Expertises des Systèmes d'information - Octobre 2021 - N°472 - Le mensuel du droit de l'informatique et du multimédia - 356

DOCTR INE
à elle seule, d'identifier la personne
concernée. Dès lors que par sa mise
en relation avec d'autres données,
une information permet d'identifier
une personne physique, cette
information recevra la qualification
de données à caractère personnel
avec toutes les obligations qui en
découlent pour la personne traitant
cette information.
Tel
est
bien le cas d'une
clé
publique, qui ne permet pourtant
pas une identification directe de la
personne concernée. Selon l'article
4, paragraphe 5, du RPDG il s'agira
de « pseudonymisation ».
En effet, il existe des moyens techniques
(des logiciels de tracking30
)
ou des tiers capables de fournir une
identification aux autorités sur base
de la clé publique (N.B. : les plateformes
d'échanges qui sont régulées
et doivent identifier leurs clients
en
Droits de suppression, de
rectification et d'oubli
Toute application reposant sur une
technologie blockchain enregistre
des données (notamment les clés
publiques des utilisateurs et certaines
métadonnées) de manière permanente
et les stocke sur de nombreux
nœuds hors de portée du contrôle de
la personne physique à laquelle elle
appartient.
Supprimer des données personnelles
indésirables nécessiterait que plus
de la moitié des nœuds travaillent
ensemble pour reconstruire la
Blockchain telle qu'elle était avant
que ces données soient ajoutées
et pendant cette reconstruction,
les données ne seraient plus à jour
et il serait impossible d'utiliser la
Blockchain.
vertu de la réglementation
anti-blanchiment). La clé publique
constitue donc bien une donnée à
caractère personnel, et partant, la
blockchain traite donc des données
à caractère personnel ; ce qui
sous-entend qu'elle devra répondre
d'obligations spécifiques en matière
de protection des données à caractère
personnel.
Les données « hachées »
sont-elles des données
personnelles ?
Des données stockées (hachées)
dans les blocs peuvent être des
données relatives à une personne
physique identifiée ou identifiable
(par exemple dans les cas d'utilisation
de l'Internet des objets, des
identités numériques et des données
financières ou médicales).
Les données qui ont fait l'objet d'un
processus de hachage sont également
susceptibles d'être considérées
comme des données à caractère
personnel au sens du GDPR. En
effet, selon le Groupe 29, le hachage
constitue une technique de pseudonymisation,
et non d'anonymisation,
car il est toujours possible de relier
l'ensemble de données à la personne
concernée31
.
356
L'effacement d'une donnée apparaît
donc incompatible avec la technologie
blockchain puisqu'elle suppose
la conservation des données dans
les registres sans pouvoir les effacer.
En effet, comme vu précédemment,
une blockchain n'est pas conçue
pour que les informations inscrites
soient ensuite effacées. Chaque bloc
constituant la blockchain est censé
constituer une empreinte indélébile,
ce qui donne à la blockchain tout son
intérêt en matière d'horodatage32
.
La technologie blockchain serait-elle
dès lors illégale par nature au regard
de la protection des données personnelles
? Cette approche purement
légaliste, conduisant à condamner
purement et simplement une technologie,
nous paraît trop radicale.
Des nuances et de la souplesse
doivent être apportées tant du côté
des textes protégeant les données à
caractère personnel que du côté de
la technologie de la blockchain33
.
Il nous semble que l'article 17 du
règlement européen pourrait être
invoqué en la matière :
« Lorsqu'il a rendu publiques les
données à caractère personnel et
qu'il est tenu de les effacer en vertu du
paragraphe 1, le responsable du traitement,
compte tenu des technologies
EXPERTISES OCTOBRE 2021
disponibles et des coûts de mise en
œuvre, prend des mesures raisonnables,
y compris d'ordre technique,
pour informer les responsables du
traitement qui traitent ces données à
caractère personnel que la personne
concernée a demandé l'effacement
par ces responsables du traitement
de tout lien vers ces données à caractère
personnel, ou de toute copie ou
reproduction de celles-ci. »
Transfert de données à
l'international
La question des transferts hors de
l'Union Européenne (UE) peut s'avérer
particulièrement problématique
dans le cadre d'une Blockchain
publique34
.
Pour rappel, toute transaction sur la
chaîne de blocs implique : un envoi
à tous les mineurs de la Blockchain
d'une demande de validation d'une
transaction (et donc potentiellement
de données personnelles) ; une mise
à jour de la Blockchain par l'ajout du
nouveau bloc dans la chaîne de bloc
auprès de tous les participants.
Or, les participants, qu'ils soient
nœuds du réseau ou non, peuvent
être situés dans des pays en dehors
de l'UE. Se pose donc la question du
respect des obligations en matière de
transferts hors UE35
.
La CNIL en conclut que le recours à
une blockchain privée est préférable
d'un point de vue du respect de la
réglementation.
Toutefois, il n'est pas exclu que
les tribunaux, en cas de litige à ce
propos, fassent preuve de souplesse,
à l'instar de la Cour de Justice (CJUE)
dans l'affaire Bodil Lindqvist36
. La
CJUE a estimé que le chargement
de données à caractère personnel
sur une page Internet ne constituait
pas un transfert de ces données vers
un pays tiers, même si ces données
pouvaient être consultées dans le
monde entier.
La Cour a cherché en l'espèce un
moyen d'éviter un conflit irréconciliable
entre le droit communautaire
et une technologie émergente.
Expertises des Systèmes d'information - Octobre 2021 - N°472 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2021 - N°472 - Le mensuel du droit de l'informatique et du multimédia
