law2bitEl choque: inmutabilidad contra derecho de supresión
El Reglamento General de Protección de Datos reconoce el derecho a obtener la supresión de tus datos personales en ciertos casos (artículo 17). Una cadena de bloques está diseñada para que lo registrado no se pueda borrar ni modificar.
El Comité Europeo de Protección de Datos (EDPB) adoptó en julio de 2026 la versión definitiva de sus directrices sobre blockchain. Para el EDPB, la imposibilidad técnica no justifica dejar de cumplir el reglamento.
Qué recomienda el EDPB
- No guardar datos personales en la cadena: el EDPB desaconseja almacenar datos personales en la cadena, ya sea en claro, cifrados o como hash, y recomienda guardarlos fuera de la cadena.
- Diseñar antes de lanzar: quien crea un sistema basado en blockchain debe decidir desde el principio cómo atenderá los derechos de los afectados, incluido el de supresión.
- Elegir el tipo de cadena: las cadenas permisionadas, con participantes identificados, facilitan saber quién es responsable del tratamiento.
Contratos inteligentes y decisiones automatizadas
Un contrato inteligente ejecuta reglas sin intervención humana. Según el EDPB, puede constituir una decisión individual automatizada en el sentido del artículo 22 del reglamento, que da derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos o significativos, salvo excepciones y con garantías.
Cuando se combina con inteligencia artificial, por ejemplo un sistema que decide si concede un préstamo y ejecuta el resultado en la cadena, el riesgo se acumula: la decisión es automatizada y su registro, difícil de corregir.
Qué ha publicado la AEPD
La Agencia Española de Protección de Datos ha publicado una nota técnica sobre blockchain y una prueba de concepto sobre cómo ejercer el derecho de supresión en estas tecnologías, además de orientaciones sobre la IA agéntica, los sistemas que actúan de forma autónoma.
Si vas a lanzar un proyecto
- Mapea los datos: qué datos personales tratarás y dónde quedarán.
- Datos fuera: saca de la cadena todo dato personal que no sea imprescindible.
- Responsables: identifica quién es responsable del tratamiento en la red.
- Decisiones automatizadas: si el sistema decide por sí solo, prevé intervención humana y una forma de impugnar.
- Evaluación de impacto: valora si necesitas una evaluación de impacto en protección de datos.
Si además el proyecto emite tokens, revisa las reglas de MiCA.