10 Sep La reserva legal entre la tecnología Blockchain y el GDPR en el marco del proyecto InEExS
Verdia Legal forma parte activa del proyecto LIFE INEEX, Modelos innovadores de servicios energéticos (eficiencia) para la integración sectorial a través de Blockchain. El concepto central de este proyecto es el despliegue de servicios energéticos integrados entre sectores y vectores energéticos, y la tokenización de los datos de ahorro energético en una blockchain pública para facilitar la cooperación entre segmentos y actores del mercado. En Verdia Legal, nuestro papel en este proyecto es proporcionar asesoramiento jurídico especializado en las distintas fases del proyecto.
La aparición de tecnologías de contabilidad distribuida, como la blockchain, ha planteado nuevos desafíos en la armonización del uso de datos personales con los derechos y obligaciones establecidos por el Reglamento General de Protección de Datos (GDPR). En este contexto, hemos abordado diversas cuestiones legales y retos que surgen al integrar la tecnología blockchain con el GDPR, proponiendo alternativas y soluciones que garanticen el cumplimiento normativo.
1. Datos personales y la seudonimización
En primer lugar, la definición de datos personales es crucial para determinar el ámbito del GDPR, debido a que éste solo se aplica a los datos que se consideran de naturaleza «personal«.
El artículo 4(1) del GDPR subraya que los datos personales son aquellos que se relacionan directa o indirectamente con una persona física identificada o identificable. La referencia a una persona «identificable» subraya que el interesado no necesita estar ya identificado para que los datos se consideren personales, sino que la mera posibilidad de identificación es suficiente.
La distinción entre datos personales y no personales es compleja debido a la amplia gama de datos y la capacidad técnica para deducir información.
El artículo 4(5) del GDPR introduce la seudonimización como el “procesamiento de datos personales de manera que estos no puedan atribuirse a un sujeto específico sin el uso de información adicional, siempre que dicha información adicional se mantenga por separado y esté sujeta a medidas técnicas y organizativas que aseguren que los datos personales no se atribuyan a una persona física identificada o identificable.”
El texto del GDPR reconoce que la seudonimización es una medida para minimizar riesgos y ayudar a los controladores y procesadores a cumplir con sus obligaciones de protección de datos. Sin embargo, no debe considerarse como una técnica de anonimización. Es importante entender que el concepto jurídico de seudonimización no coincide con su interpretación de sentido común. Desde un punto de vista jurídico, los datos seudónimos siempre se consideran datos personales. Esto plantea la cuestión de si las medidas de seudonimización, tal como se entienden en informática, pueden realmente generar datos anónimos.
1.1 Transformando datos personales en datos anónimos
Actualmente, existe una amplia incertidumbre sobre cuándo se cruza la línea entre los datos personales y no personales en la práctica. El principio que debe utilizarse para determinar si los datos son personales o no es el de la probabilidad razonable de identificación, consagrado en el Considerando 26 del GDPR. Además, el preámbulo del GDPR proporciona una lista de elementos a tener en cuenta para determinar la probabilidad de identificabilidad, incluyendo «todos los factores objetivos, como los costos y el tiempo requerido para la identificación, teniendo en cuenta la tecnología disponible en el momento del procesamiento y los desarrollos tecnológicos».
1.2 El principio de identificabilidad
El Grupo de Trabajo del Artículo 29 establece tres criterios diferentes para determinar si la desidentificación es «irreversible» o «tan permanente como el borrado»:
- Singularización: posibilidad de aislar registros que identifican a un individuo en el conjunto de datos.
- Vinculabilidad: posibilidad de relacionar información de diferentes conjuntos de datos sobre el mismo individuo.
- Inferencia: ha sido definida por el Grupo de Trabajo como ‘la posibilidad de deducir, con una probabilidad significativa, el valor de un atributo a partir de los valores de un conjunto de otros atributos’.
Transformar datos personales de manera que se excluya la singularización, la vinculabilidad y la inferencia de manera razonable, es difícil. El análisis del Grupo de Trabajo de los métodos de «anonimización» más comúnmente utilizados concluye que cada uno de ellos deja un riesgo residual de identificación, de modo que solo una combinación de diferentes enfoques puede despersonalizar los datos.
En términos de Blockchain, la UE considera que los datos seudonimizados en una blockchain pueden, en principio, estar relacionados con una persona física identificada o identificable a través de la identificación individual, la inferencia o la vinculabilidad. Esto implica que los datos seudonimizados no se consideran anónimos y, por tanto, están sujetos al GDPR. Sin embargo, los datos anonimizados no están sujetos a la aplicación del GDPR, por lo tanto, cualquier anonimización quedará fuera del alcance del GDPR.
2. Derechos de los sujetos
El Reglamento General de Protección de Datos establece los siguientes derechos:
- El derecho de acceso (artículo 15 GDPR): Permite a los interesados obtener confirmación de si se están tratando sus datos personales, y acceso a ellos, así como el acceso a información sobre el propósito del tratamiento, categorías de datos, destinatarios, periodo de almacenamiento, derechos de rectificación o supresión, y detalles sobre decisiones automatizadas.
- Derecho de rectificación (art. 16 GDPR): Los interesados tendrá derecho a obtener la rectificación de sus datos personales inexactos y a que se completen aquellos incompletos.
- Derecho de limitación del tratamiento (art. 18 GDPR): Permite a los interesados limitar el tratamiento de sus datos personales en ciertas circunstancias.
- Derecho a la portabilidad de los datos (art. 20 GDPR): Facilita a los interesados trasladar sus datos de un responsable del tratamiento a otro en un formato estructurado y legible por máquina.
- Derecho de oposición (art. 21 GDPR): Permite a los interesados oponerse al tratamiento de sus datos personales cuando se basen en intereses públicos o legítimos, salvo que el responsable pueda demostrar «motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, derechos y libertades del interesado o para la formulación, ejercicio o defensa de reclamaciones legales».
- Derecho de supresión – Derecho al olvido (art. 17 GDPR): Permite a los interesados solicitar la eliminación de sus datos personales bajo ciertas condiciones, como cuando los datos ya no son necesarios, se retira el consentimiento, se oponen al tratamiento sin motivos legítimos prevalecientes, los datos se trataron ilícitamente, deben suprimirse para cumplir una obligación legal, o se recogieron en relación con servicios de la sociedad de la información.
2.1 El significado de la supresión
Según el Grupo de Trabajo del Artículo 29 en la Opinión 05/2012, los reguladores nacionales y supranacionales han indicado que puede haber alternativas a la destrucción total de datos que podrían asegurar el cumplimiento de la obligación de supresión del GDPR, como la destrucción de hardware[1].
Además, la Autoridad de Protección de Datos de Austria reconoció en una decisión legalmente vinculante que el responsable del tratamiento tiene flexibilidad respecto a los medios técnicos para llevar a cabo la supresión, y que la anonimización puede ser vista como un medio para realizar la supresión[2]. En particular, declaró que la eliminación de la referencia personal de datos personales puede ser en principio un medio posible para la eliminación en el sentido del artículo 4(2) en relación con el artículo 17(1) del GDPR. Sin embargo, sostiene que ni el responsable del tratamiento ni un tercero pueden restablecer una referencia personal sin esfuerzo desproporcionado.
2.2 Posibles medios técnicos alternativos para lograr la supresión en DLTs
Ante la difícil reconciliación entre el Artículo 17 del GDPR y los libros contables distribuidos, diversos actores han considerado varias alternativas técnicas a la destrucción total de datos. Una solución frecuentemente mencionada es la destrucción de la clave privada, lo que tendría el efecto de hacer inaccesibles los datos encriptados con una clave pública. Esta es, de hecho, la solución propuesta por la autoridad francesa de protección de datos CNIL en su guía sobre blockchains y el GDPR. La CNIL ha sugerido que la supresión podría obtenerse mediante la eliminación de la clave secreta de la función hash cifrada junto con la información de otros sistemas donde se almacenó para su procesamiento.[3]
Otra alternativa es almacenar los datos transaccionales fuera de la blockchain y vincularlos a través de un hash, lo cual tendría varias ventajas desde una perspectiva de protección de datos. Esta práctica permite mantener los datos personales fuera de la cadena y solo vincularlos mediante un puntero-hash. Si bien esto no cambia su naturaleza como datos personales, facilita el cumplimiento de los requisitos del GDPR.
Es importante destacar que, si bien generalmente será posible almacenar datos transaccionales fuera de la cadena, este no es el caso para las claves públicas. El almacenamiento fuera de la cadena permitiría la rectificación y supresión de datos personales almacenados fuera de la cadena en bases de datos adecuadas, de conformidad con los artículos 16 y 17 del GDPR. Si es necesario suprimir datos, los registros en la base de datos pueden eliminarse, dejando esencialmente el hash inmutable en la blockchain haciendo referencia a un archivo inexistente.
[1] Artículo 29, Grupo de Trabajo, Dictamen 05/2012 sobre computación en nube (01037/12/EN WP 196).
[2] Autoridad Austriaca de Protección de Datos DSB-D123.270/0009-DSB/2018 (05 December 2018).
[3] Commission Nationale Informatique et Libertés (Séptembre,2018), Prémiers Éléments d’analyse de la Blockchain: «Cuando un compromiso criptográfico es perfectamente indistinguible («perfectamente ocultable»), la eliminación del testigo y del valor comprometido es suficiente para anonimizar el compromiso de modo que pierda su calificación de dato personal.»