Use of blockchain technology in healthcare and its compliance with the GDPR provisions

Od dziesiątek lat dokumentacja medyczna pacjentów gromadzona jest w ramach podmiotu, w którym są udzielane świadczenia zdrowotne. Efektem tego jest rozproszenie danych w obrębie różnych organizacji. System jest tak skonstruowany, że to świadczeniodawcy są w posiadaniu danych pacjentów i to oni nimi zarządzają. W wyniku przedmiotowego rozwiązania pacjenci często napotykają problemy z uzyskaniem dostępu do dokumentacji, korygowaniem błędnych wpisów, czy udostępnianiem swojej dokumentacji innym podmiotom.Dostrzegając potrzebę poprawy przejrzystości i dostępu do dokumentacji medycznej zaczęto dyskusje nad wykorzystaniem bardzo popularnej na rynku finansowym technologii blockchain, która swoją popularność zawdzięcza rozwojowi kryptowalut. O technologii blockchain i jej potencjale w kontekście rozwoju jednolitego rynku cyfrowego Wspólnoty Europejskiej wiele mówi się na przestrzeni ostatnich kilku lat. Wskazuje się, że technologia blockchain może być z powodzeniem wykorzystywana w różnych sektorach gospodarki, nie tylko w finansach, ale również m.in. w handlu, ubezpieczeniach, przemyśle i ochronie zdrowia. Równocześnie pojawia się wiele głosów, które wskazują, że rozwiązania proponowane przez tą klasę technologii pozostają w konflikcie z uchwalonym dnia 27 kwietnia 2016 r. Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.Problemy prawne, które pojawiają się na gruncie RODO wynikają z dwóch podstawowych założeń technologii blockchain.Po pierwsze przepisy Ogólnego Rozporządzenia o Ochronie Danych Osobowych zakładają, że w odniesieniu do każdego zbioru danych osobowych występuje choć jeden podmiot, który pełni funkcję administratora danych, a w konsekwencji do którego osoby, których dane dotyczą mogą zwrócić się w celu wyegzekwowania swoich praw. Technologia blockchain w założeniu bazuje na rozproszonych bazach danych, w których nie da się wyróżnić centralnego podmiotu, który odpowiada za przetwarzanie danych. Przedmiotowe rozwiązanie znacząco utrudnia poprawną identyfikację podmiotów odpowiedzialnych (administratorów i podmiotów przetwarzających), a co za tym idzie stanowi realną przeszkodę w egzekwowaniu praw wynikających z przepisów Rozporządzenia.Po drugie, RODO bazuje na założeniu, że dane osobowe mogą być modyfikowane albo usuwane w każdym momencie, kiedy jest to konieczne (jeśli nie istnieją równolegle przesłanki negatywne). Z kolei elementem wyróżniających technologię blockchain, zapewniającym jej autentyczność jest brak możliwości usunięcia z niej raz zamieszczonych danych i znacznie utrudniony proces modyfikacji. Powstaje więc zasadnicze pytanie, czy technologia w takim kształcie czyni zadość art. 16 i 17 RODO. Niniejsze opracowanie stanowi omówienie relacji między technologią blockchain a przepisami RODO. Celem pracy jest zidentyfikowanie problemów pojawiających się w stosowaniu technologii blockchain do przetwarzania danych osobowych, w tym również danych medycznych w kontekście przepisów RODO.Szczegółowe techniczne podstawy technologii blockchain pozostają poza zakresem niniejszego opracowania. Jednakże dla celów dyskusji istotne jest, aby przybliżyć podstawowe cechy i terminologię związaną z technologią łańcucha bloków. Zrozumienie niektórych założeń tej technologii jest bowiem kluczowe w perspektywie rozstrzygnięcia zaprezentowanych problemów prawnych.For decades, patients' medical records have been collected within entities where health services are provided. This has resulted in a dispersion of data among different organizations. In the currently used system, health care providers keep and manage patient's data. As a result of this solution, patients often face problems while trying to access their records, modify them, or make them accessible to others.Professionals quickly recognized the need to improve transparency and accessibility of medical records. Discussions have begun about the possible utilization of blockchain technology, which is very popular within the financial market and owes its popularity to the rapid development of cryptocurrencies. Over the last few years, much has been said about blockchain technology and its great potential to improve the European Community's Digital Single Market development. It has been pointed out that blockchain technology can be successfully used in various sectors, not only in finance but also, among other things, in trade, insurance, industry, and healthcare. At the same time, many voices indicate that solutions used in this class of technology remain in conflict with those adopted on 27 April 2016 - Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC.Two basic assumptions of blockchain technology are responsible for the legal problems that arise on the ground of GDPR. Firstly, within General Data Protection Regulation provisions, there is an assumption that there is at least one entity that regulates data administration for each set of personal data. Such a solution ensures the existence of a party that can be requested to make necessary modifications when a person turns to enforce their rights. Blockchain technology is based on the idea of distributed databases in which it is not possible to distinguish the central entity responsible for data processing. This solution significantly hinders the correct identification of the responsible entities (data controllers and processors). Therefore, it constitutes a real obstacle to the enforcement of the rights arising from the GDPR provisions. Secondly, the GDPR derives from the assumption that personal data can be modified or deleted at any time when it is necessary (if there are no counter-premise indicators). On the other hand, the perk that distinguishes blockchain technology from many others, ensuring its authenticity, is the lack of possibility to delete data once uploaded.This study explores the relationship between blockchain technology and the GDPRs' rules. The work aims to identify problems arising in the use of blockchain technology to process personal data, including medical data, in the context of the laws of the GDPR.The detailed technical basis of blockchain technology remains outside of the scope of this study. However, it is vital to explain the basic features and terminology related to blockchain technology, since understanding some of this technology's assumptions is crucial to resolve the legal problems presented