Kan man kræve data slettet fra en blockchain?

Det er retligt uafklaret og teknisk vanskeligt. GDPR’s artikel 17 giver i visse tilfælde ret til sletning, men en offentlig blockchain er designet til at være uforanderlig, så data ikke uden videre kan fjernes. Derfor er hovedanbefalingen at undgå at lægge personoplysninger direkte på kæden.

Gælder GDPR overhovedet for offentlige blockchains?

GDPR gælder, når der behandles personoplysninger. Om en given adresse eller transaktion er en personoplysning afhænger af, om personen kan identificeres. Det Europæiske Databeskyttelsesråd (EDPB) har i 2025 udsendt retningslinjer, der forsøger at afklare, hvordan reglerne anvendes på blockchain. Dette er generel information, ikke juridisk rådgivning.

GDPR og blockchain: retten til sletning vs. den uforanderlige kæde

Q: Er retten til at blive glemt absolut?

Nej. Retten til sletning efter artikel 17 gælder kun i bestemte tilfælde og har undtagelser — fx hvis behandlingen er nødvendig for at overholde en retlig forpligtelse eller for at fastlægge et retskrav. Det er altså ikke en ubetinget ret til at få slettet alt.

GDPR giver dig i visse tilfælde ret til at få dine personoplysninger slettet. En blockchain er omvendt bygget til, at data ikke kan ændres eller fjernes. Den spænding er et af de mest omdiskuterede spørgsmål i europæisk databeskyttelse — her er status i almindeligt sprog.

1. Konflikten kort

GDPR bygger blandt andet på, at personoplysninger skal kunne rettes og slettes, og at de ikke må opbevares længere end nødvendigt. En offentlig blockchain bygger på det modsatte: at data, når de først er skrevet, ikke kan ændres eller fjernes af nogen. Det er kernen i konflikten — og grunden til, at man skal tænke sig godt om, før personoplysninger overhovedet lægges på en kæde.

2. Retten til sletning (artikel 17)

Efter databeskyttelsesforordningens artikel 17 — "retten til at blive glemt" — har den registrerede i en række tilfælde ret til at få sine personoplysninger slettet uden unødig forsinkelse. Men retten er ikke absolut: den gælder kun i bestemte situationer, og der er undtagelser, blandt andet når behandlingen er nødvendig for at overholde en retlig forpligtelse eller for at fastlægge, gøre gældende eller forsvare et retskrav. Det er altså ikke en ubetinget ret til at få slettet alt.

3. En kæde, der ikke kan ændres

Problemet opstår, når personoplysninger er skrevet direkte på en offentlig blockchain. Så kan de reelt ikke fjernes igen. Nogle forsøger at løse det ved at slette nøgler eller "kryptografisk destruere" adgangen til data, men om det juridisk kan sidestilles med sletning, er omdiskuteret. En wallet-adresse eller en transaktion kan desuden være en personoplysning, hvis den kan knyttes til en identificerbar person — og så gælder GDPR.

4. Hvad EDPB anbefaler

Det Europæiske Databeskyttelsesråd (EDPB) vedtog i april 2025 et udkast til retningslinjer om behandling af personoplysninger via blockchain-teknologi (Guidelines 02/2025), som blev sendt i offentlig høring. Hovedbudskaberne er blandt andet, at man bør:

Vurdere, om en blockchain overhovedet er nødvendig, eller om en anden løsning bedre respekterer de registreredes rettigheder.
Undgå at lægge personoplysninger direkte på kæden — brug fx opbevaring uden for kæden ("off-chain") med kun en reference på kæden.
Indbygge databeskyttelse fra start (privacy by design og by default) og minimere de data, der behandles.
Være klar over, hvem der er dataansvarlig, når mange deltagere driver samme netværk.

Retningslinjerne var på udgivelsestidspunktet et udkast under høring og kan blive justeret. Datatilsynet er den danske myndighed på området.

5. Hvad det betyder i praksis

For dig som almindelig bruger er den vigtigste lære, at en blockchain husker. Transaktioner er offentlige og permanente, og du kan ikke regne med at få dem "slettet" bagefter. For virksomheder, der overvejer blockchain, er anbefalingen klar: hold personoplysninger væk fra selve kæden, og indbyg databeskyttelse fra begyndelsen — det er langt sværere at reparere senere.

Generel information, ikke juridisk rådgivning. Området er under udvikling; Datatilsynet og EDPB offentliggør løbende vejledning. Ved konkrete databeskyttelsesspørgsmål bør du søge specialiseret rådgivning.