En France, les entreprises du numérique ont l’obligation légale d’effacer des données lorsqu’une demande officielle est émise. La technologie blockchain pourrait rendre tout un ensemble de lois caduques.
Introduction
Contrairement au Règlement Général sur la Protection des Données (ou RGPD), qui vise à garantir le « droit à l’oubli », la Blockchain est facilement consultable, mais également immutable. Le droit à l’oubli est la possibilité pour les particuliers ou les entreprises de demander l’effacement, dans des circonstances précises, leurs données personnelles : protection de témoins, menaces, simples erreurs dans des publications… Demande impossible dans les systèmes blockchain, où vos données sont stockées dans un registre public que tout le monde peut lire.
Le RGPD entre également en conflit avec les aspects politiques du Web3.
Le conflit entre l’immutabilité de la blockchain et le droit à l’oubli est une question complexe qui nécessite un examen juridique. Créer des blockchains entièrement conformes semble impossible, mais il existe plusieurs solutions pouvant être envisagées pour résoudre ce dilemme. Les utilisateurs ont plusieurs options : modifier les technologies existantes, créer de nouveaux jetons compliants, ou encore stocker leurs données off-chain.
De nombreuses études menées sur ce sujet
Problèmes identifiés
L’étude menée par Kshetri et Voas en 2018 vise à montrer les implications de la technologie blockchain sur la conformité au RGPD. Deux problèmes principaux furent identifiés :
– L’immutabilité de la blockchain,
– Le manque de contrôle sur les données personnelles.
La solution proposée était de stocker les données personnelles off-chain, via plusieurs layers, en utilisant des blockchains privées pour interagir avec la principale. Un cadre juridique devra être établi pour que les données personnelles aient la même juridiction vis-àvis de chaque utilisateur. Ils considèrent néanmoins cette solution complexe car les pays partagent des valeurs et des objectifs trop divergents pour s’entendre tous ensembles.
De nombreux cadres juridiques proposés.
Gürses, en 2018, a proposé un cadre juridique et des lignes directrices pour la protection des données et de la vie privée. Des éclaircissements étaient nécessaires sur la manière d’appliquer le RGPD aux systèmes blockchain. Il démontre néanmoins un défi pour les autorités, car les citoyens n’accepteront pas la modification d’un système immutable.
Une solution technique sur l’EVM a été avancé par Fisher et Schweiger, où ils ont prouvé que les contrats intelligents pouvaient aider la conformité au RGPD à se produire sur différentes couches. Si un contrat intelligent est créé sur la chaîne intelligente EVM avec les règles conformes à la réglementation RGPD, loi et données blockchain pouvaient coexister. Les lois des différents pays pouvaient être préinscrits sur les contrats intelligents, et changer avec chaque domaine d’activité. Cette solution, qui demanderait du temps et une collaboration chronophage de la part de nombreux pays, pourrait en théorie fonctionner.
Technologies utilisables
Données off-chain
Les sidechains interopérables sont avancés comme étant la solution de long terme. COSMOS et POLKADOT sont deux exemples de chaînes qui pourraient être utilisées pour stocker des données personnelles hors chaîne. Elles permettent la conformité RGDP tout en maintenant l’immutabilité de la blockchain. “Bien qu’ils doivent être testés dans de grandes situations et ne soient pas encore pleinement opérationnels”, les tests sur le devnet sont encourageants et conduiront bientôt à de nouvelles connexions sur la chaîne intelligente EVM et d’autres comme la chaîne intelligente Binance.
Un autre article rédigé par Böhme explique comment le stockage off-chain peut protéger les données sans altérer la blockchain. IFPS et swarm sont deux autres solutions off-chain qui permettent de garder la référence des données personnelles sans rien inscrire sur la blockchain.
Il semble donc que le stockage off-chain soit une solution pour beaucoup.
Zero-Knowledge Proof
Le Zero Knowledge Proof (ZKP) tel qu’écrit par Zohrevand est un système qui utilise prouve l’identité sans inscrire de données personnelles sur la blockchain. Plusieurs jetons existent déjà, comme Monero, mais sont toujours considérés comme des jetons à la limite de la légalité. Les techniques de préservation de la vie privée ne peuvent être une solution que si des autorités peuvent traquer les transactions illégales.
Échanges centralisés – CeX
Enfin, les Exchanges centralisés, comme les plateformes telles que Binance sont une solution de court terme qui a été trouvée face aux régulateurs. En effet, il est assez facile de créer des législations pour ces entreprises car elles ne sont pas encore entièrement décentralisées et peuvent coder de nouvelles fonctionnalités telles que la révocation des transactions illégales ou de trop grandes dérivées. Cependant, il ne s’agit pas d’une révocation on-chain, uniquement sur un registre privé centralisé : celui de l’entreprise ou de la bourse. Certains échanges décentralisés acceptant de l’argent réel pourraient être une solution.
EVM : un système juridiquement modulable ?
Borch et Korpas ont prouvé que le RGPD et Ethereum Virtual Machine (EVM) pouvaient coexister. Selon eux, le grand avantage d’Ethereum est qu’il demeure entièrement flexible et programmable, ce qui permet aux gouvernements de révoquer l’immutabilité. Pour eux, les contrats intelligents préservant la confidentialité sont la meilleure solution pour gérer la confidentialité des données, ou du moins arrêter de révéler leurs données. Cependant, tous les contrats intelligents du pays ou du marché devront obtenir les mêmes réglementations, ce qui entraînera des conflits entre les cultures, l’Union Européenne privilégiant la protection des consommateurs, les pays américains épris de liberté, les Asiatiques visant la paix et la sécurité.
De nombreux articles ont donc été publiés sur ce sujet avec de nombreuses solutions différentes, toutes nécessitant à chaque fois des sacrifices, comme créer une autre chaîne, avoir une solution centralisée ou une harmonisation des contrats intelligents. On parle alors de discussions politiques car le respect du droit est partagé par un peuple, et non une communauté.
Conclusion
D’autres recherches, tests et nouvelles créations de blockchains devront avoir lieu pour découvrir de nouveaux points bloquants. Chaque partie prenante de l’écosystème de la blockchain devra alors être de bonne foi.
Cette étude suggère qu’il n’y a pas de solution unique au conflit entre l’immutabilité de la blockchain et le droit à l’oubli du RGPD. Une combinaison de solutions techniques, juridiques et pratiques sera nécessaire pour concilier ces deux concepts apparemment incompatibles. Le développement d’une approche claire et cohérente pour concilier ces concepts nécessitera la participation active et la coopération de toutes les parties prenantes de l’écosystème de la blockchain.
French