区块链技术应用于个人信息保护的法理解读与治理

王从光

(吉林大学 法学院，吉林 长春 130012)

近年来，大数据时代个人信息(1)本文在同义上使用“个人信息”与“个人数据”两概念，前者偏向于我国立法之表述，后者则多用于欧盟之立法表述，但在欧盟诸国，个人信息与个人数据概念之实践运用无本质差别。呈现指数级增长，Web应用和中心化机构大量收集、利用个人数据。虽然经数据分析可以为信息主体提供个性化服务，但同时也引发了个人信息泄露、保护问题。ForgeRock最新公布的一项全球调查报告显示，2020年用户名和密码等个人信息遭泄露数量比上一年增长450%，不法分子还结合社交网站上的其他个人信息，进行身份定位并访问个人银行账户、诊疗记录等[1]。在我国，尽管国家三令五申要求加强个人信息保护，但非法收集、利用个人信息的情形仍屡禁不止。中共中央网络安全和信息化委员会办公室查验核实，“滴滴出行”App存在严重违法违规收集使用个人信息的问题[2]，我国大量微软用户的个人信息被外国执法部门通过技术手段违法违规获取[3]。这不仅侵害公民的隐私信息，还会对国家安全和社会公共利益构成威胁。

有鉴于此，国家不断加强对个人信息的保护性立法。自2003年国家启动个人信息保护立法到2012年全国人大常委会通过《关于加强网络信息保护的决定》，再到2020年的《中华人民共和国民法典》(以下简称《民法典》)及2021年的《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)，个人信息保护广泛进入不同层级的立法事项。有学者统计，我国目前的个人信息保护规范已近百部，散见于法律、部门规章、地方性法规中[4]。然而，尽管国家对个人信息保护日益重视，但个人信息泄漏不降反增。对此，有学者分析指出，我国个人信息保护面临安全保障弱化、个人控制虚化、信息共享不足的实践困境，认为信息主体与国家互动关系未发生根本性转变的情形下，个人信息保护困境无法从根本上得以改观，由此呼吁利用区块链技术进行个人信息保护[5]。此类观点并不鲜见，有论者还进一步分析了区块链技术下的个人信息界定[6]、个人数据权属问题[7]、区块链技术与个人信息保护的兼容性[8]等，似乎区块链技术与个人信息保护具有天然的契合性。但，在区块链技术应用炙手可热的当下，将其应用于个人信息保护不应受制于功利主义的裹挟。质言之，如果只从效果考量如何对个人信息进行保护，而不对区块链下个人信息保护进行法理阐释，则极易陷入技治蒙昧主义的困境。

本文正是由此出发，分析区块链技术应用于个人信息保护的法理基础，以期能够为区块链下的个人信息保护提供一个理论视角，同时也为未来区块链技术的更广泛应用进行一定的理论铺垫。基于此，本文围绕区块链技术应用于个人信息保护的本质展开：第一部分扼要分析个人信息保护背后信任模式的继替和演化，指出区块链技术应用于个人信息保护的本质是基于技术信任；在技术信任的基础上，也不可忽视区块链技术与个人信息具体权利义务的冲突，第二部分即检视二者间的张力；最后部分在检视二者张力的基础上反思区块链技术下个人信息保护的治理思路，并寻求技术与法律的融合治理之道。

一、区块链技术下个人信息保护的法理解读

如果说互联网是我们探知世界的窗口，那么区块链技术则是帮助打开窗口的钥匙[9]241。作为最先应用于数字货币的底层技术，区块链在2008年金融危机后应运而生，一个钢筋水泥为标志的银行信用大厦，被一个数据为土壤的区块链信用所取代[10]。作为对中心化机构“不可信任”的替代品，区块链技术所带来的信任模式革新已被广泛应用于教育医疗、食品安全及司法等场域，区块链技术应用于个人信息保护也是立基于该技术所形塑的新型信任模式。为此，需要扼要分析传统个人信息保护的信任维度以彰显其“新”，并深入探讨此种信任模式其“新”何为。

(一)个人信息保护的信任维度

传统个人信息保护经历了由人际信任向制度信任的发展。个人信息保护所体现的人际信任最先表现于以血缘为纽带的“家”关系中。“家”是彼此认同悦纳的界域，“家人”是维护家利益的共同体，也是值得依赖与信任的对象[11]。“我”不仅相信“家人”不会伤害“我”，而且相信“家人”会为维护“我”的个人利益(包括维护“我”的隐私利益)而抵御“他者”的侵害。随着生产力的发展，“家”的概念逐渐突破血缘关系畛域，逐渐扩大到因组织体而形成的信任关系，德国社会学家卢曼将这种人与人之间的情感依赖关系称之为人际信任[12]39。基于此种人际信任，人们之间可以相互交换信息，并将个人隐私信息传递给可信之人，合理期待被信任者会维护好个人隐私信息。

随着生产力尤其是工业技术的发展，自给自足的自然经济已难以满足人们的生活需要，人们不得不与外部世界发生更多的交往互动，交互方式逐渐由亲缘关系为主转向以业缘关系为主。交互方式的革新使得个人信息数量日渐增多，传统的个人信息保护方式日渐乏力，作为信任基础的情感依赖难以有效应对陡增的社会风险，人们不得不反思个人隐私信息的保护方式，希望托庇于一个公正合理的制度，期待这个制度能给个人信息保护提供保障。也正是基于此，有学者主张将个人隐私信息上升为一种个人权利而与法律相联系。路易斯·布兰代斯和塞缪尔·沃伦于1890年在《哈佛法律评论》上发表了一篇题为《论隐私权》的开创性文章，认为随着现代工业技术的进步，法律应该提供有力武器保护个人“隐私”不受他人侵犯[13]。随后，《美国联邦宪法》第四修正案、第十四修正案、《电子通信隐私法》(Electronic Communications Privacy Act,ECPA)等加强了对个人信息保护；同样，欧盟于1995年通过《个人数据保护指令》(Data Protection Directive,GPD)，在此基础上2018年又通过了《通用数据保护条例》(General Data Protection Regulation,GDPR)。

一系列个人信息保护规范的相继颁布表明，“法律的基本作用之一乃是使人类为数众多、种类纷繁、各不相同的行为与关系达致某种合理程度的秩序，并颁布一些适用于某些应予限制的行动或行为的行为规则或行为标准”[14]484。通常由某一中心实体制定法律规范或行为准则，期待通过法律规范或行为准则所代表的制度信任来维系复杂社会中的交互。一方面，法律规范、行为准则确保人们在“缺场”交互中信息安全，一定程度上应对复杂社会关系带给个人的信任危机；但另一方面，无论是法律规范还是行为准则，其约束力量有限(2)当然，这并不是否定人际信任、制度信任在个人信息保护中的作用，人际信任也发挥着重要作用，大量个人信息保护规范所确立的制度性承诺，体现的正是对个信息保护的制度信任。，尤其提供制度信任的主体通常是中心化的机构(如银行、医疗数据中心)，其任何一个偶尔的误用，或因管理不善的滥用，都会给个人信息权造成严重损害，更不必说那些为谋取个人或中心化机构狭隘利益的“恶意之用”[15]。根据埃德曼公司一项长达15年的跟踪调查显示，近年来全球信任指数总体呈下降趋势，美国仅有15%的民众信任中心化的制度系统[16]，近一半的美国民众出于个人信息安全问题考虑而不敢使用网购服务[17]。在我国，尽管国家一再强调个人信息保护，数据行业、网络服务提供者也制定相应的数据安全规范，但这些数据服务中心仍存在内外勾结贩卖个人信息的情形，“金融、中介、招聘等服务行业由于严重依赖电话、短信等途径进行营销……买卖公民个人信息已成了行业‘潜规则’，每年泄露的数据总量高达数十亿条，交易金额超10亿元人民币”[18]。尽管这也不可完全归咎于个人信息保护的法律规范、行业规则，但伴随大数据、人工智能等信息技术的发展和应用，个人信息数量之巨、范围之广、样态之多、跨越时空之能势，完全颠覆了人们对于个人信息的传统理解与认知，使得肇始于“小数据”时代的个人信息保护规范难以应对“大数据”时代的个人信息保护。在传统个人信息保护失范失稳的背景下，区块链技术以其去中心化的分布式账本特性表现出在信息保护方面难以取代的优势，这本质上是区块链所具有的技术信任，是制度信任向技术信任转变的重要表现(见表1)。

表1 个人信息保护的信任模式演进(3)该表概括了不同阶段个人信息保护的主要信任模式，大致经历了人际信任、制度信任到技术信任的演进。当然，这并非说人际信任、制度信任已然式微，相反，无论是基于血缘、地缘关系而形成的人际信任，还是法律所确保的或中介结构所提供的制度信任，对个人信息保护仍发挥着重要作用，都是社会有序运行的基石。

(二)区块链应用于个人信息保护的本质展开

伴随大数据背景下个人信息的大体量增长，传统信任模式下的人际信任和制度信任已难以满足个人信息保护的复杂需求，区块链凭借其去中心化的技术信任建构机制与个人信息保护的复杂需求相契合，即区块链应用于个人信息保护是基于技术信任。

首先，区块链被认为是分布式账本技术(Distributed Ledger Technology，DLT)，从区块链技术1.0版本到现在的区块链技术4.0版本，运行的速度及效益大幅度提升(4)区块链技术已由1.0版本更新迭代至4.0版本，区块链1.0主要应用于金融领域的加密货币体系，如Bitcoin；区块链2.0应用于非金融领域，如Ethereum；区块链3.0扩展至商业领域，如Cardano,Anion；区块链4.0也应用于工业4.0，如SEELE等；运行速率分别为7TBS、15TBS、1000s of TBS、1M TBS，see Panda,Sandeep & Jena,Ajay & Swain,Santosh & Satapathy。参见Suresh，Blockchain Technology：Applications and Challenges,Switzerland：Springer,2021，P.43.，但其运作原理仍依赖于去中心化的共识算法(Consensus Algorithm)机制。一方面，区块链是一种建立在算法基础上的全新分布式数据结构，算法共识不再掌握于具体的机构或个人手中，因而不存在中心化的机构或个人。利用区块链技术去中心化的特性存储个人数据，意味着每一个节点存储的个人数据完整且相同。这种数据的全知性可以有效防止传统中心化数据存储模式下信息的不对称性，进而避免信息不对称所诱发的机会主义行为。另一方面，加入任何以区块链为底层技术的系统均以用户的自主自愿为前提，也意味着各节点用户自觉遵守共识算法。计算机技术专家安德烈亚斯·安东诺普洛斯在《精通比特币》一书中将算法称为“计算信任”(Trust is based on computation)，认为信任模式由“信任人或中心化机构向信任数学转变”[19]。区块链技术应用于个人信息保护也是基于这一特性，其存储个人信息实现了个人信息保护的安全性升级。

其次，在区块链技术去中心化的共识算法原理下，已有不少学者就区块链中的哈希值、时间戳等展开论述，认为这些技术由特定的计算机编程代码构成[20]，这些固定与防篡改的技术手段可以保证信息数据无法被更改，通过验证数值的一致性即可确信数据内容的完整性与可靠性[21]。既有论述的前结构假定了区块链技术的防篡改特性，但不免陷入就技术论技术的窠臼，缺乏对区块链技术与法律结合的探讨，因而本部分试图从技术逻辑的角度尽量以直观的方式将其纳入个人信息保护的讨论之中。如下图1所示，区块链由顺序相连的区块组成，而每个区块包含两个部分：区块头和区块体。区块头包含前一区块和本区块的哈希值、时间戳等，区块体则包含交易记录(Transaction list)等区块数据，哈希值、随机数、时间戳等共同作用以防止信息泄漏和篡改(见图1)。

图1 区块链结构图(5)该图是对《区块链网络安全，信任与隐私》第一章相关论述的总结，参见Choo·Ali Dehghantanha Reza M.Parizi，Blockchain Cybersecurity,Trust and Privacy，Switzerland：Springer,2020，P.10.

个人信息经过哈希算法上链是个人信息存储在区块链上的重要方式，如图1所示，经过哈希化处理后的个人信息以哈希值的形式出现在区块N-1的区块头中，而在该区块头中生成一个只被使用一次的任意随机数(Nonce)，包含随机数等的N-1区块头经过哈希算法成为区块N区块头的一个部分，并按时间序列(Timestamp)依此往复。这有两方面的重要意义：一方面，添加随机数后经哈希化的个人信息无法进行逆向工程，所以信息主体在区块链上的可追溯性极低，一定程度上可以认为链上的个人信息不具有特定识别性；另一方面，后一个区块头以前一个区块头为“根”来形成链状结构，一旦某一区块中的个人信息或数据发生变化，就会根据共识算法改变下一区块的数值，并由此产生“链锁反应”。据此原理可以得出，修改某一区块上个人信息的惟一方法是重新验证该区块以前的所有区块(6)以比特币挖矿为例，矿工欲向区块链添加新区块N+1，必须先验证其所欲添加区块N+1的先前区块N，区块N-1……。但是，这一过程需要通过工作量证明(Proof of Work,PoW)机制[22]，一旦某一区块(节点)拒绝作出更改，则已有验证将前功尽弃。因此，尽管在理论层面可以通过累积51%的算力来修改数据，但随着区块数增加，现实条件下聚集如此大算力越不可能。尼克·斯扎博将这一运作机理比喻为琥珀里的苍蝇——时间越久、覆盖的层数越多，苍蝇保存得越完整[23]。

概括地说，将区块链应用于个人信息保护，在于个人信息无需再在任何“中心”存储，无需社会伦理道德的反复重申和法律规范的不断加码，比较深入地化解个人信息存储于中心化数据库所带来的信任危机问题，不信任即可验证。另一方面，这一技术还可以增强个人对信息的控制权，避免信息被篡改和泄露。在个人信息巨量增长的背景下，这种基于技术信任的模式运用于个人信息保护似乎只能用“完美契合”来表达。然而，尽管区块链所提供的技术信任具有人际信任、制度信任难以比拟的优势，但技术的工具理性不应当被不合理夸大，更不能被推崇到“技术蒙昧主义”的程度。换句话说，在区块链之技术信任所确保的个人信息安全的基础上，还应看到两者之间存在的巨大张力。

二、区块链技术与个人信息保护之张力

比特币首席财务官约翰·马修斯曾坦言：“从区块链技术的发展来看，即使是为个人信息提供最为全面保护的《通用数据保护条例》也显得不合时宜(out of date)。”[24]这主要是从区块链技术与个人信息权利义务关系的角度而言，两者主要存在三方面的紧张关系：哈希化的个人信息是否属于规范层面的个人信息；区块链不可篡改的技术特性与修改、删除权冲突；去中心化与义务主体特定化冲突。

(一)哈希化的个人信息与规范层面的个人信息

我国《民法典》第1034条第2款规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”(7)文中《民法典》《个人信息保护法》相关内容参见中国人大网(http://www.npc.gov.cn)。通过该条规定可以看出，“特定识别性”是个人信息的本质特征，只要能够单独识别或结合识别的特定自然人的各种信息，都被纳入个人信息的范畴。不过，有论者认为大数据时代信息的交叉验证及迭代发展，使得该条规定的“特定识别性”之内涵与外延不明[25]。对此，《个人信息保护法》第4条第1款规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化(8)根据《个人信息保护法》第73条第4款，匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。处理后的信息。”“特定识别性”仍是个人信息的本质特征，但在单独识别与结合识别之“已识别”的基础上提出“可识别”标准，意指具有“识别可能性”的信息也被纳入个人信息的范畴。

探讨个人信息本质特征的意义在于，经哈希化的个人信息是否仍具有特定识别性，是否属于法律规范层面的个人信息，是否应当受个人信息保护相关法律的规范？根据《个人信息保护法》，匿名化处理后的信息不受个人信息保护法的规范。那么，区块链中个人信息哈希化是否属于个人信息“匿名化”(anonymized)呢？这一追问实际上围绕个人信息哈希化后特定识别的可追溯性问题。戴维·波斯特认为：“‘可追溯性’(traceability)是通过额外信息等识别信息主体的容易程度”[26]。由于经哈希化的个人信息无法进行逆向工程，所以区块链上个人信息的可追溯性极低，甚至是“不可行的”(infeasible)[27]，因而其具有匿名性，脱逸于规范层面的个人信息。相反观点认为，尽管哈希化的个人信息无法进行逆向识别，但个人信息与信息主体之间仍存在固有联系，甚至可以通过“容易比照”或“暴力攻击”来识别和追溯原始信息主体[28]，因而无法跨越匿名化的门槛而游离于法律的规制之外。可见，哈希化的个人信息是否属于数据规范层面的个人信息存在巨大分歧。

(二)区块链之不可篡改性与修改、删除权冲突

我国《民法典》第1037条规定：“自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。”该条规定了个人信息的修改和删除，相较于该条规定，《个人信息保护法》第46条、第47条分别细化了个人信息修改和删除的适用情形。同样，《通用数据保护条例》第16条、第17条分别规定了更正权、删除权。无论域内还是域外，修改权及删除权是维护信息准确、实现个人信息自决权的重要方式。一方面，区块链技术信任的特性就是防止人为篡改，尽管理论上存在修改的可能，但去中心化的架构使得数据修改几无可能通过节点验证；另一方面，区块链技术的单向性添加也与删除权的行使相悖。

区块链技术不可篡改的特性与个人信息修改权、删除权之间的冲突。对于信息数据的修改，尽管《通用数据保护条例》第16条规定可以通过提供“补充说明的方式”实现对个人数据的修改，且区块链通过添加新区块“补充说明的方式”也较修改旧区块上的数据更为容易，但此种方式是否符合《通用数据保护条例》第16条的内在机理，仍值得商榷。在“诺瓦克诉数据保护委员会”(以下简称“诺瓦克案”)一案中，律师认为修改权的行使应当符合数据收集和处理的目的。根据合目的性要求，如果数据主体有充分理由认为数据应当删除而非添加补充说明，那么添加“补充说明的方式”并非是实现数据修改的理想方式[29]。同样地，埃森哲提出在区块链中加入“变色龙哈希”(chameleon hash)，由哈希函数链接链上的两个区块，结合前文图1所示，即使编辑区块数据使得原始哈希函数被破坏，但变色龙哈希仍保持不变，以此确保被编辑区块和已有区块之间的链接，进而实现区块链的“可编辑性”(editable)[30]。对于删除权的行使，有观点认为可以通过“哈希指针”(hash pointer)将数据进行链外存储，当数据主体行使删除权时，链外数据库中的数据被删除，链上的数据与链外数据库中的数据之间的链接也被破坏，实现链外、链上数据的同时删除[31]。以上观点是否可行仍有待研判，但众说纷纭实质上表明区块链不可篡改之特性与修改、删除权存在冲突。

(三)区块链之去中心化与义务主体特定性冲突

我国《个人信息保护法》第五章规定了个人信息处理者的义务，个人信息处理者是指那些自主决定处理目的、处理方式等个人信息处理事项的组织或个人，其应该根据个人信息的种类以及对个人的影响、可能存在的安全风险等，采取相应措施确保个人信息处理活动符合法律、行政法规的规定。欧盟《通用数据保护条例》也规定数据控制者是个人数据保护的义务主体，是单独或能联合决定个人数据的处理目的和方式的自然人、法人、公共机构、代理机构或其他组织。可以看出，《个人信息保护法》与《通用数据保护条例》在个人信息义务主体的判断上坚持实质化的判断标准，即特定主体是否能够决定信息的处理目的和方式。

然而，无论是《个人信息保护法》还是《通用数据保护条例》的制定，都是以中心化的数据管理模式为前提，因而在应对数据处理过程中的风险时，监管机构通过识别特定的组织或个人以明确义务主体。相反，区块链则是去中心化的逻辑架构，这必然导致认定区块链系统中的数据控制者存在困难。以区块链用户为例，用户可以自主决定是否安装客户端连接区块链网络以及通过客户端入链后是否与其他节点用户进行交易。因而有观点认为，区块链的技术架构决定了只有节点用户才能确定数据处理的目的和方式，因而节点用户是个人信息保护的义务主体[32]。但是，该观点不可一概而论，应当区分用户处理的是自身数据还是他人数据。根据实质化的判断标准，节点用户不是他人数据的当然所有者，无权决定他人数据处理的目的和方式。此外，《通用数据保护条例》第26条还规定了联合控制者，即由多个控制者决定数据处理的目的和方式，如何确定区块链系统中联合控制者之间的义务和联合控制者与数据主体之间的关系，变得尤为困难。

三、区块链技术下个人信息保护的治理思路

传统中心化机构的个人信息保护模式存在信任风险，区块链技术的“脱域”机制很好地化解这一风险，是个人信息保护信任范式的一次转变，但不能因技术信任而陷入技治主义的狂欢中。在现代化进程中，具有革命性的技术也意味着对原有的社会规范造成冲击。就区块链技术与个人信息保护规范的冲突而言，应当树立“技术—法律”二元互动的融合型治理理念，在技术与法律所形塑的不同信任维度中寻求治理之道。这既是对现有回应型治理、管制型治理理念的总结反思，也是对完善区块链下个人信息保护的未来展望。

(一)区块链下个人信息保护的治理理念

区块链下个人信息保护的治理本质上是技术与法律对于个人信息的治理。理念是行动的先导，明确治理理念是区块链下个人信息保护的前提和基础。总结当前关于区块链下个人信息保护的治理理念，主要有管制型治理与回应型治理。

管制型治理是压制型法在技术领域的具体表现，是国家通过法律规范对技术发展进行规制，强调技术是实现法治治理目标的工具[33]31。换言之，如果技术与法律规范相抵触，则需要对技术进行调整、驯化以适应法律规范的要求。有观点认为，区块链技术的出现和应用是自由主义思想在偶然事件排列行为中的历史必然，与中心化机制方枘圆凿，因而驯化“去中心化”的区块链技术以适应中心化机制是顺应治理趋势的应有之义[34]。实际上，管制型治理理念不利于技术创新，忽视了技术固有的自我管理价值，尤其是大数据时代的个人信息伴随强技术性，更是离不开技术的自我监管。相反，回应型治理体现了回应型法的要求，是一种以问题为中心并通过法律自我调适为主的多元共治理念，个人信息的回应型治理将关注重点转向信息控制者与监管机构在个人信息治理中的责任以及对这种责任的合理分配和实现[35]。回应型治理的弊端至少体现在以下两方面：一是回应型治理预设了技术决定论的技治主义立场，缺乏归责实践的道德内嵌可能会使技术开发者责任脱逸；二是从新技术应用到问题的出现及引发的社会后果无法在短时间内进行全面有效评估，不可避免的滞后性使得回应型治理难以及时有效应对。

无论是管制型治理还是回应型治理，均割裂了区块链技术应用于个人信息保护所内含的技术与法律的关系，前者忽视了区块链技术应用于个人信息保护的实践价值，后者则忽视法律价值对技术治理的引导作用，二者在本质上均是“技术—法律”二元对立的理念。法律驯化技术，必然遏制创新；技术架空法律，必然引致无序，兼顾区块链技术的发展与个人信息的保护是两者相融合的基点所在，应在此基础上树立“技术—法律”二元互动的融合型治理理念。融合型治理理念的合理性包括以下两个方面。一是，就个人信息自身而言，个人信息既涉及人格利益，又涉及财产利益，将个人信息聚合还能产生较大的社会利益[36]，这使得肇始于小数据时代的个人信息之个人属性逐渐转向大数据时代的社会属性，法律明确信息主体的权利边界与权利保护的同时，通过技术确保个人数据的合理流动与物尽其用。二是，就区块链技术而言，技术本身是一种客观存在，有其自身的治理逻辑，但技术所产生的效用取决于技术使用者所追求的目标和价值。因此，技术开发主体应具有责任意识，更需要认识技术主体的技术活动不只是单向度的技术产品开发，更是对现有社会价值的编撰与建构。此外，就法律本身而言，一方面，新技术的迭代更新速度要远超法律，旧的规范被打破而新的规范尚未建立，社会失范就会因此发生，但法律不可固步自封而遏制技术发展。另一方面，法律与技术追求着共同善(common good),体现着更大范围的信任利益，是法律与技术保护个人信息共同的价值基础[37]。大数据背景下的个人信息保护，不是仅依赖于数字技术运行的代码(自律)，或仅依赖于国家法律制度规定的规则(他律)，也不是二者简单地并行治理，而是法律规范向技术代码、技术代码向法律规范双向融合的融合型治理。

(二)区块链下个人信息保护的融合型治理措施

尽管区块链技术的“脱域”机制使得其在物理架构上是去中心化的，但因共识机制的存在使得其在逻辑层面是中心化的[38]，这为融合型治理理念下的具体措施提供了“再嵌入”的接口。在前文论述区块链技术与个人信息保护冲突的基础上，本部分结合区块链技术明确哈希化个人信息的性质，修改、删除权的行使及义务主体等。

1.结合区块链技术明确哈希化个人信息的性质

特定识别性是个人信息的本质特征，通过前文分析发现，哈希化个人信息是否具有特定识别性、是否属于匿名化而不受法律规范约束存在明显分歧。个人信息哈希化本质上并非个人信息匿名化，而应当定位为个人信息假名化(pseudonymised)(9)匿名化与假名化的核心区别在于信息的可识别性风险，前者不能通过信息识别信息主体；后者则存在通过结合相关信息识别信息主体的风险。参见Stalla-Bourdillon,S.& Knight A，“Anonymous data v.personal data false debate：An EU perspective on anonymization,pseudonymization and personal data”Wisconsin International Law Journal，2016，P.284-322.。个人信息匿名化要求不可逆地防止识别，是一个使个人信息在不使用额外信息的情况下不指向特定信息主体的个人信息处理方式。在是否属于匿名化的判断标准上，作为欧盟委员会重要咨询机构的第29条工作组(the Article 29 Working Party，WP29)明确了三条标准：一是识别性(Singling out)，即是否存在识别特定个人的可能；二是链接性(Linkability)，指是否可以通过至少两条信息记录链接到特定个人；三是推论性(Inference)，根据已有信息并以极大似然性推断特定个人，如果均作出否定回答，则认为该个人信息属于匿名化信息[39]。

根据上述判断标准，即使区块链节点(用户)去中心化地分布于物理世界的各个角落，但其与使用的电子设备、应用程序、网络服务协议等相关联，存在着被识别的剩余风险(Residual risk)，如果这些信息与公钥(public key)(10)公钥(public key)和私钥(private key)，公钥是参与者可见，验证身份所必须；私钥(由持有者保密)用于身份验证和加密。参见Benedetta Cappiello,Gherardo Carullo，Blockchain,Law and Governance,Switzerland:Springer,2020,P.18.相结合则可以间接地识别信息主体，因而经哈希化的个人信息仍不能排除链接性风险。此外，科学技术的发展表明，过去不能加以识别的个人信息(如DNA)随着技术发展可以被再识别，因而不能合理假设添加到区块链上的任何个人信息未来都无法进行识别。通过以上分析，我国区块链上的个人信息应当定位为假名化的个人信息，假名化的个人信息仍然是规范层面的个人信息，但在具体判断上应采用“容易识别性”标准，即结合其他信息就可轻易识别出特定个人的，属于规范保护的个人信息。这一结合区块链技术对个人信息性质的定位，既有利于提升信息处理者的信息保护意识，同时哈希化的个人信息又可促进信息流动，是一种有价值且风险最小化的性质定位。

2.结合区块链技术明确修改、删除权的行使

如前文所述，区块链技术不可篡改、单向添加的特性与个人信息修改权、删除权冲突，不同学者从不同角度以不同方式试图实现个人信息的修改和删除。这从另一侧面反映出，无论“修改”还是“删除”，概念界定不明导致适用争议不断。这一方面需要回到“修改权”“删除权”的设立目的，另一方面也需要看到新技术对传统“修改”“删除”内涵和外延的影响，忽视前者是无的放矢，固守后者则抱残守缺。根据我国《个人信息保护法》第8条、《通用数据保护条例》第5条第1款(d)项均的规定，应当采取一切合理方式确保不准确的个人信息得以及时更正或删除。可以看出，个人信息的修改或删除旨在确保信息的准确性，防止错误或过时信息影响信息主体的权利行使。如果能够实现相同的效果，在新技术背景下就应当认为是合理的修改或删除方式。

就修改而言，前文述及存在“链外存储”“添加变色龙哈希”“添加补充说明”等方式，不同方式各具优劣，但应当结合区块链技术进行综合判断。“链外存储”的信息存储方式尽管回避了区块链的不可篡改性，但该画蛇添足的方式使得信息存储系统更加复杂，不但没有发挥区块链的功能优势，反而增加了链下信息受攻击和破坏的风险。“添加变色龙哈希”使得区块链具有“可编辑性”，而一旦区块链变得可编辑，实际上就推翻了区块链的设立本旨。相较而言，“添加补充说明”尽管不是实现信息修改的理想方式，但却是兼顾修改权行使和区块链特性的可行方式。但是，结合前文诺瓦克案，法律应当明确“添加补充说明”与删除权的适用情形。对于个人信息的删除权，传统理解是信息主体要求信息处理者清除缺乏法律基础的书面、电子记录。然而，在区块链技术背景下，删除权的行使除了前文提及的哈希指针连接外，英国信息委员会办公室还认为，“删除”的判断标准应当具有灵活性，数据的“不可使用”(beyond use)也可视为数据删除[40]。通过以上分析可以发现，区块链技术与个人信息修改、删除权的冲突，很大程度上是因为修改、删除的含义及方式不明，因而我国立法者需要结合区块链技术发展明确修改、删除的新意涵。

3.明确义务主体：类型化判断与一般性规定相结合

我国《个人信息保护法》规定个人信息处理者是个人信息保护的义务主体，当个人信息处理的数量达到网信部门规定的标准时，应当指定个人信息负责人负责监督个人信息处理活动的义务，这种一般性规定试图将所有与个人信息处理活动的主体纳入义务主体的范畴以实现监管的有效性，但这又不可避免地导致义务主体泛化的后果。此外，与个人信息相关的研究中存在着信息业者[41]、信息控制者[42]、信息处理者[43]、信息服务提供者[44]等多种称谓，这种内涵互涉又有所区别的多词现象非但未能对区块链系统中的相关主体做出合理划分，反而使得大多数的讨论有意或无意地陷入语词混用、滥用的窠臼中，使得本来就不易弄清楚的问题更加混乱。对于这一问题，《通用数据保护条例》有意识地区分了数据控制者与数据处理者，明确个人数据处理者是为数据控制者处理个人数据的实体，因而数据处理者不是当然的义务主体，这一区分在防止数据处理者越俎代庖的同时也明确了数据控制者的数据保护义务。

然而，结合区块链技术判断个人信息保护的义务主体仍较为复杂，我国的个人信息保护的义务主体需要采取类型化判断与一般性规定相结合的方式。之所以需要进行类型化判断，是因为区块链按照准入机制可分为私有链、联盟链和公有链3种类型。在私有链中，一般存在一个中心化实体决定个人信息的处理方式，如果该实体决定采用区块链技术来存储个人信息，则其即为信息处理者，履行个人数据保护义务。而在联盟链和公有链中，存在着软件开发者、矿工和节点用户等多元主体。软件开发者承担着区块链技术应用开发、更新等工作，其在个人信息处理的目的和方式上影响有限，通常不被认为是个人信息处理者；矿工根据工作量证明的共识协议来决定是否添加新区块，尽管其可以通过选择共识协议的类型来影响信息的处理方式，但其是否足以影响信息的处理目的仍在争议；就节点用户而言，前文已有论及，兹不赘述。

此外，就个人信息保护义务的一般性规定而言，个人信息在大数据时代所具有的社会属性，海量的个人信息不仅是企业生存和发展的生命线，更是国家的战略资源。然而，大数据背景下的信息主体往往缺乏对个人信息收集和处理的实质性明知，很多商业机构没有对信息主体履行充分的告知义务，个人信息就被“神不知鬼不觉”地收集和利用。即使充分保障信息主体对信息收集和处理的实质性明知，每一条个人信息的处理都经信息主体知情同意，那么个人每天将在“知情同意”中度过，社会势必难以有效运转。因此，基于个人信息的所具有社会属性及中心化机构对个人信息权利可能造成的侵害，需要国家履行个人信息保护的一般性义务。《个人信息保护法》和《数据安全法》都规定了国家网信部门和国务院有关部门对个人信息数据的分类分级、审计评估。除此之外，还应当细化合目的性要求。“现代技术也是一个合目的的手段，因此，关于技术的工具性观念规定着每一种把人带入与技术的适当关联之中的努力。”[45]4结合区块链技术，尽管存储在每一区块的信息相同，但通过细化合目的性要求，敏感个人信息入链前以知情同意为原则，入链后分级分类存储，最大限度营造区块链技术下个人信息保护的制度生态。

在法学理论中，密涅瓦的猫头鹰总是在立法的黄昏才起飞(11)“密涅瓦的猫头鹰要等到黄昏到来，才会起飞”，雅典娜肩头上的猫头鹰总是在黄昏才展开双翅飞离大地，就是说智慧总是来得太迟了。参见[德]黑格尔：《法哲学原理》，范扬等译，商务印书馆1979年版，第14页。。虽然我国的《个人信息保护法》已施行，但将新技术应用于个人信息保护不能陷入法理贫困的窘境。囿于传统个人信息保护模式存在的信任危机，区块链因技术信任被应用于个人信息保护，是个人信息保护信任范式的一次重要转变。但是，区块链为个人信息保护提供技术信任的同时也与个人信息权利行使、义务承担存在冲突。坚持区块链技术与个人信息保护的融合型治理理念，坚持技术创新与法律治理的有效沟通与反馈，才能跳出技术“自嗨”与规范“自闭”的窠臼，是个人信息保护科学化和体系化的关键步骤。在此意义上，尽管现行区块链技术由1.0版本至4.0版本迅速发展，但其作为底层技术，对其开发和应用还有待进一步完善。同时，规范层面相关概念的内涵和外延应当适时融合新技术的发展。卡尔·波普尔曾言：“所有的科学都建立在流沙之上。”[46]就区块链技术应用于个人信息保护而言，仍是一项未完成的设计。