ЕС ужесточает правила GDPR для соответствия данных блокчейна

Европейский совет по защите данных (EDPB) утвердил новые руководящие принципы, разъясняющие применение Общего регламента по защите данных (GDPR) к технологиям блокчейна, что предоставляет долгожданное регуляторное направление для организаций, обрабатывающих персональные данные жителей Европейского союза. Руководство, принятое 8 июля 2026 года, было опубликовано вместе с обновленными стандартами анонимизации, которые совместно переопределяют ожидания от операторов блокчейна в части соблюдения правил конфиденциальности ЕС.

EDPB подтвердил, что операторы блокчейна не могут избежать обязательств по GDPR просто потому, что записи в блокчейне неизменяемы или потому, что персональные данные были зашифрованы или хешированы в цепочке. По мнению регулятора, организации остаются ответственными за защиту прав субъектов данных независимо от выбранной ими технической архитектуры.

Руководящие принципы рассматривают три основные модели блокчейна: публичные сети без разрешений, частные блокчейны с разрешениями и консорциумные цепи. EDPB заявил, что частные и консорциумные блокчейны обычно лучше подходят для соблюдения GDPR, поскольку они позволяют четко идентифицируемым организациям выступать в роли контролеров и обработчиков данных. Напротив, регулятор отметил, что распределение этих обязанностей в публичных сетях без разрешений остается крайне сложным из-за децентрализованного характера их участников.

Совет также подчеркнул, что право на удаление согласно GDPR продолжает действовать, даже если технология блокчейна делает техническое удаление записей затруднительным. Согласно руководству, технические ограничения не освобождают организации от обязательств по соблюдению нормативных требований. EDPB рекомендовал компаниям определять необходимость использования технологии блокчейна до ее внедрения и, где это возможно, избегать хранения персональных данных непосредственно в цепочке.

Еще одним важным аспектом руководства являются шифрование и хеширование. EDPB указал, что зашифрованные или хешированные персональные данные обычно остаются под действием GDPR, поскольку их потенциально можно связать с идентифицируемым лицом через адреса кошельков, внешние базы данных, ключи дешифрования или будущие достижения в области криптоанализа. Сопроводительное руководство по анонимизации устанавливает, что данные могут считаться анонимными только если их нельзя изолировать, связать или использовать для вывода личности человека.

Регулятор также признал долгосрочные риски, связанные с шифрованием, отметив, что технологические достижения, включая квантовые вычисления, могут в конечном итоге сделать текущие зашифрованные записи блокчейна читаемыми. В результате от организаций ожидается учет будущих рисков повторной идентификации при проектировании систем блокчейна, которые постоянно хранят информацию.

Руководство рекомендует организациям по возможности хранить персональные данные вне цепочки, используя блокчейн преимущественно для хранения криптографических ссылок, а удаляемую личную информацию — в обычных базах данных. По мнению EDPB, такая архитектура предлагает наиболее практичный способ выполнения требований GDPR об удалении при сохранении функциональности блокчейна.

Если хранения персональных данных в цепочке избежать невозможно, регулятор обозначил ограниченные альтернативы. К ним относятся шифрование данных блокчейна с помощью надежно управляемых ключей шифрования вне цепочки, которые могут быть впоследствии уничтожены при получении запроса на удаление, или использование хешированных данных, защищенных конфиденциальными солями вне цепочки, которые также могут быть уничтожены. Совет указал, что хотя эти методы могут служить практической заменой удалению, они не превращают персональные данные в анонимную информацию.

В руководстве далее подчеркиваются проблемы, связанные с международной передачей данных в публичных блокчейнах. Поскольку транзакции автоматически реплицируются на узлах, расположенных в нескольких странах, организации могут непреднамеренно передавать персональные данные за пределы Европейского союза без гарантий, требуемых GDPR. EDPB предупредил, что выполнение требований к международной передаче в сетях блокчейна без разрешений может оказаться особенно сложным из-за невозможности идентифицировать или заключить договор с анонимными операторами узлов.

Регулятор также затронул тему смарт-контрактов, объяснив, что автоматизированное принятие решений на основе блокчейна может активировать статью 22 GDPR, когда решения производят юридические или аналогично значимые последствия для физических лиц. Организациям, внедряющим смарт-контракты для финансовых услуг, верификации личности, кредитования, страхования или управления доступом, может потребоваться обеспечить прозрачность автоматизированной обработки, гарантируя при этом, что затрагиваемые лица имеют возможность запросить человеческую проверку.

Руководство затрагивает широкий спектр секторов, использующих технологию блокчейна, включая финансовые учреждения, поставщиков медицинских услуг, платформы цепочек поставок, кастодианов цифровых активов, маркетплейсы NFT и провайдеров токенизированных активов. Существующие развертывания блокчейна, содержащие персональные данные, могут потребовать технических модификаций, перепроектирования архитектуры или миграции на хранение вне цепочки для улучшения соответствия нормам.

EDPB подчеркнул, что руководство не вводит новых юридических обязательств, а лишь разъясняет требования GDPR, действующие с 2018 года, что означает, что организациям, обрабатывающим персональные данные в сетях блокчейна, следует безотлагательно проверить свои существующие системы. Хотя регулятор учел отзывы заинтересованных сторон в ходе общественных консультаций, он отклонил просьбы освободить публичные блокчейны от обязанностей контролера или смягчить стандарты анонимизации, укрепив более строгую структуру соответствия для обработки данных на основе блокчейна по всему Европейскому союзу.

Статья «ЕС ужесточает правила GDPR для соответствия данных блокчейна» впервые появилась на CoinTrust.