40、区块链技术的数据处理与合规性：从角色识别到公平设计

区块链技术的数据处理与合规性：从角色识别到公平设计

1. 数据处理角色识别

在处理个人数据时，实体主要扮演两种角色：控制者和处理者。控制者有权决定个人数据的处理目的和方式；处理者则仅代表控制者处理个人数据。在区块链系统中，如何对不同“参与者”进行分类是一个问题。有人质疑，在区块链这样的分布式系统中是否存在控制者；若存在，每个验证交易的节点是否都应被视为控制者，这在公共区块链中似乎并不可行。

对于这个问题，有两种主流观点。匈牙利数据保护机构认为，向系统添加区块和数据的每个用户都可同时被视为数据控制者。而法国国家信息与自由委员会（CNIL）则认为，并非所有区块链参与者都应被视为控制者，负责验证交易的节点（即“矿工”）仅执行验证任务，无法影响交易对象和个人数据的处理目的。因此，只有出于非纯粹个人或家庭活动目的，在区块链上输入或访问个人数据的实体才可能被视为控制者。

CNIL的观点更为合理。因为节点实际上无法控制区块链系统上可能上传或引用的个人数据的使用原因，要求它们承担控制者的所有义务既不公平也不实际。此外，CNIL的解决方案能有效解决“问责差距”问题，明确特定实体为控制者，并使其对遵守适用法律负责。

若要赋予验证交易的节点某种数据处理角色，将其视为处理者是合理的，因为它们维护区块链上的数据以供他人使用。然而，它们并非完全代表控制者行事，而且为每个“矿工”节点和每个潜在控制者制定合同安排在实践中几乎不可行。在私有或许可区块链中，区块链的中央实体可以要求“矿工”节点在“中央协议”或“使用条款”中同意一定数量的义务，从而建立符合GDPR第28条的书面协议。

2. 应对国际数据传输

节点是否被认定为“处理者”与区块链上个人数据的