Blockchain : la complexité juridique et technologique face à la protection des données personnelles

Entre enjeux juridiques et défis technologiques, la Blockchain se confronte aujourd’hui à la protection des données personnelles. Des secteurs comme la santé ou encore le e-commerce utilisent fréquemment cette technologie qui repose essentiellement sur des transactions numériques, souvent transfrontalières, nécessitant de la confiance, de la sécurité et de la traçabilité.

Ce sont en réalité des domaines qui collectent et utilisent une quantité très importante des données, en l’occurrence les données personnelles et les données sensibles dont le traitement pose de plus en plus des problèmes, très souvent liés au respect de la vie privée.

En effets, plusieurs sanctions de dizaines de millions d’euro ont été prononcé dans ce sens, notamment par la CNIL contre plusieurs acteurs œuvrant dans le domaine du numérique.

Mais est-il toujours possible d’identifier certaines pratiques ou les responsables de traitement afin d’appliquer effectivement les règles en vigueur ?

En quoi consiste la protection des données personnelles ?

D’abord, est une donnée personnelle, « toute information se rapportant à une personne physique identifiée ou identifiable [...] directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale » dispose l'article 4 du RGPD.

Ces données sont collectées quotidiennement par les des organismes publics ou privés, voire des particuliers. Il y a autour de ces données des enjeux juridiques et socio-économiques : cela fait l’objet de fonds de commerce de plusieurs entreprises mais aussi de discrimination sociale et de violation de vie privée.

Plus largement, protéger les données personnelles consiste à garantir le respect de la vie privée et des droits des personnes dont les informations personnelles sont collectées ou traitées par ces organismes. Concrètement, protéger les données personnelles revient à empêcher que ces informations soient violées : faire l’objet de vol ou de mauvaise utilisation.

Pour cela, il s’agit de veiller à la sécurité des systèmes d'information ; d’assurer la confidentialité des données ; d’indiquer une durée de conservation des données et d’informer les clients de leurs droits d'accès, de rectification, d'opposition et de suppression des informations collectées (article 5 du RGPD – Principes relatifs au traitement des données à caractère personnel).

Les données personnelles dans la Blockchain

La Blockchain est une base de données dans laquelle les données sont stockées et distribuées sur un grand nombre d'ordinateurs et dans laquelle toutes les transactions sont visibles de l'ensemble des utilisateurs (avec différents niveaux d’accès).

La Blockchain peut être utilisée dans plusieurs cas : transférer des actifs, servir de registre assurant une traçabilité ou encore lancer des « contrats intelligents » (ou smarts contracts).

Elle offre des avantages en termes de sécurité et de transparence, mais il est essentiel de prendre en compte les implications pour la protection des données personnelles lors de son utilisation. Car cela nécessite la manipulation de ces données, aussi bien au niveau du contenu que des informations liées aux participants.

En effet, une Blockchain peut contenir deux catégories de données à caractère personnel : l’identifiant des participants et les données qui sont inscrites dans les transactions. Alors, si ces données sont relatives à des personnes physiques, directement ou indirectement identifiables, on est en présence des données personnelles et le RGPD s’applique.

Les difficultés liées à la protection des données personnelles

Respect des principes du RGPD

Le RGPD impose notamment aux responsables du traitement de respecter les principes de licéité, de loyauté, de transparence, de minimisation, d’exactitude, de limitation, d’intégrité et de confidentialité des données, ainsi que les droits des personnes concernées, tels que le droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité des données.

Transferts de données à caractère personnel

Le RGPD prévoit également des règles spécifiques pour les transferts de données à caractère personnel vers des pays tiers ou des organisations internationales, qui doivent offrir un niveau de protection adéquat ou être encadrés par des garanties appropriées.



En savoir plus :

Blockchain et RGPD : quelles solutions pour un usage responsable en présence de données personnelles ? | CNIL