Blockchain et données personnelles

Une blockchain publique est un registre répliqué sur des milliers de nœuds, lisible par tous et impossible à modifier rétroactivement. Ces propriétés font la transparence du tirage, mais elles se heurtent à deux principes du RGPD : la minimisation et le droit à l'effacement. Cette page décrit précisément ce que BlockLucky écrit sur la chaîne, ce qui reste hors chaîne, et les limites qui en découlent. Elle s'appuie sur la démarche recommandée par les lignes directrices 02/2025 du Comité européen de la protection des données (CEPD) : garder les données identifiantes hors chaîne et documenter ce qui ne peut pas être effacé. Elle ne constitue pas un avis juridique.

#Principe retenu

flowchart LR
    subgraph Hors["Hors chaîne : base du backend"]
        E["Email"]
        U["Identifiant de compte"]
        K["Clé privée chiffrée"]
        P["EtherPoints, préférences, tranche d'âge"]
        L["Lien compte vers adresse"]
    end
    subgraph Sur["Sur la chaîne : public et immuable"]
        A["Adresses de portefeuille"]
        T["Achats, gains, remboursements"]
        B["Badges POAP"]
    end
    L --> A

Le lien entre une personne et son adresse de portefeuille n'existe que dans la base du backend (colonne User.walletAddress et colonnes de la table Ticket). Supprimer ce lien rend les données de la chaîne non rattachables à une personne par la Ville. Elles restent des données pseudonymes pour quiconque peut faire ce lien par d'autres moyens.

#Ce qui est écrit sur la chaîne

#Par le contrat BlockLucky

Les données ci-dessous viennent des événements et de l'état de smart-contract/contracts/BlockLucky.sol.

#Par le contrat BlockLuckyPOAP

#Par les transactions elles-mêmes

Chaque transaction publie son émetteur, son destinataire, son montant et son horodatage. Deux flux méritent attention :

Ces informations restent pseudonymes, mais elles enrichissent le graphe des transactions, ce qui facilite une éventuelle réidentification par recoupement.

#Ce qui n'est jamais écrit sur la chaîne

Les messages de chat affichent l'adresse du portefeuille sous forme abrégée (0x1234...abcd, fonction anonymizeWallet), comme le classement public.

#Immutabilité et droit à l'effacement

Une transaction inscrite dans un bloc ne peut ni être modifiée ni supprimée. Ni la Ville ni l'équipe ne peuvent effacer une adresse de la chaîne. Le droit à l'effacement est donc mis en œuvre hors chaîne :

Conséquences de la destruction de la clé :

• les fonds encore présents sur l'adresse deviennent définitivement inaccessibles ;
• un gain non réclamé ou un remboursement en attente ne peut plus être retiré.

Sur un réseau de test, ces fonds n'ont pas de valeur. Avec des fonds réels, il faudrait proposer au citoyen de retirer ses fonds vers une adresse de son choix avant l'effacement.

#Information des personnes

La politique de confidentialité du web indique que seule l'adresse de portefeuille figure sur la chaîne et que l'email n'y est jamais inscrit. Pour être complète, l'information présentée à l'inscription devrait aussi préciser :

• que les transactions sont publiques et définitives ;
• que l'effacement du compte ne supprime pas les transactions déjà inscrites ;
• que la dotation et les cadeaux créent des liens visibles entre adresses ;
• que la clé est détruite à l'effacement, avec les fonds restants.

Ces ajouts sont repris dans Points à valider.

#Transferts hors de l'Union européenne

Les nœuds d'Ethereum, de Sepolia comme du réseau principal, sont répartis dans le monde. Inscrire une adresse sur la chaîne revient à la rendre accessible hors de l'UE. Seules des données pseudonymes y sont publiées. La qualification de ce transfert au regard du chapitre V du RGPD, que les lignes directrices du CEPD abordent, est à faire valider par le DPO. Chainlink ne reçoit que des demandes d'aléa, sans donnée personnelle.

#Recommandations pour une exploitation réelle