La Blockchain est-elle soluble dans le RGPD ?

La Blockchain est-elle soluble dans le RGPD ?

Compte-rendu de l’intervention de Bruno Rasle, délégué général de l’AFCDP, lors de l’assemblée générale de l’AFCDP qui s’est tenue à Paris le 21 juin 2017.

Disruptive et vecteur d’innovations qui vont probablement révolutionner notre quotidien comme l’a fait Internet, la technologie blockchain est-elle « compatible » avec les règles d’or qui encadre le traitement de données à caractère personnel ?

Par quel « bout » un Délégué à la protection des données peut-il prendre un projet de traitement mettant en œuvre cette approche pour en assurer la conformité

Notre métier est fabuleux à plus d’un titre, notamment parce qu’il nous oblige fréquemment à nous remettre en question. Pour être CIL – et DPO demain – il faut être humble et reconnaître qu’il y a plus de choses que nous ignorons que de choses que nous connaissons. Nous avons dû, par le passé, faire quelques efforts pour comprendre le Rfid, le Wi-Fi, le Bluetooth, la biométrie, les cookies, le datamining puis le Big Data… Aujourd’hui, nous sommes confrontés à la Blockchain.

Dans l’actualité, et même parmi nos membres, nous voyons se lancer beaucoup de projets de blockchain – en fait d’expérimentation de blockchain. Bruno Rasle a donc voulu se poser la question : si un traitement de données à caractère personnel met en œuvre de la blockchain, comment le CIL peut-il faire son analyse de conformité ? Quels devraient être les points de vigilance ?

Bruno Rasle a remercié Pierre-Yves Dupont, qui suit actuellement le Mastère Spécialisé « Informatique et Libertés » de l’ISEP, et qui a choisi ce thème passionnant pour sa thèse professionnelle (qu’il soutiendra en fin d’année). Il a demandé à Bruno Rasle d’accepter d’être son tuteur de thèse.

La présentation s’est concentrée tout d’abord sur la nature et le fonctionnement de la blockchain, avant de s’intéresser aux limites de la technologie, pour finir sur les questions liées à la conformité avec le RGPD.

Pour espérer pouvoir réaliser une analyse de conformité Informatique et Liberté d’un traitement de données personnelles basé sur cette technologie, encore faut-il la comprendre…

Pour comprendre la blockchain, on peut se donner l’image du parvis de la Défense (se reporter au support visuel utilisé). Un lieu tout plat, avec une foule d’inconnus qui se croisent. Imaginez qu’en tant qu’individu, vous souhaitiez procéder à une transaction avec un inconnu. La plupart des transactions requièrent un intermédiaire - mais pas celle-ci. Sur le parvis, il y a un grand panneau, visible par tous, qui affiche les règles selon lesquelles les transactions doivent se dérouler. Cette transaction ne sera pas validée par un notaire, un huissier, une banque centrale, ou un autre intermédiaire, mais par la communauté des inconnus présents sur le parvis : chacun vérifie que la transaction a bien respecté les règles. La description de la transaction est ensuite inscrite dans un livre comptable. La blockchain possède un tel livre, à la fois ouvert, inviolable, et avec une durée de vie égale à celle de la blockchain. De plus, ce livre comptable est dupliqué : chaque participant en possède un exemplaire. Dans un tel système, pour tricher (c’est-à-dire réaliser une transaction de respectant pas les règles), il faudrait être en collusion et créer une entente illicite avec plus de la moitié des utilisateurs (pour gagner le consensus) : à partir d’un certain nombre, le jeu n’en vaut pas la chandelle (« Attaque des 51 % »).

Dans cette métaphore, le panneau affichant les règles représente le logiciel, téléchargé par l’utilisateur, qui exécute les procédures d’une manière connue de tous. En tant que simple participant à cette blockchain, vous ne pouvez pas modifier ce « mode d’emploi », qui s’impose à tous. Sur le parvis de la Défense (qui symbolise ici la « communauté » des ordinateurs qui font partie de cette blockchain), l’ensemble des participants respectent à la lettre ce mode d’emploi, mais surtout certains d’entre eux (les « mineurs ») vérifient que toutes les transactions sont effectuées dans son respect (vérification par le consensus). Dans le cas du bitcoin(l’application de la blockchain la plus célèbre), cette vérification demande une puissance de calcul telle qu’elle est désormais réalisée par des « fermes » de serveurs, notamment en Chine (voir, par exemple, « Petite visite d’une mine de Bitcoin en Chine »).

La technologie de la blockchain n’a, dans ses composantes, rien de révolutionnaire : elle fait principalement appel à la cryptologie et aux réseaux pair-à-pair (peer-to-peer). En matière de cryptologie, plusieurs procédés sont utilisés, lors de la création d’un compte (avec la création d’une paire de clefs privé/publiques), ou lors de l’inscription des transactions (avec une technique de hash).

Il faut noter qu’ici, le chiffrement ne sert pas à la confidentialité. Il sert à :

• vérifier le respect des « règles » de la Blockchain ;
• signer (authentifier) ;
• certifier l’intégrité ;
• garantir la non-répudiation (vous ne pouvez pas revenir sur une transaction effectuée).

Le réseau peer-to-peer est composé de tous les utilisateurs de la blockchain. Dans celle-ci, chaque nœud est à la foi l’une des « extrémités » d’une transaction, le témoin/vérificateur des transactions et le détenteur d’une copie du « livre comptable » (appelé « ledger »).

En résumé, une transaction dans la blockchain se déroule ainsi :

A.Deux membres de la blockchain s’accordent sur une transaction ;

B.Grâce à la blockchain, la transaction est validée (par les « mineurs ») et encryptée (par consensus) ;

C.La transaction est inscrite dans le dernier bloc de la chaîne ;

D.La blockchain est répliquée dans les nœuds (membres) du réseau ;

E.Le ledger (« livre de compte ») est infalsifiable et perpétuel.

On voit que la blockchain crée de la confiance entre les acteurs. C’est une notion importante, particulièrement pour les « smart contract », qui peuvent s’inscrire dans la blockchain : ce sont des contrats conditionnés (SI telle condition est remplie, ALORS l’argent est versé, par exemple). Imaginez l’arrivée au Havre d’un cargo chargé de bananes : grâce à la blockchain et aux smart contract, la cargaison est acceptée et payée si les capteurs (humidité, poids, qualité) placés dans le cargo valident les valeurs attendues par l’acheteur.

La blockchain est un défi aux pouvoirs centralisés. En effet, aujourd’hui, ce sont des autorités centrales qui créent la confiance et tiennent des livres de compte, en prélevant leur part au passage. À l’inverse, dans la blockchain, il n’y a aucun intermédiaire, la confiance est créée par consensus, et il n’y a aucun (ou un très faible) prélèvement. Même les acteurs récents de type « Uber » prélèvent leur part : 7,5 % pour Ebay, de 9 à 15 % pour Airbnb, 20 % pour Uber, 12 % pour Blablacar… La start-up blochain Slock.it prépare un « Airbnb-killer », sans prélèvement d’aucune commission.

Cela fonctionne car la blockchain, comme technologie, est relativement robuste. Attention, cela ne signifie pas qu’il ne peut pas y avoir de problèmes de sécurité dans son utilisation (par exemple, dans les logiciels open source utilisés pour y accéder).

Bruno Rasle a ensuite présenté ce que l’on appelle les blockchains « privées » , qui sont des « clubs privés » avec des droits d’accès, un nombre de nœuds réduit, un gestionnaire chargé des accès et de la technologie, qu’il peut moduler dans le temps. Certains refusent l’appellation « blockchain » à ces applications, car elles font disparaître plusieurs intérêts de la blockchain dite « publique » (notamment, elle rompt l’égalité entre les membres).

L’application la plus connue de la blockchain actuellement est la cryptomonnaie (bitcoin et les… 1.600 autres  !), mais de nombreuses autres applications sont annoncées ou envisagées : vote électronique, témoignages de clients, transferts de propriété, location de voiture, traçabilité (pour la chaîne alimentaire par exemple), internet des objets, et même maîtrise de ses données personnelles.

La blockchain bénéficie d’un effet « leap frog », c’est-à-dire que c’est une technologie de pointe dont l’adoption ne nécessite pas de rattraper un retard. Par exemple, l’Organisation Non-Gouvernementale africaine Bitland l’utilise pour gérer les titres de propriété au Ganah, où le cadastre était inexistant : c’est un registre de propriété transparent et infalsifiable, grâce auquel l’État peut percevoir des taxes. Une expérience similaire avait été tentée au Honduras mais avait pointé les limites de la technologie… notamment l’impossibilité de réparer les erreurs commises.

Dans une deuxième partie, Bruno Rasle a évoqué les problèmes et les défis que rencontre la blockchain. Tout d’abord, il a souligné que l’on essayait souvent la blockchain là où d’autres technologies, plus éprouvées, pouvait faire mieux. La blockchain n’est, en fait, pas encore complètement mature, bien qu’évoluant rapidement. Par exemple, il y a encore des problèmes d’ergonomie important.

En outre, son utilisation est très consommatrice de ressources. Les fameuses « fermes » de serveurs utilisées pour miner des bitcoins représentent des consommations considérables. Il peut également y avoir des problèmes de lenteur : aujourd’hui, il faut dix minutes pour valider une transaction bitcoin.

Enfin, comme résultat de la défiance des Etats et de la circonspection des autorités, il manque un cadre juridique sûr. Beaucoup de start-up utilisant la blockchain se sont créées récemment, mais sont-elles viables ? Qu’arrivera-t-il si le gouvernement décide demain qu’elles ne respectent pas la réglementation sur la lutte contre le blanchiment d’argent ?

La DG Trésor a lancé une consultation Publique sur la régulation de la blockchain en mars 2017. Parmi les questions sur lesquelles elle attendait des contributions figurait « Identifiez-vous des points de frottements avec des règlementations existantes ? ».

Dans un dernier temps, la présentation s’est focalisée sur la question de la conformité au RGPD d’un traitement de données à caractère personnel mettant en œuvre de la blockchain.

De nombreuses questions complexes se posent :

1. S’agit-il d’un traitement de données à caractère personnel ? Dans la plupart des expérimentations documentées, des données directement ou indirectement personnelles figurent dans le livre comptable. Certaines implémentations peuvent être qualifiées de pseudonymes : dans le cas du bitcoin, toutes les transactions sont en clair : l’identité des participants ne peut être connue que s’il le fait volontairement, si son adresse IP est traçable, ou éventuellement à la suite d’une méticuleuse et complexe étude statistique sur la base de données des transactions.
2. Quel « rôle » pour chaque acteur  ? Qui est responsable de traitement  ? Tous « co-responsables »  ? Pas de sous-traitant  ? Pas de destinataire  ? Qui sont les personnes concernées qui ont des droits  ? Quelles responsabilités et quels risques pour chacun  ? Les créateurs des logiciels (open source) sont souvent anonymes… Dans une blockchain publique, cette « communauté » a souvent déterminé « les finalités et les moyens de la Blockchain ». Les participants sont-ils, en même temps, personne concernée et sous-traitant (« … qui traite les données pour le compte du responsable de traitement… »)  ? Tout cela est plus clair dans le cas de la blockchain privé, l’organisme qui sélectionne le logiciel, met en œuvre la blockchain et gère des habilitations qui permettent de rejoindre la chaine est clairement responsable de traitement.
3. Comment corriger, voire supprimer une donnée erronée (comme nous y oblige l’article 5.d du RGPD)  ?
4. Y a-t-il des flux transfrontières ? Probablement, dès qu’un nœud de la chaîne est hors de l’Union Européenne.
5. La durée de conservation (qui correspond à la durée de vie de la blockchain) respecte-t-elle l’article 5 e. du RGPD : « …pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées… ») ? Ce n’est peut-être pas un obstacle, si l’on considère que cela correspond à la finalité du traitement.
6. Comment réaliser une analyse d’impact  ?
7. Comment gérer les dispositions générales et spécifiques relatives au droit des personnes sur leurs données après leur décès  ?
8. Aurons-nous à gérer le droit à la portabilité, pour permettre à une personne de changer de blockchain  ?
9. Comment la CNIL va-t-elle réaliser ses missions de contrôle  ? Où va-t-elle se rendre ? Qui va-t-elle contrôler ?

Il s’agit « juste » ici des questions qui se posent concernant la conformité au RGPD… s’y ajoutent celles relatives à la conformité avec les règles encadrant la lutte contre le blanchiment de capitaux et le financement du terrorisme, celles relatives à l’amélioration de titres dans l’Union européenne et les dépositaires centraux de titres. Beaucoup de ces questions restent, pour l’instant, sans réponse.

Voir aussi :

Sur le sujet Blockchain/RGPD, une publication du 24 août 2017 sur le site LINC / CNIL : "Blockchain et RGPD, une union impossible ?"

L’Autorité hongroise pour la protection des données et la liberté d’information hongroise (NAIH) a publié en juillet 2017 quelques conseils sur la protection des données personnelles dans la blockchain. La NAIH aborde dans son document les questions relatives à la base juridique de tels traitements de données (sur la base de la législation en vigueur ou de l’intérêt légitime de l’utilisateur) la façon d’identifier le responsable de traitement et le(s) sous-traitant(s). Pour la NAIH, dans une blockchain publique, chaque utilisateur est responsable de traitement (mais dans ce cas, chaque utilisateur pourrait se voir adresser une demande de droit d’accès ?).