L'European Data Protection Board a adopté, le 7 juillet 2026, ses lignes directrices finales sur les traitements de données personnelles reposant sur une blockchain.

Elles montrent que la conformité ne commence pas par le chiffrement. Elle commence par la justification du choix technologique.

Avant tout développement, le responsable du traitement doit documenter :
— la finalité exacte du projet ;
— le besoin réel d’un registre distribué ;
— les alternatives centralisées examinées ;
— la raison pour laquelle elles seraient insuffisantes ;
— le choix d’une blockchain publique, privée ou permissionnée.

« Innovation », « transparence » ou « confiance » ne constituent pas une démonstration de nécessité.

Le Comité recommande par ailleurs de privilégier les blockchains permissionnées, qui permettent de mieux identifier les participants, contrôler les accès et attribuer les responsabilités.

L’architecture doit ensuite séparer les données :

1. Sur la chaîne :
— une preuve d’existence ;
— un pointeur ;
— un engagement cryptographique ;
— un hash calculé avec une clé.

2. Hors chaîne :
— la donnée personnelle originale ;
— la table de correspondance ;
— les clés et secrets ;
— la durée de conservation ;
— le mécanisme d’effacement.

Un hash ou une donnée chiffrée peut toujours rester une donnée personnelle. Le simple recours à la cryptographie ne fait donc pas sortir le traitement du RGPD.

Avant la mise en production, un test d’effacement doit vérifier que la suppression des données et secrets conservés hors chaîne empêche effectivement la réidentification.

Le livrable central doit tenir dans une matrice : finalité → alternative examinée → justification blockchain → données sur chaîne → données hors chaîne → durée → effacement → preuve

L’immuabilité n’est pas un argument de conformité. Une blockchain n’est défendable que si l’entreprise peut prouver pourquoi elle était nécessaire, ce qu’elle a refusé d’y inscrire et comment elle supprimera le lien avec la personne.

Document officiel : https://lnkd.in/evxb7u-b