Ủy ban Bảo vệ Dữ liệu Châu Âu (EDPB) đã hoàn thiện các hướng dẫn mới vào ngày 8 tháng 7 năm 2026, làm rõ cách Thỏa thuận Bảo vệ Dữ liệu Chung (GDPR) áp dụng cho công nghệ blockchain. Hướng dẫn này giải quyết những bất định lâu dài về quy định đối với các tổ chức xử lý dữ liệu cá nhân của cư dân Liên minh châu Âu. EDPB xác nhận rằng các nhà vận hành blockchain không thể tránh khỏi nghĩa vụ GDPR chỉ vì các bản ghi trên blockchain không thể sửa đổi hoặc vì dữ liệu cá nhân đã được mã hóa hoặc băm trên chuỗi, xác lập rằng các tổ chức vẫn chịu trách nhiệm bảo vệ quyền của chủ thể dữ liệu bất kể kiến trúc kỹ thuật. Các hướng dẫn này được phát hành cùng tiêu chuẩn ẩn danh mới cập nhật, cùng nhau định nghĩa lại kỳ vọng tuân thủ cho các nhà vận hành blockchain trong khuôn khổ quyền riêng tư của EU đã áp dụng từ năm 2018.
EDPB xác nhận nghĩa vụ GDPR vẫn áp dụng bất chấp tính bất biến của blockchain
EDPB xác nhận rằng các nhà vận hành blockchain không thể tránh khỏi nghĩa vụ GDPR chỉ vì các bản ghi trên blockchain không thể sửa đổi hoặc vì dữ liệu cá nhân đã được mã hóa hoặc băm trên chuỗi. Theo cơ quan quản lý, các tổ chức vẫn chịu trách nhiệm bảo vệ quyền của chủ thể dữ liệu bất kể kiến trúc kỹ thuật họ chọn. Hội đồng cho biết dữ liệu cá nhân được mã hóa hoặc băm nói chung vẫn thuộc phạm vi GDPR vì có thể liên kết trở lại với một cá nhân có thể nhận dạng thông qua địa chỉ ví, cơ sở dữ liệu bên ngoài, khoá giải mã hoặc các tiến bộ trong phân tích mật mã trong tương lai. Hướng dẫn ẩn danh đi kèm xác lập rằng dữ liệu chỉ có thể được coi là ẩn danh nếu không thể bị cô lập, liên kết hoặc dùng để suy ra danh tính của một cá nhân.
EDPB đề cập đến ba mô hình chính của blockchain để tuân thủ GDPR
Các hướng dẫn đề cập đến ba mô hình chính của blockchain: mạng công cộng không cần phép, blockchain riêng có phép, và chuỗi liên minh. EDPB cho biết blockchain riêng và chuỗi liên minh thường phù hợp hơn để tuân thủ GDPR vì chúng cho phép các tổ chức rõ ràng có thể xác định được làm chủ dữ liệu và xử lý dữ liệu. Ngược lại, cơ quan quản lý lưu ý rằng việc phân công các trách nhiệm này trên các mạng công cộng không cần phép vẫn rất khó khăn do tính phi tập trung của các thành viên tham gia.
EDPB khẳng định quyền xóa dữ liệu vẫn áp dụng bất chấp giới hạn kỹ thuật
Hội đồng nhấn mạnh rằng quyền xóa dữ liệu theo GDPR vẫn tiếp tục áp dụng ngay cả khi công nghệ blockchain khiến việc xoá bỏ bản ghi gặp khó khăn về mặt kỹ thuật. Theo hướng dẫn, các giới hạn kỹ thuật không miễn trừ các tổ chức khỏi nghĩa vụ tuân thủ. EDPB khuyên các công ty cần xác định xem công nghệ blockchain có thực sự cần thiết trước khi triển khai và, nếu có thể, tránh lưu trữ dữ liệu cá nhân trực tiếp trên chuỗi. Cơ quan quản lý thừa nhận các rủi ro lâu dài liên quan đến mã hóa, lưu ý rằng các tiến bộ công nghệ, bao gồm tính toán lượng tử, có thể cuối cùng khiến các bản ghi blockchain mã hóa hiện tại có thể đọc được. Các tổ chức dự kiến sẽ xem xét các rủi ro tái nhận dạng trong tương lai khi thiết kế hệ thống blockchain lưu giữ thông tin vĩnh viễn.
EDPB đề xuất lưu trữ ngoài chuỗi cho dữ liệu cá nhân
Hướng dẫn đề xuất các tổ chức giữ dữ liệu cá nhân ngoài chuỗi càng nhiều càng tốt, sử dụng blockchain chủ yếu để lưu trữ các tham chiếu mật mã trong khi duy trì thông tin cá nhân có thể xóa trong các cơ sở dữ liệu truyền thống. Theo EDPB, kiến trúc này cung cấp phương pháp thực tiễn nhất để đáp ứng yêu cầu xóa dữ liệu của GDPR trong khi vẫn duy trì chức năng của blockchain. Trong trường hợp không thể tránh khỏi việc lưu trữ dữ liệu cá nhân trên chuỗi, cơ quan quản lý đề xuất các phương án thay thế hạn chế. Các phương án này bao gồm mã hóa dữ liệu blockchain bằng khoá mã hóa ngoài chuỗi được quản lý an toàn và có thể bị huỷ khi có yêu cầu xóa, hoặc sử dụng dữ liệu băm được bảo vệ bằng muối bí mật ngoài chuỗi có thể bị huỷ. Hội đồng cho biết các phương pháp này có thể là các giải pháp thực tiễn thay thế cho việc xóa bỏ, nhưng không biến dữ liệu cá nhân thành thông tin ẩn danh.
EDPB nêu bật các thách thức trong chuyển giao quốc tế và yêu cầu của hợp đồng thông minh
Hướng dẫn làm rõ các thách thức liên quan đến chuyển giao dữ liệu quốc tế trên các blockchain công cộng. Do các giao dịch tự động sao chép qua các nút đặt tại nhiều quốc gia, các tổ chức có thể vô tình chuyển dữ liệu cá nhân ra ngoài Liên minh châu Âu mà không có các biện pháp bảo vệ theo GDPR. EDPB cảnh báo rằng việc đáp ứng các yêu cầu chuyển giao quốc tế trên các mạng blockchain không cần phép có thể gặp khó khăn đặc biệt do không thể xác định hoặc ký hợp đồng với các nhà vận hành nút ẩn danh. Cơ quan cũng đề cập đến hợp đồng thông minh, giải thích rằng các quyết định tự động dựa trên blockchain có thể kích hoạt Điều 22 của GDPR khi các quyết định này tạo ra ảnh hưởng pháp lý hoặc ảnh hưởng tương tự quan trọng đối với cá nhân. Các tổ chức triển khai hợp đồng thông minh cho dịch vụ tài chính, xác thực danh tính, cho vay, bảo hiểm hoặc quản lý truy cập có thể cần cung cấp minh bạch về xử lý tự động đồng thời đảm bảo các cá nhân bị ảnh hưởng có cơ hội yêu cầu xem xét bởi con người.
Hướng dẫn của EDPB ảnh hưởng đến các tổ chức tài chính và nhà cung cấp dịch vụ y tế
Hướng dẫn ảnh hưởng đến nhiều lĩnh vực sử dụng công nghệ blockchain, bao gồm các tổ chức tài chính, nhà cung cấp dịch vụ y tế, nền tảng chuỗi cung ứng, nhà quản lý tài sản kỹ thuật số, thị trường NFT và nhà cung cấp tài sản token hóa. Các hệ thống blockchain hiện có chứa dữ liệu cá nhân có thể cần chỉnh sửa kỹ thuật, thiết kế lại kiến trúc hoặc di chuyển sang lưu trữ ngoài chuỗi để nâng cao khả năng tuân thủ. EDPB nhấn mạnh rằng hướng dẫn này không tạo ra nghĩa vụ pháp lý mới mà làm rõ các yêu cầu của GDPR đã áp dụng từ năm 2018, nghĩa là các tổ chức xử lý dữ liệu cá nhân trên mạng blockchain cần xem xét hệ thống hiện tại của mình ngay lập tức. Dù đã lấy ý kiến phản hồi của các bên liên quan trong các cuộc tham vấn công khai, cơ quan này từ chối yêu cầu miễn trừ các nghĩa vụ của nhà kiểm soát đối với blockchain công cộng hoặc nới lỏng tiêu chuẩn ẩn danh, qua đó củng cố khung tuân thủ nghiêm ngặt hơn đối với xử lý dữ liệu dựa trên blockchain trên toàn Liên minh châu Âu.
Câu hỏi thường gặp
Ủy ban Bảo vệ Dữ liệu Châu Âu đã hoàn tất điều gì vào ngày 8 tháng 7 năm 2026?
EDPB đã hoàn thiện các hướng dẫn mới làm rõ cách Thỏa thuận Bảo vệ Dữ liệu Chung (GDPR) áp dụng cho công nghệ blockchain. Hướng dẫn này được phát hành cùng tiêu chuẩn ẩn danh cập nhật và đề cập cách các tổ chức xử lý dữ liệu cá nhân của cư dân Liên minh châu Âu phải tuân thủ các quy tắc quyền riêng tư của EU.
Tại sao EDPB khẳng định tính bất biến của blockchain không miễn trừ nghĩa vụ GDPR?
EDPB xác nhận rằng các nhà vận hành blockchain không thể tránh khỏi nghĩa vụ GDPR chỉ vì các bản ghi trên blockchain không thể sửa đổi hoặc vì dữ liệu cá nhân đã được mã hóa hoặc băm trên chuỗi. Theo cơ quan quản lý, các tổ chức vẫn chịu trách nhiệm bảo vệ quyền của chủ thể dữ liệu bất kể kiến trúc kỹ thuật họ chọn.
EDPB đề xuất các tổ chức xử lý dữ liệu cá nhân trên blockchain như thế nào?
Hướng dẫn đề xuất các tổ chức giữ dữ liệu cá nhân ngoài chuỗi càng nhiều càng tốt, sử dụng blockchain chủ yếu để lưu trữ các tham chiếu mật mã trong khi duy trì thông tin cá nhân có thể xóa trong các cơ sở dữ liệu truyền thống. Theo EDPB, kiến trúc này cung cấp phương pháp thực tiễn nhất để đáp ứng yêu cầu xóa dữ liệu của GDPR trong khi vẫn duy trì chức năng của blockchain.
