March 2nd 2020

Het zogenaamde recht om te worden vergeten is onderdeel van de Algemene Verordening Gegevensbescherming (GDPR). Dit zien velen als een van de belangrijkste bedreigingen voor de verdere ontwikkeling van blockchain-technologie. Daarom is het belangrijk voor blockchainers om er aandacht aan te besteden. Wat is dit ‘recht om te worden vergeten’ eigenlijk?

De invoering van dit recht is namelijk in tegenspraak met de aard van blockchain-technologie. We kunnen alle data die in het grootboek zijn opgeslagen immers niet bewerken of manipuleren. Daarom is het een enorme uitdaging als iemand vraagt om zijn gegevens te wissen uit te voeren.

Wat is het recht om te worden vergeten?

De GDPR is bedoeld om EU-burgers uitgebreide digitale rechten te bieden met betrekking tot hoe al hun persoonlijke data. Het gaat tevens over hoe we deze data gebruiken en waarvoor we ze gebruiken. Het legt daarom bepaalde voorschriften op aan externe bedrijven die persoonsgegevens van EU-burgers verzamelen en verwerken.

De belangrijkste onderwerpen waarmee we rekening moeten houden zijn:

Uitgebreid territoriaal toepassingsgebied

Als het voorheen onduidelijk was op welke bedrijven de richtlijn van toepassing was, is het nu duidelijk. Alle gegevensbeheerders en verwerkers die omgaan met persoonlijke gegevens van EU-burgers, moeten de GDPR volgen. Dit is bovendien ongeacht waar de gegevensverwerking plaatsvindt. Bedrijven die niet in de EU zijn gevestigd en die activiteiten uitvoeren die verband houden met gedragscontrole, moeten ook de GDPR volgen.

Boetes

Het niet volgen van de GDPR is kostbaar. De boetes kunnen oplopen tot € 20 miljoen of 4% van de wereldwijde omzet van het bedrijf. De maximale boetes worden echter opgelegd in geval van de meest ernstige GDPR-overtredingen. Denk daarbij aan het verzamelen en / of verwerken van persoonlijke gegevens zonder voldoende toestemming.

Toestemming

Gegevensverwerkers en controllers moeten daarom aandacht tijd te besteden aan de vastgestelde regels voor het verkrijgen van toestemming voor het verzamelen en verwerken van gegevens. Algemene voorwaarden die erg juridisch zijn of moeilijk te begrijpen, zijn bovendien niet voldoende om toestemming te krijgen. Het verzoek om toestemming moet namelijk duidelijk, kort en gemakkelijk te begrijpen zijn. Het moet tevens zijn geschreven in gewone taal en moet de doeleinden van gegevensverzameling en -verwerking omvatten.

Wat is het recht om te worden vergeten? Kort gezegd stelt het persoonlijke gegevenssubjecten (de gegevenseigenaren) in staat om:

Gegevensverzamelaars een verzoek te doen om hun persoonlijke gegevens te wissen.
Te stoppen met het verder verspreiden van de informatie.
En gegevensverwerkers te laten stoppen met de verwerking van de gegevens.

Betrokkenen moeten de toestemming voor het verzamelen en verwerken van persoonlijke gegevens net zo gemakkelijk kunnen intrekken als deze geven.

Het recht om te worden vergeten is niet absoluut

Het recht om te worden vergeten kunnen we niet altijd toepassen. Volgens artikel 17 is het namelijk alleen te gebruiken onder de volgende omstandigheden:

Persoonsgegevens zijn niet langer nodig voor het doel. Bijvoorbeeld als ze zijn verwerkt voor het verstrekken van een contract (artikel 6.1 (b)), maar het contract is geannuleerd of is verlopen.
De gegevens zijn met toestemming verwerkt (artikel 6.1 (a)), echter deze toestemming is ingetrokken.
Het is verwerkt onder legitiem belang, maar het legitieme belang is aangevochten en er zijn geen doorslaggevende belangen meer.
De verwerking was in de eerste plaats onwettig.

Het recht om te worden vergeten is bijvoorbeeld niet van toepassing als de verwerking (nog) noodzakelijk is voor:

Voor de uitvoering van een contract.
Om wetenschappelijke of historische redenen in het algemeen belang.
Om te voldoen aan een wettelijke verplichting.
Als het legitieme belang blijft prevaleren.

We moeten onze blockchain dus goed definiëren, wellicht kunnen we het als contract zien.

Het is een interessante vraag hoe we het verwijderen zouden moeten werken in een gedistribueerde omgeving met publieke actoren. Dit is echter niet onmogelijk.

Wat we moeten weten over Blockchain-technologie

Blockchain-technologie is geïntroduceerd als de kerntechnologie voor het verwerken van Bitcoin-cryptocurrency-transacties. Het is ontworpen als middel om het probleem van dubbele uitgaven op te lossen. Die kunnen ontstaan wanneer we digitale valuta uitgeven.

Met blockchain-technologie slaan we gegevens op in een lijst met records. Daarin bevat elk volgende record (blok) bovendien een gecodeerde afbeelding van het vorige record. Samen met een tijdstempel. Deze technologie maakt de hele lijst veilig en tevens immuun voor gegevensmanipulatie. Een nieuw record kunnen we alleen toevoegen als de meerderheid van blockchain-gebruikers deze heeft gevalideerd.

Deze technologie is gedecentraliseerd, wat echter betekent dat er geen beheerder is. Bovendien heeft elke deelnemer in de keten gelijke machtigingen. Tevens is de lijst met records, dwz het grootboek, open en openbaar. Dat betekent dat iedereen de blokken op de lijst kan bekijken.

Blockchain-technologie en de GDPR staan op gespannen voet

Het recht om persoonlijke gegevens te verwijderen is echt noodzakelijk in het tijdperk van schandalen met betrekking tot het misbruik van persoonlijke gegevens.

De GDPR vereist daarom bijzondere aandacht bij bedrijven die actief gebruikmaken van blockchain-technologieën in hun bedrijf. Het recht op gegevensverwijdering is in tegenspraak met de hele aard van blockchain-technologie. Het grootboek moet namelijk transparant en vooral intact zijn. De reden voor de populariteit van blockchain is dat we de ketting niet kunnen wijzigen. Daardoor is de ketting veilig en dus betrouwbaar.

Wat zijn de belangrijkste zorgen over het recht om te worden vergeten?

Laten we analyseren welke tegenstellingen er zijn tussen blockchain en het recht om te worden vergeten:

Het grootboek kunnen we niet wijzigen

Ieder blok in de keten bevat een gecodeerde afbeelding van het vorige blok. Dit algoritme, samen met de vereiste om de “consensusprocedure” te volgen om een nieuw blok te maken, voorkomt datamanipulatie.

Blockchain is een gedecentraliseerde technologie

Om persoonlijke gegevens per verzoek te wissen, moet iemand echter de mogelijkheid hebben om de blockchain te bewerken. Dit betekent dat we een beheerder met rechten nodig hebben om persoonlijke gegevens van een persoon te verwijderen. Dit past echter niet in het concept van gedecentraliseerde blockchain.

Alle informatie in de blockchain is openbaar

Iedereen kan alle informatie zien die is opgeslagen in de blockchain omdat deze transparant moet zijn om gegevensmanipulatie te voorkomen. Deze informatie kan ook persoonlijke gegevens bevatten.

Je denkt misschien dat alle bewerkingen op de blockchain anoniem, zijn. Er kunnen dus geen persoonlijke gegevens zijn opgenomen in een block. Het bleek echter dat het Bitcoin-adres te herleiden was tot het IP-adres en vervolgens tot de internetprovider. Dit leidt mogelijk naar de eigenaar van de verbinding. Daarnaast kunnen we blockchain gebruiken voor het opslaan van alle soorten informatie. Niet alleen cryptocurrency-transacties maar ook persoonlijke gegevens.

Wat betekent het recht om te worden vergeten voor bedrijven die Blockchain gebruiken?

De introductie van het recht om te wissen is een populair onderwerp voor bedrijven die actief blockchains gebruiken. Het is echter duidelijk voor iedereen dat we de technologie moeten aanpassen om te voldoen aan de GDPR.

De volgende vragen moet een bedrijf ten aanzien van blockchain daarom kunnen beantwoorden:

Is het mogelijk om betrokkenen volledig te informeren over de voorgestelde verwerking van hun persoonsgegevens?
Wie zijn de controllers en verwerkers van gegevens op een Blockchain?
Staat Blockchain de effectieve uitoefening van de rechten van betrokkenen onder de GDPR toe?
Welke beveiligingsmaatregelen moeten we bovendien implementeren?

Er zijn verschillende oplossingen voor het implementeren van het recht om te worden vergeten in blockchain. De meest redelijke oplossing is het coderen van al de gegevens die in de keten zijn opgeslagen. Met andere woorden: Met het vernietigen van de coderingssleutel zijn de gegevens onleesbaar. Het is echter onduidelijk of we dit kunnen beschouwd als naleving van de GDPR.

Een andere voorgestelde oplossing is het gebruik van blockchains om timestamps op te slaan voor informatie die zich buiten de keten bevindt. Het implementeren van deze aanpak maakt het verwijderen van gegevens namelijk veel eenvoudiger. We moeten echter rekening houden met de potentiële beveiligingsrisico’s van dit idee.