Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2017 - n°425 - 237

Doctrine

Données personnelles
La blockchain est-elle
compatible avec le RGPD ?
Dès que les données stockées dans la blockchain sont susceptibles
d'identifier, directement ou indirectement, une personne physique
par un numéro d'identifiant propre ou par un pseudonyme, le
règlement européen s'appliquera.

a blockchain constitue une
chaîne de blocs de transactions dont chacun contient un
ensemble de données, ces
données pouvant être tant des données
financières que des fichiers ou des logs.
Elle peut être utilisée en tant que registre
afin d'assurer la traçabilité des transactions (horodatage) ou encore, pour le
transfert d'actifs (monnaie, titres, actions,
participations) dans les domaines de la
banque, de la finance, de l'assurance ou
encore de l'immobilier1.
Des usages nouveaux apparaissent dans
le domaine de la propriété intellectuelle,
dans la distribution de contenus dématérialisés etc. Surtout, la blockchain 3.0
serait celle des « smart-contracts »2.
Ces applications pourraient impliquer la
collecte et le stockage de données à caractère personnel. Se pose à nous la question des conséquences de ces usages en
termes de données personnelles, notamment à l'aune de l'entrée en vigueur du
RGPD, le règlement relatif à la protection des personnes physiques a l'égard
du traitement des données a caractère
personnel et a la libre circulation de ces
données, adopté le 27 avril 2016 et entrant
en vigueur le 25 mai 2018.
Certes, le RGPD ne s'applique pas
aux données dites « anonymes » qui
ne permettent pas l'identification de la
personne. Néanmoins, il s'applique aux
données à caractère personnel qui ont fait
l'objet d'une « pseudonymisation » et qui
pourraient être attribuées à une personne
physique par le recours à des informations supplémentaires3. A ce titre, le G29
avait rappelé la différence entre donnée
anonyme et donnée anonymisée dans
son avis rendu le 10 avril 20144.

Avant d'intégrer la blockchain, les
données de transaction et leurs historiques sont vérifiés. Ces données
intègrent nécessairement des données
personnelles, même pseudonymisées.
Ainsi, dès que les données stockées dans
la blockchain sont susceptibles d'identifier, directement ou indirectement,
une personne physique par un numéro
d'identifiant propre ou par un pseudonyme, le RDPG s'appliquera.

Qui serait le responsable du
traitement dans le cadre de la
blockchain ?
Le RGPD fait peser la responsabilité juridique du traitement de données
sur le « responsable du traitement ». Ce
dernier est défini comme « la personne
physique ou morale, l'autorité publique, le
service ou un autre organisme qui, seul ou
conjointement avec d'autres, determine les
finalites et les moyens du traitement »5.
L'identification du responsable du traitement dans la blockchain apparaît problématique en raison de la multiplicité d'intermédiaires. En effet, la blockchain est une
base de données « distribuée » et « décentralisée », ce qui signifie qu'elle est partagée par plusieurs utilisateurs, sans intermédiaire. Ainsi, faut-il considérer que
chaque utilisateur ou chaque personne
accréditée est un co-responsable du traitement ? Les concepteurs des applications ou
des smart-contracts doivent-ils être considérés comme les responsables du traitement de données ?6 La même question se
pose lorsqu'il s'agit de déterminer qui est le
sous-traitant du responsable du traitement,
dont les obligations et la responsabilité ont
été renforcées par le RGPD.

EXPERTISES JUIN 2017

Par conséquent, il convient d'évaluer le rôle
de chacun dans la blockchain afin d'identifier la ou les personne(s) qui détermine(nt)
les finalités et moyens du traitement.

La blockchain est-elle
compatible avec les
dispositions du RGPD ?
Le RGPD prévoit un certain nombre de
principes, de droits et d'obligations qui
apparaissent plus ou moins conciliables
avec la technologie blockchain.

Conservation limitée des
données et droit à l'oubli
Ces principes supposent tous deux une
suppression des données à caractère
personnel collectées par le responsable
du traitement. Le principe de « conservation limitée des données » signifie
que les données doivent être conservées
pendant une durée qui n'excède pas celle
nécessaire au regard des finalités pour
lesquelles elles sont traitées et doivent
être supprimées au-delà de cette durée7.
Le « droit à l'oubli » permet à la personne
concernée par le traitement d'obtenir l'effacement de ses données personnelles,
dans les meilleurs délais, lorsque l'un des
motifs prévus par le RGPD s'applique8.
La blockchain semble difficilement conciliable avec ces principes. En effet, la
spécificité de la blockchain repose sur le
fait que l'information inscrite ne peut être
effacée, comme l'a souligné l'Open Data
Institute (ODI) britannique dans son étude
en 20169. L'Open Data Institute a relevé
que « pour supprimer une donnée, il
faudrait que plus de la moitié des nSuds
du réseau travaillent ensemble pour
reconstruire la chaîne de blocs depuis

237

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2017 - n°425