MiCA, GDPR וכתובות ארנק קריפטו
כתובת Bitcoin מכילה 26–35 תווים בקידוד Base58Check. היא מתחילה ב-"1", "3" או "bc1". כתובת Ethereum מתחילה ב-"0x" ומכילה 40 תווים הקסדצימליים. שתיהן פסאודואנימיות. אף אחת לא מזהה אדם ישירות.
החוק עדיין חל.
מתי כתובת ארנק הופכת לנתון אישי
רשומות פסאודואנימיות הן רשומות אישיות אם הן מקושרות לאדם אמיתי. בורסת קריפטו מחזיקה קבצי KYC. אותם קבצים מקשרים את הכתובות לזהויות מאומתות. הכתובת לבדה אינה מזהה אף אחד מחוץ לבורסה. בתוך מערכותיה, היא מזהה לקוח. לכן היא נתון אישי.
התקנה מכסה אותה במלואה.
MiCA מוסיף שכבה שנייה
ה-MiCA האירופי (Markets in Crypto-Assets) נכנס לתוקף בדצמבר 2024. הוא מחייב ספקי שירותי נכסי קריפטו — CASPs — להגן על רשומות לקוחות. בורסה אירופית כיום מתמודדת עם שתי מערכות כללים בו-זמנית. MiCA קובע בקרות פיננסיות. GDPR קובע כללי הגנת מידע. שניהם חלים על אותו מזהה.
פער הזיהוי בכלים סטנדרטיים
כלי PII סטנדרטיים נבנו עבור פיננסים מסורתיים. הם מכירים IBAN. הם מכירים SWIFT/BIC. הם מכירים מספרי ניתוב. הם אינם מכירים פורמטי כתובות קריפטו.
שלחו מסמך עם כתובת Bitcoin, כתובת Ethereum וקוד SWIFT דרך כלי סטנדרטי. הוא ימצא את קוד ה-SWIFT. הוא יחמיץ את שתי הכתובות המקוונות.
עבור CASP המעבד קבצי KYC, פרצה זו חמורה. מזהים אלה רגישים לא פחות ממספרי חשבונות בנק. פספוסם משמע אין הצפנה, אין מיסוך ואין מסלול ביקורת.
סעיף 32 ופרצת ההצפנה
GDPR סעיף 32(1)(א) מחייב pseudonymization והצפנה כבקרות בסיס. 56% מקנסות GDPR מציינים הצפנה לקויה כגורם. בורסה שמצפינה את כל ה-PII שזוהה אבל מחמיצה כתובות ארנק לא הגנה על הדבר המרכזי בפעילותה.
הזיהוי חייב לכסות את מלוא מערך המזהים. עבור CASP, מערך זה כולל פורמטי כתובות אלה.
כיצד נראה צינור ציות
בורסה ציינית מוסיפה את סוגי הישויות הללו לשלב הזיהוי שלה. פורמטי Bitcoin ו-Ethereum נכללים. הכתובות מסומנות, מוצפנות ומתועדות ב-ROPA לצד IBAN ומספרי חשבון. ה-DPIA מציין כל סוג מזהה שמכוסה. מסלולי ביקורת MiCA מיושרים עם רשומות עיבוד.
אין צורך במדיניות חדשה. הפרצה טכנית. הוספת סוגי הישויות הנכונים לשלב הזיהוי סוגרת אותה.
לאמצעים טכניים לפי סעיף 32, ראו GDPR סעיף 32 וכלי AI לניטור חשיפת PII. לגבי אופן פעולת pseudonymization בפועל, ראו הנחיות pseudonymization EDPB 2025.