DPR:区块链应用中的个人信息处理者确定问题研究

我国《个人信息保护法》第五章明确了个人信息处理者的义务，但敦促个人信息处理者履行相关义务首先应当对个人信息处理者进行识别和明确。然而，对于部分区块链应用，由于其经营模式特殊性，认定该业务中的个人信息处理者存在认定上的困难。因此，本文在此对该问题进行明确、分析和研究，供参考。

一、我国依靠个人信息处理者进行个人信息保护

我国《个人信息保护法》从路径上依靠个人信息处理者履行相关义务来保护个人信息，从方法上对个人信息处理者作出了界定，认为“个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。”根据概念界定，处理目的和处理方式是定义个人信息处理者的关键。其中，处理目的说明了个人信息处理为何发生，即为什么处理者要处理个人信息。处理方式则说明了个人信息处理如何发生，即处理者将如何处理个人信息。根据概念定义，决定了个人信息处理目的和处理方式的组织或个人就是我国法律中的个人信息处理者。在实践中，我国对个人信息处理者的认定非常广泛，由于个人信息处理统摄了围绕着个人信息开展的收集、存储、使用、加工、传输、提供、公开等一系列行为，个人信息处理者的范围事实上也涵盖了实施这些个人信息处理行为的全部主体。

长沙市药物评价联盟将把区块链技术融入药物评价系统:长沙市药物评价产业技术创新战略联盟理事长、都正生物董事长欧阳冬生表示，长联盟下一步将把5G技术和区块链技术融入药物评价系统，助力我国实现药物研发免现场核查的突破，为药物研发和监管提供新的模式。（长沙晚报）[2020/9/25]

认定个人信息处理者具有重要的法律意义。一方面，《个人信息保护法》规定了个人信息处理者处理个人信息的相关要求，个人信息处理者处理个人信息前，必须以显著方式、清晰易懂的语言真实、准确、完整地向个人告知法律规定的事项，除非法律、行政法规规定应当保密或者不需要告知，或者告知将妨碍国家机关履行法定职责的除外。另一方面，《个人信息保护法》对个人信息处理者的义务作出了集中、详细的规定，构建了完整的义务体系。这些义务包括：个人信息处理者采取措施确保个人信息处理活动合法并保护个人信息安全的义务；按照规定指定个人信息保护负责人的义务；定期进行合规审计的义务；对于高风险个人信息处理活动进行个人信息保护影响评估并对处理情况进行记录的义务；在发生或可能个人信息泄露等安全事件时立即采取补救措施并通知监管机构和个人的义务等。

火币公链汪毅江：区块链企业面临数据库防篡改和确保数据可信的挑战:7月8日消息，金色财经主办“全球应用安全加速—区块链发展的护城河与加速器”主题沙龙活动在线上举办。本次活动邀请了阿里云新金融事业部解决方案架构师元佑、阿里云网络产品解决方案架构师骐迹、阿里云安全高级解决方案架构师福威、HBTC霍比特创始人巨建华、火币公链技术专家汪毅江、库币首席安全官CSO Angelia Tian、Bybit首席安全官 Benjamin等技术领域专家作为嘉宾出席。

火币公链技术专家汪毅江在论坛对话中，对安全技术主要守护哪些方面的问题表示，“区块链安全需注意的要点包括私钥管理安全、业务流程安全、智能合约与开源代码安全、随机数安全等等。区块链本质上决解的问题是数据库防篡改以及数据可信，但区块链领域的企业却对此面临着严重挑战。一些成熟或者创新的安全技术，可以比较容易的解决这样的问题。比如加密芯片，HSM，凡篡改数据库等。这些技术在传统互联网应用并不广泛，但却是值得思考和尝试的。”[2020/7/8]

二、区块链应用中个人信息处理者认定具有特殊性

声音 | 赫尔曼：需要区块链等保密技术来保护科学:据上观新闻消息，近日，公钥密码术领域专家，区块链密码学基础非对称加密的创始人赫尔曼表示，人工智能、智脑等具有改变人类未来的力量，但是正因为如此，就更需要通过公钥密码术加密以及区块链等保密技术保护科学，从而保护整个人类文明。[2018/11/5]

区块链应用存在多种类型，导致认定个人信息处理者存在类型上的差别。一是公有链。公有链是去中心化程度最高的区块链，由链上所有参与者共享控制权，不受第三方机构的控制，世界上所有的人都可以读取在链上的数据记录、参与交易以及竞争新区块的记账权等。即使是程序开发者也无权干涉用户，各个参与者（即节点）可以自由加入和退出网络，并按照意愿进行相关操作。其特点为：所有节点共享，完全开放，任何个人或机构都能匿名加入，链上的数据全局可见，通常作为基础性服务。二是私有链。私有区块链则完全相反，该网络的写入权限由某个组织或者机构全权控制，数据读取权限受组织规定，要么对外开放、要么具有一定程度的访问限制。由于参与节点具有严格限制且数量少，与公有链相比，私有链达成共识的时间相对较短、交易速度更快、效率更高、成本更低。可以将其理解为一个弱中心化或者多中心化的系统。不过这种类型的区块链更适合于特定机构内部使用，比如Linux基金会、农行涉农互联网电商融资e贷链、浙商银行应收款链平台等。其特点为：企业内部使用，主要权限集中在运营组织者手中。三是联盟链。联盟链则是介于公有链以及私有链之间，可实现“部分去中心化”。链上各个节点通常有与之相对应的实体机构或者组织，参与者通过授权加入区块链并组成利益相关联盟，共同维护联盟链运行。从某种程度上来说，联盟链也属于私有链的范畴，只是私有化程度有所不同而已。因此，其同样具有成本较低、效率较高的特点，适用于不同实体间的交易、结算等B2B交易。例如，Hyperledger（超级账本）、企业以太坊联盟、运营商区块链研究组CBSG、微软Coco等。其特点为：私有链的联盟，对特定组织开放，链上的信息授权可见，具有很强隐私保护机制，侧重商务，性能已经达到实用阶段。这种区块链业务类型上的差别导致部分区块链场景存在大量个人信息，但却没有明确的处理个人信息的主体。区块链应用中涉及大量的个人信息的收集、存储、使用、加工、传输、提供等活动，确定区块链应用中的个人信息处理者对规范区块链应用发展具有重要意义。目前，我国法律尚未对各类型区块链应用的个人信息处理者进行明确规定。

动态 | 佳沃股份：拟在海产品领域引入区块链技术 　　:佳沃股份董事会秘书崔志勇在活动中表示，公司已经与专业机构慧聪集团签署合作协议，拟在海产品领域引入区块链技术，通过现代农业产业链应用平台建设，解决未来交易中的信用问题。[2018/9/11]

三、域外对于区块链应用个人信息处理者的认定方式

欧盟立法没有采用数据处理者概念，而是对数据控制者和数据处理者进行了区分。1995年10月24日《欧洲议会以及欧盟理事会关于对于个人数据处理有关的个人进行保护以及数据自由流动的指令（95/46号指令）》第2条第4款、第5款分别规定：控制者（controller）是指单独或与他人联合决定个人数据处理的目的与方式的自然人、法人、公共机构、代理机构或者其他任何实体；如果数据处理的目的和方式由成员国或共同体的法律或法规决定，则控制者或其资格的具体标准由成员国或共同体的法律决定。处理者（processor）是代表控制者对个人数据进行处理的自然人、法人、公共机构、代理机构或者其他任何实体。上述区分的法律意义包括三个方面。一是控制者必须承担95/46号指令所规定的大部分的数据保护义务；二是在大多数情况下，是数据的控制者而非处理者承担违反数据保护的责任；三是数据处理者的工作非常有限，实际上只能按照控制者的指示来处理个人数据。

博鳌亚洲论坛2018年年会今起举行，区块链成为讨论热题之一:博鳌亚洲论坛2018年年会将于4月8日至11日在中国·海南博鳌举行。来自60多个国家和地区的2000多位参会代表已陆续抵达博鳌。据介绍，本届年会规格和规模都超过往届。今年年会将围绕“创新引领新机遇”主题，开展“新一轮技术革命”讨论，放眼未来生产、通信、交通领域，聚焦互联网、人工智能前沿科技，以及区块链、新零售、物流热议话题，共享经济、数字经济等话题展开对话或讨论。[2018/4/8]

在实践中，欧盟对于区块链应用中的获取者、参与者、挖矿者进行了区分，明确了各自的职责。一是获取者是有权阅读和获得一份区块链副本的人。二是参与者是有权在区块链上书写的人。书写意味着发起一项交易，参与者将之提交以作验效。三是挖矿者是能够验证一项交易的人，通过适用区块链协议的规则创立区块，以便后者能被区块链社群所接受。对区块链框架下的数据处理负责人，欧盟认为，区块链中的“参与者”可被视为GDPR所要规范的数据处理负责人，因为“参与者”有权在区块链上进行交易，并决定将相关数据交由“挖矿者”核实。其不仅决定了最终目的(将交易数据提交以待核实)，而且决定了实现此数据处理的手段(比如采用何种数据格式诉诸区块链，等等)，符合GDPR第4条第7款对处理负责人“为何”及“如何”处理个人数据的要求，而受到GDPR相关条款的规束。而对于区块链中的“挖矿者”或“核实者”，则不被视为数据处理负责人，因为其仅限于将“参与者”提交的交易予以核实，但不干预这些交易的目标，所以并不决定数据处理之目的和运用之手段。

四、认定区块链应用中的个人信息处理者

为规范区块链应用发展，有必要对区块链应用中的个人信息处理者进行明确，督促其履行相关义务。笔者认为，针对区块链应用个人信息处理者模糊问题，可借鉴欧盟关于区块链业务中的个人信息处理义务承担方法，进行分类型解释认定个人信息处理者。一是可将私有链业务中将业务经营者认定为个人信息处理者。因为私有链网络的写入权限由某个组织或者机构全权控制，数据读取权限受组织规定，主要权限集中在运营组织者手中。私有链业务经营者符合个保法规定自主决定处理目的、处理方式的组织或个人的条件，因此应当被认定为个人信息处理者。二是可将联盟链业务中将联盟整体认定为个人信息处理者。联盟链上各个节点通常有与之相对应的实体机构或者组织；参与者通过授权加入网络并组成利益相关联盟，共同维护区块链运行。从某种程度上来说，联盟链也属于私有链的范畴，只是私有化程度不同，由联盟整体控制。联盟链业务中的联盟符合个保法规定自主决定处理目的、处理方式的组织或个人的条件，因此应当被认定为个人信息处理者。三是可认为公有链业务中无个人信息处理者，但公有链业务需经国家机关审批后才能开展个人信息相关业务。公有链中的参与者虽然在定义上符合个保法规定自主决定处理目的、处理方式的个人的条件，但由于其自主决定的范围仅限在自己的个人信息范围内，个人难以向自己请求个保法上规定的权利，在实质不应当被认定为个人信息处理者。因为公有链上涉及大量个人信息且采集个人信息行为具有不可撤销性，而通过私权救济又呈现出无效的状态，因此有必要启动公权力管制，由国家对公有链上的个人信息处理行为进行规范。

除此之外，由于在区块链上存储个人信息具有永久保留的属性，个人难以向区块链应用个人信息处理者撤回同意，也难以删除和修改，带来的个人信息风险是永久性的，对个人具有超过一般个人信息处理行为的重要性。因此建议通过立法规定个人信息上区块链时应当明示提醒个人信息主体获得个人信息主体关于个人信息上链行为的单独同意，以减缓区块链业务中的个人信息处理风险。

来源：袁纪辉 信通院互联网法律研究中心研究员?

《中华人民共和国个人信息保护法》第十七条。

详见《中华人民共和国个人信息保护法》第五章。

https://mp.weixin.qq.com/s/ylayxpii9WubVCB95eling

标签：区块链联盟链DPRGDP什么叫做区块链技术的概念超级联盟链币怎么获得bandprotocolgdp币种

Uniswap热门资讯