區塊鏈:區塊鏈應用中的個人信息處理者確定問題研究

我國《個人信息保護法》第五章明確了個人信息處理者的義務，但敦促個人信息處理者履行相關義務首先應當對個人信息處理者進行識別和明確。然而，對于部分區塊鏈應用，由于其經營模式特殊性，認定該業務中的個人信息處理者存在認定上的困難。因此，本文在此對該問題進行明確、分析和研究，供參考。

一、我國依靠個人信息處理者進行個人信息保護

我國《個人信息保護法》從路徑上依靠個人信息處理者履行相關義務來保護個人信息，從方法上對個人信息處理者作出了界定，認為“個人信息處理者，是指在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。”根據概念界定，處理目的和處理方式是定義個人信息處理者的關鍵。其中，處理目的說明了個人信息處理為何發生，即為什么處理者要處理個人信息。處理方式則說明了個人信息處理如何發生，即處理者將如何處理個人信息。根據概念定義，決定了個人信息處理目的和處理方式的組織或個人就是我國法律中的個人信息處理者。在實踐中，我國對個人信息處理者的認定非常廣泛，由于個人信息處理統攝了圍繞著個人信息開展的收集、存儲、使用、加工、傳輸、提供、公開等一系列行為，個人信息處理者的范圍事實上也涵蓋了實施這些個人信息處理行為的全部主體。

我愛我家成立新公司，經營范圍含區塊鏈技術相關軟件和服務:企查查數據顯示，2月1日，我愛我家創新科技有限公司成立，注冊資本5000萬元人民幣，經營范圍含互聯網安全服務；區塊鏈技術相關軟件和服務；體驗式拓展活動及策劃；互聯網銷售等。企查查股權穿透顯示，該公司由我愛我家（000560）全資持股。[2021/2/3 18:47:31]

認定個人信息處理者具有重要的法律意義。一方面，《個人信息保護法》規定了個人信息處理者處理個人信息的相關要求，個人信息處理者處理個人信息前，必須以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知法律規定的事項，除非法律、行政法規規定應當保密或者不需要告知，或者告知將妨礙國家機關履行法定職責的除外。另一方面，《個人信息保護法》對個人信息處理者的義務作出了集中、詳細的規定，構建了完整的義務體系。這些義務包括：個人信息處理者采取措施確保個人信息處理活動合法并保護個人信息安全的義務；按照規定指定個人信息保護負責人的義務；定期進行合規審計的義務；對于高風險個人信息處理活動進行個人信息保護影響評估并對處理情況進行記錄的義務；在發生或可能個人信息泄露等安全事件時立即采取補救措施并通知監管機構和個人的義務等。

2021年國家郵政局將推廣應用區塊鏈等關鍵共性技術:為了助推快遞業高質量發展，提升服務市場能力，2021年國家郵政局還將推廣應用大數據、云計算、區塊鏈等關鍵共性技術以及北斗導航系統等先進技術裝備，在海南自貿港等地開展數字郵政快遞創新試點示范工程。（經濟日報）[2021/1/20 16:34:14]

二、區塊鏈應用中個人信息處理者認定具有特殊性

區塊鏈應用存在多種類型，導致認定個人信息處理者存在類型上的差別。一是公有鏈。公有鏈是去中心化程度最高的區塊鏈，由鏈上所有參與者共享控制權，不受第三方機構的控制，世界上所有的人都可以讀取在鏈上的數據記錄、參與交易以及競爭新區塊的記賬權等。即使是程序開發者也無權干涉用戶，各個參與者（即節點）可以自由加入和退出網絡，并按照意愿進行相關操作。其特點為：所有節點共享，完全開放，任何個人或機構都能匿名加入，鏈上的數據全局可見，通常作為基礎性服務。二是私有鏈。私有區塊鏈則完全相反，該網絡的寫入權限由某個組織或者機構全權控制，數據讀取權限受組織規定，要么對外開放、要么具有一定程度的訪問限制。由于參與節點具有嚴格限制且數量少，與公有鏈相比，私有鏈達成共識的時間相對較短、交易速度更快、效率更高、成本更低。可以將其理解為一個弱中心化或者多中心化的系統。不過這種類型的區塊鏈更適合于特定機構內部使用，比如Linux基金會、農行涉農互聯網電商融資e貸鏈、浙商銀行應收款鏈平臺等。其特點為：企業內部使用，主要權限集中在運營組織者手中。三是聯盟鏈。聯盟鏈則是介于公有鏈以及私有鏈之間，可實現“部分去中心化”。鏈上各個節點通常有與之相對應的實體機構或者組織，參與者通過授權加入區塊鏈并組成利益相關聯盟，共同維護聯盟鏈運行。從某種程度上來說，聯盟鏈也屬于私有鏈的范疇，只是私有化程度有所不同而已。因此，其同樣具有成本較低、效率較高的特點，適用于不同實體間的交易、結算等B2B交易。例如，Hyperledger（超級賬本）、企業以太坊聯盟、運營商區塊鏈研究組CBSG、微軟Coco等。其特點為：私有鏈的聯盟，對特定組織開放，鏈上的信息授權可見，具有很強隱私保護機制，側重商務，性能已經達到實用階段。這種區塊鏈業務類型上的差別導致部分區塊鏈場景存在大量個人信息，但卻沒有明確的處理個人信息的主體。區塊鏈應用中涉及大量的個人信息的收集、存儲、使用、加工、傳輸、提供等活動，確定區塊鏈應用中的個人信息處理者對規范區塊鏈應用發展具有重要意義。目前，我國法律尚未對各類型區塊鏈應用的個人信息處理者進行明確規定。

聲音 | 每經網評論員：區塊鏈是助力產業升級的 不是拿來炒的:據每經網消息，每經評論員杜恒峰今日發文《區塊鏈是助力產業升級的 不是拿來炒的》。文章提到，面對上周末區塊鏈概念股在“朋友圈漲停”的躁動，我們認為，理性的投資者需要留意兩個基本事實。一是，警惕數字加密貨幣炒作回潮。二是，只有促進產業發展、切切實實形成新動能的區塊鏈技術，才有長期的發展價值。無論是互聯網+、AI+，還是區塊鏈+，新的技術只有解決了實際應用中的痛點，才具備商業化的價值，進而形成可持續發展的基礎。對上市公司來說，發展區塊鏈，有些是長期以來的戰略，洞察后做出的決策；有些只是在追逐熱點，為了區塊鏈而區塊鏈，脫離實際需求，這就需要投資者仔細甄別。[2019/10/28]

三、域外對于區塊鏈應用個人信息處理者的認定方式

歐盟立法沒有采用數據處理者概念，而是對數據控制者和數據處理者進行了區分。1995年10月24日《歐洲議會以及歐盟理事會關于對于個人數據處理有關的個人進行保護以及數據自由流動的指令（95/46號指令）》第2條第4款、第5款分別規定：控制者（controller）是指單獨或與他人聯合決定個人數據處理的目的與方式的自然人、法人、公共機構、代理機構或者其他任何實體；如果數據處理的目的和方式由成員國或共同體的法律或法規決定，則控制者或其資格的具體標準由成員國或共同體的法律決定。處理者（processor）是代表控制者對個人數據進行處理的自然人、法人、公共機構、代理機構或者其他任何實體。上述區分的法律意義包括三個方面。一是控制者必須承擔95/46號指令所規定的大部分的數據保護義務；二是在大多數情況下，是數據的控制者而非處理者承擔違反數據保護的責任；三是數據處理者的工作非常有限，實際上只能按照控制者的指示來處理個人數據。

聲音 | 彭一鳴：運用區塊鏈技術賦能實體旅游產業:據洞察網報道，中國城市旅游研究院院長彭一鳴日前表示，使用區塊鏈、人工智能、大數據等技術手段可解決當下品牌傳播、票務發行、交易結算、大數據管理、財稅管理、產業發展等全域旅游文旅產業中存在的痛點，要運用區塊鏈技術賦能實體旅游產業。[2018/10/12]

在實踐中，歐盟對于區塊鏈應用中的獲取者、參與者、挖礦者進行了區分，明確了各自的職責。一是獲取者是有權閱讀和獲得一份區塊鏈副本的人。二是參與者是有權在區塊鏈上書寫的人。書寫意味著發起一項交易，參與者將之提交以作驗效。三是挖礦者是能夠驗證一項交易的人，通過適用區塊鏈協議的規則創立區塊，以便后者能被區塊鏈社群所接受。對區塊鏈框架下的數據處理負責人，歐盟認為，區塊鏈中的“參與者”可被視為GDPR所要規范的數據處理負責人，因為“參與者”有權在區塊鏈上進行交易，并決定將相關數據交由“挖礦者”核實。其不僅決定了最終目的(將交易數據提交以待核實)，而且決定了實現此數據處理的手段(比如采用何種數據格式訴諸區塊鏈，等等)，符合GDPR第4條第7款對處理負責人“為何”及“如何”處理個人數據的要求，而受到GDPR相關條款的規束。而對于區塊鏈中的“挖礦者”或“核實者”，則不被視為數據處理負責人，因為其僅限于將“參與者”提交的交易予以核實，但不干預這些交易的目標，所以并不決定數據處理之目的和運用之手段。

巴菲特股東大會今日上午舉行，區塊鏈成關注熱點之一:今天上午10點15分，巴菲特股東大會將在奧馬哈舉行。會上巴菲特（伯克希爾董事長兼首席執行官）和芒格（副董事長兼巴菲特助手）將分享伯克希爾哈撒韋公司的事情，尤其是關于投資方面。據外媒報道，區塊鏈成為投資者關注的問題之一。巴菲特并不是一個比特幣的信徒，他說比特幣缺乏內在價值。但比特幣和其他數字貨幣背后的區塊鏈技術確實對保險業務產生了影響，這是伯克希爾的核心業務。而分布式記賬也有可能顯著減少保險公司所享受到的浮存金。[2018/5/5]

四、認定區塊鏈應用中的個人信息處理者

為規范區塊鏈應用發展，有必要對區塊鏈應用中的個人信息處理者進行明確，督促其履行相關義務。筆者認為，針對區塊鏈應用個人信息處理者模糊問題，可借鑒歐盟關于區塊鏈業務中的個人信息處理義務承擔方法，進行分類型解釋認定個人信息處理者。一是可將私有鏈業務中將業務經營者認定為個人信息處理者。因為私有鏈網絡的寫入權限由某個組織或者機構全權控制，數據讀取權限受組織規定，主要權限集中在運營組織者手中。私有鏈業務經營者符合個保法規定自主決定處理目的、處理方式的組織或個人的條件，因此應當被認定為個人信息處理者。二是可將聯盟鏈業務中將聯盟整體認定為個人信息處理者。聯盟鏈上各個節點通常有與之相對應的實體機構或者組織；參與者通過授權加入網絡并組成利益相關聯盟，共同維護區塊鏈運行。從某種程度上來說，聯盟鏈也屬于私有鏈的范疇，只是私有化程度不同，由聯盟整體控制。聯盟鏈業務中的聯盟符合個保法規定自主決定處理目的、處理方式的組織或個人的條件，因此應當被認定為個人信息處理者。三是可認為公有鏈業務中無個人信息處理者，但公有鏈業務需經國家機關審批后才能開展個人信息相關業務。公有鏈中的參與者雖然在定義上符合個保法規定自主決定處理目的、處理方式的個人的條件，但由于其自主決定的范圍僅限在自己的個人信息范圍內，個人難以向自己請求個保法上規定的權利，在實質不應當被認定為個人信息處理者。因為公有鏈上涉及大量個人信息且采集個人信息行為具有不可撤銷性，而通過私權救濟又呈現出無效的狀態，因此有必要啟動公權力管制，由國家對公有鏈上的個人信息處理行為進行規范。

除此之外，由于在區塊鏈上存儲個人信息具有永久保留的屬性，個人難以向區塊鏈應用個人信息處理者撤回同意，也難以刪除和修改，帶來的個人信息風險是永久性的，對個人具有超過一般個人信息處理行為的重要性。因此建議通過立法規定個人信息上區塊鏈時應當明示提醒個人信息主體獲得個人信息主體關于個人信息上鏈行為的單獨同意，以減緩區塊鏈業務中的個人信息處理風險。

來源：袁紀輝 信通院互聯網法律研究中心研究員?

《中華人民共和國個人信息保護法》第十七條。

詳見《中華人民共和國個人信息保護法》第五章。

https://mp.weixin.qq.com/s/ylayxpii9WubVCB95eling

Tags：區塊鏈聯盟鏈DPRGDP區塊鏈的未來發展前景作者是誰超級聯盟鏈幣怎么獲得DPR幣GDP幣

DAI