《通用數據保護條例》GDPR是為收集和處理歐盟公民的個人資料訂立規則的條例。2016年4月4日，歐洲議會通過并于2018年5月25日生效。

GDPR只適用于處理“個人資料”，即“與已識別或可識別的自然人（“資料當事人”）有關的任何資料”，可識別的自然的人可以通過直接或間接的方式確定的，特別是通過引用自然人的標識符，比如名字，身份證號碼，位置數據，在線標識符或特定的一個或多個因素的物理、生理、遺傳、心理、經濟、文化和社會身份。

該法規的目的是擴大與收集和使用其數據相關的個人權利，包括向數據收集者詢問其擁有信息以及信息作用的權利。收集個人信息取決于個人的可撤銷同意。最值得注意的是，個人有權要求更正，提出投訴，反對處理，或要求刪除他們的個人數據，稱為“被遺忘的權利”。

區塊鏈的新面孔

2012年，當歐盟委員會首次提交GDPR時，區塊鏈技術還沒有像現在這么受歡迎，顯然，它們當時不是監管的重點。與比特幣一樣，公開的區塊鏈也是一個數據庫，可以同時在多臺計算機上復制。這個數據庫不是由中央管理機構管理的，相反，網絡中的每個人都可以獲得相同的整個數據庫的副本，并可以對其進行添加。要進入數據庫，任何新增加的內容都必須得到網絡上其他參與者的確認，從而就分類賬的當前狀態達成共識。這樣一個區塊鏈上的事務是永久的（不可變的）公共記錄，公開至整個網絡。

基于區塊鏈的系統有潛力比傳統的數據存儲系統更好地保護個人數據，而傳統的數據存儲系統被認為是符合GDPR的（將個人數據保存在紙質文檔的塑料文件中，“安全地”鎖在抽屜里！？這真的很令人費解。）與集中控制的數據模型相比，區塊鏈的一些技術特性，如個人信息的匿名化和網絡的去中心化模型，能夠更好地抵御攻擊，使數據更不易被濫用。

我本人更愿意依賴區塊鏈網絡來保存我的數據，而不是把控制權交給人類的那些“企業高管”。然而，如果嚴格遵守條例上的逐字逐句，這些開放的公共區塊鏈就會出現與GDPR要求相關的一系列問題：

1.比特幣協議和公共區塊鏈通常包含的信息并不是真正匿名的。相反，它是假名的，因此被視為個人數據，追蹤比特幣地址到一個可識別的自然人并非不可能。

2.GDPR的邏輯和術語，以“數據主體”、“數據控制器”和“數據處理器”為概念，似乎難以應用于區塊鏈。目前還不清楚哪一種概念會歸屬于區塊鏈，根據GDPR，這些概念要實現什么功能。

3.但就GDPR而言，公共區塊鏈最大的問題在于要求數據對象具有“被遺忘權”，即任何個人都有權要求將其個人數據從記錄中刪除。刪除或修改區塊鏈上的數據幾乎是不可能的，因為數據已經廣播給所有網絡參與者。此外，刪除一條記錄將更改包含數據的各個塊的哈希值，并使所有后續塊無效。

等等，也許有辦法…

就在最近，在日內瓦大學和WSIS（信息社會世界峰會論壇）于4月8日舉行的兩個關于區塊鏈和GDPR的研討會上，區塊鏈和數據保護顧問兼講師Jorn Erbguth為公共區塊鏈制定了五種應對GDPR的方法：

1.切勿將任何個人資料（完全）放在區塊鏈上。

2.使用加強隱私的技術，并確保個人資料不會從區塊鏈里傳出來。

3.獲得一個永久的理由。

4.讓用戶自己將數據放到公共區塊鏈上。

5.建立專門的區塊鏈。

INDUSTRIA董事Petko Karamotchev參加了上述兩項活動，并向我們發送了日內瓦大學區塊鏈和GDPR研討會以及Jorn Erbguth組織的WSIS會議的照片。

解決方法： 分布式賬本技術（DLT）

雖然它的這些原則不容易應用于開放的公共區塊鏈，但分布式賬本技術（DLT）可能提供了一個解決方案。DLT與區塊鏈的主要特性相同——它是一個去中心化的數據庫，每個參與者復制并保存相同的信息副本。沒有一個中央機構管理總賬。它更靈活，設計更適合符合GDPR的要求：

1、雖然任何人都可以加入公開的公共區塊鏈，但是DLT允許通過許可訪問網絡的解決方案。各方在這樣一個網絡上的作用和責任更容易界定，在數據保護方面也有更好的責任制。

2、可以設計一個DLT體系結構，使事務數據不會廣播到整個網絡，相反，相關方只有在“需要知道”的基礎上才會收到它。與全局廣播模型相比，這種方法允許更少的數據增加。

3、DLT中的協商一致機制可以基于某些參與者的事務驗證，而不是整個網絡。減少了數據傳播，提供了更安全的環境。避免了塊挖掘機制，避免了數據的刪除。

Corda和GDPR——天作之合？

Corda服務與GDPR共謀發展

分布式賬本技術（DLT）的一個應用是R3的Corda，該技術特別靈活，并且能夠很好地滿足GDPR的要求。它是一個全球性的網絡，與公開的區塊鏈有一些顯著的不同：

1、允許進入Corda網絡。

2、Corda流的交易信息是逐點的，共識是基于被稱為公證人的網絡參與者的交易驗證，避免了在原始區塊鏈中使用的“工作量證明”或塊挖掘。

3、這是一個開源項目，任何人都可以建立一個商業網絡并應用他們自己的設計，都可以自己負責去遵守GDPR。

為了方便平臺的應用，Corda開發人員部署了Corda網絡——一個由網絡參與者操作的節點組成的公共網絡。它的目的是支持許多節點的子網，它們有自己的協調方和成員和使用規則。與Internet非常相似，Corda網絡為互連和高速事務流提供主干服務。

Corda網絡服務的設計符合資料私隱及GDPR的規定：

1、門衛服務收集用戶和運營商加入商業網絡的信息，包括聯系人姓名、電話號碼或電子郵件地址等個人數據。數據存儲在一個私有的、安全的數據庫中，而不是廣播到網絡。如果一方離開網絡，屬于該方的任何個人資料都將被刪除，但須遵守記錄的延遲規則，并且沒有任何商業理由存儲這些資料。Corda通過設置該程序，符合數據主體“被遺忘權”和數據刪除權的GDPR要求。

2、網絡地圖服務使參與者能夠通過網絡彼此查找和通信。作為本服務的一部分，網絡參與者之間不共享任何個人資料。

3、公證服務提供網絡共識，保證每筆交易的唯一性和終局性。目前，Corda Network Foundation只提供非驗證性公證人，他們只查看事務的子集來確定事務的順序和惟一性。本服務不會處理或儲存任何個人資料。

Corda有一套處理數據泄露的程序

1、Corda Network Foundation組織運營商將在得知個人數據被泄露后72小時內通知受影響方。

2、如果自然人的權利和自由受到威脅，將通知監督當局。

3、運營商將立即通知Corda Network Foundation Board組織 。

Corda在努力提供數據隱私和保護個人數據的同時，用戶也有責任保護自己。與區塊鏈解決方案提供商討論任何隱私問題，并為使解決方案符合GDPR做出貢獻，這是用戶的最佳利益所在。

INDUSTRIA -一個值得信賴的Corda開發商的GDPR兼容的解決方案

在索非亞的INDUSTRIA研發辦公室開始為期兩天的Corda培訓和黑客馬拉松活動。

作為R3的合作伙伴，INDUSTRIA充分利用了Corda體系結構獨特的數據保護功能。我們的認證Corda開發團隊為企業、市場和生態系統創建符合GDPR的區塊鏈和DLT解決方案。我們的產品符合金融等行業的需求，始終注重數據隱私和敏感數據的保護。