Autor: Marija Štrbac

Tekst je sadržinski ažuriran u oktobru 2026. godine.

Da bi se razumele mogućnosti primene propisa o zaštiti podataka o ličnosti na blockchain, potrebno je pre svega utvrditi kako on funkcioniše. Kao što i samo ime govori, ovu tehnologiju čine „blokovi“, odnosno skupovi zapisa o transakcijama, koji su međusobno povezani u niz. Jedan blok po pravilu sadrži veći broj transakcija, a svaki novi blok se, nakon provere od strane učesnika u mreži, nadovezuje na već postojeći „lanac“. Učesnici koji čuvaju kopiju lanca i učestvuju u njegovom ažuriranju nazivaju se čvorovi (eng. node). Blockchain se može koristiti za evidentiranje različitih vrsta podataka, poput podataka o vlasništvu, zaključenim ugovorima, autorskim i srodnim pravima i slično.

Obrada podataka o ličnosti u blockchain-u

Naročito treba voditi računa o tome koji se podaci skladište i upisuju u mrežu i koji od njih spadaju u kategoriju podataka o ličnosti.

Svaka radnja koja se vrši sa podacima o ličnosti, automatizovano ili neautomatizovano, kao što su prikupljanje, beleženje, čuvanje, uvid ili prenos, predstavlja obradu podataka. To znači da i upisivanje podataka o ličnosti u blockchain, njihovo čuvanje u lancu i razmena kopija lanca između čvorova predstavljaju obradu.

Svaki čvor po pravilu čuva kopiju lanca, a sa svakim novim blokom svi učesnici dobijaju ažuriranu verziju evidencije. Ako lanac sadrži podatke o ličnosti, oni se na taj način obrađuju na više mesta istovremeno, često i u različitim državama.

Šta su podaci o ličnosti?

Prema GDPR-u (Opšta uredba o zaštiti podataka EU 2016/679, član 4. tačka 1.) i srpskom Zakonu o zaštiti podataka o ličnosti (član 4. stav 1. tačka 1)), podatak o ličnosti je svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv, neposredno ili posredno. Najčešće su to podaci kao što su ime i prezime, adresa, JMBG, broj telefona, broj računa u banci, imejl adresa, IP adresa, IMEI broj uređaja, otisak prsta, fotografija lica i slično.

Kod blockchain sistema je posebno važno da i podaci koji na prvi pogled ne otkrivaju identitet, kao što su adrese digitalnih novčanika, javni ključevi ili hash vrednosti, mogu predstavljati podatke o ličnosti, ako se uz pomoć drugih podataka mogu povezati sa određenim fizičkim licem. Šifrovanje i hashiranje sami po sebi ne znače da je podatak anonimizovan, već mogućnost njegove povezanosti sa određenim fizičkim licem treba proceniti prema okolnostima konkretnog slučaja.

Prelazak na elektronske oblike čuvanja podataka omogućava rukovaocima lakše ažuriranje, preglednost i sistematičnost podataka. Blockchain pri tome nudi prednosti u pogledu integriteta zapisa i otkrivanja neovlašćenih izmena, ali sam po sebi ne garantuje zakonitost obrade niti zaštitu podataka o ličnosti.

Pozitivne i negativne strane zaštite podataka o ličnosti u blockchain sistemu

Blockchain tehnologiju odlikuju četiri ključne osobine:

  • Transparentnost: učesnici u lancu, a kod javnih blockchain mreža i svako drugo lice, mogu da vide zapise koji su uneti u blokove.
  • Decentralizacija: evidenciju vodi veći broj računara (čvorova), od kojih svaki ima kopiju podataka koji su uneti.
  • Nepromenljivost: jednom upisan zapis se praktično ne može izmeniti ni izbrisati, a svaka naknadna izmena beleži se kao nova transakcija.
  • Odsustvo centralnog posrednika: kod javnih mreža ne postoji centralno telo koje upravlja transakcijama, već se pravila sprovode kroz protokol i saglasnost učesnika.

Upravo ove osobine, koje su prednost u pogledu pouzdanosti zapisa, otvaraju najveća pitanja kada je reč o zaštiti podataka o ličnosti.

Problem primene načela GDPR-a u blockchain tehnologiji

Pravo na brisanje („pravo na zaborav“): GDPR (član 17) i Zakon o zaštiti podataka o ličnosti (član 30) daju licu pravo da traži brisanje svojih podataka, u zakonom propisanim slučajevima i uz određene izuzetke. Nepromenljivost zapisa u blockchain sistemu može predstavljati ozbiljnu prepreku za ostvarivanje ovog prava. Međutim, sama primena blockchain tehnologije nije suprotna GDPR-u. Usklađenost zavisi od karakteristika konkretnog sistema, vrste podataka koji se obrađuju i primenjenih tehničkih i organizacionih mera. Zato je ključno pitanje da li podaci o ličnosti uopšte moraju biti upisani neposredno u lanac.

Ograničenje čuvanja: podaci o ličnosti se mogu čuvati u obliku koji omogućava identifikaciju lica samo onoliko dugo koliko je neophodno za ostvarivanje svrhe obrade. Trajno čuvanje podataka u lancu zato mora biti opravdano svrhom obrade i pravnim osnovom, što je u praksi teško postići ako se u lanac upisuju sami podaci o ličnosti.

Integritet i poverljivost: podaci o ličnosti moraju biti zaštićeni od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja, primenom odgovarajućih mera. Blockchain može doprineti zaštiti integriteta zapisa, jer se neovlašćene izmene lako otkrivaju. To, međutim, nije isto što i poverljivost: blockchain ne sprečava neovlašćeno čitanje podataka, kompromitovanje pristupnih ključeva ili druge bezbednosne incidente. Kod javnih mreža, gde su zapisi široko dostupni, zaštita poverljivosti predstavlja poseban izazov i zahteva odgovarajuće tehničke mere, naročito kada se obrađuju podaci o ličnosti.

Tačnost: podaci moraju biti tačni i, ako je to neophodno, ažurirani, a netačni podaci se moraju bez odlaganja izbrisati ili ispraviti. U blockchain sistemu se ispravka po pravilu vrši novim zapisom, dok raniji netačan zapis ostaje vidljiv u lancu. Zbog toga upis netačnog podatka o ličnosti neposredno u lanac može biti teško uskladiti sa ovim načelom.

Minimizacija i procena uticaja: obrađivati se smeju samo podaci koji su neophodni za svrhu obrade. Kada je verovatno da će obrada podataka o ličnosti primenom blockchain tehnologije prouzrokovati visok rizik za prava i slobode fizičkih lica, rukovalac je dužan da pre početka obrade izvrši procenu uticaja na zaštitu podataka o ličnosti (GDPR, član 35, odnosno Zakon o zaštiti podataka o ličnosti, član 54). U okviru nje treba proceniti i da li je upotreba blockchaina uopšte neophodna za ostvarivanje svrhe obrade.

Evropski odbor za zaštitu podataka (EDPB) je 7. jula 2026. godine usvojio konačnu verziju Smernica 02/2025 o obradi podataka o ličnosti putem blockchain tehnologija. Prema njima, podatke o ličnosti treba po pravilu čuvati van lanca (off-chain), dok se u lanac upisuju samo zapisi koji omogućavaju proveru njihovog integriteta. Prava lica, uključujući brisanje i ispravku, moraju biti ugrađena u sistem od samog početka, a upotrebu javne mreže treba birati samo kada je javni pristup zaista neophodan.

Vrste blockchain tehnologije i njihova primena na podatke o ličnosti

Blockchain sistemi se, prema pristupu, najčešće dele na javne (otvorene) i privatne, odnosno one sa dozvolom pristupa (eng. permissioned). Najveći blockchain sistemi su javni: svako lice može da im pristupi, čuva kopiju lanca i učestvuje u njegovom ažuriranju, a jednom upisani zapisi ostaju trajno deo lanca.

Privatni sistemi su namenjeni određenom krugu učesnika, koji mreži pristupaju uz verifikaciju. U takvom sistemu se jasnije zna ko ima ovlašćenje da unosi podatke, ko upravlja mrežom i ko je odgovoran za obradu, pa je ispunjavanje obaveza iz propisa o zaštiti podataka znatno lakše. Ni privatni blockchain, međutim, nije sam po sebi usklađen sa propisima. On olakšava kontrolu pristupa i određivanje odgovornosti, ali i dalje moraju biti ispunjeni svi zakonski zahtevi, uključujući pravni osnov obrade, minimizaciju podataka i ostvarivanje prava lica.

Prilikom primene blockchain sistema pojavljuje se više učesnika: programeri koji razvijaju softver, operateri čvorova, rudari odnosno validatori koji potvrđuju nove blokove, kao i korisnici koji unose podatke. Njihov pravni položaj ne zavisi od tehničke funkcije, već od toga ko određuje svrhu i način obrade (rukovalac) i ko podatke obrađuje u ime rukovaoca (obrađivač), u skladu sa članom 4. GDPR-a i članom 4. Zakona o zaštiti podataka o ličnosti.

Tako operater čvora u privatnoj mreži, koji postupa po uputstvima organizacije koja upravlja sistemom, po pravilu može imati položaj obrađivača. U javnim mrežama, učesnici koji odlučujuće utiču na svrhu i bitna sredstva obrade mogu imati položaj rukovaoca ili zajedničkog rukovaoca. Programer softvera po pravilu ne obrađuje podatke o ličnosti, ali to ne isključuje njegovu ulogu u obezbeđivanju da sistem omogućava poštovanje propisa. Zbog toga je kod svakog blockchain projekta važno da se uloge učesnika jasno odrede, po mogućnosti kroz konzorcijum ili drugo pravno lice koje upravlja sistemom.

Kriptovalute i ostavljanje ličnih podataka prilikom njihovih transakcija

Blockchain se najčešće povezuje sa kriptovalutama, kao što je Bitcoin, koje se po pravilu zasnivaju na javnim mrežama. Transakcije kriptovalutama su pseudonimne, a ne potpuno anonimne: identitet korisnika nije neposredno vidljiv iz adrese novčanika, ali se transakcije beleže u javno dostupnoj evidenciji i mogu se analizirati i, u određenim okolnostima, povezati sa konkretnim licima. To se naročito dešava prilikom zamene kriptovaluta za novac ili korišćenja usluga pružalaca usluga povezanih s digitalnom imovinom.

Pružaoci usluga povezanih s digitalnom imovinom dužni su da utvrde identitet svojih korisnika u skladu sa propisima o sprečavanju pranja novca, pa prikupljaju i obrađuju njihove podatke o ličnosti. U odnosu na te podatke, oni po pravilu imaju položaj rukovaoca i odgovorni su za njihovu zaštitu, uključujući i zaštitu od bezbednosnih incidenata i napada na njihove sisteme.

Obaveze sprečavanja pranja novca i finansiranja terorizma predstavljaju zakonski osnov za prikupljanje, proveru i čuvanje određenih podataka o korisnicima, zbog čega pravo na brisanje može biti ograničeno u zakonom propisanim slučajevima. Međutim, te obaveze ne opravdavaju automatski upisivanje podataka o identitetu korisnika u javni blockchain, niti isključuju primenu načela minimizacije i bezbednosti podataka.

Fizičko lice koje kupuje i prodaje kriptovalute za sopstveni račun, u okviru isključivo ličnih aktivnosti, po pravilu ne potpada pod obaveze rukovaoca. Drugačija je situacija kada lice u okviru profesionalne delatnosti obavlja transakcije za tuđi račun i pri tome obrađuje podatke o ličnosti svojih klijenata.

Zaključak

Primena blockchain tehnologije na obradu podataka o ličnosti nije sama po sebi nedopuštena, ali pojedine njene osobine, pre svega nepromenljivost i javnost zapisa, mogu biti teško usklagive sa načelima i pravima koje propisuju GDPR i Zakon o zaštiti podataka o ličnosti. Zbog toga se pitanje zaštite podataka mora rešavati već prilikom projektovanja sistema: izborom odgovarajuće vrste mreže, čuvanjem podataka o ličnosti van lanca, minimizacijom podataka, jasnim određivanjem uloga učesnika i procenom uticaja na zaštitu podataka o ličnosti.

Pružamo pravnu pomoć pri usklađivanju poslovanja sa propisima o zaštiti podataka o ličnosti, uključujući i procenu blockchain rešenja. Za više informacija kontaktirajte nas.

Ovaj tekst ne predstavlja pravni savet i informativnog je karaktera, u skladu sa uslovima korišćenja ove veb prezentacije.