EDPB-Richtsnoeren 02/2025: Blockchain, Governance en AVG-Conformiteit

Gegevensbescherming door Ontwerp (Art. 25.1)

Overeenkomstig de EDPB-richtsnoeren 4/2019 verplicht het beginsel van Data Protection by Design de verwerkingsverantwoordelijke om passende technische en organisatorische maatregelen te treffen, zowel bij het bepalen van de verwerkingsmiddelen als bij de verwerking zelf.

Bij deze analyse moet rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking, evenals de risico's voor de rechten en vrijheden van betrokkenen:

• Toepassing van pseudonimisering en versleuteling bij gegevensoverdracht en -opslag;
• Ingebouwde bewaartermijnen en geautomatiseerde verwijdering van verlopen gegevens;
• Granulaire toegangscontrole op basis van het beginsel van minimale privileges.

Gegevensbescherming door Standaardinstellingen (Art. 25.2)

Het beginsel van Data Protection by Default vereist dat door standaardinstellingen alleen persoonsgegevens worden verwerkt die strikt noodzakelijk zijn voor elk specifiek doeleinde van de verwerking, zonder dat actie van de gebruiker vereist is.

Dit geldt voor de hoeveelheid verzamelde gegevens, de mate waarin zij worden verwerkt, de bewaartermijn en de toegankelijkheid ervan (gegevens mogen niet zonder actieve handeling van de betrokkene voor een onbeperkt aantal personen toegankelijk worden gemaakt).`

Blockchain: Ontwerp van de Architectuur ter Bescherming van Rechten

De definitieve EDPB-richtsnoeren 02/2025 herinneren eraan dat een blockchain niet per definitie onverenigbaar is met de AVG, maar dat governance en architectuurkeuzes al vanaf de ontwerpfase moeten worden vastgelegd.

Persoonsgegevens mogen niet rechtstreeks onversleuteld op de keten (on-chain) worden opgeslagen: het EDPB adviseert persoonsgegevens buiten de keten (off-chain) te houden, minimalisatie toe te passen via cryptografische commitments (zoals gezouten hashes of zero-knowledge proofs) en duidelijke contractuele governance tussen deelnemers te waarborgen:

• Bepaal de verantwoordelijken, verwerkers of gezamenlijke verantwoordelijken volgens het governancemodel;
• Kies bij voorkeur voor een permissioned blockchain wanneer dit een betere toewijzing van verantwoordelijkheden mogelijk maakt;
• Verifieer de noodzaak van een publieke ledger voordat gegevens wereldwijd toegankelijk worden gemaakt;
• Beoordeel de gevolgen van onveranderlijkheid voor wissing en rectificatie, en bewaar identificeerbare persoonsgegevens buiten de onveranderlijke laag.

Geverifieerde Officiële Bronnen

Geassocieerde Operationele Micro-Tools

Zie Ook in het Juridisch Referentiekader