Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2017 - n°425 - 238

Doctrine
le moment où la donnée a été ajoutée ».
Par ailleurs, elle a constaté que l'effacement d'une donnée pourrait causer des
dommages collatéraux et altérer l'ensemble de la chaîne de blocs.

Droit d'accès et de rectification
des données
Outre le droit à l'effacement des données,
le RGPD prévoit un droit d'accès et de
rectification des données10. Si les utilisateurs de la blockchain peuvent accéder
aux données stockées à tout moment, l'accès pour le consommateur supposera des
intermédiaires. En outre, se pose la question de la modification de ces données,
compte-tenu du fait que les données
inscrites dans la blockchain sont, par principe, non modifiables.

Responsabilisation des
entreprises
Le RGPD repose sur le principe « d'accountability », autrement dit sur une
responsabilisation des entreprises et une
mise en conformité dynamique. Dans ce
cadre, il prévoit notamment la tenue d'un
registre des activités de traitement lorsque
l'entreprise compte plus de 250 salariés11 et
fait peser la preuve de la licéité du traitement sur le responsable du traitement.
A ce titre, la technologie blockchain permet
de répondre à ces exigences puisque le
registre constitue l'une de ses fonctionnalités principales. Un tel registre permettrait
d'assurer une traçabilité de l'ensemble des
opérations effectuées (historique des transactions) et de constituer des preuves des
opérations effectuées.

Sécurité et confidentialité
des données à caractère
personnel
Le RGPD impose au responsable du traitement et au sous-traitant une obligation de
sécurité et de confidentialité des données à
caractère personnel collectées12.
La transparence et le libre accès à la
blockchain pourraient remettre en cause
la sécurité et la confidentialité des données
qui y sont stockées. En effet, les données de
la blockchain sont vérifiées et validées par
les utilisateurs avant d'intégrer la chaîne,
ce qui peut poser un problème en matière
de confidentialité. En outre, dans le cadre
des blockchains publiques, les données et
les historiques des transactions sont accessibles à tous.

238

Néanmoins, la blockchain permet
de « pseudonymiser » les données. Par
ailleurs, l'historique des transactions est
dit « infalsifiable » et des mécanismes de
signature ou d'horodatage numérique
peuvent être mis en place afin d'assurer
l'intégrité et l'authenticité des données stockées. De plus, il est également possible de
limiter l'accès à la blockchain à certains
acteurs en prévoyant des habilitations
spécifiques (blockchains privées).
Dans le cadre de son étude portant sur
la blockchain, l'Open Data Institute (OPI)
britannique a recommandé certaines
mesures pour assurer la protection des
données stockées sur la blockchain :
■ utiliser une blockchain à « permissions » et non une blockchain
totalement ouverte ;
■ utiliser la blockchain uniquement
pour posséder une preuve que la
donnée a été fournie à un moment
donné et a existé (il serait alors
impossible de reconstruire la
donnée) ;
■ sécuriser a minima les données
via un chiffrement avec une clé
constituant l'unique moyen par
lequel le contenu peut être lu13.
En effet, la technologie blockchain n'est pas
unique et il importe de trouver le modèle
le plus pertinent au regard des données
traitées, comme l'exigera l'étude d'impact
à réaliser. A ce titre, des solutions privées
ou hybrides permettront de répondre à ces
problématiques de sécurité.

Consentement clair et
explicite de la personne
concernée
Le RGPD exige le consentement clair et
explicite de la personne concernée et fait
peser la preuve de ce consentement sur
le responsable du traitement. Le consentement est défini comme l'acte positif par
lequel la personne concernée manifeste
de façon libre, spécifique, éclairée et
univoque son accord au traitement14.
Dans le cadre de la blockchain, le consentement des utilisateurs apparaît explicite
puisque chacun vérifie et valide la donnée
avant que celle-ci soit ajoutée dans la
chaîne de blocs. En outre, l'historique des
transactions permet d'apporter la preuve
du consentement. Toutefois, le droit au
retrait de son consentement, consacré par

EXPERTISES JUIN 2017

le RGPD, pourrait être plus difficile à mettre
en Suvre dans le cadre de la blockchain.
Par conséquent, on constate que la technologie blockchain présente divers avantages pour la protection des données à
caractère personnel mais suscite également un certain nombre d'interrogations
au regard de l'adoption du RGPD. Le
recours à cette technologie nécessitera
d'analyser avec précision les impacts de
celle-ci sur les points précités au regard du
droit des personnes physiques.
Par ailleurs, au-delà du RGPD, se pose
la question de l'encadrement juridique
de la blockchain et de la responsabilité
des utilisateurs de la blockchain en cas
d'infraction.
En conclusion, il apparaît nécessaire de
vérifier le périmètre de l'utilisation de la
blockchain et de ses usages. Il pourrait
s'agir par exemple de privilégier l'usage de
la blockchain tendant à horodater ou réaliser une empreinte sans copier la donnée
en tant que telle dans la blockchain mais
pointer vers celle-ci afin de limiter les
impacts en termes de vie privée, comme le
préconise l'Open Data Institute.

Blandine POIDEVIN
Christine VROMAN
Avocats
Cabinet Jurisexpert
Notes
(1) « La blockchain ou la confiance dans une technologie », Maître Eric A. Caprioli - La semaine
juridique - Edition générale n°23 - 6 juin 2016
(2) Les « contrats intelligents » sont des programmes
autonomes qui exécutent automatiquement les
termes ou conditions d'un contrat sans intervention humaine.
(3) Considérant 26 du Règlement (UE) n°2016/679 ;
(4) Avis du G29 relatif aux techniques d'anonymisation adopté le 10 avril 2014
(5) Article 4.7° du Règlement (UE) n°2016/679
(6) « Vie privée et blockchain », 9 août 2016, http://
www.droit-blockchain.fr/blockchain-vie-privee/
(7) Article 5 e) du Règlement (UE) n°2016/679
(8) Article 17 du Règlement (UE) n°2016/679
(9) Open Data Institute 2016, « Applying blockchain
technology in global data infrastructures »,
ODI-TR-2016-001
(10) Articles 15 et 16 du Règlement (UE) n°2016/679
(11) Article 30 du Règlement (UE) n°2016/679
(12) Article 32 du Règlement (UE) n°2016/679
(13) « Les enjeux et défis des infrastructures de
données utilisant la blockchain selon l'Open
data institute », Anuchika Stanislaus, 2 août 2016.
(14) Considérant 32 du Règlement (UE) n°2016/679
http://www.droit-blockchain.fr/blockchain-vie-privee/ http://www.droit-blockchain.fr/blockchain-vie-privee/
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2017 - n°425
