欧洲数据保护委员会《第02/2025号指南（终版，第2.0版）——通过区块链技术处理个人数据》（Guidelines 02/2025 on processing of personal data through blockchain technologies，2026年7月7日通过）
简称：EDPB 第02/2025号指南（区块链个人数据处理·终版）
法规简介
欧洲数据保护委员会（EDPB）2026年7月7日全体会议通过《第02/2025号指南》终版（第2.0版），共27页。该指南初版（第1.1版）于2025年4月8日公开咨询，本次为咨询后通过版。指南系统分析区块链／分布式账本技术在GDPR项下的合规路径，覆盖区块链类型与链上数据形态、参与方角色与责任划分、各类区块链的处理评估、数据保护原则、处理合法性、国际传输、设计与默认的数据保护、存储期限、安全与数据保护影响评估，以及数据主体各项权利（告知与查阅、可携带、删除与反对、更正、反对纯自动化决策）在不可篡改账本上的实现方式。
【文件性质】欧洲数据保护委员会（EDPB）《第02/2025号指南——通过区块链技术处理个人数据》（Guidelines 02/2025 on processing of personal data through blockchain technologies），第2.0版（终版），2026年7月7日通过，共27页。版本沿革：第1.1版于2025年4月8日公开咨询前通过；第2.0版于2026年7月7日公开咨询后通过。依GDPR第70(1)(e)条作出。
【区块链的技术界定】通常以「区块链」一词指称的技术，实施的是**无中心化管理**的分布式一致数据库，由开放或预先确定的参与者集合按议定的规则集协调使用。区块链——或更广义的分布式账本技术（DLT）——可以替代以中介为基础的交易：例如使用区块链时，金融交易无需银行或其他金融中介的介入即可完成，因为资产的所有权可以在没有公证人介入的情况下得到证明。
【指南结构与覆盖范围】第1章导论；第2章背景与适用范围；第3章区块链技术描述（第3.1节不同类型的区块链、第3.2节区块链内部的数据、第3.3节角色与责任）；第4章基于区块链的处理活动的评估（第4.2节区块链上的个人数据处理、第4.3节数据保护原则、第4.4节处理的合法性、第4.5节国际传输、第4.6节设计与默认的数据保护、第4.7节数据存储期限、第4.8节安全性、第4.9节数据保护影响评估）；第5章数据主体权利（第5.1节数据主体告知、查阅权与数据可携带权；第5.2节删除权与反对权；第5.3节更正权；第5.4节反对纯自动化决策）；附件A为建议清单；附件B为术语表。
【核心合规难点（指南主线）】区块链的不可篡改性与去中心化架构，与GDPR的「更正权」「删除权（被遗忘权）」「存储限制」「控制者识别与责任分配」「跨境传输」等制度之间存在结构性张力。指南的处理路径是：①**在链上存储个人数据应尽量避免**，宜将个人数据置于链下、链上仅存哈希或指针；②**角色与责任的划分须结合具体链类型（公有／许可／私有）逐案判断**，并考虑节点运行者、智能合约部署者、应用层运营者各自的决定权；③**设计与默认的数据保护（PbD）应在架构选型阶段即介入**，因为事后修改的技术成本极高；④**数据保护影响评估（DPIA）**在涉及大规模或高风险处理时属必需环节。
【对中国出海企业的实务含义】①涉及欧盟用户的**联盟链、数字藏品、跨境供应链溯源、Web3身份与积分体系**类业务，其个人数据上链设计须重新审视——「链上不可删除」不能作为规避删除权的理由；②许可链（permissioned blockchain）因参与方可控、治理规则明确，在角色认定与合规论证上比公有链更有操作空间，是出海项目的优先技术选型；③本指南附件A的「建议清单」可直接作为区块链项目的隐私设计核对表。
【区块链的技术界定】通常以「区块链」一词指称的技术，实施的是**无中心化管理**的分布式一致数据库，由开放或预先确定的参与者集合按议定的规则集协调使用。区块链——或更广义的分布式账本技术（DLT）——可以替代以中介为基础的交易：例如使用区块链时，金融交易无需银行或其他金融中介的介入即可完成，因为资产的所有权可以在没有公证人介入的情况下得到证明。
【指南结构与覆盖范围】第1章导论；第2章背景与适用范围；第3章区块链技术描述（第3.1节不同类型的区块链、第3.2节区块链内部的数据、第3.3节角色与责任）；第4章基于区块链的处理活动的评估（第4.2节区块链上的个人数据处理、第4.3节数据保护原则、第4.4节处理的合法性、第4.5节国际传输、第4.6节设计与默认的数据保护、第4.7节数据存储期限、第4.8节安全性、第4.9节数据保护影响评估）；第5章数据主体权利（第5.1节数据主体告知、查阅权与数据可携带权；第5.2节删除权与反对权；第5.3节更正权；第5.4节反对纯自动化决策）；附件A为建议清单；附件B为术语表。
【核心合规难点（指南主线）】区块链的不可篡改性与去中心化架构，与GDPR的「更正权」「删除权（被遗忘权）」「存储限制」「控制者识别与责任分配」「跨境传输」等制度之间存在结构性张力。指南的处理路径是：①**在链上存储个人数据应尽量避免**，宜将个人数据置于链下、链上仅存哈希或指针；②**角色与责任的划分须结合具体链类型（公有／许可／私有）逐案判断**，并考虑节点运行者、智能合约部署者、应用层运营者各自的决定权；③**设计与默认的数据保护（PbD）应在架构选型阶段即介入**，因为事后修改的技术成本极高；④**数据保护影响评估（DPIA）**在涉及大规模或高风险处理时属必需环节。
【对中国出海企业的实务含义】①涉及欧盟用户的**联盟链、数字藏品、跨境供应链溯源、Web3身份与积分体系**类业务，其个人数据上链设计须重新审视——「链上不可删除」不能作为规避删除权的理由；②许可链（permissioned blockchain）因参与方可控、治理规则明确，在角色认定与合规论证上比公有链更有操作空间，是出海项目的优先技术选型；③本指南附件A的「建议清单」可直接作为区块链项目的隐私设计核对表。
