Actualidad RGPD · Tecnología blockchain
Las Directrices 02/2025 del Comité Europeo de Protección de Datos, adoptadas en versión final el 7 de julio de 2026, explican cómo diseñar proyectos blockchain sin tratar la inmutabilidad como una excepción al RGPD.
El Comité Europeo de Protección de Datos publicó la versión final de sus directrices sobre tratamiento de datos personales mediante blockchain el 7 de julio de 2026. Dos días después, la AEPD destacó su aplicación práctica y el papel que desempeñó como ponente principal durante la fase previa. El documento no prohíbe blockchain, pero exige que la arquitectura se elija después del análisis jurídico y no al revés.
No todo hash anonimiza
Claves públicas, identificadores, metadatos y referencias criptográficas pueden seguir siendo datos personales cuando permiten identificar directa o indirectamente a una persona.
La inmutabilidad no exime
La imposibilidad técnica de borrar o rectificar no desplaza los derechos del RGPD. El sistema debe diseñarse para hacerlos efectivos.
Primero, necesidad
La organización debe explicar por qué blockchain es necesaria y proporcionada y por qué una alternativa menos invasiva no alcanza razonablemente la finalidad.
Qué exige el EDPB antes de desplegar blockchain
La primera decisión no es si la red será pública o privada, sino si el tratamiento necesita realmente una cadena de bloques. Las directrices proponen documentar cuatro preguntas: si habrá datos personales, por qué blockchain es necesaria, qué arquitectura es adecuada y qué medidas técnicas y organizativas protegerán a las personas.
Esta evaluación debe abarcar el caso de uso completo: interfaz, cartera, aplicación descentralizada, nodos, proveedores, contratos inteligentes, datos almacenados dentro y fuera de la cadena y posibles inferencias. Aunque un dato no aparezca en el bloque, una dirección IP, una clave pública o la información gestionada por una aplicación asociada puede formar parte del tratamiento.
Datos on-chain y off-chain
Como regla general, el EDPB aconseja evitar el almacenamiento de datos personales en blockchain cuando entra en conflicto con los principios de protección de datos. Para reducir riesgos recomienda mantener fuera de la cadena la información personal adicional a los identificadores presentes en los metadatos de las transacciones.
Guardar fuera de la cadena no convierte automáticamente la solución en anónima. Debe evaluarse si el dato on-chain puede vincularse con información externa, si la clave o el identificador es razonablemente atribuible a una persona y si borrar la información externa impide de manera efectiva la identificación. La pseudonimización reduce riesgos, pero los datos pseudonimizados siguen sujetos al RGPD.
Responsable, encargado y gobernanza de la red
Una red distribuida no elimina la necesidad de asignar responsabilidades. Hay que estudiar quién determina fines y medios, quién valida operaciones, quién desarrolla o mantiene componentes y qué margen de decisión tiene cada participante. En consorcios y redes permisionadas, el acuerdo de gobernanza debe reflejar funciones reales, reglas de incorporación y salida, gestión de incidentes y atención de derechos.
No basta con llamar “usuario” o “nodo” a cada actor. La calificación jurídica depende de su influencia efectiva sobre el tratamiento. Si varias entidades deciden conjuntamente elementos esenciales, puede existir corresponsabilidad y será necesario repartir de forma transparente las obligaciones.
Rectificación, supresión y conservación
La vida útil de una blockchain no es, por sí sola, un periodo de conservación válido. Cada categoría de datos necesita un plazo vinculado a la finalidad. Si el dato debe eliminarse antes de que termine la vida de la red, la empresa necesita una solución que permita borrarlo o anonimizarlo de forma efectiva; si no existe, el EDPB indica que ese dato no debería escribirse en la cadena.
La rectificación tampoco puede resolverse únicamente añadiendo una nueva transacción si el dato incorrecto original continúa accesible y produce efectos. El diseño debe explicar cómo se informará de la corrección, cómo se limitará el uso del dato anterior y cómo se atenderán las solicitudes de las personas.
Cuándo realizar una EIPD
La evaluación de impacto en protección de datos debe realizarse antes del tratamiento cuando pueda existir alto riesgo. En proyectos blockchain debe describir la arquitectura y su finalidad, actores, categorías de datos, destinatarios, publicidad de la red, almacenamiento on-chain y off-chain, contratos inteligentes, transferencias internacionales y medidas para ejercer derechos.
La EIPD también debe justificar necesidad y proporcionalidad, comparar alternativas y valorar la posibilidad de intervención humana cuando existan decisiones automatizadas o contratos inteligentes. La ejecución automática de una operación no impide que una persona pueda impugnar una decisión cuando el RGPD reconoce ese derecho.
Redes públicas, seguridad y transferencias
Una blockchain pública solo debería utilizarse cuando el acceso público sea necesario para alguna finalidad del tratamiento. Incluso en redes no públicas, el acceso debe limitarse a lo necesario. Integridad y disponibilidad son ventajas posibles de la tecnología, pero no sustituyen el análisis de confidencialidad, control de accesos, gestión de claves, vulnerabilidades del código y respuesta ante incidentes.
Si existen nodos o participantes fuera del Espacio Económico Europeo, también deben revisarse las reglas sobre transferencias internacionales. La distribución técnica no hace desaparecer la comunicación de datos ni permite asumir que todos los participantes actúan dentro de una jurisdicción equivalente.
Checklist práctico para empresas
- Definir la finalidad y documentar por qué blockchain es necesaria frente a una base de datos convencional.
- Inventariar identificadores, claves, metadatos, payload, datos de interfaz y cualquier almacenamiento externo.
- Determinar responsable, encargados, corresponsables, operadores de nodos y proveedores tecnológicos.
- Elegir entre red pública, privada o permisionada aplicando minimización y privacidad por defecto.
- Evitar datos personales directamente identificables en cadena y justificar cada excepción.
- Diseñar rectificación, supresión, oposición, acceso y limitación antes del despliegue.
- Fijar plazos de conservación y una solución efectiva de borrado o anonimización.
- Realizar la EIPD cuando exista alto riesgo y revisar transferencias, seguridad y contratos inteligentes.
Preguntas frecuentes
¿Un hash deja de ser un dato personal?
No necesariamente. Si el hash, una clave pública u otro identificador puede vincularse razonablemente con una persona mediante información adicional, seguirá siendo dato personal. La calificación depende del contexto y de los medios disponibles para identificar.
¿Se pueden guardar datos personales directamente en blockchain?
Debe evitarse como regla general cuando impide cumplir minimización, conservación o derechos. El EDPB recomienda almacenar fuera de la cadena los datos personales adicionales y utilizar medidas técnicas y organizativas adecuadas.
¿Toda implantación blockchain necesita una EIPD?
No de forma automática, pero sí cuando el tratamiento pueda entrañar alto riesgo. La evaluación previa debe analizar necesidad, arquitectura, publicidad, datos tratados, derechos, contratos inteligentes, transferencias y medidas de seguridad.
Fuentes oficiales
- EDPB · Guidelines 02/2025 on processing of personal data through blockchain technologies, versión final de 7 de julio de 2026.
- AEPD · El Comité Europeo aprueba las Directrices sobre blockchain, 9 de julio de 2026.
Fuentes consultadas el 9 de septiembre de 2026. Este contenido es general e informativo y no sustituye el análisis jurídico y técnico del proyecto concreto.
Álvaro Ruipérez asesora a empresas en protección de datos, inteligencia artificial y gobierno del dato. Consulta el área nacional de derecho digital y su perfil profesional.