區塊鏈技術在個人信息保護中的應用研究

□ 文 吳基祥

一、問題的提出

互聯網技術的創新給人類生活方式帶來巨大變革。互聯網技術在給人們生活帶來便利的同時，也給用戶個人信息帶來了泄漏、被利用的潛在威脅。由于區塊鏈技術具有不可篡改性，使用非對稱加密技術，且能夠對侵權行為進行溯源抓取記錄，具有高度的信任背書，從而給網民個人信息帶來新的保護方式。目前，區塊鏈技術已廣泛應用在數字金融、物聯網、版權、醫療服務等領域，相較于以往的互聯網個人信息安全保護機制，區塊鏈技術不僅降低了個人信息泄漏的風險，同時也給現階段互聯網治理提供了一種新型可靠且實用的技術支持。

目前，學術界和產業界對區塊鏈技術在個人信息保護中的發展前景給予厚望。學者張倩在《建高校學生檔案區塊鏈征信管理平臺的探究》一文中分析指出，區塊鏈技術在高校學生檔案中應用，能夠防止學生檔案信息泄漏，保證學歷信息的真實性，且能夠為學生提供便捷和可靠的信息認證服務。王志誠教授在《互聯網時代個人征信體系聯盟區塊鏈模式分析》一文中認為，區塊鏈技術能夠有助于互聯網征信體系的建立，實現征信數據的有效快速分析運用。在產業界，京東全球購利用區塊鏈技術，記錄商品從生產到交易再到配送一系列環節的信息，保障商品的信息真實可靠，同時也對用戶個人物流信息提供安全保護傘。人民網、微博等媒體，也引入區塊鏈技術，用于保護作者的版權信息。

現階段互聯網中的個人信息面臨著多方面的威脅，平臺未經許可擅自收集、泄露用戶個人信息；由于平臺掌握技術優勢，公民個人無法獲得相關證據材料，因而在司法實踐中存在舉證能力不足等困境。目前，區塊鏈技術尚處于起步階段，技術還未成熟，相關法律制度也處于缺位狀態。因此，區塊鏈技術在對個人信息保護帶來一些優勢的同時，還面臨哪些不足之處，以及如何對不足之處進行改進，本文將逐一進行探究。

二、區塊鏈技術在個人信息保護中的優勢

區塊鏈是由日本學者中本聰提出，用于電子現金交易的一種分布式賬本和數據庫。隨著人們對區塊鏈技術日益了解，其具有的各種技術優勢也被挖掘，如區塊鏈分布式賬本中的去中心化、不可篡改性、溯源追蹤、全痕記錄等，且逐漸被推廣應用于金融、教育、物聯網等領域。

（一）去中心化保障個人信息主權

所謂去中心化，是與中心化概念相對。在傳統的互聯網生態中，用戶使用的網絡平臺都是建立在某個公司所創建的軟件技術服務基礎之上，因而用戶個人信息輕易地就會被平臺所掌控。但是在去中心化的技術環境下，原本扮演著中心化角色的平臺權力，被分散化，用戶之間即可進行點對點的網絡活動。用戶對個人信息的主權利也重新得到技術承認和鞏固，平臺對用戶個人信息的獲取和收集使用行為，在區塊鏈中也將會全痕記錄。

以領主科技研發的OFID系統為例，OFID系統運用區塊鏈技術，結合區塊鏈所具備的各種優勢條件，為用戶個人信息提供了一個更為安全、全面的網絡空間。首先，OFID系統采用實名制分布式賬戶系統。實名制分布式賬戶系統并不是一個簡單的數據庫系統，該系統充分考慮到了用戶的隱私保護。在區塊鏈中，用戶的個人信息和相關數據由公鑰和私鑰一組非對稱密碼構成，平臺只可顯示用戶的公鑰地址，其他任何個人信息都無法被他人獲取。除非獲得授權，經過用戶本人同意后，方可在賬戶系統中查詢。同時，在區塊鏈保護系統中，用戶的每一份數據都被會形成一個獨立的區塊，只有當每一個注冊管理節點均滿足可信計算標準，才能實現遠程驗證。

其次，OFID系統實行實名監管。在該系統中，用戶若想使用該平臺進行相關網絡活動，必須經過實名登記審核，否則無法進入區塊鏈系統中。實名認證后，用戶還可要求對相關的交易進行監管，這樣一來，在區塊鏈中的每個驗證節點的交易都會在監管下進行，從而確保交易的真實合法性。即使發生相關侵權行為，區塊鏈技術的全痕記錄和不可篡改性，也能夠追溯抓取侵權行為人。另外，OFID系統為注冊用戶提供個人專屬身份識別碼。OFID身份碼利用區塊鏈技術賦予每個節點哈希值的功能，自動分配給用戶一串全球唯一的數字序列，相當于賦予用戶一張“電子DNA”。并且OFID身份碼能夠將數字信息與用戶的個人真實身份相分離，進而避免黑客、暗網組織通過網絡攻擊來獲取用戶真實個人信息。

在區塊鏈技術下，用戶的個人信息被存儲在區塊鏈節點中，即使他人想篡改竊取，難度也是極大，需要以修改全世界大部分接入互聯網的設備為前提。個人信息通過節點的存儲，結合區塊鏈技術不可篡改的可信度，用戶即可通過區塊鏈節點的認證，實現對個人信息的保護，而無需再通過第三方來證明個人信息的真實性，也不用擔心相關信息被竊取篡改，保障用戶對個人信息擁有絕對主權利。

（二）為個人信息保護司法維權提供證明機制

區塊鏈技術的出現，為打破司法實踐中的困境提供了發生條件，使得個人信息保護的舉證維權勝訴率大幅提升。

首先，區塊鏈證據的效力已得到法律認可。2018年6月，杭州互聯網法院在審理一件版權糾紛案件時，原告通過第三方鑒定平臺，使用區塊鏈技術對被告的侵權行為進行抓取，并且形成的區塊鏈證據得到了法院的認可，成為原告勝訴的重要因素。該案件是國內第一起使用區塊鏈技術舉證維權并勝訴的案例，為我國的司法實踐提供了借鑒經驗。同年9月，最高人民法院發布《關于互聯網法院審理案件若干問題的規定》，其中第十一條提到，當事人提交的電子數據，通過電子簽名、可信時間戳、哈希值校驗、區塊鏈等證據收集、固定和防篡改的技術手段或者通過電子取證存證平臺認證，能夠證明其真實性的，互聯網法院應當確認。這也是我國首次以司法解釋形式，對使用區塊鏈技術電子存證法律效力的認可。

其次，區塊鏈技術在個人信息保護中，區塊鏈技術結合爬蟲、大數據等技術，能夠對侵權行為進行抓取分析和識別。比如用戶在原本區塊鏈平臺中上傳發布個人簡歷或者作品文件，一旦他人非法盜取使用用戶的相關信息文件，區塊鏈技術能夠對信息文件的使用痕跡進行記錄，對盜用的文件進行哈希值分析，確定是否構成侵權。同時，結合爬蟲和大數據分析，能夠對用戶由于被侵權而造成的損失進行動態分析，確定侵權人的侵權賠償額，使得侵權行為在區塊鏈技術面前無藏身之處。即使是匿名侵權者，用戶在司法舉證維權之時，也能夠較為容易地提供相關侵權的全部證據，交由法院鑒定，而無需再請求平臺公開披露。

三、區塊鏈技術在個人信息保護中存在的不足

技術具有中立性，即在使用技術的過程中，對個人信息進行保護的同時，也存在技術被非法利用的情況。區塊鏈技術在個人信息保護的應用中，除了擁有不可篡改等技術優勢和法律效力之外，還存在一些技術缺陷與法律制度的不足。

（一）區塊鏈技術尚未成熟，信任機制仍存在被攻擊風險

目前區塊鏈技術還處于起步發展階段，面臨的風險和挑戰也是一大安全問題。首先，區塊鏈作為一種新興復雜的網絡技術，研究開發需要付諸大量的人力物力和財力，而目前區塊鏈技術在人才、技術方面仍較短缺，且研發費用高昂，從而使得區塊鏈技術在推廣普及應用方面，往往也會受到價格因素的限制。其次，區塊鏈技術所具有的不可篡改性優勢，也不是絕對性的。雖然區塊鏈技術降低了用戶個人信息被篡改竊取的風險，但是也面臨著黑客控制51%節點潛在威脅。黑客想要篡改區塊鏈中的數據信息，必須通過控制區塊鏈中絕大多數的節點，即控制超過51%的區塊鏈節點，就可重改區塊鏈分布式賬本數據。由于網絡是自由開放的，因此從理論上來說，區塊鏈無法阻止黑客利用擁有足夠多計算資源的節點進行不法操作。

此外，共識機制是區塊鏈技術的重要組成部分，處于區塊鏈技術架構的較底層。區塊鏈系統中的各個節點能夠在沒有第三方信用機構存在的情況下，記錄并認可某一行為，原因在于各節點自發地遵守一套事前設定好的規則。通過規則運行，可以直接判斷行為記錄的真實性，并將判斷結果為真的記錄記入區塊鏈之中。但是將區塊鏈技術應用于個人信息的保護治理中，并不能夠完全取代傳統的治理模式，如果用戶惡意上傳虛假信息，或者冒用他人的身份進行注冊認證使用，區塊鏈中的共識機制并不能夠發揮其應有的作用。因此，完全寄托于區塊鏈技術來實現個人信息的保護，也帶有理想化的色彩，如果在一個區塊鏈節點中，個人信息都是虛假偽造的，那區塊鏈所塑造的信任機制也將不復存在。而建立在不可靠的區塊鏈節點基礎之上的網絡活動，如線上交易、資源存儲等，都將受到很大程度的威脅。

（二）法律法規尚未齊全，區塊鏈保護個人信息仍存在法律風險

法律具有滯后性，因而導致目前區塊鏈的法律法規和政策制度還處于摸索階段。通過搜索目前關于區塊鏈技術的法律法規政策文件發現，由于區塊鏈技術尚處于起步發展階段，很多規定還未能達到法律規范的程度，從而呈現出法律規范空缺的現象。首先，在“基本法”層面，刑法、民法都未有明確關于區塊鏈技術的規范，但作為基本法，其作用在于能夠涵蓋區塊鏈所涉及到的一些法律活動，如利用區塊鏈技術盜取販賣個人信息，將涉及“侵犯公民個人信息罪”“非法利用網絡信息罪”等罪名；在民事法律中也可能觸及網絡交易合同、侵權賠償等。其次，在行政法規層面，集中于規范使用區塊鏈技術對用戶信息安全的保障責任與義務；在規章以及行業技術規范層面，主要是針對區塊鏈技術的具體運行操作，也尚處于階段性摸索層面。

目前關于區塊鏈技術的法律法規呈現出兩個特點：一是法律位階較高的法律行政法規，內容偏重于個人信息和網絡安全方面，適用于區塊鏈的法律條款都是一些原則性的內容，不夠具體化；二是法律位階較低的規章和規范性文件，針對區塊鏈技術的應用規范比較具體，可操作性較強，內容也較為全面。從而呈現出法律位階高低與對應內容的具體化之間不協調的局面。

區塊鏈技術雖然給個人信息保護提供了諸多可靠的技術優勢，但是同時也會產生新的法律問題。如在去中心化的區塊鏈中，第三方平臺的權力被分解，不存在所謂的中心化部門，但是當個人信息遭泄漏，被竊取時，由誰來承擔相關法律責任？當個人信息被他人冒充注冊使用，相關信息如何被追回？區塊鏈技術使用非對稱加密對用戶個人信息進行保護，在傳統的中心化網絡中，密碼丟失可以通過數據庫找回，但是由于區塊鏈技術的去中心化和不可篡改性，當用戶遺忘密碼時，私鑰就無法找回，這是否意味著用戶也失去了其對區塊鏈個人信息所擁有的權利？以及其他還未顯現的新問題，都給個人信息安全埋下了隱患。

四、區塊鏈技術在個人信息保護中的改進措施

區塊鏈在技術和法律方面所存在的風險和不足之處，并非是對抗性的，可以通過技術的改進與法律的完善來彌補區塊鏈所存在的缺陷問題，緩解技術與法律矛盾沖突，使區塊鏈技術更好地應用在個人信息保護上。

（一）改進區塊鏈技術，降低個人信息被攻擊風險

針對區塊鏈中的個人信息可能遭受51%攻擊的風險，筆者認為，可以在區塊鏈技術中設置攔截警示程序，當網絡中某個用戶控制超過一定數量的節點時（如超過50%），區塊鏈攔截系統自動發出警示提醒，讓區塊鏈鏈中所有的節點用戶引起重視。如果該用戶控制的節點數不斷增加，達到51%時，區塊鏈中的個人信息面臨被篡改的威脅。此時區塊鏈可以溯源追蹤鎖定行為人，一方面可以呼吁網絡“紅客”對黑客的行為進行反擊，限制其對更多節點的控制；另一方面，當系統發出警示時，其他用戶可以將區塊鏈中的個人信息刪除，或通過其他方式將區塊鏈中的個人信息數據復制保存，避免被泄漏盜取。

區塊鏈共識機制是建立在用戶自覺遵守區塊鏈社區規范基礎之上的，如實名認證，抵制發布不實信息。但是在區塊鏈中，當用戶冒充身份進行注冊登記使用，或者進行虛假交易，試圖破壞區塊鏈的信任機制時，如何避免此類行為的發生，成為解決區塊鏈可信性問題的關鍵。要想創建一個去中心化的信任空間和信任機制，單純依靠區塊鏈技術可能無法實現，還需借助人工智能、爬蟲、公有聯盟鏈等技術共同打造一個信任環境。如區塊鏈技術和人工智能相結合，對身份驗證可結合人臉識別技術，保障用戶身份的真實性；與爬蟲技術結合，實現對侵犯個人信息的行為實時監控和抓取；建立公有鏈聯盟，即與第三方權威機構合作，如公安機關、工信部等，當發生個人信息侵權糾紛時，能夠在線對用戶提供信息進行權威對比分析，鑒定侵權行為。

（二）完善區塊鏈技術的法律法規，使技術操作具有統一規范

目前關于區塊鏈技術的法律法規呈現出法律位階與內容詳細度成反比的關系，即位階越高的法律，關于規范區塊鏈技術操作的內容越具有原則性，缺乏具體性。因此，可以嘗試改變關于區塊鏈法律在位階與內容詳細之間的反比關系，讓法律規范內容更為詳細具體的同時，也需提升區塊鏈法律規范的位階，使得規范區塊鏈技術的法律規范不僅更具有權威性，也更具有可依據性和可執行性。

當然，規范區塊鏈技術的法律法規并不是一蹴而就的，法律具有滯后性的原因在于法律規范的是社會中較為成熟穩定情形，但是法律并不能規范社會中所有的細節，尤其是面對飛速發展的網絡科技，法律無法企及科技的演進速度。而區塊鏈技術正處于起步發展的階段，雖然目前已在很多領域應用，但是其呈現出來的問題以及將會暴露哪些缺陷，都無法預估。因此，在規范區塊鏈技術的應用和法律責任時，首先應當注重實務界和學術界的研究和意見，當一項問題或現象逐漸增多時，及時通過法律法規或其他規范性文件的方式加以規范說明，或者在司法實踐中創新應用；當該問題或現象普遍出現時，即可以更高位階的法律形式加以規范。另外，對冒充身份進行使用的行為，試圖通過偽造節點篡改區塊鏈信息的行為，可能會涉及到刑事犯罪和行政、民事責任，當出現新的技術犯罪時，法律可能需要作擴大解釋或目的解釋來適用。若還無法涵蓋區塊鏈犯罪時，規范新技術犯罪的法律法規可能就會應運而生。

五、結語

區塊鏈技術的出現，既給個人信息保護帶來了新的技術優勢，同時也給信息保護帶來了潛在的風險。面對當下區塊鏈技術熱潮，一方面，需要去擁抱技術，將技術優勢應用于個人信息保護；另一方面，也需要對區塊鏈技術保持謹慎態度，應用中可能出現的新問題，以及面臨的法律挑戰，還須隨著技術的發展和應用中顯露問題，結合技術與法律兩方面的改良，來實現技術優勢的最大化。■