈和數據保護顧問兼講師Jorn Erbguth為公共區(qū)塊鏈制定了五種應對GDPR的方法：

1.切勿將任何個人資料（完全）放在區(qū)塊鏈上。

2.使用加強隱私的技術，并確保個人資料不會從區(qū)塊鏈里傳出來。

3.獲得一個永久的理由。

4.讓用戶自己將數據放到公共區(qū)塊鏈上。

5.建立專門的區(qū)塊鏈。

INDUSTRIA董事Petko Karamotchev參加了上述兩項活動，并向我們發(fā)送了日內瓦大學區(qū)塊鏈和GDPR研討會以及Jorn Erbguth組織的WSIS會議的照片。

解決方法： 分布式賬本技術（DLT）

雖然它的這些原則不容易應用于開放的公共區(qū)塊鏈，但分布式賬本技術（DLT）可能提供了一個解決方案。DLT與區(qū)塊鏈的主要特性相同——它是一個去中心化的數據庫，每個參與者復制并保存相同的信息副本。沒有一個中央機構管理總賬。它更靈活，設計更適合符合GDPR的要求：

1、雖然任何人都可以加入公開的公共區(qū)塊鏈，但是DLT允許通過許可訪問網絡的解決方案。各方在這樣一個網絡上的作用和責任更容易界定，在數據保護方面也有更好的責任制。

2、可以設計一個DLT體系結構，使事務數據不會廣播到整個網絡，相反，相關方只有在“需要知道”的基礎上才會收到它。與全局廣播模型相比，這種方法允許更少的數據增加。

3、DLT中的協商一致機制可以基于某些參與者的事務驗證，而不是整個網絡。減少了數據傳播，提供了更安全的環(huán)境。避免了塊挖掘機制，避免了數據的刪除。

Corda和GDPR——天作之合？

Corda服務與GDPR共謀發(fā)展

分布式賬本技術（DLT）的一個應用是R3的Corda，該技術特別靈活，并且能夠很好地滿足GDPR的要求。它是一個全球性的網絡，與公開的區(qū)塊鏈有一些顯著的不同：

1、允許進入Corda網絡。

2、Corda流的交易信息是逐點的，共識是基于被稱為公證人的網絡參與者的交易驗證，避免了在原始區(qū)塊鏈中使用的“工作量證明”或塊挖掘。

3、這是一個開源項目，任何人都可以建立一個商業(yè)網絡并應用他們自己的設計，都可以自己負責去遵守GDPR。

為了方便平臺的應用，Corda開發(fā)人員部署了Corda網絡——一個由網絡參與者操作的節(jié)點組成的公共網絡。它的目的是支持許多節(jié)點的子網，它們有自己的協調方和成員和使用規(guī)則。與Internet非常相似，Corda網絡為互連和高速事務流提供主干服務。

Corda網絡服務的設計符合資料私隱及GDPR的規(guī)定：

1、門衛(wèi)服務收集用戶和運營商加入商業(yè)網絡的信息，包括聯系人姓名、電話號碼或電子郵件地址等個人數據。數據存儲在一個私有的、安全的數據庫中，而不是廣播到網絡。如果一方離開網絡，屬于該方的任何個人資料都將被刪除，但須遵守記錄的延遲規(guī)則，并且沒有任何商業(yè)理由存儲這些資料。Corda通過設置該程序，符合數據主體“被遺忘權”和數據刪除權的GDPR要求。

2、網絡地圖服務使參與者能夠通過網絡彼此查找和通信。作為本服務的一部分，網絡參與者之間不共享任何個人資料。

3、公證服務提供網絡共識，保證每筆交易的唯一性和終局性。目前，Corda Network Foundation只提供非驗證性公證人，他們只查看事務的子集來確定事務的順序和惟一性。本服務不會處理或儲存任何個人資料。

Corda有一套處理數據泄露的程序

1、Corda Network Foundation組織運營商將在得知個人數據被泄露后72小時內通知受影響方。

2、如果自然人的權利和自由受到威脅，將通知監(jiān)督當局。

3、運營商將立即通知Corda Network Foundation Board組織 。

Corda在努力提供數據隱私和保護個人數據的同時，用戶也有責任保護自己。與區(qū)塊鏈解決方案提供商討論任何隱私問題，并為使解決方案符合GDPR做出貢獻，這是用戶的最佳利益所在。

INDUSTRIA -一個值得信賴的Corda開發(fā)商的GDPR兼容的解決方案

在索非亞的INDUSTRIA研發(fā)辦公室開始為期兩天的Corda培訓和黑客馬拉松活動。

作為R3的合作伙伴，INDUSTRIA充分利用了Corda體系結構獨特的數據保護功能。我們的認證Corda開發(fā)團隊為企業(yè)、市場和生態(tài)系統創(chuàng)建符合GDPR的區(qū)塊鏈和DLT解決方案。我們的產品符合金融等行業(yè)的需求，始終注重數據隱私和敏感數據的保護。