Blockkedja + GDPR = TRUE

Patrik Slettman förklarar varför GDPR och blockkedja är förenliga.

"Blockkedja i sig är inget hinder för att följa dataregler och efterlevnadskrav. Det är helt enkelt en teknik som fungerar bäst när den används av människor med goda avsikter, precis som de flesta tekniker i dag."

När vi presenterar vår SaaS-plattform som gör det möjligt för organisationer att automatiskt generera, utfärda och lagra blockkedjesäkrade dokument, märker vi att vi också behöver förklara hur vi använder blockkedja för lagring på ett sätt som uppfyller regelkraven, eftersom tekniken till sin natur är oföränderlig. Problemet är att när ämnet blockkedja och web3 kommer på tal stänger en del människor av och slutar lyssna. Och om man lägger till GDPR i samtalet blir blickarna ännu mer glasartade.

Det förstår vi. Vi har alla olika intressen. Inte alla fascineras av den senaste tekniken för datalagring. Många av oss vill helt enkelt veta varför "det nya är bättre än det gamla" och resten spelar ingen roll. Ungefär så känner jag inför min schampo, min mikrovågsugn och till och med min telefon. Om de fungerar är jag nöjd.

Med det sagt, låt mig försöka förklara hur GDPR och blockkedja är förenliga och på många sätt en perfekt matchning. Jag ska försöka göra det på ett rakt sätt, med så få facktermer och lager som möjligt.

GDPR i korthet

GDPR, den allmänna dataskyddsförordningen, är den integritets- och dataskyddsreglering som trädde i kraft i EU den 25 maj 2018.

Målet med GDPR är tvåfaldigt:

1. Den syftar till att underlätta fri rörlighet för personuppgifter mellan EU:s medlemsstater.
2. Den fastställer ett ramverk för skydd av rättigheter för de personuppgifter som används och lagras.

Hur är GDPR utformad för att uppnå dessa mål?

För det första bygger GDPR på det grundläggande antagandet att det för varje lagrad personuppgiftspunkt finns minst en juridisk person, en "personuppgiftsansvarig", som kan kontaktas av den person vars uppgifter lagras, för att hjälpa till att upprätthålla den personens rättigheter enligt EU:s dataskyddsreglering.

För det andra bygger GDPR på antagandet att lagrad data kan ändras eller raderas när så krävs för att uppfylla rättsliga krav.

Blockkedja i korthet

Det finns många olika blockkedjor. Blockkedja är en teknik, inte ett varumärke, och kan variera kraftigt i komplexitet och vara gjord för olika ändamål. På TRUE använder vi just nu Ethereum, Fantom och Polygon, men vi kommer att utöka och koppla till fler i framtiden.

Blockkedjetekniken är i grunden en distribuerad databas som består av många lagringsenheter (noder) där man kan lagra kod och data. När data väl har lagrats i en enhet kan den inte ändras. Exakt varför det är så har förklarats väl på många andra webbplatser av experter. För att förstå att blockkedja är förenlig med GDPR behöver du bara veta att lagrad data inte kan ändras.

En blockkedja kan också ägas av ett företag, eller vara utan en centraliserad ägare, som de publika kedjor vi arbetar med för närvarande.

Målet med blockkedja (eller ett distribuerat register) är att möjliggöra lagring av digital information, men aldrig förändring av den. Blockkedja är ett oföränderligt register som också innehåller ett dokumentationsprotokoll för varje lagring (en typ av spårning), vilket inte kan ändras eller förstöras.

Blockkedja + GDPR = TRUE

Data lagras öppet på blockkedjan, men vi ser till att kryptera den innan vi laddar upp den. Kryptering kan göras på många sätt. På TRUE använder vi en kryptering som heter SHA-3 (eller SHA-256). Efter kryptering är det som laddas upp på kedjan en sträng som i sig inte har något värde eller någon mening.

Alla organisationer som använder TRUE fungerar som "personuppgiftsansvarig" (se GDPR ovan) och kan enkelt ta bort all transaktionsdata som kopplar en person till den krypterade datan på kedjan. Det gör den lagrade datan på kedjan helt oanvändbar. Det som finns kvar "för alltid" är en oläsbar sträng som aldrig kan läsas igen. För att ändra ett dokument utfärdat med TRUE:s teknik måste det felaktiga dokumentet först tas bort och sedan kan ett nytt och korrekt utfärdas (vi ser också till att samma dokument aldrig kan utfärdas två gånger).

TRUE:s kunder kan ta bort personuppgifter (och dokument) om en mottagare begär att deras data eller dokument tas bort. Allt som görs i TRUE:s instrumentpanel spåras och loggas alltid, så att om något "konstigt" inträffar är det enkelt att titta i loggen och förstå varför något hände.

Fördelar med blockkedja

Fördelarna med att använda blockkedja på det här sättet är många. De flesta hävdar att säkerhet och integritet är mycket bättre med blockkedja än med en vanlig databas.

Blockkedjeteknik förändrar redan och kommer att fortsätta förändra branscher av alla slag, från supply chain-hantering till bank och fintech, vård, försäkring och naturligtvis dokumenthantering.

Oavsett typ av kedja, om den är decentraliserad som Ethereum eller Polygon, eller ägd och hanterad av ett företag som IBM (Hyper Ledger), är användningsfallen och konsekvenserna av tekniken enorma och växande.

Blockkedja i sig är inget hinder för att följa dataregler eller andra regler. Det är helt enkelt en teknik som fungerar bäst när den används av människor med goda avsikter, precis som många andra tekniker i dag.

Dokument publicerade online

Tekniken att publicera dokument online och säkra metadata med blockkedja är relativt ny och öppnar för nya möjligheter. Till exempel kan många personer se ett dokument publicerat online samtidigt, och det kan inte tappas bort, stjälas eller förfalskas.

Ägaren (mottagaren) av dokumentet kan välja om det ska vara offentligt eller skyddat med ett lösenord. På TRUE har vi också skapat en mellanstatus för dokument, där förstasidan är offentlig men sidorna bakom, som kan innehålla mer känslig information, är dolda. Den här funktionen uppskattas av universitetsstudenter, som kan visa och dela att de examinerades från en skola utan att behöva visa sina betyg.

Mottagarna har full kontroll

När ett dokument tas emot (och när som helst efteråt) kan mottagarna dölja det publicerade dokumentet bakom ett lösenord. För att någon ska kunna se det behöver mottagaren skicka både länken till dokumentet och lösenordet för att komma åt det.

Läs mer om TRUE:s datasäkerhet och interoperabilitet med eIDAS samt egenutvecklade system.