Endereços de carteira e dados on-chain como dados pessoais
Ler a edição em PDF (3 páginas)
A posição da autoridade reguladora
A Personal Data Protection Commission (a autoridade de proteção de dados de Singapura) publicou em julho de 2022 um guia sobre aspectos de proteção de dados no design de blockchains. O guia adota três posições centrais. Dados gravados em uma blockchain são dados pessoais se a pessoa puder ser identificada a partir deles em combinação com outras informações. A organização que grava dados pessoais em uma blockchain continua responsável por eles como controladora. Dados pseudonimizados, como um endereço de carteira ou um identificador com hash, podem ainda ser dados pessoais quando a organização ou terceiros conseguem vinculá-los a uma pessoa.1 O guia recomenda que os dados pessoais sejam mantidos off-chain, ficando on-chain apenas hashes ou referências, e que se usem redes permissionadas quando os participantes puderem ser vinculados por contrato. Antes da implantação, as organizações devem avaliar se o uso de uma blockchain pública é compatível com as obrigações de limitação da conservação e de correção.
Consequências para exchanges e protocolos
Uma exchange que conhece a identidade do cliente por trás de um endereço de carteira detém dados pessoais nesse endereço. Cada transação que o cliente realiza on-chain a partir desse endereço, que é pública, constitui, portanto, dado pessoal nas mãos da exchange. A divulgação, pela exchange, do vínculo entre endereço e identidade é uma divulgação de dados pessoais que exige consentimento ou uma exceção. As exceções abrangem a divulgação exigida por lei, o que inclui a divulgação por ordem judicial do tipo proferido em CLM v CLN e a divulgação às autoridades de persecução penal, bem como a divulgação necessária para uma investigação ou um processo.2 A exchange que recebe uma ordem de exibição deve cumpri-la e não deve usar a lei como pretexto para protelar. A exchange a quem o advogado de um autor pede informalmente os dados do titular da conta deve recusar, porque nenhuma exceção abrange a divulgação voluntária a um particular.
Os protocolos enfrentam um problema diferente. O desenvolvedor que grava um atributo de identidade em uma blockchain pública, por exemplo um soulbound token que registra que um endereço passou por verificação, cria um registro público permanente que não pode ser corrigido nem apagado. As orientações da Commission tratam isso como uma falha de design, a menos que o atributo não possa ser vinculado a uma pessoa. Na prática, o único design seguro mantém a identidade off-chain e registra on-chain apenas uma prova criptográfica de que a verificação ocorreu.
Notas
- Personal Data Protection Commission, Guide on Personal Data Protection Considerations for Blockchain Design (julho de 2022). ↩
- Personal Data Protection Act 2012, First Schedule (exceções ao consentimento), incluindo a divulgação exigida ou autorizada por lei e a divulgação necessária para investigações ou processos. ↩
Apenas para informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise do caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro 2026.