De privacy-paradox: ‘Blockchain en GDPR zijn elkaars tegenbeeld’

2018 is het jaar van blockchain, en het jaar waarin de GDPR van kracht wordt. Maar de Europese regelgeving werkt niet zomaar hand in hand met het concept van een gedecentraliseerde database die alles bijhoudt. Hoe kan de wet worden toegepast zonder technologische innovaties tegen te werken?

Blockchain wordt door data-experts vaak gezien als een technologische doorbraak die niet meer gestopt kan worden. Het is dan ook een veilige, geautomatiseerde manier om gegevens uit te wisselen, en zo bijvoorbeeld betalingen uit te voeren. Belangrijk onderdeel van de technologie is de gedecentraliseerde databank, de blockchain, waarop alle data die worden uitgewisseld, bewaard blijven, samen met een historiek van alle vorige uitwisselingen.

Gerrie Smits is een blockchain consultant die graag nadenkt en concepten overweegt over verschillende toepassingen van de technologie. “Ik geef ook workshops, en eigenlijk is het heel gemakkelijk om blockchain op een eenvoudige manier uit te leggen. In groepen doe ik dat aan de hand van een rollenspel. Ik roep iemand uit de groep naar voren, en geef die een sinaasappel. Dat is het basisprincipe. Ik heb persoon x iets gegeven, en iedereen uit de groep was daar getuige van, en dat is blockchain in een notendop.”

Beloningsmechanisme

Blockchain is in de grond dan ook een veilig concept, want als er geknoeid wordt met één bepaald onderdeel, dan kan het probleem meteen vastgesteld worden omdat alle gegevens met elkaar samenhangen. Dat maakt blockchain uiterst geschikt voor populaire toepassingen zoals cryptomunten. De technologie raakte bij het grote publiek bekend door het succes – en de controverse – rond digitale munten zoals bitcoin en ethereum.

“Blockchain wordt vandaag al op verschillende manieren toegepast, maar er is één element uit het oorspronkelijke concept dat soms nogal onderbelicht is, en dat is het beloningssysteem”, legt Smits uit. “Stel dat ik bij mijn voorbeeld met de sinaasappel aan de groep mensen vraag wie het stuk fruit heeft gekregen. Iemand zal altijd antwoorden: “persoon x”. Vervolgens krijgt die van mij een schijfje sinaasappel. Ondanks dat het systeem in wezen al veilig in elkaar zit, wordt er dus een extra motivatiemechanisme aan toegevoegd dat ervoor zorgt dat het algemeen belang steeds gediend wordt. Dat is in het geval van cryptocurrency een verdienmodel geworden, het delven van cryptomunten.”

Autonoom functionerende bedrijven

Maar het is voor Smits duidelijk dat de technologie veel meer potentieel heeft dan cryptomunten alleen. Denk bijvoorbeeld aan een concept als ‘smart contracts’ waarbij systemen geheel zelfstandig via algoritmes werken, zodat in wezen een bedrijf zou kunnen werken zonder bijvoorbeeld managers of administratief personeel.

Als u vandaag een auto koopt, moet u daarbij verschillende stappen doorlopen. U onderhandelt over de prijs, sluit een akkoord, maakt een overschrijving en brengt vervolgens papierwerk in orde. Het afronden van de aankoop duurt meerdere dagen, alleen al om de geldoverschrijving in orde te brengen. Bij blockchain zit vertrouwen en veiligheid ingebakken in het concept, en het gehele proces zou in enkele minuten afgerond kunnen zijn. In zo’n ‘ideale’ wereld zou de auto die u wilt kopen deel uitmaken van de blockchain, waardoor u weet dat alle informatie klopt. Via digitale munten wordt de betaling meteen uitgevoerd, en ook uw persoonsgegevens kunnen deel uitmaken van de blockchain, waardoor dat administratief werk meteen uitgevoerd wordt.

Menselijke invloed

Smits benadrukt dat zo’n concept van volledig zelfstandige bedrijven nog verre toekomstmuziek is. De legitimiteit van de gegevens van een wagen kan gemakkelijk nagegaan worden, maar in complexere situaties zullen altijd mensen betrokken moeten worden. “Neem nu een kunstaankoop. Het is niet eenvoudig om een expert te vervangen die de legitimiteit van een kunstwerk nagaat. Daar is enorm complexe AI en beeldherkenning voor nodig.”

Eens er zoals bij Smits’ voorbeeld van de kunstveiling een menselijke validatie toegevoegd wordt aan een blockchainmodel, wordt die partij een ‘oracle’ genoemd. “Het principe van blockchain is dat de gegevens gedecentraliseerd zijn en dat het databeheer zelfstandig gebeurt, en het oracle is de uitzondering op die regel. In Zwitserland wil men de identiteitsgegevens van burgers aan een blockchain toevoegen, en de oracles in kwestie zijn simpelweg de overheidsambtenaren die de gegevens valideren”, aldus Smits.

Privacy-paradox

Eén van de grootste nieuwe uitdagingen voor blockchain is de GDPR of General Data Protection Regulation. De nieuwe Europese privacyregels gingen eind mei van kracht, en bevatten onder meer een ‘recht om vergeten te worden’ dat fundamenteel botst met blockchain. Burgers uit de EU hebben dankzij GDPR het recht om van bedrijven te eisen dat ze al hun data van de servers verwijderen.

Maar wat blockchain veilig maakt, is net dat de gegevens van vorige uitwisselingen van data deel uitmaken van de ‘ketting’. Verwijder een onderdeel en die ketting zou letterlijk breken. “GDPR is gemaakt voor oude datasystemen waarbij je op elk moment gegevens kan verwijderen, dat heet een CRUD-model: create, read, update en delete. Blockchain werkt volgens een geheel ander model, namelijk CRAP: create, retrieve, append en burn. Vooral die laatste twee zijn interessant in dit geval. ‘Append’ staat tegenover ‘update’, en dat wil zeggen dat je alleen nieuwe transacties kan toevoegen aan de blockchain. ‘Burn’ slaat op het feit dat encryptiesleutels die toegang geven tot data verdwijnen.” Volgens Smits staat een CRAP-model haaks op de manier waarop regelgevers GDPR hebben samengesteld.

Los van de ketting

De blockchain consultant ziet twee stromingen in de manier waarop ontwikkelaars van blockchain-toepassingen omgaan met het hele GDPR-probleem. “De eerste groep wil manieren bedenken om blockchain toch conform te maken met GDPR, en zo hun toepassingen ‘GDPR compliant’ te maken. Een alternatief voor het verwijderen van persoonsgegevens is om die data op te slaan op een uithoek van de blockchain. Vervolgens krijgt niemand toegang tot die gegevens. In wezen is de data is dan niet helemaal weg, dat gaat ook niet, maar niemand komt er nog mee in aanraking omdat niemand de sleutel krijgt.”

“Een andere manier om GDPR te respecteren is door gegevens ‘off-chain’ op te slaan. Alle persoonsgegevens worden apart opgeslagen volgens een klassieke manier van databeheer, en daarrond worden dan blockchainstructuren gebouwd die bij elke uitwisseling telkens toegang vragen tot de persoonsgegevens.”

Wie beheert mijn gegevens?

De vraag is wie precies die data off-chain kan beheren, want het apart bewaren van gegevens gaat in tegen het decentrale aspect van blockchain. “Bij zo’n concept van gegevens die off-chain worden opgeslagen, zal je altijd een vorm van vertrouwen moeten hebben in een bepaalde centrale partij. Het is heel aannemelijk dat zo’n partij een overheidsorgaan kan zijn, al zal dat in landen als de VS omwille van de spionageschandalen wel gevoeliger liggen. Overheden die data van burgers beheren, dat zal altijd voor een spanningsveld zorgen.”

“De banken vormen een tweede optie, omdat die veel ervaring hebben in het valideren van identiteitsdata. Iemand uit het bankwezen sprak me hier ooit over aan, en stelde dat identiteit valideren in een toekomst waarin blockchain aan belang toeneemt, zou kunnen uitgroeien tot een core business voor banken. Ik volg die redenering, al ontstaat ook hier net als bij overheden een spanningsveld. De laatste honderd jaar zijn er wereldwijd verschillende dingen gebeurd die het vertrouwen in de sector hebben geschonden.”

Sleutelbewaarder van uw eigen data

Volgens Gerrie Smits bestaat een tweede manier om het probleem met GDPR en blockchain op te lossen erin om mensen zelf rechtstreekse sleutelbewaarder te maken van hun eigen data. “Mensen kunnen zelf de sleutel krijgen tot hun eigen persoonsgegevens die op een afgeschermd gedeelte van de blockchain of off-chain zijn opgeslagen. Je kan dan bijvoorbeeld bewust ingaan op een verzoek van Proximus om je persoonsgegevens te lezen. Als gebruiker krijg je telkens te zien welke partijen toegang hebben gehad, en eventueel kan die toegang tijdsgebonden zijn. Eens Proximus je gegevens gevalideerd heeft, is die toegang dan niet meer noodzakelijk.”

Vanaf de geboorte of vanaf een volwassen leeftijd zou een mens zelf de beheerder van zijn eigen data kunnen worden, merkt Smits op. “Moet een overheid binnen tien jaar nog een eID verdelen? Kan je niet beter private sleutels verdelen van gegevens op blockchain? Je kan data op die manier dan gemakkelijk segmenteren. Neem als voorbeeld een nachtclub. De buitenwipper aan de toegang hoeft zelf niet te weten hoe oud je precies bent. Hij hoeft enkel te weten of je binnen mag. Als je hem toegang verleent tot je private gegevens, krijgt hij enkel de validatie te zien dat je beantwoordt aan de toegangsregels van de club.”

Zelfde doel, andere middelen

Smits benadrukt dat maatregelen zoals het ‘recht om vergeten’ te worden uiteindelijk het zelfde doel hebben als blockchain, namelijk het beschermen van gegevens van gebruikers. “In feite wil GDPR mensen zelf het beheer van hun eigen data in handen geven, en één van de maatregelen om dat te bewerkstelligen is het ‘recht om vergeten te worden’. Dat is eigenlijk niet meer dan een middel om een probleem op te lossen. Het is met blockchain perfect mogelijk om mensen zelf de sleutel van hun gegevens in handen te geven. Ik vind het erg interessant dat beide systemen elkaar tegenwerken, en eigenlijk met andere middelen hetzelfde doel willen dienen. Namelijk een veilige uitwisseling van gegevens voorzien.”

Gerrie Smits hoopt dat er in de toekomst meer overleg ontstaat tussen beleidsmakers en ontwikkelaars van blockchain-platformen. “Veel ontwikkelaars van blockchain-toepassingen willen met hun software een antwoord bieden op de klassieke organen zoals overheden, omdat er een zekere mate van wantrouwen is ontstaan. Maar ik hoop dat beide partijen samenkomen om zo het beste van beide werelden te creëren. Ik heb uit ervaring geleerd dat er meer nood is aan sociologen dan aan technologie-experts bij het uitwerken van concrete concepten rond blockchain.” Het is volgens Smits belangrijk om rekening te houden met het effect van dergelijke systemen op een samenleving. Alleen zo kan u het beste van politieke regelgeving en technologie op een ethisch verantwoorde manier samenbrengen.