Регламент по защите данных против распределенного реестра: так чьи же все-таки данные?

Эта статья за авторством Джорджа Болленбахера первоначально опубликована на Tabb Forum. Болленбахер — финансовый консультант, специализирующийся на производных активах и банковских реформах. Двадцать лет он занимался трейдингом ценных бумаг, десять посвятил технологической отрасли. За последние 15 лет он успел проконсультировать множество банков и управляющих активами по вопросам внедрения новых технологий. Болленбахер — автор книги «Путеводитель по рынку государственных облигаций США и миру нового банкинга».

Внедрение в Европе Общего регламента защиты данных вызывает вопросы к технологии распределенного реестра. Главный из них: совместима ли технология с новыми требованиями?

За последние несколько лет, несомненно, прошло уже достаточно дискуссий о том, чем является блокчейн и криптовалюты, безопасно ли вкладывать в них деньги и являются ли токены платежными средствами. Но общий регламент защиты данных ставит совершенно новые фундаментальные вопросы касательно этой темы.

Данные с точки зрения распределенного реестра

Определений, описывающих работу распределенных реестров (DLT) итак хватает, так что воспользуемся вот таким:

«Распределенный реестр — это цифровая система для записи транзакций активов, где транзакции и данные о них записываются на нескольких носителях одновременно. В отличие от традиционных баз данных, распределенные реестры не имеют центрального хранилища данных или администрации. Каждый узел обрабатывает и проверяет каждый элемент, тем самым генерируя новые записи и вырабатывая консенсус в отношении валидности отдельно взятого элемента. Распределенный реестр может использоваться для записи как неизменных, статичных данных (отчётность), так и для динамических (данные о транзакциях).

По словам главного научного советника правительства Великобритании: «Распределенный реестр по своей природе менее уязвим к атакам, поскольку вместо одной базы данных придется атаковать все копии этой базы. Тем не менее, система не неуязвима, поскольку принципиально любой, кто сможет найти способ «по правилам» изменить записи в одной копии блокчейна, сможет подделать их все. Обеспечение безопасности распределенных реестров — важная часть крупной задачи по защите цифровой инфраструктуры, от которой сейчас так зависит общество».

Как видно из комментария, большая часть обсуждений по поводу сохранности распределенных реестров касается именно возможности изменения данных на них. Поскольку существует множество копий одной и той же записи, все из которых защищены шифрованием, изменить все подобные записи сразу вряд ли возможно. Но не совсем ясно, что будет, если с остальными записями не синхронизируется одна запись или несколько?

Существует ли в данном случае надежный способ проверить, какая из записей имеет больший «вес», а какая считается ложной? Или, раз в системе отсутствует доверие между участниками, нам придется просто «заморозить» запись, пока не разрешится спор? А что, если это происходит в условиях волатильного рынка? Уже много раз криптовалютное сообщество становилось свидетелем самого гнусного поведения отдельных лиц, так что о возможности взлома реестра стоит постоянно помнить.

Данные с точки зрения Общего регламента защиты

Общий регламент защиты данных рассматривает их почти как актив, и предполагается, что он по умолчанию принадлежит кому-либо, частному лицу или юридическому. Хотя в самих правилах ничего не указывается по поводу принадлежности данных, обязательства сторон друг перед другом точно такие, как если бы речь шла о простой собственности. Субъекты, например, могут проинструктировать обработчиков данных о том, что именно с данными следует делать (в определенных рамках, конечно), а обработчики, в свою очередь, обязаны защищать данные, словно бы у тех была выраженная в деньгах стоимость. Учитывая, что каждая запись транзакции на блокчейне содержит информацию, идентифицирующую стороны, становится ясно, что любые подобные данные попадают в правовое поле европейского Регламента защиты данных. А из-за распределенного характера реестров речь, скорее всего, пойдет об охране сотен копий одних и тех же персональных данных.

Что же говорится в Регламенте защиты касательно блокчейна? Оказывается, немало. Во-первых, статья номер 5 предписывает, чтобы данные обрабатывались таким образом, чтобы обеспечить их надлежащую сохранность, исключить несанкционированный доступ, а также случайное уничтожение, потерю и повреждение. Добиваться этого Регламент предписывает с помощью комплекса технических и организационных мер.

А еще в правилах проводится граница между обработчиками данных и контролирующими их сторонами. Обработчики, согласно статье 4, «обрабатывают данные», а контролёры — «устанавливают цели и средства их обработки». Встает вопрос: какие из узлов блокчейна следует считать «контролирующими», а какие — «обрабатывающими»? Раз уж в Регламенте говорится, что контролирующая сторона несет перед субъектами ответственность за действия обработчика, стоит предположить, что любой записывающий на блокчейн данные становится таким «контролёром», и несет ответственность за действия всех «обработчиков».

А статья 14, кроме того, требует следующее:

В случае, если личные данные не были получены от субъекта данных, контролирующая сторона обязана сообщить субъекту данных следующую информацию:

а) личные и контактные данные «контролёра», и, где возможно, его представителя

б) контактные данные сотрудника по защите данных (в случае, если таковой имеется)

в) цели обработки персональных данных, правовая основа их обработки

г) категории обрабатываемых персональных данных

д) получателей или категории получателей персональных данных, если таковые имеются;

е) уведомить субъекта, в случае, если контролер намерен предоставить личные данные третьей стороне за рубежом либо международной организации

Пункты с 1 по 4 не применяются, если предоставление данной информации невозможно либо сопряжено с нерациональными усилиями.

Так вот, для блокчейна следует решить вопросы о том, кто является контролером, а кто — его представителем? Что, если узел не получает личные данные субъекта — должны ли в данном случае правил распространяться на каждую копию данных? И что такое «нерациональные усилия»?

Кроме того, в статье 34 говорится: «В случае, если несанкционированный доступ к личным данным приведет к нарушению прав и свобод физических лиц, контролер обязан сообщать об утечках данных субъекту без задержки». Это относится к утечкам на любом этапе обработки. Иными словами, для каждой копии данных на блокчейне, подчиненного правилам Регламента, один узел будет обозначен как контроллер; все остальные узлы будут обработчиками. А значит, мы исходим из того, что обработчики должны быть в определенной степени защищены против взлома и иметь возможность коммуникации с контролером, а тот, в свою очередь, отвечает за безопасность и коммуникацию перед субъектом.

Вопросы, на которые предстоит ответить

Очевидно, существуют важные вопросы, возникающие при «смешении» распределенных реестров и Общего регламента защиты данных:

Действительно ли Регламент применим к блокчейну?

На первый взгляд кажется, что да. В Регламенте четко сказано, что ни один обработчик данных не освобождается от исполнения требований. Но структура распределенных реестров такова, что следование Регламенту становится невероятно трудно осуществить на практике. Евросоюзу, вероятно, еще предстоит вынести окончательное решение по этому вопросу.

Если Регламент по защите данных не применим к блокчейну, то какие предписания защищают субъекты данных на блокчейне от взлома?

Цель разработки Регламента — защитить субъектов данных от несанкционированного доступа, изменения, потери либо повреждения данных. Если данные правила к блокчейну не применяются, значит ли это, что любые клиенты бизнеса на блокчейне де-факто отказываются от защиты собственных данных?

В случае действия Регламента какие узлы следует считать обработчиками данных, а какие — контролирующими?

Может быть, просто — кто организовал транзакцию, тот и контролирует ее? А как обработчик узнает, какая транзакция кем контролируется? Каков механизм передачи информации о личности контролирующей стороны или о повреждении персональных данных? Может ли субъект данных подать на контролера в суд за действия обработчика?

Означает ли это, что в некоторых случаях Регламент, по существу, не имеет силы? Если обнаружится, что правила к блокчейну неприменимы, это серьезно снизит защиту данных физических лиц. А тогда поставщики услуг должны будут информировать субъектов о том, применяются ли в конкретных случаях положения Регламента. А если распределенный реестр станет когда-нибудь стандартом на рынке, что, от Регламента по защите данных придется отказаться?

Законодатели хорошо умеют решать проблемы, с которыми они столкнулись ранее, но чуть хуже — те, с которыми лишь предстоит столкнуться. Распределенные реестры, по крайней мере на финансовых рынках, представляют собой сплошной набор неизвестных, и даже если когда-нибудь выйдут законы, регулирующие эти моменты, уже сейчас ясно, что Регламент по защите данных нужен совсем не для этого.