區(qū)塊鏈技術(shù)的應(yīng)用早已超出了作為其起源的數(shù)字資產(chǎn)行業(yè)，各類組織正積極探索區(qū)塊鏈在存儲和管理多種類型數(shù)據(jù)方面的潛力與應(yīng)用場景。

區(qū)塊鏈具備不可篡改性、透明性、去中心化數(shù)據(jù)管理及高可用性等特性，吸引了從金融業(yè)到供應(yīng)鏈管理以及醫(yī)療等多個行業(yè)的關(guān)注。然而，這些特性在滿足合規(guī)性監(jiān)管要求時也帶來了巨大挑戰(zhàn)，具體包括：

不可篡改性：一旦數(shù)據(jù)記錄在區(qū)塊鏈上，就無法被修改或刪除。

透明性：所有網(wǎng)絡(luò)參與者都可以查看全部數(shù)據(jù)并驗證其真實性。

去中心化管理：數(shù)據(jù)不由任何單一實體控制，也不由某個主體單獨負責(zé)。

高可用性：數(shù)據(jù)被復(fù)制并存儲在多個節(jié)點上，因此可隨時訪問。

區(qū)塊鏈的合規(guī)不只適用于Web3.0行業(yè)

根據(jù)企業(yè)的業(yè)務(wù)性質(zhì)和其管理的數(shù)據(jù)類型，現(xiàn)代區(qū)塊鏈應(yīng)用可能會受到不同監(jiān)管規(guī)則的約束。近年來，全球各地的金融監(jiān)管機構(gòu)不斷發(fā)布并更新相關(guān)監(jiān)管框架，獲得了媒體和公眾的廣泛關(guān)注。然而，公司仍須受到其他法規(guī)對于處理個人身份數(shù)據(jù)、醫(yī)療記錄、商業(yè)文檔、數(shù)字憑證等數(shù)據(jù)的約束。本文將重點探討隱私與數(shù)據(jù)保護監(jiān)管框架對利用區(qū)塊鏈技術(shù)管理個人和健康數(shù)據(jù)中的影響。 隱私與數(shù)據(jù)保護監(jiān)管框架中的核心挑戰(zhàn)

在監(jiān)管領(lǐng)域，隱私和個人數(shù)據(jù)保護（如GDPR[1]、CCPA/CPRA[2]、PIPL[3]等）與健康數(shù)據(jù)保護（如HIPAA[4]）之間存在許多重疊的要求。這種重疊主要源于相關(guān)數(shù)據(jù)的敏感性，需要對數(shù)據(jù)保護、安全性和隱私提出了類似的要求。

由于這些法規(guī)是在區(qū)塊鏈技術(shù)被廣泛應(yīng)用之前制定的，其中并未明確提及區(qū)塊鏈，因此也未能直接解決與區(qū)塊鏈相關(guān)的問題。然而，這些法規(guī)仍然適用于利用區(qū)塊鏈技術(shù)管理個人或健康數(shù)據(jù)的企業(yè)。

特別是區(qū)塊鏈的核心特性在滿足數(shù)據(jù)保護和隱私要求的時帶來了一些挑戰(zhàn)：

在后文中，我們將將深入探討每項挑戰(zhàn)，分析企業(yè)在使用區(qū)塊鏈時如何滿足隱私和數(shù)據(jù)保護要求，以及CertiK如何在這一背景下提供幫助。

不可篡改性

區(qū)塊鏈的不可篡改特性在合規(guī)性方面帶來了多個重大挑戰(zhàn)，尤其是同樣限制了用戶修改或刪除數(shù)據(jù)的權(quán)利以及數(shù)據(jù)儲存要求等相關(guān)的問題。

透明性

旨在保護用戶隱私的訪問控制要求，在實施區(qū)塊鏈解決方案時帶來了復(fù)雜的挑戰(zhàn)。

去中心化

區(qū)塊鏈的去中心化特性，特別是在治理方面，可能會與監(jiān)管要求中關(guān)于角色與責(zé)任的規(guī)定產(chǎn)生沖突。

可用性

區(qū)塊鏈網(wǎng)絡(luò)中的節(jié)點通常分布在不同的地理位置，對數(shù)據(jù)駐留和傳輸?shù)暮弦?guī)性帶來了巨大挑戰(zhàn)。

解決方案

混合存儲模型

混合存儲模型是平衡區(qū)塊鏈優(yōu)勢與合規(guī)要求的主要解決方案。這些模型將數(shù)據(jù)分為鏈上存儲和鏈下存儲來實現(xiàn)戰(zhàn)略分配：

敏感數(shù)據(jù)存儲在傳統(tǒng)的合規(guī)數(shù)據(jù)庫中。

區(qū)塊鏈上僅存儲數(shù)據(jù)的引用和驗證證明。

對敏感數(shù)據(jù)的修改可在鏈下存儲中完成。

區(qū)塊鏈保留不可篡改的審計記錄。

采用了混合存儲模型后，敏感數(shù)據(jù)會存儲在傳統(tǒng)或鏈下存儲解決方案中，從而解決以下挑戰(zhàn)：

不可篡改性：通過鏈下存儲實現(xiàn)數(shù)據(jù)的可刪除和可修改，同時保持數(shù)據(jù)完整性。此外，可以在鏈下數(shù)據(jù)中實行保留政策。

透明性：可通過鏈下存儲強化和管理敏感數(shù)據(jù)的安全性、訪問控制和加密措施。

去中心化：傳統(tǒng)存儲解決方案可以輕易劃分角色和責(zé)任。

高可用性：數(shù)據(jù)的位置和存儲的司法管轄權(quán)可以得到有效控制。

例如，醫(yī)療服務(wù)提供商可以將患者記錄存儲在傳統(tǒng)的符合HIPAA標準的數(shù)據(jù)庫中，同時使用區(qū)塊鏈記錄追蹤訪問日志和維護數(shù)據(jù)完整性。這一流程使他們能夠在需要時修改或刪除記錄，遵守數(shù)據(jù)保留政策，控制數(shù)據(jù)存儲位置，同時保留不可篡改的審計記錄。愛沙尼亞的電子健康系統(tǒng)（e-Health[5]）就是該模型的應(yīng)用案例：其患者記錄存儲在鏈下數(shù)據(jù)庫中，同時使用KSI區(qū)塊鏈來保護健康記錄的訪問日志并確保其全國醫(yī)療網(wǎng)絡(luò)中的數(shù)據(jù)完整性。

許可的私鏈網(wǎng)絡(luò)

私鏈網(wǎng)絡(luò)為組織提供了對網(wǎng)絡(luò)參與、權(quán)限以及數(shù)據(jù)治理的控制，同時保留了分布式系統(tǒng)的優(yōu)勢：

通過身份驗證和許可控制網(wǎng)絡(luò)成員資格。

基于角色的權(quán)限定義數(shù)據(jù)訪問和節(jié)點操作的權(quán)利。

可配置的共識機制和治理規(guī)則。

對節(jié)點分布的地理位置進行控制。

該網(wǎng)絡(luò)解決方案解決了以下問題：

透明性：數(shù)據(jù)訪問可以實現(xiàn)精細化控制，滿足安全性和隱私要求（通過應(yīng)用加密技術(shù)可進一步增強）。

去中心化：可清晰分配角色與責(zé)任，例如數(shù)據(jù)控制者/處理者的職責(zé)。

高可用性：數(shù)據(jù)的位置和分布可以得到有效控制。

一個典型的例子是，許可的私鏈網(wǎng)絡(luò)能夠?qū)】迪嚓P(guān)數(shù)據(jù)實現(xiàn)精細化訪問控制，在確?；颊唠[私的同時支持安全的醫(yī)療協(xié)作：

醫(yī)療服務(wù)提供者對患者記錄的訪問保持控制權(quán)。

每位參與者只能訪問其授權(quán)部分的醫(yī)療記錄。

臨床合作伙伴根據(jù)其角色擁有特定的權(quán)限級別。

患者可以共享記錄，而無須暴露其完整的病歷歷史。

例如，Medicalchain[6]利用Hyperledger Fabric的許可架構(gòu)實現(xiàn)不同的訪問級別，使患者能夠控制誰可以查看其記錄、可以查看哪些具體信息以及查看的時間范圍。此外，像利茲教學(xué)醫(yī)院信托（Leeds Teaching Hospital Trust）和伊麗莎白女王醫(yī)院（Queen Elizabeth Hospital）這樣的醫(yī)療機構(gòu)可以在滿足監(jiān)管要求的同時安全地交換患者數(shù)據(jù)。

零知識證明（ZKP）

零知識證明能夠在不暴露底層數(shù)據(jù)的情況下驗證信息，為在滿足合規(guī)要求的同時保持隱私提供了強有力的解決方案。區(qū)塊鏈上不存儲任何敏感數(shù)據(jù)，僅存儲用于驗證數(shù)據(jù)真實性的證明。其重要特性包括：

生成數(shù)據(jù)有效性的數(shù)學(xué)證明。

在不泄露底層數(shù)據(jù)的情況下驗證聲明。

實現(xiàn)信息的選擇性披露。

在驗證過程中保持數(shù)據(jù)的機密性。

假設(shè)敏感數(shù)據(jù)已按照數(shù)據(jù)保護和隱私要求妥善存儲于鏈下，則可以解決以下挑戰(zhàn)：

不可篡改性：數(shù)據(jù)的修改與刪除，以及保留政策在鏈下處理，同時保留在鏈上驗證數(shù)據(jù)真實性的可能性。

透明性：支持在鏈上驗證數(shù)據(jù)的同時，在鏈下保護敏感數(shù)據(jù)的機密性。

去中心化：通過鏈下存儲解決方案明確敏感數(shù)據(jù)的角色與責(zé)任分配。

高可用性：數(shù)據(jù)的位置與分布依賴于鏈下數(shù)據(jù)存儲，而驗證功能可通過鏈上實現(xiàn)。

金融機構(gòu)可以通過基于零知識證明的KYC流程實現(xiàn)以下功能：

客戶無須暴露原始個人數(shù)據(jù)即可證明其身份要求。

銀行在不存儲敏感信息的情況下驗證合規(guī)性。

身份驗證結(jié)果存儲在鏈上，同時保護隱私。

多個機構(gòu)可以驗證客戶狀態(tài)，而無須重復(fù)檢查。

例如，Privado ID[7]（原Polygon ID）允許組織發(fā)行符合W3C標準的可驗證憑證，用戶可以向驗證方證明特定聲明（如KYC狀態(tài)），而無須透露底層個人數(shù)據(jù)。該流程結(jié)合了基于區(qū)塊鏈的驗證與零知識證明技術(shù)，兼顧了合規(guī)性與隱私安全。

結(jié)論

區(qū)塊鏈技術(shù)與監(jiān)管合規(guī)的交集帶來了重大挑戰(zhàn)，但新興的解決方案為彌合這一差距提供了切實可行的方法。下表將關(guān)鍵挑戰(zhàn)與相應(yīng)的解決方案進行了對應(yīng)匹配。需要注意的是，表中所述的解決方案都假設(shè)了鏈下存儲的敏感數(shù)據(jù)已按照數(shù)據(jù)保護和隱私要求進行管理：

關(guān)鍵要點

目前沒有單一的解決方案能夠在鏈上托管敏感數(shù)據(jù)的同時，完全解決所有的合規(guī)性挑戰(zhàn)，同時保留區(qū)塊鏈技術(shù)的原始特性和理想。結(jié)合多種方法并考慮具體的業(yè)務(wù)和運營需求可能是最佳選擇。

從一開始就將合規(guī)性納入開發(fā)過程，而非事后補救，這有助于確定適合的區(qū)塊鏈類型（如公鏈/私鏈，許可/非許可等）以及任何附加解決方案。

由于相關(guān)法規(guī)仍在制定中，技術(shù)解決方案也在不斷發(fā)展，因此持續(xù)了解最新監(jiān)管政策進展尤為重要。

隨著區(qū)塊鏈技術(shù)和監(jiān)管框架的日益成熟，能夠?qū)徤鹘M合解決方案的組織將更具優(yōu)勢，可以在保持合規(guī)的同時充分利用區(qū)塊鏈的特長。

CertiK可在各個發(fā)展階段為采用區(qū)塊鏈的企業(yè)提供解決方案支持，包括有需求管理個人和敏感數(shù)據(jù)的企業(yè)。提供的服務(wù)包括：

分析基礎(chǔ)設(shè)施和數(shù)據(jù)設(shè)計或現(xiàn)有環(huán)境，以識別適用的監(jiān)管框架；

評估基礎(chǔ)設(shè)施和數(shù)據(jù)設(shè)計或現(xiàn)有環(huán)境，以識別信息通信技術(shù)（ICT）和監(jiān)管風(fēng)險；

提出應(yīng)對ICT和監(jiān)管風(fēng)險的行動建議；

確定適合的解決方案，以在保持合規(guī)的同時，充分利用區(qū)塊鏈技術(shù)。

[1] GDPR: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02016R0679-20160504

[2] CCPA/CPRA: https://leginfo.legislature.ca.gov/faces/codes_displayText.xhtml?division=3.&part=4.&lawCode=CIV&title=1.81.5

[3] PIPL: http://en.npc.gov.cn.cdurl.cn/2021-12/29/c_694559.htm

[4] HIPAA: https://www.hhs.gov/hipaa/for-professionals/privacy/laws-regulations/combined-regulation-text/index.html

[5] e-Health: https://e-estonia.com/solutions/e-health/e-health-records/

[6] Medicalchain: https://medicalchain.com/en/whitepaper/

[7] Privado ID: https://www.privado.id/

相關(guān)知識

區(qū)塊鏈數(shù)據(jù)保護與隱私合規(guī)：深入探討GDPR＆HIPAA
Splashtop 合規(guī)性：GDPR、HIPAA、FERPA、SOC 2、ISO 等
健康數(shù)據(jù)隱私與安全：個人健康信息的保護和合法使用
醫(yī)療保健行業(yè)中的區(qū)塊鏈：保護患者數(shù)據(jù)和隱私
個人信息保護法下，健康醫(yī)療數(shù)據(jù)隱私保護新解讀
區(qū)塊鏈技術(shù)在醫(yī)療健康數(shù)據(jù)管理中的應(yīng)用
跨境數(shù)據(jù)合規(guī)系列文章（二）：個人健康信息保護——美國HIPAA法案隱私規(guī)則解析
數(shù)據(jù)安全與隱私保護：數(shù)據(jù)倫理
區(qū)塊鏈安全與隱私保護機制
跨國健康數(shù)據(jù)隱私保護的法理基礎(chǔ)與實施策略.docx

網(wǎng)址: 區(qū)塊鏈數(shù)據(jù)保護與隱私合規(guī)：深入探討GDPR＆HIPAA http://m.u1s5d6.cn/newsview1407115.html