El Comité Europeo de Protección de Datos (CEPD) ha aprobado en su reunión de julio las nuevas Directrices sobre el tratamiento de datos personales mediante tecnologías blockchain, un documento que busca proporcionar seguridad jurídica en el uso de esta tecnología y garantizar que su desarrollo sea compatible con la protección de los derechos de las personas.
La Agencia Española de Protección de Datos (AEPD) ha desempeñado un papel destacado en la elaboración del texto, actuando como ponente principal en la fase previa a su lanzamiento.
El documento responde a la necesidad de ofrecer criterios claros en un entorno tecnológico caracterizado por la descentralización y la complejidad técnica, aspectos que habían generado dudas sobre la aplicación de la normativa de protección de datos.
Durante su fase de consulta pública, las directrices despertaron un elevado interés, convirtiéndose en el documento del CEPD que ha recibido un mayor número de aportaciones por parte de organizaciones y personas expertas.
Principales criterios de las nuevas directrices
Las directrices abordan algunos de los principales retos que plantea la tecnología blockchain desde la perspectiva de la protección de datos personales, especialmente debido a la inmutabilidad de la información registrada en la cadena de bloques, característica que puede entrar en conflicto con derechos como la supresión de datos o con los límites de conservación establecidos por la normativa.
Entre las principales recomendaciones destacan las siguientes:
- Evitar almacenar datos personales directamente en la blockchain: el CEPD recomienda que la información identificativa permanezca en sistemas convencionales (off-chain) y que en la cadena únicamente se registren pruebas criptográficas de existencia, como funciones hash con clave o compromisos criptográficos.
- Aplicar la privacidad desde el diseño: las organizaciones deberán incorporar medidas de minimización de datos y cifrado desde las primeras fases del desarrollo de cualquier proyecto basado en blockchain.
- Garantizar el ejercicio de los derechos de las personas: las directrices recuerdan que derechos como el acceso, la rectificación, la oposición o la supresión deben poder ejercerse también en tratamientos que utilicen blockchain. Para ello, se plantean soluciones técnicas como la destrucción de claves de descifrado o la eliminación de los datos almacenados fuera de la cadena para conseguir una anonimización irreversible.
- Realizar evaluaciones de impacto antes de iniciar el tratamiento: el CEPD establece que las entidades deberán llevar a cabo una Evaluación de Impacto sobre la Protección de Datos (EIPD) antes de poner en marcha tratamientos que utilicen esta tecnología, debido a riesgos asociados como la replicación de datos entre nodos o las posibles transferencias internacionales.
Las directrices también hacen referencia a la Prueba de concepto sobre blockchain y el derecho de supresión publicada previamente por la Agencia Española de Protección de Datos como ejemplo de análisis técnico sobre esta materia.
