推薦語
今年的“3·15晚會(huì)”播出，多家企業(yè)因存在侵犯消費(fèi)者權(quán)益行為被曝光，比如，曝光了多個(gè)知名品牌商采用人臉識(shí)別攝像頭、非法獲取消費(fèi)者個(gè)人信息的行為。
區(qū)塊鏈技術(shù)的一些特征（如公私鑰機(jī)制、加密算法等）被認(rèn)為有利于個(gè)人信息保護(hù)，但在實(shí)踐中，區(qū)塊鏈分布式和弱中心化的特性，使得個(gè)人信息保護(hù)相關(guān)法律法規(guī)要求主體承擔(dān)的義務(wù)和責(zé)任很難落實(shí)。因此，我們需要對(duì)區(qū)塊鏈應(yīng)用于個(gè)人信息保護(hù)做進(jìn)一步的思考和探索。
本文系北京高勤律師事務(wù)所律師、合伙人王源從律師視角對(duì)區(qū)塊鏈技術(shù)應(yīng)用于個(gè)人信息保護(hù)的深度思考，原文標(biāo)題為「《個(gè)人信息保護(hù)法（草案）》和GDPR對(duì)區(qū)塊鏈技術(shù)的影響」，01區(qū)塊鏈?zhǔn)跈?quán)刊載。
區(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律的基本概念
（一）區(qū)塊鏈技術(shù)
區(qū)塊鏈技術(shù)本質(zhì)上是多方實(shí)體（節(jié)點(diǎn)）為共同目的（應(yīng)用場(chǎng)景）按照一致規(guī)則（共識(shí)機(jī)制和智能合約）在安全環(huán)境（非對(duì)稱加密）下由各節(jié)點(diǎn)（分布式賬本）對(duì)大量數(shù)據(jù)進(jìn)行實(shí)時(shí)自動(dòng)化處理（算法）的一種技術(shù)。
區(qū)塊鏈技術(shù)不需要中心化平臺(tái)信用背書或者作為信息處理中介就能完成交易，是一種去中心化的點(diǎn)對(duì)點(diǎn)的分布式信息集成技術(shù)，技術(shù)內(nèi)容包括網(wǎng)狀多節(jié)點(diǎn)達(dá)成一致的共識(shí)機(jī)制、將信息轉(zhuǎn)化為可機(jī)讀的數(shù)據(jù)的智能合約、防篡改的時(shí)間戳和非對(duì)稱加密技術(shù)等。
基于區(qū)塊鏈技術(shù)可以開發(fā)諸多應(yīng)用，例如最早期金融領(lǐng)域的比特幣等數(shù)字貨幣，除此之外，逐漸廣泛用于信息追溯、存證、物流、認(rèn)證、產(chǎn)權(quán)管理等領(lǐng)域，涉及網(wǎng)絡(luò)科技、醫(yī)療、能源、農(nóng)業(yè)、電商、旅游、服務(wù)等行業(yè)。
（二）個(gè)人信息保護(hù)法律
《個(gè)人信息保護(hù)法（草案）》首先對(duì)個(gè)人信息進(jìn)行了定義，并對(duì)敏感信息進(jìn)行專門規(guī)定，將匿名化信息排除在個(gè)人信息之外；其次圍繞“告知-同意”設(shè)定個(gè)人信息的處理規(guī)則，也包括目的明確、個(gè)人信息處理最小化等原則；再次規(guī)定了個(gè)人對(duì)被收集的信息享有的各種權(quán)益，例如查閱、復(fù)制、更正、補(bǔ)充、請(qǐng)求刪除等；最后與保障個(gè)人權(quán)利相對(duì)應(yīng)，規(guī)定了處理個(gè)人信息的公司、平臺(tái)等主體的義務(wù)，包括內(nèi)部技術(shù)和組織措施、敏感信息或者高風(fēng)險(xiǎn)處理行為的事前評(píng)估、跨境傳輸特殊規(guī)則等。
《個(gè)人信息保護(hù)法（草案）》的核心理念內(nèi)容與制度框架設(shè)計(jì)與歐盟的GDPR（《通用數(shù)據(jù)保護(hù)條例》）是一致的，GDPR以保護(hù)個(gè)人根本性權(quán)利為出發(fā)點(diǎn)，規(guī)定了數(shù)據(jù)控制者和數(shù)據(jù)處理者應(yīng)當(dāng)依照透明度等原則，在獲得數(shù)據(jù)主體同意等情形下和保障個(gè)人對(duì)數(shù)據(jù)的充分控制權(quán)的前提下，才可以合法處理個(gè)人數(shù)據(jù)。
（三）區(qū)塊鏈技術(shù)對(duì)個(gè)人信息保護(hù)法律的挑戰(zhàn)
區(qū)塊鏈技術(shù)的核心特征在于點(diǎn)對(duì)點(diǎn)的傳輸機(jī)制，并不依賴中心化平臺(tái)集中處理數(shù)據(jù)，因此個(gè)人信息保護(hù)法律要求公司、平臺(tái)等處理個(gè)人信息主體承擔(dān)的義務(wù)和責(zé)任將難以落實(shí)，因?yàn)閰^(qū)塊鏈技術(shù)中根本不存在這樣的集中處理個(gè)人信息的公司、平臺(tái)等主體。區(qū)塊鏈技術(shù)通過算法自動(dòng)進(jìn)行數(shù)據(jù)處理和完成交易，從技術(shù)實(shí)現(xiàn)來講人為干預(yù)越少越好，以提高效率和防止篡改，這和個(gè)人對(duì)個(gè)人信息享有的要求更正、撤回信息等決定和控制權(quán)相矛盾。
簡(jiǎn)單來講，個(gè)人信息保護(hù)法律的規(guī)定應(yīng)用于區(qū)塊鏈技術(shù)時(shí)，可能會(huì)存在“由誰承擔(dān)義務(wù)”、“向誰主張權(quán)利”以及“所主張的權(quán)利難以實(shí)現(xiàn)”的問題。
（四）區(qū)塊鏈技術(shù)對(duì)個(gè)人信息保護(hù)法律的促進(jìn)
區(qū)塊鏈技術(shù)的一些特征有利于個(gè)人信息保護(hù)?！稊?shù)據(jù)安全法（草案）》明確要求建立數(shù)據(jù)溯源制度以追溯個(gè)人信息的直接或者間接來源，《網(wǎng)絡(luò)安全法》和《個(gè)人信息保護(hù)法（草案）》規(guī)定應(yīng)當(dāng)防止未經(jīng)授權(quán)訪問信息、加密、去標(biāo)識(shí)化、防止信息泄露。區(qū)塊鏈技術(shù)對(duì)節(jié)點(diǎn)信息創(chuàng)建和運(yùn)行進(jìn)行逐一記錄，通過時(shí)間戳和多方記賬等形式交叉驗(yàn)證保證信息準(zhǔn)確性，這些技術(shù)特征均有利于個(gè)人信息保護(hù)。此外，區(qū)塊鏈技術(shù)對(duì)信息的處理全程可追溯，可以增強(qiáng)個(gè)人對(duì)信息的控制。
區(qū)塊鏈技術(shù)適用個(gè)人信息保護(hù)法律的主要問題
（一）個(gè)人信息處理者角色定位與責(zé)任分配
可問責(zé)性和責(zé)任制是落實(shí)網(wǎng)絡(luò)安全和個(gè)人信息保護(hù)制度的核心。《個(gè)人信息保護(hù)法（草案）》將處理個(gè)人信息的主體分為個(gè)人信息處理者和接受委托進(jìn)行處理的受托方，前者指可以自主決定處理目的和方式的組織、個(gè)人，后者只能按照個(gè)人信息處理者的指示進(jìn)行處理，此外還涉及因合并、對(duì)外共享、嵌入SDK等第三方軟件等原因處理信息的第三方，各主體需要承擔(dān)的義務(wù)及責(zé)任分擔(dān)并不相同?！毒W(wǎng)絡(luò)安全法》將上述主體統(tǒng)一稱為網(wǎng)絡(luò)運(yùn)營(yíng)者，設(shè)定了需要統(tǒng)一遵守的網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)義務(wù)。GDPR也將處理個(gè)人信息的主體區(qū)分為信息控制者和信息處理者，但是概念上規(guī)定由信息控制者決定處理的目的和方式，對(duì)信息控制者設(shè)定了較多義務(wù)，GDPR將接受委托處理數(shù)據(jù)一方稱為數(shù)據(jù)處理者，此外但凡接收數(shù)據(jù)的一方均被統(tǒng)一稱為數(shù)據(jù)接收者。
區(qū)塊鏈由提供分布式賬本的各節(jié)點(diǎn)組成，各節(jié)點(diǎn)通過密碼算法和分布式存儲(chǔ)等點(diǎn)對(duì)點(diǎn)處理數(shù)據(jù)，沒有中心化的數(shù)據(jù)處理者，從這個(gè)意義上講，每一個(gè)節(jié)點(diǎn)就是數(shù)據(jù)控制者或者數(shù)據(jù)處理者。區(qū)塊鏈對(duì)數(shù)據(jù)的處理方式高度自動(dòng)化，使得數(shù)據(jù)控制者和數(shù)據(jù)處理者之間的角色分工和界限模糊，同時(shí)由于不同節(jié)點(diǎn)需要實(shí)現(xiàn)不同功能（例如負(fù)責(zé)賬本數(shù)據(jù)一致性的共識(shí)節(jié)點(diǎn)和負(fù)責(zé)賬本數(shù)據(jù)完整性的記賬節(jié)點(diǎn)），如果要對(duì)區(qū)塊鏈中各節(jié)點(diǎn)的角色分工按照個(gè)人信息保護(hù)法律的規(guī)定，甄別決定處理目的和方式的節(jié)點(diǎn)，從而要求承擔(dān)相應(yīng)的責(zé)任和義務(wù)，是非常有難度的。
難以區(qū)分區(qū)塊鏈節(jié)點(diǎn)在信息處理中的角色分工會(huì)導(dǎo)致責(zé)任劃分不清。個(gè)人信息保護(hù)法律要求能夠共同決定信息處理目的和方式的主體承擔(dān)連帶責(zé)任，接受委托按照指示處理數(shù)據(jù)的受托方不能轉(zhuǎn)委托他人處理個(gè)人信息，均是建立在對(duì)責(zé)任主體明確區(qū)分的基礎(chǔ)上。此外，由于是分布式處理技術(shù)，每一個(gè)節(jié)點(diǎn)可能既是信息控制者或者處理者，又是信息的來源與提供者，使得個(gè)人信息保護(hù)法律中與控制者或者處理者相對(duì)應(yīng)的個(gè)人信息主體之間的概念模糊。無論是中國(guó)個(gè)人信息保護(hù)法律還是GDPR，其信息控制者和處理者既包括單位也包括個(gè)人，并未將個(gè)人排除在處理者或者控制者之外，因此法律保護(hù)的權(quán)利主體在區(qū)塊鏈技術(shù)下可能同時(shí)又是義務(wù)主體。更進(jìn)一步，區(qū)塊鏈技術(shù)通過算法實(shí)現(xiàn)，使得這種權(quán)利義務(wù)實(shí)時(shí)轉(zhuǎn)化且大量發(fā)生，而法律規(guī)則具有穩(wěn)定性，當(dāng)試圖系統(tǒng)性而不僅僅針對(duì)個(gè)案從法律角度進(jìn)行角色定位或者規(guī)制時(shí)，會(huì)遇到障礙。
導(dǎo)致這一困境的根本原因在于個(gè)人信息保護(hù)法律的制度設(shè)計(jì)是中心化的“傘狀”設(shè)計(jì)，而區(qū)塊鏈技術(shù)本質(zhì)上是去中心化的“網(wǎng)狀”設(shè)計(jì)，個(gè)人信息保護(hù)法律將責(zé)任歸于集中處理數(shù)據(jù)的頂端平臺(tái)，由平臺(tái)對(duì)個(gè)人信息主體承擔(dān)義務(wù)，個(gè)人信息主體享有權(quán)利。而在區(qū)塊鏈中不存在這樣的集中處理數(shù)據(jù)平臺(tái)，由鏈中節(jié)點(diǎn)借助算法，多方協(xié)同實(shí)現(xiàn)傳統(tǒng)中心化平臺(tái)對(duì)數(shù)據(jù)處理的功能。由于實(shí)現(xiàn)功能的方式不一樣，將個(gè)人信息保護(hù)法律設(shè)定的責(zé)任承擔(dān)機(jī)制平移到區(qū)塊鏈中就會(huì)遭到挑戰(zhàn)。
（二）個(gè)人信息處理的原則與合法事由規(guī)則
個(gè)人信息保護(hù)法律要求在最短時(shí)間內(nèi)為特定目的處理最少量的個(gè)人信息，且保證數(shù)據(jù)的真實(shí)、準(zhǔn)確與安全?！秱€(gè)人信息保護(hù)法（草案）》規(guī)定的處理個(gè)人信息的原則主要包括正當(dāng)、合法且目的明確，僅處理為實(shí)現(xiàn)目的所需要的最少信息，應(yīng)當(dāng)保障信息的準(zhǔn)確性和及時(shí)更新等。GDPR也專門集中規(guī)定了個(gè)人信息處理原則，包括合法、公平與透明、目的限制、數(shù)據(jù)處理最小化與準(zhǔn)確性、存儲(chǔ)期限限制和數(shù)據(jù)完整性與保密性。
基于以上原則，《個(gè)人信息保護(hù)法（草案）》規(guī)定僅在特定情況下才可以處理個(gè)人信息，包括取得個(gè)人同意、根據(jù)合同或者法律規(guī)定、應(yīng)對(duì)緊急情況和以公共利益為目的在特定范圍內(nèi)處理個(gè)人信息，對(duì)同意規(guī)則還進(jìn)行了細(xì)化規(guī)定，例如應(yīng)當(dāng)確保個(gè)人在充分知情的前提下自愿、明確地做出同意等。GDPR也是圍繞“告知-同意”設(shè)計(jì)處理規(guī)則，要求在被充分告知的前提下自由地對(duì)特定處理行為作出明確的同意。
就“告知-同意”規(guī)則和根據(jù)合同約定處理而言，區(qū)塊鏈技術(shù)依賴智能合約在不同的計(jì)算機(jī)之間達(dá)成協(xié)議，本質(zhì)上是一種可自動(dòng)執(zhí)行的計(jì)算機(jī)程序，如同APP通過個(gè)人信息保護(hù)政策和彈窗告知用戶并取得用戶同意，智能合約將交易的規(guī)則和條件從文字轉(zhuǎn)化為數(shù)據(jù)并且在計(jì)算機(jī)之間通話。智能合約還具有可擴(kuò)展性，可以根據(jù)規(guī)則創(chuàng)建、編譯等。區(qū)塊鏈共識(shí)機(jī)制主要是確保各節(jié)點(diǎn)之間的一致性，即各節(jié)點(diǎn)同意根據(jù)一致規(guī)則進(jìn)行數(shù)據(jù)處理，不僅需要同意對(duì)數(shù)據(jù)進(jìn)行處理，還需要同意一致的處理規(guī)則?？梢钥吹?，在區(qū)塊鏈技術(shù)中“告知-同意”規(guī)則和根據(jù)合同約定處理是同步的，但在個(gè)人信息保護(hù)法律中是不同的處理基礎(chǔ)，例如GDPR明確禁止事后選定合法處理的基礎(chǔ)，在這種情況下處理個(gè)人信息的合法性基礎(chǔ)邊界非常模糊。
（三）個(gè)人信息主體權(quán)利
個(gè)人信息保護(hù)法律最主要的立法目的為保障個(gè)人權(quán)益，同時(shí)促進(jìn)個(gè)人信息合法利用?！秱€(gè)人信息保護(hù)法（草案）》賦予個(gè)人撤回同意和限制、拒絕處理信息的權(quán)利，個(gè)人有權(quán)查閱、復(fù)制個(gè)人信息，有權(quán)更正和補(bǔ)充個(gè)人信息，有權(quán)請(qǐng)求刪除個(gè)人信息。GDPR的規(guī)定大致相同，但還包括數(shù)據(jù)可攜帶權(quán)的規(guī)定，可攜帶權(quán)與復(fù)制或者訪問個(gè)人信息權(quán)利不同之處在于，可攜帶權(quán)要求數(shù)據(jù)控制者將數(shù)據(jù)整理為機(jī)器可讀的機(jī)構(gòu)化形式，自動(dòng)傳輸給個(gè)人指定的其他數(shù)據(jù)接收方。
盡管區(qū)塊鏈技術(shù)對(duì)互操作性的要求有利于諸如可攜帶權(quán)、查詢復(fù)制權(quán)等的實(shí)現(xiàn)，但是整體來看個(gè)人信息保護(hù)法律賦予作為自然人的個(gè)人對(duì)信息的決定權(quán)和控制權(quán)會(huì)造成人為干擾。個(gè)人在信息收集、使用、消失的整個(gè)生命周期均可依法主張權(quán)利，而區(qū)塊鏈卻要實(shí)現(xiàn)對(duì)數(shù)據(jù)的高度自動(dòng)化處理并盡量減少人為干預(yù)以保障計(jì)算效率和準(zhǔn)確性。如果個(gè)人要求更正、補(bǔ)充、刪除個(gè)人信息，可能會(huì)導(dǎo)致信息的不準(zhǔn)確，且信息分散地存儲(chǔ)于各個(gè)節(jié)點(diǎn)，如何廣播通知所有節(jié)點(diǎn)、且保證各節(jié)點(diǎn)均采取一致行動(dòng)，如何確保節(jié)點(diǎn)執(zhí)行經(jīng)過機(jī)器轉(zhuǎn)化的內(nèi)容與個(gè)人主張的權(quán)利一致，各節(jié)點(diǎn)是否需要按照數(shù)據(jù)控制或者受托處理不同要求采取不同行動(dòng)。
（四）個(gè)人信息種類與匿名化
《個(gè)人信息保護(hù)法（草案）》規(guī)定，個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，個(gè)人信息中包含種族、民族、宗教信仰、個(gè)人生物特征、醫(yī)療健康、金融賬戶、個(gè)人行蹤等敏感信息。經(jīng)過匿名化處理后的信息不是個(gè)人信息。GDPR與此規(guī)定大致相同，例如均規(guī)定已識(shí)別或者可識(shí)別個(gè)人的才為個(gè)人信息，但也有不同，例如強(qiáng)調(diào)主要涉及自動(dòng)化方式處理的信息才適用GDPR的規(guī)定，GDPR原則上禁止處理敏感信息，將匿名化信息區(qū)分為假名化和匿名化等。
中國(guó)個(gè)人信息保護(hù)法律對(duì)個(gè)人信息的載體規(guī)定更加寬松，包括電子方式體現(xiàn)的個(gè)人信息，也包括其他非電子方式體現(xiàn)的個(gè)人信息。而區(qū)塊鏈中的個(gè)人信息均以電子方式體現(xiàn)，當(dāng)然適用個(gè)人信息保護(hù)法律。而鏈下存儲(chǔ)的信息有的以電子方式體現(xiàn)，有的可能以手寫記錄密碼等非電子方式體現(xiàn)，也需要適用個(gè)人信息保護(hù)法律的規(guī)定，而GDPR下如果非以自動(dòng)化方式處理數(shù)據(jù)又不形成文檔的話，是不需要適用GDPR規(guī)定的。
匿名性是區(qū)塊鏈技術(shù)產(chǎn)生的初衷和追求的目標(biāo)，加密是實(shí)現(xiàn)匿名化的一種技術(shù)，常用于區(qū)塊鏈的加密技術(shù)包括非對(duì)稱加密、同態(tài)加密和哈希函數(shù)，用于實(shí)現(xiàn)不同的識(shí)別和驗(yàn)證目的。例如數(shù)字貨幣發(fā)行、挖礦和交易中用公鑰加密、用私鑰解密即為非對(duì)稱加密的一種。在個(gè)人信息保護(hù)法律語境下，理論上只要實(shí)現(xiàn)匿名化即不為個(gè)人信息，不需要經(jīng)過同意等法定事由就可以進(jìn)行處理，但實(shí)踐中實(shí)現(xiàn)匿名化的技術(shù)除了加密外還有很多種，每種技術(shù)可實(shí)現(xiàn)的匿名化程度并不一樣，例如GDPR規(guī)定通過假名化技術(shù)對(duì)數(shù)據(jù)進(jìn)行處理后仍然可以識(shí)別到個(gè)人，因此不是完全的匿名化，仍然需要適用GDPR的規(guī)定。所以，區(qū)塊鏈所采用的加密等匿名化技術(shù)是否能夠滿足個(gè)人信息保護(hù)法律的規(guī)定是存疑的，例如加密后的信息是否可逆轉(zhuǎn)重識(shí)別個(gè)人。
區(qū)塊鏈技術(shù)的應(yīng)用涉及大量敏感信息，密碼本身就是廣義的敏感信息的一種，例如比特幣等數(shù)字貨幣的發(fā)行和交易就會(huì)涉及身份標(biāo)識(shí)、銀行賬戶信息、鑒別信息、電子簽名、密碼等。數(shù)字貨幣發(fā)行和交易本質(zhì)上就是機(jī)器對(duì)數(shù)據(jù)的處理過程。為確保真實(shí)性，需要廣播至各節(jié)點(diǎn)對(duì)同一筆交易進(jìn)行記錄并核驗(yàn)，在此過程中涉及個(gè)人財(cái)務(wù)信息的公開、個(gè)人匿名身份的標(biāo)識(shí)等，均需考慮到個(gè)人信息保護(hù)法律的要求而進(jìn)行特殊保護(hù)，例如防止公開特定交易細(xì)節(jié)或者防止識(shí)別用戶等。
同時(shí)，根據(jù)個(gè)人信息保護(hù)法律，為履行法定義務(wù)或者根據(jù)法律規(guī)定，不經(jīng)同意也可以或者依法必須處理個(gè)人信息。例如反洗錢法要求對(duì)用戶真實(shí)身份進(jìn)行驗(yàn)證，在中國(guó)利用區(qū)塊鏈提供信息服務(wù)需要滿足網(wǎng)絡(luò)實(shí)名制要求。
（五）個(gè)人信息處理的技術(shù)與組織措施
《個(gè)人信息保護(hù)法（草案）》和《網(wǎng)絡(luò)安全法》規(guī)定了個(gè)人信息處理者和網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取的個(gè)人信息安全和保護(hù)制度，例如分級(jí)分類、去標(biāo)識(shí)化、訪問控制、應(yīng)急預(yù)案等，GDPR的總體要求為通過制度設(shè)計(jì)保障在默認(rèn)的情形下個(gè)人權(quán)利得到保護(hù)。
根據(jù)個(gè)人信息保護(hù)法律的規(guī)定，對(duì)于高風(fēng)險(xiǎn)個(gè)人信息處理行為需要采取與風(fēng)險(xiǎn)程度相適應(yīng)的特殊保護(hù)措施，高風(fēng)險(xiǎn)個(gè)人信息處理行為包括通過對(duì)用戶打標(biāo)簽、畫像、進(jìn)行自動(dòng)化決策等，明確要求利用個(gè)人信息進(jìn)行自動(dòng)化決策前進(jìn)行風(fēng)險(xiǎn)評(píng)估并記錄。盡管從技術(shù)實(shí)現(xiàn)角度區(qū)塊鏈需要盡量保持處理的一致性、全自動(dòng)化和減少人為干預(yù)，但是從符合法律規(guī)定角度需要考慮合規(guī)性，例如中國(guó)個(gè)人信息保護(hù)法律明確要求，個(gè)人有權(quán)拒絕個(gè)人信息處理者僅通過自動(dòng)化決策的方式做出決定，通過自動(dòng)化決策方式進(jìn)行商業(yè)營(yíng)銷、信息推送，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)。
個(gè)人信息的存留期限是個(gè)人信息保護(hù)法律重點(diǎn)規(guī)定的問題，其基本要求為僅在實(shí)現(xiàn)目的所需的必要期限內(nèi)存留信息，根據(jù)中國(guó)個(gè)人信息保護(hù)法律的規(guī)定，對(duì)存留期限的規(guī)定為6個(gè)月（例如網(wǎng)絡(luò)日志）至3年（電商商品服務(wù)信息、直播信息等）不等。從理論上講，雖然區(qū)塊鏈技術(shù)傾向于或者使得信息可以永久留存，但需要考慮法律關(guān)于信息存儲(chǔ)的規(guī)定；此外由于區(qū)塊鏈中信息分散存儲(chǔ)于各節(jié)點(diǎn)，如何通知?jiǎng)h除、實(shí)現(xiàn)徹底刪除也是在編寫智能合約設(shè)定交易條件時(shí)需要考慮的因素?！秱€(gè)人信息保護(hù)法（草案）》實(shí)際上為技術(shù)發(fā)展提供了冗余空間，例如規(guī)定技術(shù)上難以實(shí)現(xiàn)刪除的，可以采取停止處理個(gè)人信息的方式替代刪除。
（六）個(gè)人信息保護(hù)法律的適用范圍和跨境傳輸
雖然網(wǎng)絡(luò)空間使得物理地域范圍變得越來越無意義，但是在現(xiàn)行法律框架規(guī)則還是需要得到遵守?！秱€(gè)人信息保護(hù)法（草案）》拓展了法律的域外適用范圍，除了在中國(guó)境內(nèi)的個(gè)人信息處理行為需要遵守法律規(guī)定外，境外向境內(nèi)提供產(chǎn)品或者服務(wù)、分析評(píng)估境內(nèi)自然人行為，也需要遵守中國(guó)法律規(guī)定。GDPR規(guī)定類似，即只要在歐洲經(jīng)濟(jì)區(qū)內(nèi)設(shè)立機(jī)構(gòu)，或者向歐洲經(jīng)濟(jì)區(qū)內(nèi)個(gè)人提供產(chǎn)品或者服務(wù)或者監(jiān)控其行為，均適用GDPR的規(guī)定。
區(qū)塊鏈技術(shù)是超越國(guó)界的技術(shù)，例如數(shù)字貨幣等基于區(qū)塊鏈的應(yīng)用甚至超越國(guó)家發(fā)幣主權(quán)，實(shí)現(xiàn)數(shù)據(jù)點(diǎn)對(duì)點(diǎn)的傳輸，因此無論公司注冊(cè)于哪一個(gè)國(guó)家或者服務(wù)器位于哪一個(gè)國(guó)家，節(jié)點(diǎn)參與者來自于世界各國(guó)，均有可能被個(gè)人信息保護(hù)法律確認(rèn)為面向本國(guó)提供商品或者服務(wù)。此外，根據(jù)中國(guó)和歐盟個(gè)人信息保護(hù)法律的規(guī)定，在境外處理境內(nèi)個(gè)人信息，還需要在本國(guó)境內(nèi)設(shè)立代表機(jī)構(gòu)。因此，極端情形下，需要逐一考慮每個(gè)國(guó)家是否有在本地設(shè)立代表處的要求，所有國(guó)家法律均需要被考慮。
區(qū)塊鏈技術(shù)適用個(gè)人信息保護(hù)法律的合規(guī)建議
目前根據(jù)中國(guó)法律的規(guī)定通過備案的區(qū)塊鏈企業(yè)有近千家，包括利用區(qū)塊鏈技術(shù)的應(yīng)用和從事區(qū)塊鏈技術(shù)研發(fā)的企業(yè)。中國(guó)鼓勵(lì)區(qū)塊鏈技術(shù)發(fā)展，但是全面禁止數(shù)字貨幣發(fā)行融資。世界范圍內(nèi)區(qū)塊鏈企業(yè)包括軟件開發(fā)者、平臺(tái)提供者、各行業(yè)應(yīng)用者等等，例如以太坊等提供智能合約底層技術(shù)的平臺(tái)等。從事區(qū)塊鏈技術(shù)研發(fā)或者利用區(qū)塊鏈技術(shù)開發(fā)商品或者提供服務(wù)的企業(yè)或者平臺(tái)需要考慮的個(gè)人信息保護(hù)法律問題包括：
（一）頂層設(shè)計(jì)選擇合規(guī)風(fēng)險(xiǎn)小的區(qū)塊鏈部署方式
按照行業(yè)通行的分類，區(qū)塊鏈一般可以分為私有鏈、聯(lián)盟鏈和公有鏈，從是否需要許可加入節(jié)點(diǎn)出發(fā)，可分為經(jīng)許可的鏈和不用經(jīng)過許可的鏈。由于私有鏈和聯(lián)盟鏈限定了節(jié)點(diǎn)開放的規(guī)模和實(shí)體，與任何人均可參與的公有鏈相比，鏈上數(shù)據(jù)更有能在可控范圍內(nèi)進(jìn)行處理。如果配合許可機(jī)制，對(duì)節(jié)點(diǎn)進(jìn)行驗(yàn)證和登記，從個(gè)人信息保護(hù)和可追溯角度，合規(guī)符合性更高。
（二）有意識(shí)區(qū)分區(qū)塊鏈中多方主體角色和責(zé)任
區(qū)塊鏈中存在多方主體，例如軟件開發(fā)者、平臺(tái)提供者、記賬節(jié)點(diǎn)、驗(yàn)證節(jié)點(diǎn)、礦工等，如果按照個(gè)人信息保護(hù)法律的規(guī)定，需要一一對(duì)應(yīng)多主體是決定處理目的和方式的一方、接受委托處理數(shù)據(jù)的一方還是信息被收集或者被處理的用戶個(gè)人等，才能對(duì)權(quán)利義務(wù)分配和責(zé)任承擔(dān)形成符合法律規(guī)定的預(yù)設(shè)。雖然區(qū)塊鏈?zhǔn)峭ㄟ^去中心化方式進(jìn)行數(shù)據(jù)處理，開發(fā)者、平臺(tái)方等并不集中存儲(chǔ)、管理數(shù)據(jù)，且開發(fā)者、平臺(tái)方本身是否屬于信息控制者或者處理者仍然是需要考慮的因素，但無論如何均需要履行法律規(guī)定的信息安全和個(gè)人信息保護(hù)義務(wù)。
（三）考慮需要遵守的法律強(qiáng)制性規(guī)定
區(qū)塊鏈的技術(shù)創(chuàng)新包括匿名交易，匿名交易同時(shí)也將帶來隱患，例如利用數(shù)字貨幣洗錢。例如，基于區(qū)塊鏈技術(shù)的數(shù)字貨幣需要考慮“知道你的客戶”原則，根據(jù)反洗錢法律規(guī)定收集客戶信息，根據(jù)中國(guó)網(wǎng)絡(luò)實(shí)名制收集用戶手機(jī)號(hào)碼、身份證號(hào)碼等真實(shí)信息，根據(jù)中國(guó)網(wǎng)絡(luò)內(nèi)容生態(tài)審核要求對(duì)區(qū)塊鏈信息發(fā)布的內(nèi)容進(jìn)行審核。此外，中國(guó)法律通常會(huì)規(guī)定“法律、行政法規(guī)另規(guī)定的除外”，需要考慮各自行業(yè)的特殊規(guī)定避免或者必須處理特定信息。
（四）設(shè)立人工干預(yù)機(jī)制
理想狀態(tài)下的區(qū)塊鏈信息全部通過機(jī)器進(jìn)行計(jì)算和處理，但是為了滿足個(gè)人信息保護(hù)法律的規(guī)定，需要設(shè)置適當(dāng)?shù)娜藶楦深A(yù)機(jī)制，例如當(dāng)個(gè)人主張?jiān)L問、更正、刪除權(quán)時(shí)可以及時(shí)有效響應(yīng)，在自動(dòng)化決策中實(shí)現(xiàn)人工審核糾正機(jī)制。在編寫智能合約時(shí)需要提前考慮，如果鏈上信息打上時(shí)間戳后無法直接更正、刪除，需要通過增加代碼方式改寫信息，確保準(zhǔn)確性。
（五）采用適當(dāng)技術(shù)和組織措施
單一和孤立的技術(shù)措施或者組織措施無法實(shí)現(xiàn)個(gè)人信息保護(hù)，也滿足不了法律的要求。例如，通過非對(duì)稱加密匿名化技術(shù)對(duì)信息進(jìn)行加密后，如果不采取限定訪問控制、分開存儲(chǔ)信息等組織措施，其信息是可以再識(shí)別到個(gè)人的。再如，為了避免違反個(gè)人信息保護(hù)法律，可以對(duì)個(gè)人信息進(jìn)行分級(jí)分類，對(duì)于識(shí)別個(gè)人可能性大的信息或者敏感信息，僅在鏈下存儲(chǔ)。
區(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律的總結(jié)展望
作為典型的顛覆性技術(shù)，區(qū)塊鏈技術(shù)實(shí)際上順應(yīng)了科技發(fā)展使得生產(chǎn)生活虛擬化的趨勢(shì)，并且進(jìn)一步弱化工業(yè)時(shí)代作為信用背書和信息中介平臺(tái)的功能，實(shí)現(xiàn)針對(duì)每一個(gè)節(jié)點(diǎn)的個(gè)性化和點(diǎn)對(duì)點(diǎn)定制化的信息處理。但是區(qū)塊鏈技術(shù)還在發(fā)展之中，許多應(yīng)用處于未知狀態(tài)。同時(shí)，網(wǎng)絡(luò)發(fā)展使得大量收集個(gè)人信息成為現(xiàn)實(shí)，利用個(gè)人信息可以深度發(fā)掘人的需求實(shí)現(xiàn)商業(yè)價(jià)值，才使得通過法律對(duì)個(gè)人信息進(jìn)行專門保護(hù)成為必要?？梢钥闯?，區(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律均處于發(fā)展的過程中，因此交界處的沖撞無法避免。區(qū)塊鏈技術(shù)以節(jié)點(diǎn)利用機(jī)器對(duì)數(shù)據(jù)進(jìn)行去中心化處理為特征，而個(gè)人信息保護(hù)法律以數(shù)據(jù)控制和處理者集中化對(duì)人的信息進(jìn)行處理為邏輯，個(gè)人信息保護(hù)法律是以人為中心設(shè)計(jì)的制度，而區(qū)塊鏈以機(jī)器、程序、算法為中心，現(xiàn)實(shí)生活中的人在網(wǎng)絡(luò)空間中抽象為節(jié)點(diǎn)。雖然區(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律的相互影響還有待觀察，但是現(xiàn)行的區(qū)塊鏈技術(shù)發(fā)展仍然需要考慮和滿足個(gè)人信息保護(hù)法律的要求。
參考資料：
1、《個(gè)人信息保護(hù)法（草案）》，全國(guó)人大常委會(huì)，2020年10月
2、《數(shù)據(jù)安全法（草案）》，全國(guó)人大常委會(huì)，2020年7月
3、《民法典》，全國(guó)人民代表大會(huì)，2020年5月
4、《區(qū)塊鏈信息服務(wù)管理規(guī)定》，國(guó)家互聯(lián)網(wǎng)信息辦公室，2019年2月
5、《信息安全技術(shù)區(qū)塊鏈信息服務(wù)安全規(guī)范（征求意見稿）》，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)，2021年1月
6、《信息安全技術(shù)個(gè)人信息去標(biāo)識(shí)化指南》（GB/T 37964-2019），全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)，2020年3月
7、JT/T 0184—2020《金融分布式賬本技術(shù)安全規(guī)范》，中國(guó)人民銀行，2020年2月
8、《區(qū)塊鏈司法存證應(yīng)用白皮書（1.0）》，可信區(qū)塊鏈推進(jìn)計(jì)劃，2019年6月
9、《區(qū)塊鏈安全白皮書（1.0）》，可信區(qū)塊鏈推進(jìn)計(jì)劃，2018年12月
10、朱嘉明、李曉：《數(shù)字貨幣藍(lán)皮書（2020）》，中國(guó)工人出版社2021年版
11、The Impact of Data Protection Regulations on the Blockchain Ecosystem,International Association for Trusted Blockchain Applications,November 2020
12、ISO 22739—2020 Blockchain and distributed ledger technologies—Vocabulary,ISO,July 2020
13、Blockchain and the General Data Protection Regulation,EPRS,July 2019
14、Blockchain and the GDPR:Solutions for a responsible use of the blockchain in the context of personal data,CNIL,September 2018
15、Article 29 Data Protection Working Party,‘Opinion 05/2014 on Anonymisation Techniques’,(2014)WP 216《關(guān)于匿名化技術(shù)的意見》
作者簡(jiǎn)介：
王源律師，北京高勤律師事務(wù)所合伙人。在中國(guó)提供法律咨詢近20年，擅長(zhǎng)處理數(shù)據(jù)合規(guī)、一般公司業(yè)務(wù)和外商投資業(yè)務(wù)。
王源律師自2012年開始提供網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)法律服務(wù)，具有為高科技行業(yè)提供法律服務(wù)的豐富經(jīng)驗(yàn)。王源律師同時(shí)具備跨國(guó)公司內(nèi)部法律顧問及中國(guó)、美國(guó)和英國(guó)律師事務(wù)所工作經(jīng)驗(yàn)。入選北京市律師協(xié)會(huì)涉外律師人才庫，擔(dān)任廣州大學(xué)法學(xué)院實(shí)踐教授，為北京律師協(xié)會(huì)信息網(wǎng)絡(luò)與電信郵政法律專業(yè)委員會(huì)委員。
編審|照生、雨林
排版|梓琳
