El uso de datos personales y tecnología blockchain es una realidad que no puede obviarse y, por ello, tampoco pueden olvidarse los diversos desafíos jurídicos que ello representa en materia de protección de datos personales.

La confrontación entre el RGPD y la tecnología surgiría de la imposibilidad de los interesados de ejercer el derecho al olvido (cancelación o supresión de datos) y el derecho a la rectificación de los datos personales, pues, tal y como se ha dicho, la inmutabilidad de los datos forma parte de la idiosincrasia de la blockchain.

Ahora bien, dichos desafíos jurídicos podrían quedar solventados con el uso de técnicas de seudonimización.

Concretamente, la solución que se apunta pasaría por la combinación del uso de la criptografía y la creación de una base de datos externa a la blockchain (off chain).

En cuanto a la criptografía, se destaca el uso de la función hash, la cual consiste en la ejecución de un algoritmo matemático que transformará cualquier bloque arbitrario de datos en una nueva serie de caracteres con una longitud fija.

La función hash generará un identificador único para cada dato. Y en tanto en cuanto el dato no se modifique, el identificador resultante será siempre idéntico (en cambio, si se modifica el dato, el identificador variará y será diferente).

De acuerdo con Pastor, White y Esclapés¹, el hash puede ser considerado como “la huella digital de un dato específico”². A modo de ejemplo, véase la representación gráfica elaborada por Wikimedia Commons.

La implementación de la solución que se presenta comporta la observación de los siguientes pasos:

1) Generar hashes (identificadores únicos) para los datos personales.

2) Almacenar los hashes en la red blockchain.

3) Almacenar los datos personales en una base de datos externa (off chain), la cual será gestionada por el responsable de tratamiento.

Al hallarse los datos personales en una base de datos externa de la blockchain, el responsable del tratamiento podrá eliminar los datos de la off chain cuando así lo solicite el interesado. En esta situación, el hash correspondiente permanecerá en blockchain. Según Pastor, White y Esclapés, "al eliminar los datos correspondientes con este hash, éste se convierte en un número aleatorio sin correspondencia" y automáticamente la información almacenada en blockchain pasa a ser anónima, quedando, por tanto, fuera del ámbito de protección del RGPD.

En cuanto a la modificación de datos, la solución operará del siguiente modo: Ante el ejercicio del interesado de su derecho a la rectificación de datos erróneos, el responsable del tratamiento los modificará en la base de datos externa. Una vez modificado el registro de los datos ubicado en la off chain, se generará un nuevo hash que se almacenará en la blockchain. El hash relativo a los datos personales antiguos pasaría a ser un número aleatorio que no podría vincularse a la base de datos externa. Por tanto, de nuevo nos hallaremos ante datos anónimos, lo cual implica que no les será de aplicación el RGPD.

En definitiva, se cumplen los principios del RGPD al tiempo que se garantiza a los interesados el ejercicio de los derechos de modificación y supresión (este último conocido como derecho al olvido).

Ahora bien, no puede olvidarse que el GT 29 señala que los datos seudonimizados siguen siendo datos personales y, por ello, podría concluirse que el hash en sí es un dato personal. Surge, pues, en este punto la necesidad de proteger el hash resultante de la encriptación.

La solución a esta nueva necesidad vendría dada por el uso o aplicación un “salt” al hash. Un salt criptográfico es un dato que se utiliza durante el proceso de hash para eliminar la posibilidad de que el resultado pueda hallarse a partir de una lista de pares precalculados de hash y sus entradas originales, conocidas como tablas rainbow³. Esto es, un salt es un pequeño dato añadido que hace que los hashes sean significativamente  más difíciles de crackear.

Pastor, White y Esclapés vienen a resaltar la anterior tesis, señalando la necesidad de reforzar o aportar mayor protección a las funciones hash, con el fin de evitar la filtración de datos. De acuerdo con ello, advierten que la función hash únicamente sería viable siempre y cuando ésta sea suficiente para garantizar la imposibilidad de identificar al titular de los datos. Los citados autores describen una situación de riesgo vinculada al uso de la función hash, que debe ser tenida en cuenta en este estudio. A saber:

“Si se conoce el conjunto de hashes utilizados por la compañía y se dispone del conjunto de datos a los que dichos hashes se encuentran asociados, podrían introducirse todas las posibilidades de ambos conjuntos hasta acertar y dar con el hash correspondiente a cada dato. Esto hace que el hash se considere sometido al RGPD (se trata de un dato pseudoanonimozado y por tanto un dato personal), por permitir la identificación de los interesados en ciertos supuestos”.

Sentado lo anterior, cabe destacar que la solución antes mencionada no es la única que concilia la utilización de datos personales en entornos blockchain. En este sentido, es preciso hacer mención a la posibilidad de utilizar canales privados. Si bien, debe advertirse que esta solución únicamente cabría implementarla en blockchain privadas dada su propia naturaleza.  

Los canales privados son vías de transmisión de información creadas por dos o más nodos, los cuales comparten datos de forma privada en la red blockchain. El resto de nodos únicamente verán los hashes relativos a los datos que se comparten por el canal privado, sin alcanzar a conocer el verdadero contenido compartido.  

1. Pastor, L., White, A. y Esclapés, S. (2018). RGPD y blockchain. Soluciones blockchain para el Reglamento General de Protección de Datos. Grant Thornton. https://blockchain.grantthornton.es/wp-content/uploads/2018/03/RGPD-y-blockchain.pdf «
2. Ibíd.«
3. Las “tablas rainbow” son tablas con cientos y miles de hashes en donde se conoce la palabra que los origina. Si se consigue acceso al hash, y se busca en la tabla el mismo, se podrá ver qué lo originó y podrá obtenerse la contraseña.«

Este artículo ha sido investigado, analizado y redactado por las abogadas Ana Vega Suárez e Immaculada Lleberia.