MiCA, RGPD i adreces de carteres de criptomonedes
Una addreca Bitcoin te entre 26 i 35 caracters en codificacio Base58Check. Comenca per "1", "3" o "bc1". Una addreca Ethereum comenca per "0x" i conte 40 caracters hexadecimals. Totes dues son seudoanimes. Cap d'elles identifica directament una persona.
La llei hi s'aplica igualment.
Quan una addreca de cartera es converteix en dada personal
Els registres seudoanims son registres personals si s'enllacen a una persona real. Un exchange de criptomonedes te fitxers KYC. Aquests fitxers vinculen les adreces a identitats verificades. L'addreca sola no identifica ningu fora de l'exchange. Dins dels seus sistemes, identifica un client. Aixo la converteix en dada personal.
La reglamentacio la cobreix completament.
MiCA afegeix un segon nivell
El MiCA de la UE (Markets in Crypto-Assets) va entrar en vigor el desembre de 2024. Exigeix als proveidors de serveis d'actius criptomoneda (CASP) que protegeixin els registres dels clients. Un exchange europeu ara s'enfronta a dues normes alhora. El MiCA estableix controls financers. El reglament estableix normes de proteccio de dades. Totes dues s'apliquen al mateix identificador.
El buit de deteccio en les eines estandard
Les eines estandard de dades personals es van crear per a les finances tradicionals. Coneixen l'IBAN. Coneixen el SWIFT/BIC. Coneixen els numeros de routing. No coneixen els formats d'addreces de criptomonedes.
Envieu un document amb una addreca Bitcoin, una addreca Ethereum i un codi SWIFT a traves d'una eina estandard. Troba el codi SWIFT. Passa per alt les dues adreces on-chain.
Per a un CASP que processa fitxers KYC, aquest buit es greu. Aquests identificadors son tan sensibles com els numeros de compte bancari. No detectar-los significa absencia d'encriptacio, de mascara i de registre d'auditoria.
L'article 32 i el buit d'encriptacio
L'article 32(1)(a) del RGPD exigeix la pseudonimitzacio i l'encriptacio com a controls basics. El 56% de les multes del RGPD citen una encriptacio deficient com a factor. Un exchange que xifra totes les dades personals detectades pero passa per alt les adreces de carteres no ha protegit res del que es el nucli de la seva activitat.
La deteccio ha de cobrir el conjunt complet d'identificadors. Per a un CASP, aquest conjunt inclou aquests formats d'addreces.
Com es veu un canal de compliment
Un exchange compliant afegeix aquests tipus d'entitats al seu pas de deteccio. Els formats de Bitcoin i Ethereum hi estan inclosos. Les adreces es marquen, s'encripten i es registren al ROPA juntament amb els IBANs i els numeros de compte. La AIPD indica cada tipus d'identificador cobert. Els registres d'auditoria del MiCA s'alineen amb els registres de tractament.
No cal cap nova politica. El buit es tecnic. Afegir els tipus d'entitats correctes al pas de deteccio el tanca.
Per a les mesures tecniques sota l'article 32, vegeu RGPD Article 32 i eines d'IA per al seguiment de l'exposicio de dades personals. Per saber com funciona la pseudonimitzacio a la practica, vegeu Directrius de pseudonimitzacio del CEPD 2025.