La technologie de la chaîne de blocs présente de nombreux atouts, mais, comme la plupart des innovations, elle appelle une réflexion attentive et soulève des questions nouvelles qu'il convient de résoudre. Les chaînes de blocs sont des registres numériques décentralisés, en principe ouverts au public, composés de « blocs » d'informations reliés entre eux par un hachage cryptographique. Elles sont extrêmement difficiles à falsifier, et leur caractère décentralisé, public et inaltérable pose la question du sort des données à caractère personnel qui y sont inscrites.
Schématiquement, il peut être soutenu que les clés publiques, comparables aux IBAN du système bancaire classique et traçables par quiconque, assurent aux utilisateurs du réseau un anonymat suffisant. Contrairement à une idée répandue, les données pseudonymisées telles que les clés publiques ne garantissent toutefois pas un anonymat complet et permettent de remonter jusqu'à l'utilisateur. En outre, certaines chaînes de blocs permettent aux utilisateurs d'inscrire des données bien plus détaillées que les simples transactions traçables au moyen des clés publiques.
L'une des difficultés relatives aux données à caractère personnel inscrites sur une chaîne de blocs tient à la détermination de l'ordre juridique dans lequel elles sont traitées. Si le caractère décentralisé des chaînes de blocs est source de confiance et de sécurité, il engendre également une incertitude quant à la loi applicable. Dès lors que les registres numériques publics des chaînes de blocs publiques sans permission sont répartis à l'échelle mondiale entre tous les nœuds souhaitant rejoindre le réseau, les chaînes de blocs peuvent aisément être regardées comme dépourvues de frontières. Il s'ensuit une incertitude quant à la loi régissant les données à caractère personnel inscrites sur une chaîne de blocs ainsi que les litiges susceptibles de naître à leur sujet.
Une autre difficulté majeure liée à l'utilisation de la chaîne de blocs réside dans l'identification des responsables du traitement au sein de celle-ci. Aux termes de la loi n° 6698 relative à la protection des données personnelles (la « loi sur la protection des données »), le responsable du traitement est la personne physique ou morale qui détermine les finalités et les moyens du traitement des données à caractère personnel. S'agissant des données stockées sur des chaînes de blocs privées et à permission, les responsables du traitement sont aisément identifiables. Pour les chaînes de blocs publiques et sans permission, telles que la chaîne de blocs Bitcoin, l'identification du responsable du traitement est en revanche moins évidente. Trois catégories d'acteurs sont principalement envisagées : les programmeurs, les mineurs (ou, plus largement, les nœuds validateurs) et les utilisateurs.
Le rapport de 2018 intitulé « Blockchain and the GDPR », établi par l'Observatoire et forum de la blockchain de l'UE, indique clairement que les programmeurs qui écrivent le code de la chaîne de blocs concernée ne doivent pas être considérés comme responsables du traitement, dès lors qu'ils se bornent à créer l'outil technologique et n'ont aucune prise sur son utilisation effective. La qualification des mineurs est plus discutée, ceux-ci veillant au fonctionnement et à la sécurité du réseau. Les avis divergent sur le point de savoir si ce contrôle du réseau équivaut à la détermination des finalités et des moyens du traitement. Quant aux utilisateurs du réseau, le rapport précise qu'ils peuvent être regardés comme responsables du traitement au sein de la chaîne de blocs lorsque leur finalité se rattache à une activité commerciale. La question des modalités selon lesquelles ces utilisateurs pourraient être sanctionnés demeure néanmoins ouverte.
La dernière difficulté liée à la technologie de la chaîne de blocs en matière de protection des données tient à la difficulté de modifier les données qui y sont stockées. Aux termes de la loi sur la protection des données, lorsque les motifs du traitement des données à caractère personnel ont disparu, le responsable du traitement est tenu d'effacer, de détruire ou d'anonymiser ces données, d'office ou à la demande de la personne concernée. Or, une fois les données inscrites sur une chaîne de blocs, leur modification ou leur suppression est quasiment impossible. La plupart des chaînes de blocs ne permettent de modifier des données antérieures qu'avec l'accord d'une majorité des nœuds du réseau, la proportion requise dépendant de l'algorithme de consensus utilisé. Eu égard au nombre très élevé de nœuds que comptent de nombreuses chaînes de blocs, l'obtention d'un consensus majoritaire se heurte à une difficulté objective.
Compte tenu du caractère disruptif et novateur de la technologie de la chaîne de blocs, et du fait que le droit positif de la protection des données ne prend pas en considération les bases de données à registre distribué, la chaîne de blocs fera inévitablement naître de nouvelles complexités juridiques en la matière. Il nous semble que la législation existante en matière de protection des données doit être constamment adaptée à l'innovation technologique, afin de permettre à la technologie de la chaîne de blocs de déployer tout son potentiel tout en assurant la protection des données à caractère personnel. Bien qu'une telle législation risque d'aller à l'encontre de la nature même des chaînes de blocs, elle pourrait bien être nécessaire à la survie de cette technologie à l'ère de la réglementation de masse.