Image de l'article blockchain et rgpd

Privacy-by-design, la clef entre Blockchain et RGPD ?

Nous avons vu dans un premier article ce qu’était la blockchain, quelques points propres au RGPD, l’interaction nécessaire entre la technologie et la réglementation,… Nous sommes entrés, ensuite, dans le détail des incompatibilités entre la loi et la technologie. Nous allons maintenant nous attarder sur les mesures à mettre en place afin de gérer les problèmes et les écarts entre la loi et la blockchain.

Surfer sur la « hype » de la blockchain, c’est dangereux.

La blockchain, c’est à la mode. C’est en plein boom, tout le monde saute dessus, des banques aux groupes agroalimentaires. Mais est-ce vraiment une bonne idée ?

Le premier point qui peut vous éviter des ennuis avec la blockchain, c’est vous, c’est votre réflexion sérieuse sur le sujet.

La question à vous poser est la suivante : « Est-ce que j’ai réellement besoin de mettre en place une blockchain ? Est-ce que d’autres mesures existent et permettent d’arriver au même résultat ? Si oui, alors pourquoi mettre en place une blockchain ? »

Ça semble évident, mais la folie de la technologie fait qu’on se lance parfois dans des projets sans réfléchir aux conséquences de leurs choix.

La solution pour arriver à une blockchain globalement conforme, c’est essentiellement une chose : se poser les bonnes questions.

Mais quelles questions ?

La première, nous l’avons déjà abordée : « Est-ce que j’ai vraiment besoin d’une blockchain ? ». Si vous poursuivez un objectif précis, il faut vous interroger quant au réel besoin de la blockchain.

Si la réponse est oui, la seconde question doit arriver très rapidement : « de quelles informations j’ai besoin, dans cette blockchain ? »

Il faut garder à l’esprit que ce qui est dans une blockchain reste dans une blockchain ! Il sera toujours possible d’invalider des informations, en injectant des ordres d’annulation dans la blockchain, ordres qui seront par la suite validés par la majorité… mais les informations ne seront pas pour autant supprimées.

Ainsi, il est préférable (et recommandé) d’injecter des informations qui ne permettent pas d’identifier directement ou indirectement des personnes. Il est globalement envisageable d’injecter un identifiant qui, pris seul, permet de suivre des transactions sans permettre d’identifier une personne et de disposer de ces informations d’identification à part, hors blockchain. Il devient alors possible de procéder à l’effacement de données d’identification et d’arriver à une anonymisation des personnes, avec une blockchain.

Attention cependant, une anonymisation réelle, efficiente, est un procédé qui ne permet pas de connaitre ou de déduire l’identité d’une personne. C’est un procédé irréversible et total, si on peut ré-identifier des personnes, le but de l’anonymisation n’est pas atteint.

De la même façon, il faut s’interroger sur la donnée saisie dans la blockchain. « Est-ce que les données intégrées dans cette dernière sont des données à caractère personnel ? » « Dans quelle mesure elles permettent d’identifier une personne ? » « Sommes-nous dans le cadre d’une identification très difficile (il faut recouper de nombreuses informations pour déduire un nom) ou alors extrêmement facile et précise (sans efforts, je sais qui est la personne et je l’identifie de façon formelle) ? » En fonction de la facilité à identifier une personne, il faudra mettre en place des mesures techniques et organisationnelles plus ou moins poussées. Tout dépend de la vraissemblance à identifier une personne et des conséquences de cette identification ou des conséquences de l’usage de ses données liées à son identité.

Finalement, toute la conformité d’une blockchain au RGPD se résume en un concept : le privacy-by-design (bon, deux, le by-default aussi). Ces concepts s’appliquent à l’ensemble des traitements de données à caractère personnel et sont cruciaux dans les réflexions à avoir sur la blockchain.

Privacy-by-quoiquoi ?

Design ! La définition donnée par la Commission Nationale pour la Protection des Données (CNPD, l’équivalent luxembourgeois de notre CNIL française), définit le privacy-by-design comme ceci :

« Le concept de “Privacy by Design” a pour objectif de garantir que la protection de la vie privée soit intégrée dans les nouvelles applications technologiques et commerciales dès leur conception. Pour chaque nouvelle application, produit ou service traitant des données à caractère personnel, les entreprises et autres responsables du traitement devraient offrir à leurs utilisateurs ou clients le plus haut niveau possible de protection des données. » (https://cnpd.public.lu/fr/dossiers-thematiques/nouvelles-tech-communication/privacy-by-design.html)

La définition est simple, claire, mais sous-entend un ensemble d’éléments techniques et organisationnels large. Elle rejoint la notion de privacy-by-default, selon laquelle « chaque entreprise traitant des données personnelles doit garantir par défaut le plus haut niveau possible de protection des données. », comme l’explique la CNPD.

Elle consacre d’ailleurs une page entière à l’explication du privacy-by-design, consultable ici : https://cnpd.public.lu/fr/dossiers-thematiques/nouvelles-tech-communication/privacy-by-design/Le-Privacy-by-Design_-de-quoi-s_agit-il_.html

Vous disposez des idées générales mais, dans la mesure où chaque implémentation de blockchain dispose de propriétés uniques, je ne rentrerai pas davantage dans le détail. L’objectif de cette série de billets est que toute personne travaillant de près ou non avec la blockchain puisse comprendre qu’il est temps de se questionner.

Un dernier point cependant… Parce que je l’ai vu, lu, et rencontré pas mal de fois…

Arrêtez de faire n’importe quoi avec la blockchain

C’est un peu direct, mais c’est le reflet d’une bien triste réalité dans le monde de la sécurité : la blockchain n’est, globalement, pas sécurisée. Si les informations inscrites dans ces dernières sont inscrites de façon non réversible, l’implémentation de la sécurité entourant le fonctionnement de la blockchain laisse à désirer.

De nombreuses personnes se lancent dans la blockchain. Pour cela, elle mettent en place des solutions gratuites, open-source, téléchargent un programme prêt à l’usage, modifient rapidement deux trois morceaux de code et mettent en production la blockchain, sans vérifier le niveau de sécurité de cette dernière.

Ainsi, il n’est pas rare de rencontrer une blockchain censée être sécurisée, alors que le SSL n’est pas activé, ou acceptant encore le TLS 1.0. Il n’est pas non plus rare de rencontrer une blockchain mise en service avec une configuration par défaut, des mots de passe par défaut, une gestion des accès inexistante, des failles identifiées et non patchées ou, comble du comble, des nœuds de blockchain qui tournent sur des systèmes informatiques sensibles, sur des environnements de production, créant ainsi des gros risques.

Afin de favoriser l’adoption de la blockchain, de nombreuses personnes cherchent à faire simple, facile d’usage, « quelques clics et c’est réglé ». Cela n’est pas sans conséquences : la sécurité de la blockchain s’en trouve amoindrie, elle est plus exposée aux risques et, dans une optique de conformité au RGPD, de privacy-by-default, cela ne devrait pas arriver, puisque par défaut on cherche le plus haut niveau de sécurité.

A qui la faute ?

A tout le monde et personne à la fois. La plupart du temps, les développeurs des solutions de blockchain sont des bénévoles, qui mettent à disposition des solutions et qui prônent l’usage du logiciel libre. Ils ne sont pas nécessairement spécialisés en sécurité, ni au fait des obligations réglementaires qu’ils devraient respecter.

Les entreprises qui implémentent de la blockchain sont partiellement responsables, elles n’ont généralement pas la connaissance suffisante pour pouvoir le faire de façon totalement sécurisée. La configuration d’une blockchain, dès qu’on plonge les mains dans le code, est compliquée. De nombreux fichiers s’appellent les uns les autres, des paramètres extrêmement importants sont à paramétrer dans les tréfonds des fichiers de configuration, d’autres fonctions sont dépendantes du système d’exploitation installé et ont des dépendances parfois non satisfaites.

Pire encore, certaines blockchains fonctionnent dans des environnement en conteneurs, où il « suffit » juste de lancer, et tout fonctionne… on ne sait pas trop comment exactement, on ne peut pas vraiment toucher au code, voir et comprendre le fonctionnement, mais d’expérience, la plupart du temps, ce n’est pas sécurisé.

Alors, sans agresser personne, dites-vous simplement que ces pratiques mériteraient une vaste remise en question.

Nous arrivons au terme de cette série d’articles sur le RGPD et la Blockchain. Globalement, tout ou presque est à penser, imaginer et construire pour sécuriser l’usage de la blockchain et assurer sa compatibilité avec le RGPD et la protection des données à caractère personnel de manière plus globale.

On peut comparer le développement de la blockchain aux premiers pas du WEB. La sécurité de ce dernier n’était pas la priorité à ses débuts, l’essentiel, c’est que ça fonctionnait. Nous en sommes à peu près à cette étape, dans l’univers de la blockchain, pas au tout début, mais pas très loin quand même. De nouvelles façons de faire arrivent régulièrement, de nouvelles blockchains se créent, des évolutions sur le service sont apportées, sur la façon de la faire fonctionner, mais pas sur la sécurité, tout simplement car la blockchain n’est pas assez mature.

Cette façon de faire, non sans risque, devra évoluer au fil des années, et elle évoluera, je n’ai aucun doute sur ce point. La CNIL travaille sur le sujet, des instances européennes également et on peut raisonnablement penser que des textes, des lignes directrices et un cadre réglementaire viendront se positionner sur la blockchain.

Mais sans les attendre, il est déjà possible de se poser beaucoup de questions.

J’espère que ces articles vous ont aidé à mieux comprendre le sujet et les enjeux ! N’hésitez pas à intervenir dans les commentaires, sur les réseaux sociaux ou par e-mail si vous souhaitez échanger sur le sujet.

Une réflexion sur « Privacy-by-design, la clef entre Blockchain et RGPD ? »

  1. Bonjour,
    merci beaucoup pour tous vos billets très bien expliqués, détaillés et qui souvent traitent des points, des détails cruciaux pas faciles à détecter ou même à y penser.
    C’est toujours avec une grande joie que je consulte votre blog toujours dans l’espoir de lire des nouveaux sujets et je n’ai jamais été déçu!
    Bravo

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.