引荐语
今年的“3·15晚会”播出，多家企业因存在侵略顾客权益行为被曝光，比方，曝光了多个知名品牌商选用人脸辨认摄像头、非法获取顾客个人信息的行为。
区块链技能的一些特征（如公私钥机制、加密算法等）被以为有利于个人信息维护，但在实践中，区块链分布式和弱中心化的特性，使得个人信息维护相关法令法规要求主体承当的职责和职责很难落实。因而，我们需求对区块链运用于个人信息维护做进一步的考虑和探索。
编审 | 照生、雨林
排版 | 梓琳
本文系北京高勤律师事务所律师、合伙人 王源 从律师视角对区块链技能运用于个人信息维护的深度考虑，原文标题为「《个人信息维护法（草案）》和GDPR对区块链技能的影响」，01区块链授权刊载。
区块链技能和个人信息维护法令的基本概念
（一）区块链技能
区块链技能本质上是多方实体（节点）为一起意图（运用场景）依照共同规矩（共同机制和智能合约）在安全环境（非对称加密）下由各节点（分布式账本）对很多数据进行实时主动化处理（算法）的一种技能。
区块链技能不需求中心化渠道信用背书或许作为信息处理中介就能完结买卖，是一种去中心化的点对点的分布式信息集成技能，技能内容包含网状多节点达成共同的共同机制、将信息转化为可机读的数据的智能合约、防篡改的时刻戳和非对称加密技能等。
依据区块链技能能够开发许多运用，例如最前期金融范畴的比特币等数字钱银，除此之外，逐渐广泛用于信息追溯、存证、物流、认证、产权办理等范畴，触及网络科技、医疗、能源、农业、电商、旅行、服务等行业。
（二）个人信息维护法令
《个人信息维护法（草案）》首先对个人信息进行了定义，并对灵敏信息进行专门规矩，将匿名化信息扫除在个人信息之外；其次围绕“奉告-赞同”设定个人信息的处理规矩，也包含意图清晰、个人信息处理最小化等准则；再次规矩了个人对被搜集的信息享有的各种权益，例如查阅、复制、更正、弥补、恳求删去等；最后与保证个人权力相对应，规矩了处理个人信息的公司、渠道等主体的职责，包含内部技能和安排办法、灵敏信息或许高危险处理行为的事前评价、跨境传输特别规矩等。
《个人信息维护法（草案）》的核心理念内容与准则框架规划与欧盟的GDPR（《通用数据维护条例》）是共同的，GDPR以维护个人根本性权力为起点，规矩了数据操控者和数据处理者应当依照透明度等准则，在获得数据主体赞同等情形下和保证个人对数据的充分操控权的前提下，才能够合法处理个人数据。
（三）区块链技能对个人信息维护法令的挑战
区块链技能的核心特征在于点对点的传输机制，并不依靠中心化渠道会集处理数据，因而个人信息维护法令要求公司、渠道等处理个人信息主体承当的职责和职责将难以落实，因为区块链技能中根本不存在这样的会集处理个人信息的公司、渠道等主体。区块链技能经过算法主动进行数据处理和完结买卖，从技能完成来讲人为干涉越少越好，以提高功率和避免篡改，这和个人对个人信息享有的要求更正、撤回信息等决议和操控权相矛盾。
简略来讲，个人信息维护法令的规矩运用于区块链技能时，或许会存在“由谁承当职责”、“向谁建议权力”以及“所建议的权力难以完成”的问题。
（四）区块链技能对个人信息维护法令的促进
区块链技能的一些特征有利于个人信息维护。《数据安全法（草案）》清晰要求建立数据溯源准则以追溯个人信息的直接或许间接来历，《网络安全法》和《个人信息维护法（草案）》规矩应当避免未经授权拜访信息、加密、去标识化、避免信息走漏。区块链技能对节点信息创立和运行进行逐个记录，经过时刻戳和多方记账等方法交叉验证保证信息精确性，这些技能特征均有利于个人信息维护。此外，区块链技能对信息的处理全程可追溯，能够增强个人对信息的操控。
区块链技能适用个人信息维护法令的首要问题
（一）个人信息处理者角色定位与职责分配
可问责性和职责制是落实网络安全和个人信息维护准则的核心。《个人信息维护法（草案）》将处理个人信息的主体分为个人信息处理者和承受托付进行处理的受托方，前者指能够自主决议处理意图和方法的安排、个人，后者只能依照个人信息处理者的指示进行处理，此外还触及因兼并、对外同享、嵌入SDK等第三方软件等原因处理信息的第三方，各主体需求承当的职责及职责分管并不相同。《网络安全法》将上述主体共同称为网络运营者，设定了需求共同恪守的网络安全和数据维护职责。GDPR也将处理个人信息的主体区别为信息操控者和信息处理者，可是概念上规矩由信息操控者决议处理的意图和方法，对信息操控者设定了较多职责，GDPR将承受托付处理数据一方称为数据处理者，此外但凡接纳数据的一方均被共同称为数据接纳者。
区块链由供给分布式账本的各节点组成，各节点经过暗码算法和分布式存储等点对点处理数据，没有中心化的数据处理者，从这个意义上讲，每一个节点便是数据操控者或许数据处理者。区块链对数据的处理方法高度主动化，使得数据操控者和数据处理者之间的角色分工和界限含糊，一起因为不同节点需求完成不同功用（例如负责账本数据共同性的共同节点和负责账本数据完整性的记账节点），假如要对区块链中各节点的角色分工依照个人信息维护法令的规矩，甄别决议处理意图和方法的节点，从而要求承当相应的职责和职责，对错常有难度的。
难以区别区块链节点在信息处理中的角色分工会导致职责划分不清。个人信息维护法令要求能够一起决议信息处理意图和方法的主体承当连带职责，承受托付依照指示处理数据的受托方不能转托付他人处理个人信息，均是建立在对职责主体清晰区别的根底上。此外，因为是分布式处理技能，每一个节点或许既是信息操控者或许处理者，又是信息的来历与供给者，使得个人信息维护法令中与操控者或许处理者相对应的个人信息主体之间的概念含糊。不管是我国个人信息维护法令仍是GDPR，其信息操控者和处理者既包含单位也包含个人，并未将个人扫除在处理者或许操控者之外，因而法令维护的权力主体在区块链技能下或许一起又是职责主体。更进一步，区块链技能经过算法完成，使得这种权力职责实时转化且很多发生，而法令规矩具有稳定性，当试图系统性而不仅仅针对个案从法令视点进行角色定位或许规制时，会遇到障碍。
导致这一困境的根本原因在于个人信息维护法令的准则规划是中心化的“伞状”规划，而区块链技能本质上是去中心化的“网状”规划，个人信息维护法令将职责归于会集处理数据的顶端渠道，由渠道对个人信息主体承当职责，个人信息主体享有权力。而在区块链中不存在这样的会集处理数据渠道，由链中节点借助算法，多方协同完成传统中心化渠道对数据处理的功用。因为完成功用的方法不一样，将个人信息维护法令设定的职责承当机制平移到区块链中就会遭到挑战。
（二）个人信息处理的准则与合法事由规矩
个人信息维护法令要求在最短时刻内为特定意图处理最少量的个人信息，且保证数据的实在、精确与安全。《个人信息维护法（草案）》规矩的处理个人信息的准则首要包含合理、合法且意图清晰，仅处理为完成意图所需求的最少信息，应当保证信息的精确性和及时更新等。GDPR也专门会集规矩了个人信息处理准则，包含合法、公正与透明、意图约束、数据处理最小化与精确性、存储期限约束和数据完整性与保密性。
依据以上准则，《个人信息维护法（草案）》规矩仅在特定情况下才能够处理个人信息，包含获得个人赞同、依据合同或许法令规矩、应对紧急情况和以公共利益为意图在特定规划内处理个人信息，对赞同规矩还进行了细化规矩，例如应当保证个人在充分知情的前提下自愿、清晰地做出赞同等。GDPR也是围绕“奉告-赞同”规划处理规矩，要求在被充分奉告的前提下自由地对特定处理行为作出清晰的赞同。
就“奉告-赞同”规矩和依据合同约好处理而言，区块链技能依靠智能合约在不同的核算机之间达成协议，本质上是一种可主动履行的核算机程序，好像APP经过个人信息维护方针和弹窗奉告用户并获得用户赞同，智能合约将买卖的规矩和条件从文字转化为数据并且在核算机之间通话。智能合约还具有可扩展性，能够依据规矩创立、编译等。区块链共同机制首要是保证各节点之间的共同性，即各节点赞同依据共同规矩进行数据处理，不仅需求赞同对数据进行处理，还需求赞同共同的处理规矩。能够看到，在区块链技能中“奉告-赞同”规矩和依据合同约好处理是同步的，但在个人信息维护法令中是不同的处理根底，例如GDPR清晰制止过后选定合法处理的根底，在这种情况下处理个人信息的合法性根底边界十分含糊。
（三）个人信息主体权力
个人信息维护法令最首要的立法意图为保证个人权益，一起促进个人信息合法使用。《个人信息维护法（草案）》赋予个人撤回赞同和约束、回绝处理信息的权力，个人有权查阅、复制个人信息，有权更正和弥补个人信息，有权恳求删去个人信息。GDPR的规矩大致相同，但还包含数据可带着权的规矩，可带着权与复制或许拜访个人信息权力不同之处在于，可带着权要求数据操控者将数据收拾为机器可读的安排化方法，主动传输给个人指定的其他数据接纳方。
尽管区块链技能对互操作性的要求有利于诸如可带着权、查询复制权等的完成，可是整体来看个人信息维护法令赋予作为自然人的个人对信息的决议权和操控权会造成人为搅扰。个人在信息搜集、运用、消失的整个生命周期均可依法建议权力，而区块链却要完成对数据的高度主动化处理并尽量削减人为干涉以保证核算功率和精确性。假如个人要求更正、弥补、删去个人信息，或许会导致信息的不精确，且信息分散地存储于各个节点，怎么广播告诉所有节点、且保证各节点均采纳共同举动，怎么保证节点履行经过机器转化的内容与个人建议的权力共同，各节点是否需求依照数据操控或许受托处理不同要求采纳不同举动。
（四）个人信息种类与匿名化
《个人信息维护法（草案）》规矩，个人信息是以电子或许其他方法记录的与已辨认或答应辨认的自然人有关的各种信息，个人信息中包含种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行迹等灵敏信息。经过匿名化处理后的信息不是个人信息。GDPR与此规矩大致相同，例如均规矩已辨认或答应辨认个人的才为个人信息，但也有不同，例如强调首要触及主动化方法处理的信息才适用GDPR的规矩，GDPR准则上制止处理灵敏信息，将匿名化信息区别为假名化和匿名化等。
我国个人信息维护法令对个人信息的载体规矩更加宽松，包含电子方法表现的个人信息，也包含其他非电子方法表现的个人信息。而区块链中的个人信息均以电子方法表现，当然适用个人信息维护法令。而链下存储的信息有的以电子方法表现，有的或许以手写记录暗码等非电子方法表现，也需求适用个人信息维护法令的规矩，而GDPR下假如非以主动化方法处理数据又不构成文档的话，是不需求适用GDPR规矩的。
匿名性是区块链技能发生的初衷和寻求的目标，加密是完成匿名化的一种技能，常用于区块链的加密技能包含非对称加密、同态加密和哈希函数，用于完成不同的辨认和验证意图。例如数字钱银发行、挖矿和买卖中用公钥加密、用私钥解密即为非对称加密的一种。在个人信息维护法令语境下，理论上只要完成匿名化即不为个人信息，不需求经过赞同等法定事由就能够进行处理，但实践中完成匿名化的技能除了加密外还有很多种，每种技能可完成的匿名化程度并不一样，例如GDPR规矩经过假名化技能对数据进行处理后依然能够辨认到个人，因而不是完全的匿名化，依然需求适用GDPR的规矩。所以，区块链所选用的加密等匿名化技能是否能够满意个人信息维护法令的规矩是存疑的，例如加密后的信息是否可反转重辨认个人。
区块链技能的运用触及很多灵敏信息，暗码本身便是广义的灵敏信息的一种，例如比特币等数字钱银的发行和买卖就会触及身份标识、银行账户信息、鉴别信息、电子签名、暗码等。数字钱银发行和买卖本质上便是机器对数据的处理过程。为保证实在性，需求广播至各节点对同一笔买卖进行记录并核验，在此过程中触及个人财政信息的公开、个人匿名身份的标识等，均需考虑到个人信息维护法令的要求而进行特别维护，例如避免公开特定买卖细节或许避免辨认用户等。
一起，依据个人信息维护法令，为履行法定职责或许依据法令规矩，不经赞同也能够或许依法有必要处理个人信息。例如反洗钱法要求对用户实在身份进行验证，在我国使用区块链供给信息服务需求满意网络实名制要求。
（五）个人信息处理的技能与安排办法
《个人信息维护法（草案）》和《网络安全法》规矩了个人信息处理者和网络运营者应当采纳的个人信息安全和维护准则，例如分级分类、去标识化、拜访操控、应急预案等，GDPR的总体要求为经过准则规划保证在默许的情形下个人权力得到维护。
依据个人信息维护法令的规矩，关于高危险个人信息处理行为需求采纳与危险程度相适应的特别维护办法，高危险个人信息处理行为包含经过对用户打标签、画像、进行主动化决议方案等，清晰要求使用个人信息进行主动化决议方案前进行危险评价并记录。尽管从技能完成视点区块链需求尽量保持处理的共同性、全主动化和削减人为干涉，可是从契合法令规矩视点需求考虑合规性，例如我国个人信息维护法令清晰要求，个人有权回绝个人信息处理者仅经过主动化决议方案的方法做出决议，经过主动化决议方案方法进行商业营销、信息推送，应当一起供给不针对其个人特征的选项。
个人信息的存留期限是个人信息维护法令要点规矩的问题，其基本要求为仅在完成意图所需的必要期限内存留信息，依据我国个人信息维护法令的规矩，对存留期限的规矩为6个月（例如网络日志）至3年（电商商品服务信息、直播信息等）不等。从理论上讲，尽管区块链技能倾向于或许使得信息能够永久留存，但需求考虑法令关于信息存储的规矩；此外因为区块链中信息分散存储于各节点，怎么告诉删去、完成彻底删去也是在编写智能合约设定买卖条件时需求考虑的因素。《个人信息维护法（草案）》实际上为技能开展供给了冗余空间，例如规矩技能上难以完成删去的，能够采纳中止处理个人信息的方法代替删去。
（六）个人信息维护法令的适用规划和跨境传输
尽管网络空间使得物理地域规划变得越来越无意义，可是在现行法令框架规矩仍是需求得到恪守。《个人信息维护法（草案）》拓展了法令的域外适用规划，除了在我国境内的个人信息处理行为需求恪守法令规矩外，境外向境内供给产品或许服务、分析评价境内自然人行为，也需求恪守我国法令规矩。GDPR规矩类似，即只要在欧洲经济区内建立安排，或许向欧洲经济区内个人供给产品或许服务或许监控其行为，均适用GDPR的规矩。
区块链技能是超越国界的技能，例如数字钱银等依据区块链的运用甚至超越国家发币主权，完成数据点对点的传输，因而不管公司注册于哪一个国家或许服务器位于哪一个国家，节点参加者来自于国际各国，均有或许被个人信息维护法令确以为面向本国供给商品或许服务。此外，依据我国和欧盟个人信息维护法令的规矩，在境外处理境内个人信息，还需求在本国境内建立代表安排。因而，极端情形下，需求逐个考虑每个国家是否有在本地建立代表处的要求，所有国家法令均需求被考虑。
区块链技能适用个人信息维护法令的合规建议
目前依据我国法令的规矩经过备案的区块链企业有近千家，包含使用区块链技能的运用和从事区块链技能研发的企业。我国鼓舞区块链技能开展，可是全面制止数字钱银发行融资。国际规划内区块链企业包含软件开发者、渠道供给者、各行业运用者等等，例如以太坊等供给智能合约底层技能的渠道等。从事区块链技能研发或许使用区块链技能开发商品或许供给服务的企业或许渠道需求考虑的个人信息维护法令问题包含：
（一）顶层规划选择合规危险小的区块链部署方法
依照行业通行的分类，区块链一般能够分为私有链、联盟链和公有链，从是否需求答应参加节点出发，可分为经答应的链和不用经过答应的链。因为私有链和联盟链限定了节点敞开的规划和实体，与任何人均可参加的公有链比较，链上数据更有能在可控规划内进行处理。假如配合答应机制，对节点进行验证和挂号，从个人信息维护和可追溯视点，合规契合性更高。
（二）有意识区别区块链中多方主体角色和职责
区块链中存在多方主体，例如软件开发者、渠道供给者、记账节点、验证节点、矿工等，假如依照个人信息维护法令的规矩，需求一一对应多主体是决议处理意图和方法的一方、承受托付处理数据的一方仍是信息被搜集或许被处理的用户个人等，才能对权力职责分配和职责承当构成契合法令规矩的预设。尽管区块链是经过去中心化方法进行数据处理，开发者、渠道方等并不会集存储、办理数据，且开发者、渠道方本身是否属于信息操控者或许处理者依然是需求考虑的因素，但不管怎么均需求履行法令规矩的信息安全和个人信息维护职责。
（三）考虑需求恪守的法令强制性规矩
区块链的技能创新包含匿名买卖，匿名买卖一起也将带来隐患，例如使用数字钱银洗钱。例如，依据区块链技能的数字钱银需求考虑“知道你的客户”准则，依据反洗钱法令规矩搜集客户信息，依据我国网络实名制搜集用户手机号码、身份证号码等实在信息，依据我国网络内容生态审阅要求对区块链信息发布的内容进行审阅。此外，我国法令通常会规矩“法令、行政法规另规矩的除外”，需求考虑各自行业的特别规矩避免或许有必要处理特定信息。
（四）建立人工干涉机制
理想状态下的区块链信息全部经过机器进行核算和处理，可是为了满意个人信息维护法令的规矩，需求设置恰当的人为干涉机制，例如当个人建议拜访、更正、删去权时能够及时有用呼应，在主动化决议方案中完成人工审阅纠正机制。在编写智能合约时需求提早考虑，假如链上信息打上时刻戳后无法直接更正、删去，需求经过增加代码方法改写信息，保证精确性。
（五）选用恰当技能和安排办法
单一和孤立的技能办法或许安排办法无法完成个人信息维护，也满意不了法令的要求。例如，经过非对称加密匿名化技能对信息进行加密后，假如不采纳限定拜访操控、分开存储信息等安排办法，其信息是能够再辨认到个人的。再如，为了避免违反个人信息维护法令，能够对个人信息进行分级分类，关于辨认个人或许性大的信息或许灵敏信息，仅在链下存储。
区块链技能和个人信息维护法令的总结展望
作为典型的颠覆性技能，区块链技能实际上适应了科技开展使得生发日子虚拟化的趋势，并且进一步弱化工业时代作为信用背书和信息中介渠道的功用，完成针对每一个节点的个性化和点对点定制化的信息处理。可是区块链技能还在开展之中，许多运用处于不知道状态。一起，网络开展使得很多搜集个人信息成为现实，使用个人信息能够深度发掘人的需求完成商业价值，才使得经过法令对个人信息进行专门维护成为必要。能够看出，区块链技能和个人信息维护法令均处于开展的过程中，因而交界处的冲撞无法避免。区块链技能以节点使用机器对数据进行去中心化处理为特征，而个人信息维护法令以数据操控和处理者会集化对人的信息进行处理为逻辑，个人信息维护法令是以人为中心规划的准则，而区块链以机器、程序、算法为中心，现实日子中的人在网络空间中笼统为节点。尽管区块链技能和个人信息维护法令的相互影响还有待调查，可是现行的区块链技能开展依然需求考虑和满意个人信息维护法令的要求。
参考资料：
1、《个人信息维护法（草案）》，全国人大常委会，2020年10月
2、《数据安全法（草案）》，全国人大常委会，2020年7月
3、《民法典》，全国人民代表大会，2020年5月
4、《区块链信息服务办理规矩》，国家互联网信息办公室，2019年2月
5、《信息安全技能 区块链信息服务安全标准（征求意见稿）》，全国信息安全标准化技能委员会，2021年1月
6、《信息安全技能 个人信息去标识化指南》（GB/T 37964-2019），全国信息安全标准化技能委员会，2020年3月
7、JT/T 0184—2020《金融分布式账本技能安全标准》，我国人民银行，2020年2月
8、《区块链司法存证运用白皮书（1.0）》，可信区块链推动方案，2019年6月
9、《区块链安全白皮书（1.0）》，可信区块链推动方案，2018年12月
10、朱嘉明、李晓：《数字钱银蓝皮书（2020）》，我国工人出版社2021年版
11、The Impact of Data Protection Regulations on the Blockchain Ecosystem, International Association for Trusted Blockchain Applications, November 2020
12、ISO 22739—2020 Blockchain and distributed ledger technologies — Vocabulary, ISO, July 2020
13、Blockchain and the General Data Protection Regulation, EPRS, July 2019
14、Blockchain and the GDPR: Solutions for a responsible use of the blockchain in the context of personal data, CNIL, September 2018
15、Article 29 Data Protection Working Party, ‘Opinion 05/2014 on Anonymisation Techniques’, (2014) WP 216 《关于匿名化技能的意见》
视野开拓
但是近年来又出现一个新的变化，比如说青木昌彦教授。几年前召开的世界经济学家大会，当时他是世界经济学家联合会的主席，他的主席报告按照东亚的经验把经济发展划分为四个阶段:第一个阶段是马尔萨斯阶段，或M阶段，主要表现是贫困的均衡陷阱，即使人们短暂地摆脱了这个陷阱，收入水平刚一提高就多生孩子，人一多就把原来的产品推薄了，人均收入水平又降下来了。第二个阶段是政府主导的工业化阶段。这个阶段有一个时期的重点是经济结构的调整，逐渐缩小农业份额，扩大第二、三产业的比重也叫作库兹涅茨转变或K阶段。 第三个阶段是H阶段，是一个靠人力资本提高生产率的发展阶段。如果你能够通过这一关，就进入第四个阶段，即后人口转变阶段。这个阶段基本上就是老龄化社会，生育率非常低，不再有人口红利，就像所有的新古典类型的经济一样，只有靠生产率的提高、技术进步和创新才能得到发展。青木昌彦教授主要以东亚地区模式来进行划分。-《读懂中国经济》
