Le Comité européen de la protection des données (CEPD) a adopté le 7 juillet 2026 la version finale de ses lignes directrices sur le traitement des données personnelles via la blockchain, ses toutes premières sur le sujet. Le texte tranche une question longtemps restée floue en Europe.
La décision referme un cycle de consultation publique ouvert en 2025 et fixe un cadre attendu par les acteurs de la finance décentralisée, de la logistique et de l’identité numérique, qui invoquaient jusqu’ici l’incompatibilité technique entre une chaîne immuable et des droits pensés pour des bases modifiables. Le CEPD leur oppose une ligne nette, selon le document publié sur son site.
Un principe qui ferme la porte à l’excuse technique
La position centrale du régulateur européen tient en une phrase du texte : « the impossibility of a technical nature cannot be invoked to justify non-compliance with GDPR requirements ». Autrement dit, l’immuabilité d’une blockchain ne dispense pas une organisation de respecter le règlement général sur la protection des données. Le CEPD demande donc que le droit à l’effacement, prévu à l’article 17, reste effectif, quitte à recourir à l’anonymisation de la donnée plutôt qu’à sa suppression physique.
Le raisonnement inverse la logique habituelle du secteur. Là où de nombreux projets construisaient d’abord l’architecture, puis cherchaient à la rendre conforme, les lignes directrices imposent une conformité pensée dès la conception, principe du privacy by design déjà inscrit dans le RGPD depuis 2018.
Le stockage hors chaîne érigé en réflexe par défaut
La recommandation la plus concrète concerne l’endroit où réside la donnée. Le CEPD conseille de ne pas inscrire de données personnelles en clair sur la chaîne et de privilégier une approche dite off-chain first, où seule une preuve d’existence, un empreinte cryptographique par exemple, est enregistrée sur le registre distribué, la donnée réelle demeurant sur un serveur classique et modifiable.
Le régulateur précise qu’une donnée chiffrée ou hachée reste une donnée personnelle au sens du RGPD tant qu’un lien avec une personne demeure possible. Le hachage ne suffit donc pas, à lui seul, à sortir un traitement du champ du règlement.
- Minimisation des données, quelle que soit la contrainte technique invoquée
- Limitation des durées de conservation proportionnées à la finalité
- Analyse d’impact relative à la protection des données préalable, en particulier pour les chaînes publiques ouvertes
Qui est responsable sur un réseau sans chef
Le deuxième chantier ouvert par le texte porte sur l’attribution des responsabilités. Sur une blockchain, l’absence d’autorité centrale complique l’identification du responsable de traitement, figure pourtant pivot du RGPD. Le CEPD estime que les opérateurs de nœuds peuvent, selon les cas, endosser cette qualité, et invite chaque projet à évaluer avec soin la répartition des rôles entre participants.
Le régulateur distingue deux familles d’architectures. Les blockchains dites permissionnées, où l’accès est contrôlé, offrent selon lui des structures de responsabilité plus claires que les réseaux ouverts et publics tels que Bitcoin ou Ethereum, où n’importe qui peut opérer un nœud. Ces derniers concentrent l’essentiel des difficultés juridiques pointées par le texte.
Des transferts hors UE cachés dans la topologie du réseau
Dernier point d’attention, la dimension internationale. Parce que les nœuds d’une même chaîne peuvent être répartis sur plusieurs continents, une donnée inscrite sur le registre est de fait répliquée hors de l’Union européenne. Le CEPD rappelle que cette géographie déclenche les obligations du chapitre V du RGPD sur les transferts internationaux, un aspect que peu d’exploitants intégraient jusqu’ici dans leur analyse.
Les lignes directrices blockchain ont été adoptées le même jour que deux autres projets du CEPD, l’un sur l’anonymisation, l’autre sur le moissonnage de données pour l’intelligence artificielle générative. À la différence du texte sur la blockchain, désormais définitif, ces deux derniers restent soumis à consultation publique jusqu’au 30 octobre 2026, précise la Commission nationale de l’informatique et des libertés (CNIL) sur son site.
