GDPR – Quy luật cuộc chơi đang thay đổi đối với Blockchain

Quy định bảo vệ dữ liệu chung (GDPR) – khuôn khổ pháp lý rộng lớn và nghiêm ngặt của Liên minh châu Âu (EU) đối với quyền riêng tư dữ liệu cá nhân, đã có hiệu lực vào ngày 25/05. Dù đã sẵn sàng hay chưa, khuôn khổ này sẽ biến đổi mạnh mẽ hoạt động kinh doanh của bất kỳ liên doanh kỹ thuật số nào. Hiệp hội các chuyên gia bảo mật quốc tế (IAPP) dự đoán rằng ít nhất 75.000 việc làm riêng tư sẽ được tạo ra và kết quả là 500 công ty toàn cầu của Fortune sẽ chi gần 8 tỷ đô la để đảm bảo họ tuân thủ GDPR. Nhưng điều này có ý nghĩa gì đối với blockchain?

Mục tiêu của GDPR là: tạo ra một khuôn khổ quy định dữ liệu thống nhất ở châu Âu, và để tăng cường kiểm soát của cá nhân đối với việc lưu trữ và sử dụng dữ liệu cá nhân của họ. Nó đã được thông qua vào năm 2016, và sau một giai đoạn chuyển tiếp hai năm, hiện đang có hiệu lực.

Nghĩa vụ và quyền hạn

GDPR đưa ra các thủ tục và nghĩa vụ về tổ chức mới cho “các nhà xử lý dữ liệu” – bao gồm các công ty cũng như các tổ chức công và cung cấp nhiều quyền hơn cho “đối tượng dữ liệu” – thuật ngữ sử dụng cho cá nhân.

Các tổ chức công và tư nhân, có xu hướng tích lũy dữ liệu ngay cả trước khi biết những gì họ sẽ làm với nó, loại “gold rush” trong việc thu thập dữ liệu cá nhân. GDPR chống lại thói quen này bằng cách chỉ định rằng các nhà xử lý dữ liệu không nên thu thập dữ liệu ngoài những gì trực tiếp hữu ích cho tương tác trực tiếp của họ với người tiêu dùng. Trong thực tế, việc thu thập dữ liệu phải là “đầy đủ, có liên quan và giới hạn ở mức tối thiểu cần thiết liên quan đến mục đích mà chúng được xử lý” (Điều 39 của GDPR).

Bên cạnh việc đặt ra những gì hoặc không được phép, GDPR cũng chỉ định các nguyên tắc tổ chức mà các nhà xử lý dữ liệu sẽ cần phải áp dụng từ bây giờ. Ví dụ, kiến trúc công nghệ của họ sẽ phải xóa dữ liệu người tiêu dùng mặc định sau khi sử dụng nó – “quyền riêng tư theo thiết kế”.

Thứ hai, bất kỳ thực thể nào được coi là “mối quan hệ dữ liệu” sẽ được yêu cầu phải có Cán bộ bảo vệ dữ liệu (DPO) chịu trách nhiệm quản lý việc tuân thủ GDPR. DPO này sẽ theo nghĩa vụ pháp lý để cảnh báo cho cơ quan giám sát bất cứ khi nào có nguy cơ đối với sự riêng tư của chủ đề dữ liệu phát sinh (Điều 33).

Mặt khác, các đối tượng dữ liệu sẽ được thông báo tốt hơn về phương thức mà dữ liệu cá nhân của họ được lưu trữ và xử lý (Điều 15). Ví dụ, họ sẽ có quyền yêu cầu một bản sao về thông tin của các công ty. Hơn nữa, các nhà xử lý dữ liệu phải thông báo cho các đối tượng dữ liệu chi tiết về việc xử lý dữ liệu và cách mà dữ liệu được chia sẻ hoặc được thu thập.

Bên cạnh tính minh bạch, GDPR cung cấp cho công dân nhiều quyền kiểm soát hơn đối với cách mà dữ liệu của họ được sử dụng. Điều 17 liệt kê các điều kiện mà theo đó họ sẽ có thể yêu cầu xóa dữ liệu ra khỏi cơ sở dữ liệu kinh doanh, hay được gọi là “quyền xóa bỏ”.

Như Sarah Gordon và Aliya Ram nhận xét trong Financial Times, “cuối cùng, tác động của GDPR sẽ phụ thuộc vào việc cá nhân quyết định thực hiện các quyền hạn lớn hơn các quy tắc cung cấp cho họ”. Lần cuối bạn từ chối chấp thuận chính sách bảo mật của Facebook là khi nào?

Phạm vi tiếp cận toàn cầu

GDPR áp dụng các khoản phí cực kỳ khổng lồ cho các công ty không tuân thủ. Hơn nữa, tầm với của nó vượt xa EU.

Đối với các công ty, một chuyến thăm từ kiểm toán viên bảo vệ dữ liệu có thể trở nên đáng sợ hơn chuyến thăm của thanh tra thuế. Như một sự cố ý, hoặc lặp đi lặp lại, không tuân thủ các nguyên tắc đặt ra bởi GDPR sẽ dẫn đến một hình phạt tiền lên đến 20 triệu euro hoặc lên đến 4% doanh thu hàng năm trên toàn thế giới của người vi phạm – tùy thuộc cái nào lớn hơn. Thay vì chỉ dựa vào các DPO của các công ty để rung chuông báo động, việc kiểm tra bảo vệ dữ liệu thông thường cũng sẽ được thực hiện.

Mặc dù theo nghĩa hẹp, nó chỉ bảo vệ chủ đề dữ liệu trong EU nhưng trên thực tế phạm vi của GDPR là toàn cầu. Để bắt đầu, các nhà xử lý dữ liệu nằm ngoài EU xử lý thông tin cá nhân của các cư dân EU sẽ phải tuân thủ.

Ngoài ra, EU đổi mới ở chỗ nó hiện liên kết các luồng dữ liệu với các luồng thương mại: bất kỳ nước nào muốn ký một thỏa thuận thương mại với EU sẽ phải đăng ký tôn trọng GDPR. Trong thập kỷ vừa qua, Hoa Kỳ đã trở thành cảnh sát kinh tế thế giới, khiến các ngân hàng phải chịu phạt số tiền khổng lồ vì không tuân thủ các quy định chống rửa tiền của mình. Với GDPR, liệu EU có trở thành nhà vô địch bảo vệ dữ liệu của thế giới?

Blockchain có thoát được GDPR không?

GDPR được đề xuất lần đầu tiên bởi Ủy ban châu Âu vào năm 2012, với trọng tâm ban đầu về dịch vụ đám mây và mạng xã hội, tại thời điểm blockchain không phải là một từ được biết đến. Dịch vụ đám mây và mạng xã hội, ít nhất trong thế giới tiền blockchain, được tổ chức chủ yếu tập trung: nhiều đối tượng dữ liệu tương tác với một thực thể máy chủ duy nhất – bộ xử lý dữ liệu/bộ điều khiển. Quản lý trung tâm tạo ra một điểm tấn công đơn giản cho các nhà quản lý. Nhưng GDPR sẽ ảnh hưởng như thế nào đến các giao thức phi tập trung như blockchain công khai?

Rõ ràng là đưa ra dòng mỏng giữa bút danh và nhận dạng – blockchain lưu trữ một số dữ liệu cá nhân tiềm tàng – bắt đầu bằng lịch sử giao dịch của một người. Nó có thể rơi vào phạm vi của GDPR.

Thoạt nhìn, người ta có thể nghĩ rằng có một mâu thuẫn trực tiếp giữa GDPR và blockchain công khai. Ví dụ, trong số nhiều nguyên tắc đặt ra trong GDPR, “quyền xóa bỏ” có vẻ đặc biệt mâu thuẫn với bản chất bất biến, theo cách nói thông thường, là cốt lõi của công nghệ blockchain. Giả sử cho một thời điểm mâu thuẫn này tồn tại, điều này đặt ra câu hỏi: ai là nhà xử lý dữ liệu có trách nhiệm trong một hệ thống blockchain thuần túy phi tập trung?

Nhìn chung, nêu rõ logic của GDPR và blockchain, có vẻ khó khăn khi phân chia “bộ xử lý dữ liệu”/”chủ đề dữ liệu”. Không nghi ngờ gì về một cuộc tranh luận pháp lý kịch liệt trong tương lai.

Blockchain với GDPR?

Tuy nhiên, blockchain chia sẻ nhiều mục tiêu với GDPR. Cả hai nhằm mục đích phân quyền kiểm soát dữ liệu, và làm xáo trộn sự bất bình đẳng quyền lực giữa các nhà cung cấp dịch vụ tập trung – một phần bằng cách đàn áp những người này trong huyền thoại blockchain – và người dùng cuối. Mặc dù đặc điểm kỹ thuật Bitcoin ban đầu không đảm bảo tính ẩn danh, nhiều cải tiến công nghệ, từ các ứng dụng cơ bản đến ứng dụng zk-SNARK, đã đưa chúng ta đến gần hơn với lý tưởng này. Loại ẩn danh này có lẽ không phải là điều mà sau này – có các giải pháp được đề xuất bởi blockchain sẽ dễ dàng được chấp nhận bởi bộ điều chỉnh.

Một phương pháp nghiên cứu đặc biệt đầy hứa hẹn là sự kết hợp của phần cứng đáng tin cậy và blockchain. Trên blockchain công khai, tất cả dữ liệu được sao chép và chia sẻ trên tất cả các máy trong mạng. Điều này làm cho việc xóa dữ liệu giao dịch và quyền riêng tư trở thành một cơn ác mộng đối với người dùng. Nghiên cứu gần đây đã bắt đầu xem xét “các vùng máy tính đáng tin cậy” như Intel SGX, có thể cung cấp bảo mật dữ liệu.

Kết hợp tính toán đáng tin cậy với blockchain công khai có nghĩa là sự riêng tư của dữ liệu có thể được bảo vệ khỏi các mối đe dọa bên ngoài, và lưu trữ off-chain, với blockchain đóng vai trò thẩm phán cuối cùng cho phép ai có thể truy cập dữ liệu đó. Bởi vì các hợp đồng thông minh có nghĩa là không còn phải tin tưởng các nhà cung cấp dịch vụ tập trung, quyền dữ liệu có thể được quản lý độc quyền thông qua phần cứng blockchain và đáng tin cậy, bởi người dùng; quay trở lại kiểm soát và bảo mật dữ liệu của họ. Một số dự án hiện đang theo đuổi ý tưởng này, với hy vọng nó có thể chuyển đổi blockchain từ một cơn ác mộng GDPR thành một câu chuyện cổ tích.

Một nỗ lực như vậy là nỗ lực chung của Imperial College London và Đại học Cornell. Teechain, là một dự án sử dụng phần cứng đáng tin cậy để cho phép các giao dịch off-chain an toàn và hiệu quả cho một blockchain công khai. Phải mất một bước thú vị để hỏi liệu sự riêng tư của giao dịch có thể được tìm thấy trên tất cả các blockchain công khai, không chỉ là những người cung cấp ẩn danh theo mặc định. Một dự án thay thế, cũng dẫn đến các cuộc biểu tình trực tiếp, là sự hợp tác giữa iExec và Intel được khởi xướng trong Liên minh Ethereum doanh nghiệp (EEA).

Các dự án blockchain yêu thích của bạn có thực hiện các bước cần thiết để thích nghi với ‘cơn sóng thần’ quy định riêng tư này không? Nếu không, có lẽ đã đến lúc triển khai các sản phẩm với “quyền riêng tư theo thiết kế” cốt lõi của họ. Như mọi khi, các ràng buộc sẽ tạo ra sự sáng tạo.

Theo TapchiBitcoin/Cointelegraph