區塊鏈:區塊鏈應用中的個人信息處理者確定問題研究_GDP

我國《個人信息保護法》第五章明確了個人信息處理者的義務，但敦促個人信息處理者履行相關義務首先應當對個人信息處理者進行識別和明確。然而，對于部分區塊鏈應用，由于其經營模式特殊性，認定該業務中的個人信息處理者存在認定上的困難。因此，本文在此對該問題進行明確、分析和研究，供參考。

一、我國依靠個人信息處理者進行個人信息保護

我國《個人信息保護法》從路徑上依靠個人信息處理者履行相關義務來保護個人信息，從方法上對個人信息處理者作出了界定，認為“個人信息處理者，是指在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。”根據概念界定，處理目的和處理方式是定義個人信息處理者的關鍵。其中，處理目的說明了個人信息處理為何發生，即為什么處理者要處理個人信息。處理方式則說明了個人信息處理如何發生，即處理者將如何處理個人信息。根據概念定義，決定了個人信息處理目的和處理方式的組織或個人就是我國法律中的個人信息處理者。在實踐中，我國對個人信息處理者的認定非常廣泛，由于個人信息處理統攝了圍繞著個人信息開展的收集、存儲、使用、加工、傳輸、提供、公開等一系列行為，個人信息處理者的范圍事實上也涵蓋了實施這些個人信息處理行為的全部主體。

Ark Invest 擬擴大研究部門，將專注區塊鏈技術、人工智能等領域投資:9月8日消息，由 Cathie Wood 創立的資產管理公司 Ark Invest 計劃擴大其研究部門，其中將 Brett Winton 任命為首席未來學家，并將四名高級研究分析師擔任董事職位，同時新雇用五名研究助理。Brett Winton 表示，我們相信，人工智能、機器人技術、儲能、基因組測序和區塊鏈技術將從全球公共股票市值的不到 10% 上升到 2030 年的 60% 以上，這是歷史上最大的價值創造時期。[2022/9/8 13:15:43]

認定個人信息處理者具有重要的法律意義。一方面，《個人信息保護法》規定了個人信息處理者處理個人信息的相關要求，個人信息處理者處理個人信息前，必須以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知法律規定的事項，除非法律、行政法規規定應當保密或者不需要告知，或者告知將妨礙國家機關履行法定職責的除外。另一方面，《個人信息保護法》對個人信息處理者的義務作出了集中、詳細的規定，構建了完整的義務體系。這些義務包括：個人信息處理者采取措施確保個人信息處理活動合法并保護個人信息安全的義務；按照規定指定個人信息保護負責人的義務；定期進行合規審計的義務；對于高風險個人信息處理活動進行個人信息保護影響評估并對處理情況進行記錄的義務；在發生或可能個人信息泄露等安全事件時立即采取補救措施并通知監管機構和個人的義務等。

聲音 | 鐘宏：區塊鏈能夠推動整個數字經濟創新的發展:金色財經報道，12月17日，百度超級鏈學院與華醫康道科技有限公司在重慶聯合主辦“科技賦能 跨界融合—— 區塊鏈技術應用與產業融合創新”研討會。清華x-lab青藤鏈盟研究院院長鐘宏在會上發言表示，區塊鏈技術發展推動創新經濟，探索安全應用，加快產業融合，人才建設服務數據智能，研究社會城市基礎體系改革模式共享數字經濟。這完全是基于高頻詞排列出來，已經體現了重要性和區塊鏈發展的一些重要的國家布局要求。另外可以看到人才建設服務是服務于數據和智能。區塊鏈能夠推動整個數字經濟創新的發展。所以圍繞一條區塊鏈科技的產業發展，另外一條鏈是區塊鏈+傳統產業的發展，是未來國家大力支持的兩個產業發展方向。[2019/12/17]

二、區塊鏈應用中個人信息處理者認定具有特殊性

區塊鏈應用存在多種類型，導致認定個人信息處理者存在類型上的差別。一是公有鏈。公有鏈是去中心化程度最高的區塊鏈，由鏈上所有參與者共享控制權，不受第三方機構的控制，世界上所有的人都可以讀取在鏈上的數據記錄、參與交易以及競爭新區塊的記賬權等。即使是程序開發者也無權干涉用戶，各個參與者（即節點）可以自由加入和退出網絡，并按照意愿進行相關操作。其特點為：所有節點共享，完全開放，任何個人或機構都能匿名加入，鏈上的數據全局可見，通常作為基礎性服務。二是私有鏈。私有區塊鏈則完全相反，該網絡的寫入權限由某個組織或者機構全權控制，數據讀取權限受組織規定，要么對外開放、要么具有一定程度的訪問限制。由于參與節點具有嚴格限制且數量少，與公有鏈相比，私有鏈達成共識的時間相對較短、交易速度更快、效率更高、成本更低。可以將其理解為一個弱中心化或者多中心化的系統。不過這種類型的區塊鏈更適合于特定機構內部使用，比如Linux基金會、農行涉農互聯網電商融資e貸鏈、浙商銀行應收款鏈平臺等。其特點為：企業內部使用，主要權限集中在運營組織者手中。三是聯盟鏈。聯盟鏈則是介于公有鏈以及私有鏈之間，可實現“部分去中心化”。鏈上各個節點通常有與之相對應的實體機構或者組織，參與者通過授權加入區塊鏈并組成利益相關聯盟，共同維護聯盟鏈運行。從某種程度上來說，聯盟鏈也屬于私有鏈的范疇，只是私有化程度有所不同而已。因此，其同樣具有成本較低、效率較高的特點，適用于不同實體間的交易、結算等B2B交易。例如，Hyperledger（超級賬本）、企業以太坊聯盟、運營商區塊鏈研究組CBSG、微軟Coco等。其特點為：私有鏈的聯盟，對特定組織開放，鏈上的信息授權可見，具有很強隱私保護機制，側重商務，性能已經達到實用階段。這種區塊鏈業務類型上的差別導致部分區塊鏈場景存在大量個人信息，但卻沒有明確的處理個人信息的主體。區塊鏈應用中涉及大量的個人信息的收集、存儲、使用、加工、傳輸、提供等活動，確定區塊鏈應用中的個人信息處理者對規范區塊鏈應用發展具有重要意義。目前，我國法律尚未對各類型區塊鏈應用的個人信息處理者進行明確規定。

行情 | 在美上市區塊鏈中概股普遍收跌:今日美股收盤，在美上市區塊鏈中概股普遍收跌。人人網收跌0.99%，中網載線收跌0.35%，寺庫收漲0.38%，迅雷收跌0.36%，獵豹移動收跌0.27%，蘭亭集勢收漲0.67% 。[2019/6/22]

三、域外對于區塊鏈應用個人信息處理者的認定方式

歐盟立法沒有采用數據處理者概念，而是對數據控制者和數據處理者進行了區分。1995年10月24日《歐洲議會以及歐盟理事會關于對于個人數據處理有關的個人進行保護以及數據自由流動的指令（95/46號指令）》第2條第4款、第5款分別規定：控制者（controller）是指單獨或與他人聯合決定個人數據處理的目的與方式的自然人、法人、公共機構、代理機構或者其他任何實體；如果數據處理的目的和方式由成員國或共同體的法律或法規決定，則控制者或其資格的具體標準由成員國或共同體的法律決定。處理者（processor）是代表控制者對個人數據進行處理的自然人、法人、公共機構、代理機構或者其他任何實體。上述區分的法律意義包括三個方面。一是控制者必須承擔95/46號指令所規定的大部分的數據保護義務；二是在大多數情況下，是數據的控制者而非處理者承擔違反數據保護的責任；三是數據處理者的工作非常有限，實際上只能按照控制者的指示來處理個人數據。

動態 | “區塊鏈+共享社區”創新社會治理入選“地方改革創新40案例”名單:據澎湃新聞消息，12月27日，在中國改革2018年會上，中國經濟體制改革雜志社公布了“改革開放40年地方改革創新40案例”，廣東省佛山市禪城區的“區塊鏈+共享社區”創新社會治理入選其中。[2018/12/27]

在實踐中，歐盟對于區塊鏈應用中的獲取者、參與者、挖礦者進行了區分，明確了各自的職責。一是獲取者是有權閱讀和獲得一份區塊鏈副本的人。二是參與者是有權在區塊鏈上書寫的人。書寫意味著發起一項交易，參與者將之提交以作驗效。三是挖礦者是能夠驗證一項交易的人，通過適用區塊鏈協議的規則創立區塊，以便后者能被區塊鏈社群所接受。對區塊鏈框架下的數據處理負責人，歐盟認為，區塊鏈中的“參與者”可被視為GDPR所要規范的數據處理負責人，因為“參與者”有權在區塊鏈上進行交易，并決定將相關數據交由“挖礦者”核實。其不僅決定了最終目的(將交易數據提交以待核實)，而且決定了實現此數據處理的手段(比如采用何種數據格式訴諸區塊鏈，等等)，符合GDPR第4條第7款對處理負責人“為何”及“如何”處理個人數據的要求，而受到GDPR相關條款的規束。而對于區塊鏈中的“挖礦者”或“核實者”，則不被視為數據處理負責人，因為其僅限于將“參與者”提交的交易予以核實，但不干預這些交易的目標，所以并不決定數據處理之目的和運用之手段。

動態 | 瑞士知名手表品牌Favre-Leuba通過區塊鏈平臺保護其產品及消費者:據globenewswire消息，瑞士知名手表品牌Favre-Leuba宣布與瑞士網絡安全和物聯網公司WISeKey達成合作，將利用其區塊鏈平臺WISeAuthentic來保護其產品和消費者。據悉，該平臺可確保手表真實性，以及追蹤被盜手表以防止二級市場交易。[2018/9/24]

四、認定區塊鏈應用中的個人信息處理者

為規范區塊鏈應用發展，有必要對區塊鏈應用中的個人信息處理者進行明確，督促其履行相關義務。筆者認為，針對區塊鏈應用個人信息處理者模糊問題，可借鑒歐盟關于區塊鏈業務中的個人信息處理義務承擔方法，進行分類型解釋認定個人信息處理者。一是可將私有鏈業務中將業務經營者認定為個人信息處理者。因為私有鏈網絡的寫入權限由某個組織或者機構全權控制，數據讀取權限受組織規定，主要權限集中在運營組織者手中。私有鏈業務經營者符合個保法規定自主決定處理目的、處理方式的組織或個人的條件，因此應當被認定為個人信息處理者。二是可將聯盟鏈業務中將聯盟整體認定為個人信息處理者。聯盟鏈上各個節點通常有與之相對應的實體機構或者組織；參與者通過授權加入網絡并組成利益相關聯盟，共同維護區塊鏈運行。從某種程度上來說，聯盟鏈也屬于私有鏈的范疇，只是私有化程度不同，由聯盟整體控制。聯盟鏈業務中的聯盟符合個保法規定自主決定處理目的、處理方式的組織或個人的條件，因此應當被認定為個人信息處理者。三是可認為公有鏈業務中無個人信息處理者，但公有鏈業務需經國家機關審批后才能開展個人信息相關業務。公有鏈中的參與者雖然在定義上符合個保法規定自主決定處理目的、處理方式的個人的條件，但由于其自主決定的范圍僅限在自己的個人信息范圍內，個人難以向自己請求個保法上規定的權利，在實質不應當被認定為個人信息處理者。因為公有鏈上涉及大量個人信息且采集個人信息行為具有不可撤銷性，而通過私權救濟又呈現出無效的狀態，因此有必要啟動公權力管制，由國家對公有鏈上的個人信息處理行為進行規范。

除此之外，由于在區塊鏈上存儲個人信息具有永久保留的屬性，個人難以向區塊鏈應用個人信息處理者撤回同意，也難以刪除和修改，帶來的個人信息風險是永久性的，對個人具有超過一般個人信息處理行為的重要性。因此建議通過立法規定個人信息上區塊鏈時應當明示提醒個人信息主體獲得個人信息主體關于個人信息上鏈行為的單獨同意，以減緩區塊鏈業務中的個人信息處理風險。

來源：袁紀輝 信通院互聯網法律研究中心研究員?

《中華人民共和國個人信息保護法》第十七條。

詳見《中華人民共和國個人信息保護法》第五章。

https://mp.weixin.qq.com/s/ylayxpii9WubVCB95eling

Tags：區塊鏈聯盟鏈DPRGDP區塊鏈運用的技術中不包括哪一項聯盟鏈幣有哪些farmlandprotocolGDP價格

BNB