每个数字产品都始于对人或事物的记录。随着数据在应用程序、供应商、数据库和有时是区块链之间流转，责任归属往往显得模糊不清。然而，区块链可以分配保管权，却无法让问责制消失。
没有中央数据库管理员，并不意味着决策、职责或后果也随之消失。依然有人需要决定什么数据进入系统、其必要性何在、应保留多久，以及当数据出错时该如何处理。
数据永远不会成为无主之物
所有权只是一个法律隐喻。一个更实际的问题是：在数据生命周期的每个阶段，谁承担什么责任？数据所描述的个人拥有权利。决定数据用途和处理方式的各方制定规则。服务提供商负责实现存储与安全。工程师将政策转化为架构和权限。基础设施运营商维持系统可用性。审计师和监管机构则提供监督。
根据 GDPR，控制者（controller）决定处理的目的和手段，而处理者（processor）则代表控制者行事。控制者必须在目的限制、数据最小化、准确性和存储限制等原则上证明合规性。这种结构跨越了司法管辖区：收集是否必要？当事人是否知情？错误能否更正？是否有真正的责任方能够回应投诉？
区块链改变了什么，又没改变什么
传统的应用程序赋予单一运营商广泛的技术控制权，可以编辑、撤销或删除记录。这种控制权既能用于补救，也可能导致审查和篡改。区块链改变了这一点：多个节点复制一份有序的历史记录，在共享规则下验证变更，并使得单方面重写变得困难。NIST 将区块链描述为“防篡改”（tamper-evident）和“抗篡改”（tamper-resistant），而非神奇地“不可变”。
这产生了一个新的权衡：记录在未经许可的情况下越难更改，当更改合法时就越难纠正。责任是发生了转移，而非消失。应用程序设计者决定提交什么；协议开发者定义有效的状态转换；验证者执行规则；节点运营商复制历史；治理机制决定软件的演进。法国国家信息自由委员会（CNIL）得出了类似的结论：决定注册数据的参与者可被视为控制者。“协议就是这样设计的”并不是一个严肃的问责模型。
何时将数据写入链上
当多方需要共享状态、彼此之间缺乏充分信任、需要排序和溯源、重视独立验证，且记录可以合法地保持持久性时，使用区块链是合理的。这使得链上存储对于共识关键型状态（余额、转账）、公共承诺（带时间戳的哈希值）、状态和撤销注册表、共享审计事件以及抗审查的通信状态而言极具吸引力。持久性是产品的一部分，而非副作用。
何时应将数据保留在链下
大多数应用程序数据并不符合上述标准。原始个人资料、病史、私人文档、可变偏好设置和大型媒体文件都不适合永久复制。加密记录在当下可以保护内容，但密文可能会在几十年内持续存在。密钥会泄露，算法会老化，元数据也会揭示关联性。“删除密钥”（加密粉碎）并不等同于删除所有副本。哈希值并非自动匿名；如果它们与个人相关联或与小型输入集进行比对，它们可能充当伪匿名个人数据。
NIST 在隐私增强型分布式账本方面的工作始于一个观察：传统的不可变性可能与需要修订或删除的隐私规则相冲突。研究人员已经探索了可编辑的账本结构，这些结构在保持完整性的同时允许受控删除。区块链是一个设计空间，而不是某种神圣的数据结构。
实践中的默认方案：链上证明，链下存储
对于许多产品而言，最稳健的架构是混合模式：将敏感记录保存在加密且可控的系统中，仅将最小的证明放在链上。将文档存储在链下，并在链上锚定其哈希值。签发具有选择性披露功能的可验证凭证。发布撤销条目而不包含私密内容。使用版本控制来识别已更正的状态。使用可轮换密钥进行加密，并定义保留策略。
W3C 的可验证凭证模型将签发者、持有者、主体和验证者分离开来。个人可以在不暴露完整身份记录的情况下证明某项事实。其目标是在减少共享信息的同时实现信任的可移植性。
有时你根本不需要区块链。一个治理良好的数据库可以提供加密、访问控制、已签名的审计事件和快速纠正机制。使用默克尔树的透明度日志（如 RFC 9162 中的证书透明度）可以在无需分布式共识的情况下提供包含证明。决定性的问题不是“我们能用区块链吗？”，而是“我们试图防止哪种故障？”
首次交易前的七个问题测试
在使数据永久化之前，项目必须用通俗的语言回答以下问题：需要验证的具体主张是什么？谁必须对该状态达成一致？单一的责任运营商是否可以接受？数据是否可能变得错误、有害或在法律上需要被删除？证明能否替代有效载荷？谁负责纠正和补救？二十年后，密钥泄露和密码学老化问题该如何处理？
ADAMANT：传输的持久性与内容的隐私性
ADAMANT 提供了一个深思熟虑的权衡案例。该网络使用委托权益证明（DPoS）区块链作为通信的去中心化信任层。客户端无需信任某一家公司的服务器来保存共享的交易历史。
但区块链并不是发布明文的借口。根据 ADAMANT 文档，消息交易资产在打包进交易、签名和广播之前均已加密。基础聊天使用基于 NaCl box 的认证公钥加密；键值记录使用 NaCl secretbox。客户端在本地执行加密工作。
加密后的消息体保持私密，而网络仅需交易元数据（发送者、接收者、时间戳、费用、签名）来验证和路由活动。加密保护了内容；它并不会让所有的关系都变得不可见。ADAMANT 的架构展示了区块链的合法应用场景：通信不应因为某家公司关闭账户而消失，同时系统最小化了公共节点对私密消息本身所需的理解程度。
责任是一种功能
值得信赖的产品不会通过收集最多的数据或宣布每个数据库都不可变来获胜，而是通过让责任变得清晰可辨来获胜。用户应该知道什么是被记录的，什么是保持私密的。开发者应该解释每个字段存在的原因。运营商应该了解自己的安全职责。治理机制应该提供纠正路径。去中心化在消除不必要的控制而不移除问责制时最为强大。区块链在承载证明而非全部故事时最为强大。
在链下、混合和链上数据之间进行选择的实用决策图。