AEPD y el desastre de reescribir blockchain para el derecho al olvido

La propuesta de Agencia de España para proteger datos (AEPD) sobre blockchain y el derecho al olvido

18 noviembre, 2024 4 min read

Hace unos días, la Agencia Española para la Protección de Datos (AEPD) dió a conocer un documento bajo el nombre de «Prueba de Concepto blockchain y el derecho a supresión», donde propone un sistema blockchain que hace lo que «las infraestructuras blockchain actuales no hacen». Es decir, permitir el borrado de información con el fin de respetar el derecho al olvido.

Con su propuesta, la AEPD parece no entender bien lo que es blockchain. Aunque no sea su deseo, su propuesta parece encaminada a regular las blockchains hasta el punto de permitir la reescritura de la información según sea necesario. Los que estamos en el ecosistema desde hace años, sabemos y entendemos por qué que una blockchain debe ser inmutable. Sabemos que algo escrito en sus bloques queda allí grabado a fuego, inamovible, testigo perfecto e inalterable de algo que ha sucedido. Todo lo que vaya en contra de dichos principios, solo sirve para controlar dicha plataforma y ponerla al servicio de quien ostente el poder sobre ella y centralizarla.

CÓMO APROVECHAR LA LOCURA DE LAS MEMECOINS PARA FINANCIAR LA CIENCIA Y MEDICINA DESCI

AEPD busca hacer algo «bueno» creando algo muy malo

La posición de la AEPD es entendible. Su misión es proteger los datos digitales de las personas, un esfuerzo loable. Pero la protección de datos no solo debe proteger la privacidad de las personas y sus datos, sino que también debe proteger la integridad de los sistemas para evitar que puedan trampearse.

La AEPD esgrime que los datos personales o privados de una persona pueden llegar a una blockchain, y que dado el derecho al olvido del Reglamento General de Protección de Datos (RGPD), las blockchains deben tener un mecanismo para poder reescribir dichos datos y borrarlos. La AEPD olvida que una blockchain se construye encandenando bloques criptográficamente sellados unos con otros. Si se rompe dicho sellado, toda la seguridad de la blockchain se va al traste. Por ello, la solución de la AEPD significa dinamitar las bases de seguridad de las blockchains y de sus millones de usuarios.

El organismo esgrime la protección de los datos de los españoles, pero muchos de esos datos ya pululan por Internet (ni siquiera en la darknet) en bases de datos que se venden al mejor postor en foros de reconocida trayectoria hacker. Por 10 mil dólares, puedes obtener una base de datos de casi 40 millones de ciudadanos españoles.

Blockchain no es una base de datos centralizada

Básicamente, la idea de la AEPD es que “si los datos privados de un ciudadano llegar a una blockchain (ej: su DNI) y este desea borrarlos, debemos hacerlo”. Nuevamente, la idea es loable pero no adecuada. Si alguien está desarrollando un sistema blockchain que trabajará con los datos privados de un usuario, existe la solución de anonimizar dichos datos.

Desde usar las primitivas criptográficas de la blockchain para cifrar y anonimizar los datos, pasando por un UUID (si necesitas que los datos estén en plano), o mejor, usar criptografía de conocimiento cero, para proteger la privacidad de las personas en todo momento. Es sencillo, fácil de implementar y no te cargas la base de la seguridad de la blockchain en el proceso. Opciones existen, queda de parte de los desarrolladores de las aplicaciones y plataformas utilizarlas. Algo que sí es factible de aplicar por parte de los regularse. De hecho, sería positivo en muchos casos.

BLACKROCK LANZARÁ BUIDL, SU FONDO DE DINERO TOKENIZADO, EN 5 NUEVAS BLOCKCHAINS

Equívocos

Resulta perjudicial para la industria impulsar la idea de que la blockchain puede ser tratada como una base de datos centralizada. AEPD hace esto con algunos «Equívocos» que nombra en el documento. Por ejemplo, el «Equívoco» de que la inmutabilidad en blockchain no existe, poniendo como ejemplo el DAO Fork de Ethereum o la creación de Bitcoin Cash. Dichos «equívocos» generaron un movimiento en contra y los proyectos originales siguen su curso. En el caso de la DAO Fork de Ethereum, el proyecto Ethereum Classic, la versión original y no alterada de la blockchain de Ethereum tras ese desastre, sigue existiendo. En el de Bitcoin Cash, aunque es un desastre y su impacto en la comunidad es cada vez menos relevante, también sigue ahí.

Si la AEPD está preocupada por la privacidad de los datos en aplicaciones blockchain, la solución no es dinamitar lo que hace segura a la blockchain. La solución es crear un marco de recomendaciones que indique a los creadores de dichas aplicaciones que blockchain no es una base de datos centralizada, sino una capa de valor con datos inamovibles. Y que los datos de los usuarios deben permanecer lejos de la misma, sobre una capa de información, que puede ser cualquier base de datos SQL/NoSQL. La solución es educar en el desarrollo de buenas aplicaciones y políticas de seguridad-privacidad.

Atacando el espíritu de las comunidades

La AEPD también habla de “Equívocos” donde deja caer que las estructuras blockchains no son realmente descentralizadas, que la gobernanza es inexistente, que los nodos/mineros en realidad no actúan según el código programado y que tienen responsabilidades. O que “El código es la Ley” es una mentira.

MILEI: «NO PERMITAN QUE EL ESTADO META LA MANO EN LAS CRIPTOMONEDAS»

Cuando uno lee el documento de la AEPD parece que lo hizo fijándose en la base de datos del servidor de su Web, en lugar de estudiar las blockchains que realmente viven afuera. Por ejemplo, desde que Bitcoin empezó a funcionar, su estructura, gobernanza y funcionamiento ha permanecido inalterado. Incluso, proyectos como Ethereum, aún cumple con muchas de esas características, pese a haber evolucionado y cambiado mucho con el tiempo.

Como decimos más arriba, con la lectura del documento da la sensación de que la AEPD quiere transformar a la blockchain en una base de datos centralizada. Las bases de datos centralizada ya existen. Ejemplo: MariaDB. Además, la comunidad blockchain lo pone muy fácil con este diagrama: