Blockchain y RGPD: directrices EDPB 2026

El Comité Europeo de Protección de Datos (EDPB) ha adoptado la versión definitiva de sus Directrices 02/2025 sobre el tratamiento de datos personales mediante tecnologías blockchain, tras el periodo de consulta pública abierto en 2025. El documento, publicado el pasado 7 de julio de 2026, ofrece por primera vez un marco interpretativo completo sobre cómo aplicar el RGPD a una tecnología que, por diseño, entra en tensión con varios de sus principios básicos.

Hace tan solo unos días, ya te hablamos en nuestro blog sobre otras directrices recién aprobadas por el EDPB: las dedicadas a la anonimización. Ahora, si tu organización está valorando implementar una solución basada en blockchain, te animamos a seguir leyendo.

Por qué el blockchain plantea un reto para la protección de datos

El propio EDPB reconoce que blockchain no es, en sí mismo, un tratamiento de datos personales, sino una tecnología (comparable al cloud computing) que puede sustentar tratamientos muy diversos. Sin embargo, sus propiedades técnicas generan fricciones específicas con el RGPD:

• Inmutabilidad: una vez validada una transacción, no puede alterarse ni eliminarse sin que se detecte como una inconsistencia en la cadena.
• Ausencia de “marcha atrás”: no existe un proceso por defecto para borrar transacciones ya registradas.
• Transparencia: en las cadenas públicas, el acceso a los datos y su auditoría están disponibles para todos los participantes.

Estas características chocan de frente con principios reconocidos en el RGPD, como la minimización de datos o la limitación del plazo de conservación y el ejercicio efectivo de derechos como la rectificación o la supresión.

Roles y responsabilidades: controlador y encargado en blockchain

Uno de los apartados más relevantes de la guía aborda la atribución de roles bajo el RGPD. El EDPB insiste en que la naturaleza descentralizada de blockchain no exime a ningún actor de cumplir con la normativa. Aspectos clave:

• El mecanismo de gobernanza de la red suele ser determinante para identificar quién actúa como responsable del tratamiento.
• En las blockchains permisionadas, la existencia de una autoridad que otorga permisos de acceso facilita una atribución de responsabilidades más clara, por lo que el EDPB recomienda priorizar este modelo frente a las redes públicas y sin permiso.
• En redes públicas sin permiso (como Bitcoin o Ethereum), los nodos pueden llegar a ser considerados corresponsables si ejercen una influencia decisiva sobre los fines y medios esenciales del tratamiento (por ejemplo, en decisiones de fork).

Datos personales dentro de la cadena: identificadores y payload

La guía distingue entre los metadatos de las transacciones (claves públicas, direcciones de wallet) y el contenido o payload (el dato sustantivo de la transacción). Ambos pueden constituir datos personales cuando permiten, por medios razonablemente probables, identificar a una persona física.

Para mitigar riesgos, el EDPB analiza distintas técnicas de anonimización en blockchain y seudonimización, señalando ventajas y límites de cada una:

• Cifrado de los datos antes de subirlos a la cadena (recordando que el dato cifrado sigue siendo dato personal).
• Hashing con clave o sal secreta almacenada fuera de la cadena.
• Compromisos criptográficos (cryptographic commitments), que permiten probar la integridad de un dato sin revelarlo.

En todos los casos, el EDPB desaconseja expresamente almacenar datos personales en texto claro dentro de la cadena.

Principios del RGPD aplicados a blockchain

El documento repasa, principio por principio, los retos que plantea esta tecnología:

• Minimización de datos: la naturaleza de “solo añadir” (append-only) de blockchain agrava la tensión con este principio; solo debe registrarse lo estrictamente necesario.
• Limitación del plazo de conservación: el hecho de que un blockchain sea técnicamente inmutable no legitima conservar los datos durante toda la vida de la cadena; el plazo debe fijarse según la finalidad del tratamiento.
• Licitud: no existe una base jurídica única para blockchain; cada tratamiento debe ampararse en el artículo 6 RGPD (y, en su caso, en una excepción del artículo 9).
• Transferencias internacionales: cuando existen nodos fuera del EEE, deben aplicarse los mecanismos del Capítulo V RGPD, incluso si esos nodos no han sido “elegidos” por el responsable.

Derechos de los interesados: el punto más delicado

El EDPB dedica un apartado completo a los derechos de los interesados en blockchain, con especial atención al derecho de supresión y al derecho de rectificación. La conclusión central es clara: la imposibilidad técnica de borrar datos de una cadena no exime del cumplimiento del RGPD. La solución recomendada pasa por diseñar la arquitectura desde el origen para que, ante una solicitud de supresión, sea posible anonimizar eficazmente los datos on-chain (por ejemplo, eliminando los datos off-chain que permitirían la reidentificación).

Para el derecho de rectificación, la guía admite que en algunos casos pueda satisfacerse mediante una transacción posterior que anule la anterior, aunque el registro original persista en la cadena.

Evaluación de impacto (DPIA) obligatoria en muchos casos

El EDPB detalla los elementos que debe incluir una EIPD o DPIA en proyectos de blockchain: descripción sistemática del tratamiento, análisis de necesidad y proporcionalidad, evaluación de riesgos específicos (incluidas las transferencias internacionales) y medidas concretas de mitigación. En determinados escenarios (redes sin permiso, fuera del control del responsable o con transferencias internacionales) la propia guía sugiere que la DPIA debería concebirse como un proceso continuo, no como un ejercicio puntual.

Recomendaciones prácticas del EDPB

El Anexo A recoge 16 recomendaciones concretas, entre las que destacan:

1. Documentar por qué blockchain es necesaria y proporcionada frente a otras alternativas.
2. Almacenar los datos adicionales fuera de la cadena (off-chain) siempre que sea posible.
3. Informar a los interesados en el momento de comprometer sus datos a la cadena.
4. Minimizar tanto los metadatos como el contenido de las transacciones.
5. Garantizar que el consentimiento, si se usa como base jurídica, permita una retirada real sin perjuicio.
6. Prever mecanismos de anonimización o borrado desde el diseño (privacy by design).

Conclusión

Las nuevas directrices confirman que blockchain no goza de ningún régimen de excepción frente al RGPD. Antes de implementar cualquier solución basada en esta tecnología, las organizaciones deben documentar rigurosamente la necesidad del uso de blockchain, priorizar arquitecturas permisionadas y off-chain, y anticipar desde el diseño el ejercicio efectivo de los derechos de los interesados. La falta de una solución técnica para el borrado no es, según el EDPB, excusa válida para incumplir la normativa.

Mantente atento a nuestro blog, porque en nuestras próximas publicaciones, te hablaremos sobre otras nuevas directrices recién aprobadas por el EDPB: las relativas a web scraping.