Evropský sbor pro ochranu osobních údajů (EDPB) přijal 7. července 2026 konečnou verzi vodítek ke zpracování osobních údajů s využitím technologie blockchainu. Kdo výmaz dat nevyřeší už při návrhu zpracování, může podle EDPB skončit u smazání celého blockchainu.
Evropský sbor pro ochranu osobních údajů, který sdružuje dozorové úřady všech členských států EU, schválil 7. července 2026 finální verzi vodítek 02/2025 ke zpracování osobních údajů prostřednictvím technologie blockchain. První verzi sbor přijal 8. dubna 2025, poté ji předložil k veřejné konzultaci a nyní vydal konečné znění. Jde o první ucelený evropský výklad toho, jak se obecné nařízení o ochraně osobních údajů (GDPR) uplatní na technologii, jejíž základní vlastností je, že jednou zapsaná data už nelze změnit ani smazat.
Vodítka nejsou závazným právním předpisem. EDPB je vydává proto, aby dozorové úřady pro ochranu dat vykládaly GDPR v celé EU jednotně. Při kontrole se s nimi proto setká každý, kdo v blockchainu zpracovává osobní údaje. Zdaleka nejde jen o kryptoburzy a další poskytovatele služeb podle nařízení MiCA. Vodítka dopadnou například i na banky testující distribuované registry, na projekty digitální identity nebo organizace, které chtějí na blockchain ukládat certifikáty, dodavatelské záznamy či data z věrnostních programů.
Veřejný klíč je osobní údaj
Vodítka nejprve vyjasňují, která data na blockchainu jsou osobními údaji. Každý účastník transakce vystupuje pod identifikátorem, takzvaným veřejným klíčem, který vypadá jako náhodná posloupnost písmen a číslic. Pokud za ním stojí fyzická osoba a klíč s ní lze spojit, například po úniku dat z kryptoburzy nebo s využitím dalšího zdroje, jde o osobní údaj. Totéž platí pro adresy peněženek nebo záznamy o provedených transakcích, jakmile je lze spojit s přímo či nepřímou identifikovanou nebo identifikovatelnou fyzickou osobou.
Nic na tom nemění ani šifrování či jiná technická ochrana těchto informací. Šifrovaná data zůstávají osobními údaji, protože je lze s pomocí klíče kdykoli přečíst a spojit s fyzickou osobou. EDPB navíc upozorňuje, že u blockchainu uchovávaného bez časového omezení je nutné počítat s tím, že dnešní šifry jednou přestanou být bezpečné, třeba kvůli nástupu kvantových počítačů.
Podobně opatrně přistupuje EDPB k hashům, tedy otiskům dat vytvořeným jednosměrnou matematickou funkcí. Z hashe sice nelze původní údaj přímo vyčíst, přesto jde stále o osobní údaj. Kdo chce hash uložit na blockchain, musí jej podle vodítek nejprve doplnit o tajný klíč nebo o dostatečně dlouhou náhodnou hodnotu. Bez této ochrany může útočník původní údaj uhodnout. Stačí, aby zkoušel hashovat jména, rodná čísla nebo telefonní čísla tak dlouho, dokud nenajde shodu s otiskem uloženým na blockchainu.
Nejdále jde EDPB u takzvaných kryptografických závazků. Zjednodušeně řečeno jde o zapečetěnou obálku. Na blockchain se uloží jen pečeť a samotná data zůstávají u správce mimo blockchain. Když správce data i pomocný ověřovací údaj smaže, zůstane na blockchainu pouze pečeť, ze které už nikdo nezjistí, čí data v obálce byla, ani co obsahovala. Právě tuto techniku vodítka popisují jako cestu, jak splnit požadavek na výmaz i v systému, ve kterém se nemaže.
Osobní údaje na blockchain nepatří. Opravdu?
Obecné pravidlo zní podle EDPB jednoduše. Ukládání osobních údajů na blockchain se má správce vyhnout, kdykoli to odporuje zásadám ochrany dat, a ukládání údajů v čitelné podobě EDPB důrazně nedoporučuje. Sbor vychází především z článku 25 odst. 2 GDPR, který správcům ukládá zajistit, aby osobní údaje nebyly standardně přístupné neomezenému okruhu osob (data protection by default). Veřejný blockchain přitom zpřístupňuje všechna data komukoli na světě. Použít jej proto lze jen tehdy, když je veřejná dostupnost dat nezbytná alespoň pro jeden z účelů zpracování.
Doporučené řešení podle EDPB vypadá tak, že v rámci blockchainu je uchováván (zpracováván) pouze doklad o existenci dat, tedy odkaz, chráněný hash nebo kryptografický závazek. Samotné údaje zůstávají v dalších, oddělených systémech správce s omezeným přístupem. Uložení údajů v čitelné podobě na veřejný blockchain vodítka připouštějí jen výjimečně.
Smazání dat musí být možné vždy
Velmi důležité je i konstatování, že technické parametry zvolené technologie (blockchain) nejsou omluvou či pardonem pro nesoulad s GDPR. EDPB tím navazuje na svou zprávu o ChatGPT z května 2024 a stejnou logiku vztahuje na blockchain. Neměnnost dat není vyšší mocí, ale vlastností technologie, kterou si správce sám vybral. Když si ji vybral, musel s požadavky na výmaz a opravu počítat už při návrhu. A pokud s nimi nepočítal, tak se nemůže divit…
Vodítka EDPB jsou v tomto ohledu jednoznačná. Pokud proces pro odstranění dat byť jednoho dotčeného člověka není možný, může vyřízení jediné oprávněné žádosti o výmaz znamenat smazání celého blockchainu včetně kopií u všech zapojených počítačů.
EDPB vychází z principu, že když rizika zpracování dat pro dotčené subjekty údajů nelze zmírnit vhodnými opatřeními, má správce zvolit jinou podobu blockchainu nebo úplně jinou technologii. Tuto možnost má podle EDPB vždy. A pokud na blockchainu nelze dosáhnout zabezpečení, resp. celkového nastavení přiměřeného rizikům pro subjekty údajů, nemá jej správce k danému zpracování vůbec použít.
Kdo odpovídá za blockchain
Vodítka řeší také otázku, kdo za zpracování osobních údajů s využitím blockchainu odpovídá jako správce. EDPB doporučuje dát přednost sítím s řízeným přístupem, označovaným jako permissioned. V nich o okruhu účastníků rozhoduje konkrétní autorita, takže je zřejmé, kdo nese odpovědnost. Jinou architekturu smí správce zvolit jen z dobře zdůvodněných a zdokumentovaných příčin. I tehdy má znovu zvážit, zda je blockchain pro daný účel vůbec vhodný.
U veřejných sítí bez omezení přístupu, jako je bitcoin nebo ethereum, mohou být správci nebo společnými správci i provozovatelé jednotlivých uzlů, tedy počítačů, které síť udržují v chodu. Platí to tehdy, když fakticky rozhodují o účelech a podstatných prostředcích zpracování, například hlasováním o změnách pravidel sítě. Pro tyto případy EDPB důrazně doporučuje, aby provozovatelé uzlů založili konsorcium nebo jinou právnickou osobu, která bude vystupovat jako správce údajů.
I na blockchainu platí lhůty
To, že data na blockchainu nelze technicky smazat, neznamená, že je správce může uchovávat napořád. Údaje musí být smazány nebo anonymizovány, jakmile pomine účel zpracování a uplynou zákonné lhůty. Pokud správce potřebuje data jen několik let, nemá je na blockchain zapisovat vůbec, ledaže dokáže po uplynutí lhůty spolehlivě zabránit identifikaci dotčených osob. Kdo naopak tvrdí, že data potřebuje po celou dobu existence sítě, musí to zdůvodnit a písemně zdokumentovat.
Samostatné varování míří na souhlas. Když dotčená osoba souhlas odvolá, musí správce její data smazat nebo anonymizovat, pokud pro jejich zpracování nemá jiný právní důvod. EDPB proto výslovně uvádí, že souhlas nemá být právním titulem tam, kde architektura blockchainu výmaz neumožňuje.
Čtyři otázky před startem
Prakticky nejužitečnější částí dokumentu je příloha se 16 doporučeními pro správce, kteří hodlají blockchain pro zpracování dat využít.
Hned první doporučení ukládá správcům písemně zodpovědět čtyři klíčové otázky:
Budou na blockchainu osobní údaje?
Proč je blockchain pro dané zpracování nezbytný a jaké byly alternativy?
Jaký typ sítě má být použit?
Jaká technická a organizační opatření budou nasazena, včetně rozhodnutí, která data zůstanou mimo blockchain?
Zdůvodnit, zdokumentovat, umět smazat
EDPB ve svých vodítkách blockchain nezakazuje. K tomu ostatně ani nemá pravomoc. Vyžaduje ale, aby správci doložili nezbytnost využití této technologie pro zpracování osobních dat, obhájili zvolený typ sítě, zdůvodnili každou lhůtu pro uchování dat a již od návrhu počítali s tím, že někdo požádá o výmaz. Kdo dnes provozuje řešení, ve kterém osobní údaje leží přímo na blockchainu a smazat je nelze, má problém. Porušuje GDPR. Výmluva, že to technologie neumí, u dozorových úřadů rozhodně neobstojí.
