Interessante kwestie opgeworpen op Twitter:
Verwerkingen zonder verantwoordelijke(n) zijn niet te vatten in door technologie alweer ingehaalde Avg. Permissionless blockchain verbieden? Avg n.v.t. verklaren? Beide zullen niet werken terwijl fundamentele rechten en vrijheden in het geding zijn. #spannend @toezicht_AP
De context was het rapport Het gebruik van blockchaintechnologie in het verkiezingsproces dat recent verscheen. Hierin werd -grof samengevat- negatief geadviseerd over de inzet van blockchain bij verkiezingen. Een zijdelings relevant aspect daarvan was deze kwestie: wie is de verwerkingsverantwoordelijke bij een blockchainsysteem, oftewel wie is onder de AVG aan te spreken op persoonsgegevens die verkeerd worden verwerkt in de blockchain?
De AVG gaat er vanuit dat bij verwerkingen van persoonsgegevens er uiteindelijk altijd iemand is die de eindbeslissing neemt over het waarom en hoe (doel en middelen). Deze partij is dan de verwerkingsverantwoordelijke en kan worden aangesproken op niet-naleving of gewoon uitoefening van rechten. Die constructie zou je achterhaald kunnen noemen als je kijkt naar (permissionless) blockchain: iedereen doet mee en iedereen stemt met één stem mee over de uitvoering, dus is er dan wel één partij die de eindverantwoordelijk draagt?
Toch denk ik dat de AVG niet zo achterhaald is als hier wordt gesteld. De AVG kent namelijk het concept van de gezamenlijke verwerkingsverantwoordelijken, twee of meer partijen die gezamenlijk de doeleinden en middelen van de verwerking bepalen (artikel 26). Hoe hun onderlinge relatie er dan precies uitziet, is niet van doorslaggevend belang. Het gaat erom dat er tezamen wordt besloten, zo gaan we het doen.
Die omschrijving past denk ik prima bij wat er in een blockchain gebeurt. Iedereen denkt mee en stemt mee. En je kunt kiezen een bepaalde fork niet te volgen, in het ergste geval. Daarmee ben je dus (een klein stukje) medeverantwoordelijk voor die blockchain.
Dat wordt dan in zoverre interessant dat de deelnemers dan een onderlinge overeenkomst moeten sluiten over hoe hun verdeling van taken en verantwoordelijkheden eruit zien. En minstens zo interessant, dat iedere betrokkene elke deelnemer voor nakoming van de AVG kan aanspreken (lid 3). Daarmee zou je dus een behoorlijk risico lopen als je deel gaat nemen aan zo’n open blockchain waar persoonsgegevens in geplaatst worden. Het voordeel daarvan zou voor mij zijn dat deelnemers dan niet al te snel zullen accepteren dat dit gebeurt, zo mag je dan hopen. AVG compliance in de blockchain?
Arnoud
Als je in je blockchain geen gegevens vastlegt maar mutaties (zoals dat bijvoorbeeld gebeurt bij bitcoins) dan kun je fouten corrigeren en zo nodig ook gewoon gegevens verwijderen. En aangezien blockchains immutable zijn, ligt het eigenlijk wel heel erg voor de hand om dat zo te doen. 😉
Natuurlijk kun je dan nog steeds achterhalen wat die gegevens voor de mutatie geweest zijn, maar dat is in feite niet anders bij een database. ook daar zijn er transactie-logs en backups en kun je op basis daarvan terug naar een eerder punt in de tijd om te zien hoe het toen was.
Het verschil is dat je ze (die backups en transactielogs) bij een ouderwetse database kunt weggooien en bij blockchains niet. Maar ik betwijfel of het vernietigen van dat soort technische resten onder de AVG gevraagd/vereist wordt. Moet je dan ook de plek op de harde schijf waar die backup stond zeven keer gaan overschrijven? En bij SSD dan? 😉
Voor zover ik heb begrepen moet je onder de avg wel degelijk vaststellen hoe lang je persoonsgegevens bewaard en dat is incl. eventuele backups. Dat je de data niet gelijk een bepaald aantal keer overschrijft lijkt mij daarbij geen probleem. Dat je de foutieve informatie in de blockchain niet kunt corrigeren op een manier die het te makkelijk maakt die in te zien lijkt me wel een probleem. Net als dat je bij publieke blockchains geen idee hebt wie de data allemaal krijgt.