La conoscenza, a vari livelli, del concetto di blockchain presso il grande pubblico è sicuramente legata al grande clamore suscitato dalla più famosa tra le criptovalute, il bitcoin, e alla sua grande volatilità, che ha permesso, e permette tuttora, grosse speculazioni.
La nascita di Bitcoin, nell’ormai lontano 2008, ha reso possibile quanto fino a quel momento era rimasto impraticabile: lo scambio di valore su Internet, tra persone sconosciute e senza l’intermediazione di una terza parte fidata. Nel protocollo Bitcoin, presentato da Satoshi Nakamoto con il white paper Bitcoin: A Peer-to-Peer Electronic Cash System, la disintermediazione è stata raggiunta attraverso la sapiente combinazione di protocolli crittografici, l’utilizzo di una blockchain distribuita su una rete peer-to-peer e l’utilizzo di un meccanismo di consenso per la validazione delle transazioni immesse nel network, la Proof of Work.
La blockchain è un database che fa parte della famiglia delle Distributed Ledger Technology (DLT), le cui caratteristiche principali sono l’immutabilità, la trasparenza e la tracciabilità delle transazioni. I dati immessi nel registro sono raggruppati in blocchi di varia grandezza, che vengono collegati l’uno con l’altro attraverso un processo di hashing. Grazie a tale processo, i blocchi sono ordinati cronologicamente e in maniera tale da rendere quasi impossibile la manomissione dei dati contenuti al loro interno. La forte resistenza alle modifiche è il motivo per cui si parla di immutabilità della blockchain: ciò, se da un lato costituisce uno dei suoi più grandi punti di forza, dall’altro può comportare dei problemi di compliance con i principi previsti dal Regolamento Ue n. 679/2016 (GDPR).
In particolare, in questa breve analisi, si vuole porre l’attenzione sulla difficoltà di cancellare dati personali inseriti in una blockchain, alla luce del diritto all’oblio previsto dall’art. 17 del Regolamento menzionato. Appare opportuno precisare, tuttavia, che, sebbene il termine blockchain venga declinato sempre al singolare, in realtà, ne esistono vari modelli. Ciò implica che la conformità dei vari tipi di registri distribuiti al GDPR può essere valutata solo sulla base di un’analisi caso per caso, che tenga conto della specifica progettazione tecnica e dei modelli di governance adottati da ciascuno.
Conflitto tra diritto all’oblio e immutabilità della blockchain
L’art. 17 del GDPR, intitolato «Diritto alla cancellazione», prevede due diritti specifici, che l’interessato può esercitare in presenza di determinate condizioni. Questi diritto sono il diritto alla cancellazione dei dati da parte del titolare del trattamento e il «diritto all’oblio» propriamente detto. Quest’ultimo è più ampio del primo, perché prevede l’obbligo per il titolare che abbia comunicato i dati in oggetto a soggetti terzi non solo di cancellare questi dati, ma anche di informare gli altri titolari della richiesta dell’interessato, in modo che anch’essi cancellino qualsiasi link, copia o riproduzione dei suoi dati personali.
Il diritto alla cancellazione viene spesso definito, in maniera sintetica e non del tutto esaustiva, come il diritto dell’interessato a non vedere più riprodotte nella rete informazioni riguardanti sue vicende personali, che, decorso un certo periodo di tempo, potrebbero anche non essere più rappresentative della sua identità personale. Tuttavia, è importante tenere presente che lo scopo dello strumento predisposto dall’art. 17 del GDPR è più generale e vuole permette all’interessato una maggiore autodeterminazione nella gestione dei propri dati e, quindi, un maggiore controllo sulle informazioni che lo riguardano.
Tuttavia, come già accennato, i dati inseriti all’interno di una blockchain costituiscono parte integrante del registro logico e non possono essere modificati. Perché l’utilizzo di una blockchain possa risultare conforme a quanto previsto dal Regolamento, quindi, devono essere individuate delle soluzioni che permettano l’intervento sui dati nel caso in cui ciò risulti necessario.
Per chiarezza, possiamo distinguere i dati presenti nelle blockchain in due grandi famiglie: i dati relativi alle singole transazioni e le chiavi pubbliche degli utenti. Ebbene, per i primi è possibile trovare delle soluzioni che risultino in linea con quanto previsto dall’art. 17, per i secondi, la questione risulta più complicata in quanto essi sono indispensabili per il funzionamento del registro.
Alternativa alla cancellazione dei dati dal registro
Per ovviare al problema dell’immodificabilità del registro logico, si possono archiviare i dati relativi alle transazioni in un database modificabile, inserendo solo un loro riferimento in blockchain. Alcune società stanno collaborando per lo sviluppo di soluzioni blockchain per aziende e governi che possano essere conformi al GDPR. Più precisamente, finora è stato realizzato un servizio per la gestione dei processi aziendali, basato su blockchain, che si sviluppa su due livelli. Un primo livello è costituito da una blockchain pubblica e un secondo livello è costituito da una serie di database privati.
Le aziende che collaborano o che intrattengono rapporti commerciali si servono dei database privati per registrare i dati che le riguardano: il database è consultabile solo dalle aziende che intrattengono tra loro rapporti. I dati così registrati vengono, poi, sottoposti ad un processo di hashing e un loro riferimento univoco viene inserito nella blockchain pubblica. Tale approccio ibrido consente di utilizzare una blockchain in maniera conforme a quanto previsto dal GDPR.
Incertezza legata al termine «cancellazione» e alternative indicate da alcune Autorità nazionali
Si noti come il termine «cancellazione», utilizzato dall’art. 17 del GDPR, non è definito in maniera puntuale all’interno del Regolamento, mancando una spiegazione tecnica che descriva in cosa debba concretamente consistere tale cancellazione. Nell’incertezza del significato, alcune Autorità nazionali e sovranazionali hanno fatto notare che sono possibili delle alternative alla totale distruzione dei dati, che risultano comunque conformi al disposto dell’art. 17.
Ad esempio, l’Autorità austriaca per la protezione dei dati personali ha riconosciuto una certa flessibilità riguardo all’utilizzo dei mezzi tecnici necessari alla cancellazione, ritenendo che anche l’anonimizzazione dei dati possa rappresentare un mezzo adatto a realizzare la cancellazione dei dati.
L’Autorità inglese, poi, ha affermato che anche “mettere fuori uso i dati” può risultare soddisfacente ai fini dell’applicazione dell’art. 17 del GDPR. Allora, i dati personali sono da considerarsi fuori uso, seppur non effettivamente cancellati, se il titolare del trattamento: (a) non è in grado di usare tali dati per decisioni che riguardino un certo individuo; (b) non dà a nessun’altra organizzazione l’accesso a tali dati; (c) prevede delle soluzioni tecniche ed organizzative per mettere in sicurezza i dati; (d) si impegna a garantire la cancellazione permanente delle informazioni se e quando ciò diventerà possibile.
Altra soluzione adottabile, che renderebbe inaccessibili i dati, sarebbe la distruzione della chiave privata corrispondente alla chiave pubblica che ogni utente del registro detiene. Questa è la soluzione prospettata dall’Autorità francese, che consiglia di procedere anche alla distruzione di eventuali informazioni legate alla chiave privata contenute in altri registri.
Dunque, se la questione relativa alla cancellazione dei dati collegati alle transazioni sembra risolvibile con qualche accortezza, non si può giungere alla stessa conclusione per quanto riguarda le chiavi pubbliche associate a ciascun utente, le quali sono imprescindibili per il funzionamento della catena logica.
Ciò detto, sembra che il «diritto all’oblio» possa considerarsi in parte ridimensionato dallo stesso Legislatore europeo: si noti, infatti, che, nel secondo comma dell’art. 17 del GDPR, dove si prevede che il titolare è tenuto a informare tutti gli altri eventuali titolari della richiesta dell’interessato di cancellare ogni dato che lo riguarda, inserisce l’inciso «tenendo conto della tecnologia disponibile e dei costi di attuazione».
Giurisprudenza
Si noti come, sempre con riguardo al diritto all’oblio, alcune pronunce della Corte di giustizia dell’Unione europea sono esplicative del fatto che tale diritto non deve essere considerato in maniera assoluta e che la cancellazione non deve essere intesa come distruzione completa di tutti i dati legati ad un soggetto. Si prendano come esempio la celebre pronuncia Google Spain e la più recente pronuncia relativa alla causa C-507/17 Google LLC, succeduta alla Google Inc. / Commission nationale de l’informatique et des libertés (CNIL, ovvero l’Autorità Garante francese).
Nel primo caso, la Corte ha stabilito che il gestore di un motore di ricerca su Internet è responsabile del trattamento da esso effettuato dei dati personali che compaiono su pagine web pubblicate da terzi. Purtuttavia, il motore di ricerca non può cancellare i dati personali che si trovano su dette pagine web, ma solo il collegamento a tali dati: il diritto all’oblio viene, quindi, declinato a semplice diritto alla deindicizzazione.
Nella seconda pronuncia, sempre in tema di delisting, la Corte ha stabilito che il gestore di un motore di ricerca che accoglie una richiesta di deindicizzazione non è obbligato ad effettuare tale deindicizzazione su tutte le versioni del suo motore: tale operazione va fatta solo nelle versioni del suo motore di ricerca relative agli Stati membri dell’Unione Europea, tenuti al rispetto del GDPR.
Conclusioni
A conclusione di questa breve analisi, si può ritenere che l’applicazione del diritto all’oblio previsto dal GDPR non debba scoraggiare l’adozione di una soluzione innovativa come la blockchain.
Ciò con la precisazione che, chiunque scelga di adottare tale strumento, deve comunque fare il possibile, in fase di sviluppo e progettazione, per prevedere delle soluzioni che permettano di modificare i dati in un momento successivo, come nel caso della citata archiviazione dei dati off-chain.