Direcciones de monedero y datos en cadena como datos personales
Leer la edición en PDF (3 páginas)
La posición del regulador
En julio de 2022 la Personal Data Protection Commission publicó una guía sobre consideraciones de protección de datos en el diseño de blockchains. Adopta tres posiciones centrales. Los datos escritos en una blockchain son datos personales si la persona puede ser identificada a partir de ellos en combinación con otra información. Una organización que escribe datos personales en una blockchain sigue siendo responsable de ellos como responsable del tratamiento. Los datos seudonimizados, como una dirección de monedero o un identificador cifrado mediante hash, pueden seguir siendo datos personales si la organización u otros pueden vincularlos a una persona.1 La guía recomienda mantener los datos personales fuera de la cadena, con solo hashes o referencias en ella, y utilizar redes permisionadas cuando los participantes puedan quedar vinculados por contrato. Antes de desplegar, las organizaciones deben evaluar si el uso que hacen de una blockchain pública es compatible con las obligaciones de limitación de la conservación y de rectificación.
Consecuencias para exchanges y protocolos
Un exchange que conoce la identidad del cliente detrás de una dirección de monedero tiene datos personales en esa dirección. Por tanto, cada transacción que el cliente realiza en cadena desde esa dirección, que es pública, constituye un dato personal en manos del exchange. Que el exchange revele el vínculo entre la dirección y la identidad es una comunicación de datos personales que requiere consentimiento o una excepción. Las excepciones cubren la comunicación exigida por la ley, que incluye la comunicación en virtud de una orden judicial como la dictada en CLM v CLN y la comunicación a las autoridades policiales, así como la comunicación necesaria para una investigación o un procedimiento.2 Un exchange al que se notifica una orden de revelación debe cumplirla y no debe utilizar la ley como pretexto para retrasarse. Un exchange al que el abogado de un demandante pide de manera informal los datos del titular de la cuenta debe negarse, porque ninguna excepción cubre la comunicación voluntaria a un particular.
Los protocolos se enfrentan a un problema distinto. Un desarrollador que escribe un atributo de identidad en una cadena pública, por ejemplo un soulbound token que registra que una dirección ha superado una verificación, ha creado un registro público permanente que no puede rectificarse ni suprimirse. La guía de la Commission lo considera un fallo de diseño, salvo que el atributo no pueda vincularse a una persona. En la práctica, el único diseño seguro mantiene la identidad fuera de la cadena y registra en ella solo una prueba criptográfica de que se produjo una verificación.
Notas
- Personal Data Protection Commission, Guide on Personal Data Protection Considerations for Blockchain Design (julio de 2022). ↩
- Personal Data Protection Act 2012, First Schedule (excepciones al consentimiento), incluidas la comunicación exigida o autorizada por la ley y la comunicación necesaria para investigaciones o procedimientos. ↩
Solo a efectos de información general. Este artículo no constituye asesoramiento jurídico ni fiscal, no sustituye el asesoramiento en un caso concreto y no crea una relación abogado-cliente. Refleja la situación jurídica a fecha de octubre 2026.