無論是在電子病歷還是促進科學研究方面，技術越來越被人們作為儲存醫療資料的解決方案。雖然這項技術可能為醫療保健和生命科學部門提供令人振奮的前景, 但企業必須確保任何系統的操作和體系結構都符合資料保護法律, 隨著歐盟總資料保護條例2016/679（GDPR）的出現，這可能會變得越來越困難。
區塊鏈使用資料塊和加密操作，在網路參與者之間建立一個不可變、透明、實時的事務數字暫存器。分類賬的分配意味著沒有中央控制的實體, 在公共區塊鏈中,任何人都可以參與進來。參與者的身份是匿名的, 資料也可能會被隱藏。為了保護隱私, 私有的“許可”區塊鏈解決方案已經開發出來，只有特定的實體可以被授予（可撤銷的）許可來參與、檢視和修改區塊鏈。在電子病歷和臨床資料方面, 這些屬性中有許多是特別有吸引力的，這些資料是最新的，能夠被多方訪問，並且是可信和防篡改的。這無疑為目前對電子病歷的分散和孤立的方法提供了一個可能的解決方案。透過基於區塊鏈的解決方案, 所有利益相關者都可以透過網際網路訪問、檢視和新增完整的醫療記錄。其他來源的健康資料, 如消費者健康 "服飾" 、飲食和運動應用, 也可以直接新增到記錄中。我們能夠利用這些資訊進行科學研究的潛在影響可能很大。大規模挖掘這些資料集可能有助於： (一) 查明疾病原因;(而) 查明疾病的早期症狀, 以便及早進行干預和治療;(三 )跟蹤疾病的爆發，以便恰當地使用資源；(四) 遠端控制上市後的警惕性和非干預性研究，而不需要與特定的保健機構接觸；(五) 根據結果分析治療選擇。此外，可以透過不同的方式訪問基於區塊鏈的醫療資料，例如：(一) 透過應用程式程式設計介面（API）來挖掘資料；(二) 作為區塊鏈系統中的節點，在區塊鏈系統中進行挖掘，並以聚合的匿名患者資料作為獎勵；(三) 為純粹為了研究目的而儲存聚合的患者資料提供單獨的區塊鏈解決方案。然而，除非這種資料確實是匿名的（實際上很難做到這一點），否則這種敏感的個人資料的儲存和處理就必須符合《全球發展報告》。如果敏感資料儲存和處理在區塊鏈上，從而實現一致性，可能會很困難，在設計任何這樣的系統的體系結構時都需要仔細考慮。需要知道的問題包括：(一) 確保分鏈中的參與節點能夠被分類為資料控制器或資料處理器，並相應地將它們的關係寫在紙上；(二) 確定資料在哪裡、何時和向誰傳輸；(三) 確保節點能夠從區塊鏈中刪除資料（以響應擦除請求或其他方式）；(四)確保遵守資料最小化及儲存限制的原則；。(五)確保處理資料有相關的法律理據；(六)確保與個別人士共享的公平處理通知書，正確清楚地解釋所進行的資料處理。 為了解決以上問題： 首先，必須瞭解相關資料的資料控制者和資料處理者是誰，以便確定可適用的義務並確保這些義務得到遵守。例如，確保資料控制器有義務向資料主體通報其在該資料方面的權利得到遵守。但是，在公共區塊鏈的情況下，可能難以確認接收資料的所有節點的身份、每個節點執行的活動以及節點處理資料的方向，這使得確定誰是資料控制者變得很困難。有些節點可能是某些資料的控制器，而所有節點將處理資料。即使這些節點可以被識別和分類，但強制一個節點遵從另一個參與者的指令也可能違反區塊鏈的基本概念：即不存在一箇中央控制實體。此外，在一個公共區塊鏈中，節點可能位於世界的任何地方。因此，個人資料可能是在歐洲經濟區之外傳送的；然而，資料控制器可能不知道這種傳輸在何處或何時進行。這一模式使資料管制員難以遵守其義務，難以確保有關轉讓的適當法律要求，也難以確保資料繼續吸引與歐洲經濟區所提供的保護。根據國內生產總值資料，一個資料主體可以（在某些情況下）要求刪除關於他/她的所有資料。在不可變分散式分類賬的情況下，這顯然提出了一些問題：1在事件或資料被刪除後，記錄不能被更改。除非每個節點都可以依賴GDPR下的一個異常（因此不要求它根據請求擦除資料），否則很難了解公共區塊鏈解決方案如何工作，除非提供技術解決方案。2適用的例外情況取決於處理資料所依據的法律基礎。通常，企業可能會尋求依賴資料，以處理其敏感的個人資料；但是，如果資料物件撤回其同意，並請求刪除其敏感的個人資料，則企業就必須遵守。為了能夠合法地拒絕服從刪除請求，企業將需要能夠依賴第17(3)條規定的例外情形。例如：(一) 保留資料是為了保護公眾在公共衛生領域的利益（例如，醫療診斷或治療或確保醫療或藥品/醫療裝置的高質量和安全的高標準）；(二) 資料是為了科學研究目的，消除資料可能會使處理目標（即研究）無法實現或嚴重損害其實現。企業能夠依賴異常，也將適用資料最小化和儲存限制原則。因此，除非處理相關醫療資料的法律依據無限期地持續下去（這可能很難證明），否則區塊鏈技術的不可改變性很可能成為一個嚴重的問題。許多資料保護問題可以透過私有許可區塊鏈來緩解。控制實體可以識別參與者、其位置、是否為控制器或處理器，應適當書寫其義務。有關刪除、資料最小化和儲存限制的問題將繼續適用，但私人區塊鏈可能存在實際的“工作”，雖然不能確保遵守GDPR，但可以緩解這一問題。同樣，控制實體也可能採取“外鏈”的辦法（即大部分資料儲存在“外鏈”中，鏈上只有指向“外鏈”記錄的一組雜湊資料），以限制無法擦除的資料的數量和質量。有趣的是，歐洲聯盟委員會發起了一個歐盟區塊鏈觀察站和論壇，以（除其他外）監測事態發展、分析趨勢、處理新出現的問題併成為區塊鏈的知識中心。歐盟還向MyHealthMyData聯合會提供了資金，該聯合會的目的是為共享衛生資料開發一個基於區塊鏈的解決方案，並呼籲就一項可行性研究進行招標。評估是否有機會試行“歐盟區塊鏈基礎設施（EuroChain Infrastructure，EuroChain）的出現，帶來了一個開放的、創新的、可信賴的、透明的和符合歐盟法律的資料和交易環境。也許，當歐盟研究區塊鏈提供的醫療資料機會並確定GDPR帶來的困難時，它將釋出指導意見，認可某些“圍繞區塊鏈的工作”（如取消對區塊鏈的所有許可權），明確GDPR遵守或改變其在雜湊問題上的立場。來自Simmons有限責任公司的Lydia Torne 和Sophie Sheldon的見解：1 例如，根據第29條工作組的第05/2014號意見，雜湊資料仍可被視為“個人資料”或“敏感個人資料”，理由是雜湊資料可構成假名。2、可以擦除資料的能力。3在國民保健制度“從搖籃到墳墓”記錄的情況下，聲稱必須為資料主體的生命儲存資料是可能的，但是，在私人保健情況下，如果資料主體選擇不再使用私人服務提供者的服務，這可能會更加困難。
更多區塊鏈資訊：http://www.qukuaiwang.com.cn/news
