12、自主身份的数据保护合规挑战

自主身份的数据保护合规挑战

1. 自主身份与区块链技术

自主身份项目的发展与区块链技术的进步和主流应用努力密不可分。区块链技术的支持者对自主身份解决方案的成功有着浓厚的兴趣，因为这将是区块链技术首次广泛应用。

eIDAS 法规定义了信任服务的级别，为创建不同的合法身份系统解决方案提供了监管环境。此外，身份提供者必须遵守数据保护法规，如 GDPR。然而，遵守这些欧洲监管框架具有挑战性，因为现代身份提案基于去中心化技术，这增加了复杂性。而且，“隐私设计”规范义务虽有可能得到保障，但所选技术工具和架构的合规性存在一定的不确定性。

许多适用的法律规范依赖于特定领域，某些领域（如金融市场和机构）受到严格监管。这些不同的法律义务之间存在冲突，使得适用的法律规则与技术目标之间的紧张关系难以调和。

2. 共同的控制愿景

2.1 自主身份的设计原则

2016 年，密码学家 Christopher Allen 以设计选项清单的形式提出了自主身份概念的基本设计原则。他描述了一个由个人控制的身份生态系统的核心原则，该系统不依赖于特定的强大技术基础设施或私人、公共实体。自主身份在之前的身份管理系统（从集中式到联合式再到以用户为中心）基础上更进一步，通过十个基本原则优先考虑用户自主性：存在性、控制权、访问权、透明度、持久性、可移植性、互操作性、同意权、最小化和保护。这些原则确保用户成为其个人数据的唯一守门人。

2.2 法律与技术层面的控制原则

从法律角度看，《通用数据保护条例》（GDPR）旨在提供法律框架，确保个人对个人数据的控制。GDPR 第 7 条直接强调“自然人应控制自己的个人数据”。这一控