胡峰 上海邦信阳中建中汇律师事务所 律师助理
注：本文独家授权威科先行法律信息库发布, 未经许可, 不得转载。
在公布征求意见后不到三个月，国家互联网办公室（以下简称“网信办”）于2019年1月10日发布了《区块链信息服务管理规定》（以下简称“区块链信息新规”）。该规定以《网络安全法》和《互联网信息服务管理办法》为上位法依据，为中国发展区块链技术提供了法定框架，也清楚表达了中国支持发展区块链技术的官方态度。对区块链技术从业者来讲，区块链信息新规无疑是一重大利好，因为有了清晰的区块链监管框架，区块链技术从业者只需做到合规，便可安心发展和应用区块链技术。但是所有区块链类型从业者的春天即将来临了吗？很可惜，答案不是这样的。从我们的专业角度解读，区块链信息新规对私有链、联盟链发展是重大利好，对公有链发展是不利的，而这是由公有链的技术特性与《网络安全法》规定的不相容造成的。
一
极简版区块链介绍
区块链是一个分布式数据库，用以存贮各种交易数据（比如虚拟货币交易数据），这些数据由区块链上的节点共享。而要大致理解区块链，得从理解区块开始。一个区块包含区块头和区块体，区块头里记载着前一个区块头的哈希值以及当前区块所存贮交易信息的哈希值，区块体则记载着当前区块的交易信息。下图是一个极简版的区块链模型（只为读者理解方便，不是真实的区块链结构）：
通过上图可知，后一个区块的区块头里包含前一个区块的区块头哈希值，这样后一个区块就与前一个区块链接起来，而在区块体里记载着该区块存贮的交易记录。
区块中的交易记录自然是区块链网络用户间的交易产生的。对某个区块链用户来讲，首先会产生一个私钥，再由私钥产生公钥和地址。公钥类似于一个银行账户名，可分享给其他用户，用以标识自己身份；私钥则类似于该银行账户的密码，由该用户自己掌握，用以对每笔交易进行签名。以比特币交易为例，当甲想把一定数量的比特币转让给乙时，甲先用私钥签名交易信息，该信息包括甲从前一个地址收到的比特币、转给乙的比特币数量和乙的公钥，然后向全网络广播这条交易信息。
接下来就该矿工出场了。矿工收集在区块链网络中的交易信息，把这些信息打包，并努力获得记账权，使这些打包的信息成为区块链的下一个区块。这些信息要成为区块链的一个区块，必须得到区块链网络所有节点的认可，区块链会设置难度，使矿工不那么容易获得记账权，当然，一旦矿工获得记账权，成功创造出下一个区块，也会获得一定数量的奖励，否则矿工没有激励去创造区块。因此，矿工收集交易信息，创造区块并获得奖励的过程被形象地称为“挖矿”。
在矿工成功制造出一个区块后，该区块并不是只存贮于区块链的一个节点，而是存贮于区块链的多个节点中，这样即使某个节点损坏，其他节点仍然存有信息，信息不会丢失，这也是作为分布式记账的区块链的巨大优势。
二
从数据保护的角度看区块链信息服务提供者
（一）谁是区块链信息服务提供者
区块链信息新规第2条第2款规定：“本规定所称区块链信息服务提供者，是指向社会公众提供区块链信息服务的主体或者节点，以及为区块链信息服务的主体提供技术支持的机构或者组织”；区块链信息服务，依该条第1款，指“基于区块链技术或者系统，通过互联网站、应用程序等形式，向社会公众提供信息服务”。如果区块链信息服务提供者在中国境内从事区块链信息服务时，就需要遵守区块链信息新规，无论该区块链底层技术或平台是否在中国境外。
区块链信息新规对区块链信息服务提供者的范围规定的颇宽，依我们的解读，其大致包括以下：
（1）区块链技术、平台开发者。这既包括区块链底层技术、平台开发者，比如比特币、以太坊、NEO，也包括应用端技术、平台开发者，比如币乎、赞我。
（2）区块链上的节点。区块链的区块存贮在节点上，节点按最基本的分类可分为全节点和轻节点，全节点上存贮着区块链网络中所有的区块，而轻节点只存贮了部分区块信息。在区块链世界中，矿工也是节点，被称为矿工节点，原因在于矿工的任务是在区块链网络中写入新的区块，而新的区块需包含以前区块的哈希值，因此为了成功地制造新的区块，矿工也需要存贮以往的区块信息，以便制造新的区块。
（3）各种数字货币交易平台，因为数字货币的交易需要接入区块链网络，是基于区块链系统向社会公众提供的信息服务，所以数字货币交易平台属于区块链信息服务提供者。
至于为区块链用户提供交易平台、信息咨询服务的网络服务提供者，如果其独立于区块链系统存在，就跟一般的网络服务商一样，不属于区块链信息服务提供者，比如单纯的区块链技术、信息交流平台。
（二）区块链信息服务提供者作为数据控制者
区块链信息新规第8条规定，“区块链信息服务提供者应当按照《中华人民共和国网络安全法》的规定，对区块链信息服务使用者进行基于组织机构代码、身份证件号码或者移动电话号码等方式的真实身份信息认证。用户不进行真实身份信息认证的，区块链信息服务提供者不得为其提供相关服务。”
通过区块链信息服务使用者的组织机构代码、身份证件号码乃至移动电话号码，可以标识这些使用者的个人身份，因此，这些都属于区块链信息服务使用者的个人数据/信息。为履行区块链信息新规第8条所规定的法定义务，区块链信息服务提供者需收集使用者的这类个人数据，虽然依我国《网络安全法》第41条，区块链信息服务提供者作为网络运营者，其收集区块链信息服务使用者的个人信息，应当征得这些使用者的同意（称为同意原则，该原则也反映在工信部的《电信和互联网用户个人信息保护规定》第9条），但是依数据保护的一般原理，当区块链信息服务提供者为履行自己的法定义务而必须收集使用者的个人数据时，其收集这类个人数据也有合法性基础，并且其收集使用者的个人数据，就构成了这类个人数据的数据控制者。
三
公有链信息服务提供者的困境
公有链是区块链的一种，是执行区块链技术去中心化思想的区块链，即任何人都可以进入、访问公有链，且公有链用户在满足一定的硬件条件下，也可以成为公有链的节点（包括全节点）。从数据保护的角度看，除数字货币交易平台外，其他公有链信息服务提供者是无法完全履行区块链网络新规第8条所规定的义务的，原因请见文节的分析。
（一）公有链信息服务提供者仅能被动接收信息
如果区块链信息服务提供者不能决定用户个人数据的处理目的，那么其只能被动收集用户的个人数据，自然无法主动履行区块链信息新规第8条的个人信息收集义务了；换言之，其履行此义务的钥匙不在自己手里。
（1）节点。公有链上的每个节点只是被动地认证、存贮区块，该区块上即使记载着用户的个人信息，单个节点也无法主动执行筛选、删除区块的操作，换言之，单个节点不能决定数据处理的目的。只要当区块链上的所有节点依共识机制作为决定，才可删除某个区块，这就是说，所有公有链上的节点作为共同数据控制者，执行一定的数据操作，如修改、删除区块，但在公有链中出现这种共同决定的场合极为罕见。因此，单个节点只能被动地接收数据。
（2）矿工。单个矿工只有权选择接受或拒绝将用户的交易写入自己想创造的区块中，而即使此矿工不接受某笔用户交易，其他矿工仍可以接受这笔用户交易。换言之，单个矿工几乎无法影响数据处理的目的，而矿工集体总体才会影响数据处理的目的，但矿工的集体决定场合也极为罕见。况且矿工对是否在新的区块中加入一笔用户交易，只有接受或拒绝两种选择，因为矿工的决定范围是由公有链上的算法固定了的，其无法作任何改动。
（3）公有链底层技术开发者。虽然公有链底层技术开发者创造了公有链及其算法，但一旦开发者将该公有链交出来，它自己就失去了对此公有链的任何控制，根据无法决定用户数据处理的目的。
（4）公有链应用层技术开发者。作为应用层开发者，对应用其软件、平台的用户有严格的准入、登录机制，收集这些用户的个人信息不存在难度。但应用层开发者需以特定方式接入公有链，如果它是以公有链节点的方式接入公有链，它依旧会遭遇前述难题；如果是作为用户接入公有链，其他节点又如何获取它所收集的应用层用户个人数据呢？
综上，以上几类公有链信息服务提供者在决定用户的个人数据用途上都存在着不同的障碍，除应用层技术开发者在一定范围内有主动权限外，其他服务提供者只能被动地接收信息。但接下来的问题是，这些服务提供者能被动地收集到个人信息吗？
（二）公有链信息服务提供者被动收集个人信息的障碍
从公有链的技术特性看，公有链信息服务提供者收集公有链用户的个人信息有如下障碍：
（1）公有链用户的个人信息都是假名化的。虽然公有链区块上的信息都是公开的，但该信息反映的都是假名化的、以哈希值呈现的数据。
（2）使用零知识证明而产生的匿名化。匿名化的数据是无法标识个人身份的，区块链发展出了一个零知识证明的程序，以实现区块链用户在交易时的匿名化，此时，区块链信息服务提供者根本收集不到个人信息。
（3）被动收集的个人信息种类不符合区块链信息新规的要求。虽然在区块链上反映的只是用户的哈希值数据，但每个用户都需接入网络，即每个用户都会被分配一个IP地址。早在几年前，就有技术人员发展出一种主动攻击模式，主动获取区块链用户的IP地址信息。先不谈这种主动攻击模式的合法性问题，即使获得了用户的IP地址信息，也离区块链信息新规第8条所要求的“身份证件号码或者移动电话号码”等个人身份信息还尚有一段距离。
总结起来看，即使公有链信息服务提供者有意愿履行区块链信息新规第8条的义务，也存在其技术能力不足、无法履行此义务的情况，并且其被动收集到的个人信息也达不到区块链信息新规第8条所要求的个人身份辩识性强度。
（三）笔者的个人建议
如果公有链信息服务提供者无法履行区块链信息新规第8条的义务，其是否应按此条规定，不得为公有链信息服务用户提供相关服务？在没有用户的情况下，公有链信息服务提供者自身也无法维系，这是否意味着应该舍弃发展公有链？当然不是，因为公有链底层技术是众多应用层技术的基础，如果舍弃公有链，势必不利于区块链技术的发展。基于此，笔者向执法者与公有链从业者提出如下个人建议。
（1）对执法者的建议
执法者需深刻了解公有链技术的技术特性，在对公有链信息服务提供者进行执法与监督时，应对区块链信息新规做出宽松性解释，为公有链从业者设置其能够在技术和经济上做得到的义务强度。由于区块链信息新规为公有链节点创制了一项收集个人信息的合法性基础，这为某些区块链信息服务提供者收集各类个人信息提供了保护伞，执法者应关注这些服务提供者借履行法定义务之名、行收集用户个人信息之实的行为，这恰恰是个人信息遭侵害的源泉之一。
（2）对公有链信息服务提供者的信息合规建议
针对公有链信息服务提供者，笔者给出如下初步的信息合规建议：
a) 公有链信息服务提供者作为互联网信息服务提供者，应按《电信和互联网用户个人信息保护规定》，做到一般互联网信息服务提供者的个人信息合规；
b) 由于公有链的技术特性，公有链信息服务提供者无法完全履行区块链信息新规的义务，面对此一不利局面，其应准备好各类释明性文档，说明该公有链的技术状态，其依现行技术性条件为履行区块链信息新规所做的各种努力及各种组织安排，以便在监管部门检查时获得谅解；
c）鉴于公有链应用层的开发已经涉及到各个行业，公有链应用层开发者应根据自己应用所涉及的行业，梳理该行业的信息保护规定，并针对性地设置合规标准与合规措施；
d) 很多公有链信息服务提供者开发了apps应用，其应特别关注近期四部门联合发布的《关于开展App违法违规收集使用个人信息专项治理的公告》中的个人信息合规要求。
四
对私有链、联盟链信息服务提供者的建议
对私有链、联盟链来讲，其准入机制是受限制的，这使得此类型区块链的信息服务提供者有技术能力要求其用户提交相关的个人信息。区块链信息新规的颁布，明晰了国家部门对私有链、联盟链的监管框架，这对其发展无疑是重大利好，私有链、联盟链信息服务提供者此时更应做到信息合规，以维持良好的区块链生态环境。
针对私有链、联盟链信息服务提供者，笔者的信息合规建议可参考针对公有链的信息合规建议，但有以下两点须注意：一是该类区块链信息服务提供者应做到区块链信息新规的全合规，因为其有能力履行区块链信息新规所规定的义务；二是金融、支付领域是联盟链的重度商业运用场景，而这些领域属于我国《网络安全法》的关键信息基础设施领域，应做好相应的信息安全等级保护与出境合规。
五
结语
区块链信息新规与区块链技术之间的张力，根植于两者间基本思想的张力中：作为国家监管政策的区块链信息新规反映的是中心化的政府监管思想，而纯粹的区块链技术则体现的是去中心化的社区共治思想。随着区块链技术的不断进化与发展，其生态圈日益多元，去中心化的思想在不同类型的区块链都有不同限制，这算的上是区块链技术对社会生态的一种适应与调节。作为中心化的立法与监管政策，也因顺势而为，适度做出创新，为新生态、新技术的发展提供足够的空间。
【本文仅作为交流学习之目的使用，文中观点不代表本所立场，亦非作者的正式法律意见。本文系邦信阳中建中汇律师原创文章，转载请完整注明作者信息及出处。】
