[زوم در کریپتو توسط کانگ رین هو] بلاک‌چین و حفاظت از اطلاعات شخصی، طراحی مهم‌تر از فناوری

اطلاعات زنجیره‌ای باید به حداقل برسد و مدیریت جداگانه اطلاعات شخصی ضروری است

تأمین اقدامات فنی و مدیریتی برای پردازش اطلاعات شخصی نیز اهمیت دارد

طراحی متمرکز بر حریم خصوصی، پایداری بلاک‌چین را تعیین می‌کند

اخیراً بلاک‌چین به عنوان یک فناوری نوآورانه که می‌تواند یکپارچگی و اعتماد داده‌ها را بر اساس فناوری دفتر کل توزیع‌شده تضمین کند، مورد توجه قرار گرفته است. به‌ویژه در زمینه‌های مالی، مدیریت عمومی، لجستیک و بهداشت و درمان، دامنه کاربرد آن به سرعت در حال گسترش است و به دلیل توانایی در جلوگیری از تقلب داده‌ها و اجرای معاملات مبتنی بر اعتماد، پتانسیل بالایی دارد.

با این حال، این مزایای فنی همزمان با آن، خطرات جدیدی در زمینه حفاظت از اطلاعات شخصی ایجاد کرده است که نیاز به بررسی و پاسخگویی سیستماتیک دارد.

در ادامه، بر اساس راهنمای حفاظت از اطلاعات شخصی خدمات بلاک‌چین که توسط کمیسیون حفاظت از اطلاعات شخصی ارائه شده است، به بررسی مفاهیم و ویژگی‌های اصلی بلاک‌چین خواهیم پرداخت و به‌ویژه بر روی مسائل حفاظت از اطلاعات شخصی که ممکن است در ساختار ترکیبی اطلاعات زنجیره‌ای (on-chain) و خارج از زنجیره (off-chain) به وجود آید، تمرکز خواهیم کرد و سپس راهکارهای مدیریتی را ارائه خواهیم داد.

بلاک‌چین فناوری است که داده‌ها را به صورت بلوک‌های جداگانه تولید کرده و آن‌ها را به شکل زنجیره‌ای به تعداد زیادی از شرکت‌کنندگان در شبکه (گره‌ها) توزیع می‌کند. هر گره در تولید، تأیید و ذخیره داده‌ها مشارکت دارد و با به اشتراک‌گذاری یک دفتر کل مشابه، یکپارچگی و اعتماد داده‌ها را تضمین می‌کند.

در این فرآیند، داده‌های بلاک‌چین به‌طور کلی به اطلاعات زنجیره‌ای و خارج از زنجیره تقسیم می‌شوند. اطلاعات زنجیره‌ای داده‌هایی هستند که در شبکه بلاک‌چین ثبت می‌شوند و به دلیل ویژگی‌های فنی، اصلاح یا حذف آن‌ها عملاً غیرممکن است. در مقابل، اطلاعات خارج از زنجیره، اطلاعاتی هستند که در پایگاه‌های داده یا سرورهای خارجی ذخیره می‌شوند و به‌صورت مرتبط با هش‌ها یا آدرس‌های کیف پول در زنجیره استفاده می‌شوند.

مسئله این است که وقتی این اطلاعات زنجیره‌ای و خارج از زنجیره ترکیب می‌شوند، می‌توانند به شناسایی افراد خاص منجر شوند. در این صورت، نهاد پردازش‌کننده اطلاعات، به عنوان پردازش‌کننده اطلاعات شخصی تحت قانون حفاظت از اطلاعات شخصی، مسئولیت قانونی خواهد داشت. به‌ویژه در محیط بلاک‌چین، با توجه به اینکه تعداد شرکت‌کنندگان زیاد و ساختار توزیع‌شده است، ممکن است مسئولیت پردازش اطلاعات شخصی نامشخص شود و نیاز به رویکردی متفاوت از سیستم‌های متمرکز قبلی باشد.

بلاک‌چین به‌طور کلی دارای سه ویژگی کلیدی شفافیت، توزیع و عدم تغییر است. با این حال، این ویژگی‌ها می‌توانند به‌عنوان عوامل خطر در زمینه حفاظت از اطلاعات شخصی عمل کنند.

اول، از نظر شفافیت. اطلاعات زنجیره‌ای ثبت‌شده در بلاک‌چین برای شرکت‌کنندگان در شبکه قابل مشاهده است و به‌ویژه در بلاک‌چین‌های عمومی، هر کسی می‌تواند به این داده‌ها دسترسی پیدا کند و آن‌ها را تحلیل کند. این امر می‌تواند منجر به شناسایی افراد خاص از طریق تحلیل الگوهای معاملاتی و ایجاد خطرات نقض حریم خصوصی شود.

دوم، از نظر توزیع. بلاک‌چین ساختاری دارد که در آن هیچ مدیر مرکزی وجود ندارد و تعداد زیادی از شرکت‌کنندگان به‌طور مشترک داده‌ها را مدیریت می‌کنند. این امر مزایای ثبات و اعتماد سیستم را افزایش می‌دهد، اما در عین حال، شناسایی مسئولیت‌های مرتبط با پردازش اطلاعات شخصی را دشوار می‌کند. همچنین با افزایش تعداد شرکت‌کنندگان جدید، احتمال دسترسی به داده‌ها افزایش می‌یابد و خطر شناسایی افراد افزایش می‌یابد.

سوم، از نظر عدم تغییر. داده‌های ثبت‌شده در بلاک‌چین عملاً غیرقابل اصلاح یا حذف هستند. این امر یک عنصر کلیدی در جلوگیری از تقلب داده‌ها است، اما اجرای حقوق اصلاح و حذف و همچنین الزامات حذف تحت قانون حفاظت از اطلاعات شخصی را دشوار می‌کند. به‌ویژه، در صورتی که اطلاعات شخصی نادرست ثبت شود یا درخواست حذف ایجاد شود، پردازش فنی آن دشوار است.

با توجه به این عوامل خطر، در خدمات مبتنی بر بلاک‌چین، ضروری است که از مرحله طراحی فنی، حفاظت از اطلاعات شخصی را در نظر بگیریم. راهکارهای مدیریتی اصلی که در راهنماها ارائه شده‌اند به شرح زیر است:

اول، به حداقل رساندن و غیرقابل شناسایی کردن اطلاعات زنجیره‌ای. اطلاعات شخصی قابل شناسایی مستقیم مانند نام و شماره شناسایی ملی به‌طور اصولی نباید در زنجیره ثبت شوند. در عوض، تنها اطلاعات رمزنگاری‌شده باید ثبت شود و اطلاعات شخصی واقعی باید به‌طور جداگانه در خارج از زنجیره مدیریت شود. این امر می‌تواند خطر افشای اطلاعات شخصی ناشی از شفافیت بلاک‌چین را به حداقل برساند.

دوم، تقویت حفاظت از داده‌های خارج از زنجیره. داده‌های خارج از زنجیره که به اطلاعات زنجیره‌ای مرتبط هستند، در صورت افشای اطلاعات شخصی می‌توانند به شناسایی افراد منجر شوند، بنابراین باید اقدامات ایمنی مطابق با قانون حفاظت از اطلاعات شخصی مانند رمزنگاری، کنترل دسترسی و مدیریت سوابق دسترسی به‌طور کامل اجرا شود.

سوم، تقویت مدیریت فناوری رمزنگاری و تصادفی. هنگام تولید اطلاعات زنجیره‌ای، باید از الگوریتم‌های رمزنگاری ایمن استفاده شود و مقادیر تصادفی مورد استفاده در امضای الکترونیکی باید به‌گونه‌ای مدیریت شوند که دوباره استفاده نشوند. این امر به کاهش احتمال شناسایی کاربران مشابه و کاهش خطر ردیابی کمک می‌کند.

چهارم، روشن‌سازی روابط پردازش اطلاعات شخصی بین شرکت‌کنندگان. مسئولیت‌های قانونی که بر اساس اینکه آیا رابطه بین شرکت‌کنندگان در بلاک‌چین به‌عنوان ارائه اطلاعات شخصی به شخص ثالث یا واگذاری است، متفاوت است. بنابراین، باید از طریق قراردادها، توافق‌نامه‌ها یا سیاست‌های عملیاتی، نقش‌ها و مسئولیت‌های هر شرکت‌کننده به‌وضوح مشخص شود.

پنجم، ایجاد یک سیستم پاسخگویی به حذف اطلاعات شخصی. به دلیل عدم تغییر بلاک‌چین، حذف داده‌های زنجیره‌ای خود دشوار است، بنابراین باید تنها اطلاعات ناشناس در زنجیره ثبت شود و اطلاعات شخصی ذخیره‌شده در خارج از زنجیره و اطلاعات اضافی که برای تولید هش استفاده شده‌اند، باید حذف شوند تا حذف واقعی اطلاعات شخصی تحقق یابد.

بلاک‌چین به عنوان زیرساخت اصلی برای تحقق اقتصاد دیجیتال مبتنی بر اعتماد شناخته شده است و انتظار می‌رود که دامنه کاربرد آن در آینده بیشتر گسترش یابد. با این حال، پیشرفت فناوری نباید به کاهش سطح حفاظت از اطلاعات شخصی منجر شود. به‌ویژه، ویژگی‌های ساختاری بلاک‌چین احتمالاً با سیستم‌های حفاظت از اطلاعات شخصی موجود در تضاد است، بنابراین باید پاسخ‌های قانونی و فنی برای جبران این تضاد به‌طور همزمان انجام شود.

در نهایت، حفاظت از اطلاعات شخصی در محیط بلاک‌چین باید به سمت پیاده‌سازی "طراحی متمرکز بر حریم خصوصی" فراتر از صرف رعایت مقررات حرکت کند. از مرحله طراحی خدمات، باید حداقل‌سازی اطلاعات شخصی، غیرقابل شناسایی کردن، کنترل دسترسی و غیره را درونی‌سازی کرده و ساختار مسئولیت بین شرکت‌کنندگان را به‌وضوح مشخص کرد. زمانی که این تلاش‌ها به‌طور همزمان انجام شود، بلاک‌چین می‌تواند به‌عنوان یک فناوری پایدار که هم اعتماد و هم حفاظت از اطلاعات شخصی را به‌طور همزمان تحقق می‌بخشد، توسعه یابد.