Het gebruiken van blockchaintechnologie biedt heel wat voordelen voor wat betreft het garanderen van de integriteit (tamperproof) van de data die per blok in de keten van de blockchain worden bijgehouden.

Het verwijderen van gegevens bij een node kan dan de integriteit van de volledige keten compromiteren, waardoor men gemakkelijk kan achterhalen dat er met de gegevens werd geknoeid.

Maar het gebruiken van blockchaintechnologieën voor de verwerking van persoonsgegevens biedt ook heel wat uitdagingen, met betrekking tot de toepassing van de GDPR.

Sommige van die uitdagingen kunnen zelfs helemaal niet worden weggenomen door gebruik te maken van een blockchain architectuur.

Hierna wordt heel kort ingegaan op het stockeren van persoonsgegevens in een blockchain en een eventueel alternatief om (eventueel) toch compliant te kunnen zijn met de GDPR.

Publieke versus private blockchains

Blockchains kun je min of meer vergelijken met versleutelde gerepliceerde verwerkingen over meerdere verspreide systemen (nodes), waarbij iedere node identiek dezelfde gegevens heeft.

Dit maakt dat wanneer je manueel een blok (record of sets van gerelateerde records) zou verwijderen bij een node, het verwijderde blok, in principe, nog steeds aanwezig zal zijn bij de andere nodes van de keten; waardoor knoeien met de gegevens aanzienlijk moeilijker wordt.

Zonder in detail te treden kun je blockchains indelen in publieke en private blockchains.

Verder zijn er blockchains waar iedereen de zelfde rechten en mogelijkheden heeft, en blockchains die centraal worden gemonitord en waar niet iedere participant dezelfde rechten en mogelijkheden heeft.

Ongeacht het type zouden bij blockchains problemen kunnen ontstaan wanneer men persoonsgegevens gaat registreren in de blokken van een blockchain, hetzij in de metadata hetzij in de payload (de transactie zelf).

Persoonsgegevens in chain en off chain

Wanneer men voor een blok die in een blockchain zal worden geregistreerd persoonsgegevens zijn betrokken, kan men zich de vraag stellen of men deze persoonsgegevens in de transactie (de payload van het blok) of als metadata in het blok van de blockchain registreert (online), en of erbuiten (offline).

Beslist men de persoonsgegevens online te stockeren, met welke rechtsgrond zal men dit dan doen; is dit de toestemming van het datasubject, een gerechtvaardigd belang, of een andere rechtsgrond?

Bij het online registreren van persoonsgegevens in een blockchain dient de verwerkingsverantwoordelijke o.a. ook rekening te houden met de rechten van het datasubject, en meer bepaald het recht op verwijdering, het recht om de verwerking van de hem betreffende persoonsgegevens te beperken, etc.

Gezien de rigiditeit van een blockchain lijkt het erop dat een verwerkingsverantwoordelijke heel moeilijk zal kunnen voldoen aan deze rechten die de datasubjecten op basis van de GDPR hebben.

Daarom is het in de meeste gevallen niet aangewezen om persoonsgegevens online in een blockchain te registreren, hetzij in de payload hetzij als metadata.

Maar wat met betrekking tot het registreren in de blockchain van persoonsgegevens als een al dan niet versleutelde referentie of een pointer, en waarbij de persoonsgegevens zelf offline worden bewaard?

In geval de werkelijke persoonsgegevens offline, dus buiten de blockchain, worden bewaard zullen die onderworpen worden aan de voorwaarden en beveiligingsaspecten die voorzien zijn in de GDPR, zoals de basisprincipes (rechtmatigheid van de verwerking, transparantie, minimale gegevensverwerking etc.) maar ook aan de nodige maatregelen die de verwerkingsverantwoordelijk moet nemen om de veiligheid van deze offline geregistreerde persoonsgegevens te garanderen.

In geval de werkelijke persoonsgegevens offline worden bewaard zal er bij verwijdering van deze gegevens offline in de keten van de blockchain weliswaar een referentie of pointer over blijven, maar deze pointer zal dan naar verwijderde offline records verwijzen.

Conclusie

In de meeste gevallen is het niet aangewezen om persoonsgegevens in een blockchain te registreren.

Wilt men toch persoonsgegevens toekennen aan een transactie in de keten van een blockchain, dan maakt men bij voorkeur gebruik van een versleutelde pointer die verwijst naar de offline bewaarde persoonsgegevens.

Net zoals de blockchain zelf moet er ook voor de offline bewaarde persoonsgegevens de vereisten van de GDPR worden nageleefd.

Bloep, 15 maart 2026.