Personenbezogene Daten, die ihr Ende vergessen haben.
Die Speicherbegrenzung, Art. 5(1)(e), besagt, dass personenbezogene Daten nicht länger in einer Form gespeichert werden dürfen, die eine Identifizierung von Personen ermöglicht, als für den Zweck, für den sie erhoben wurden, notwendig ist. Es ist eine der Pflichten, die am einfachsten versehentlich verletzt werden, weil das Hinzufügen eines Speicherorts Routine ist und das Hinzufügen des Teils, der die Daten später löscht, der Teil ist, den alle vergessen.
The shapes the same control failure takes.
Die Änderung ist fast nie 'behalte dies absichtlich für immer'. Es fehlt meist die zweite Hälfte einer ansonsten sinnvollen Änderung. Dies sind die wiederkehrenden Muster.
Ein neuer Speicher wird ohne Lebensdauer bereitgestellt
Eine Migration oder ein Modell fügt eine Tabelle, einen Cache oder einen Index hinzu, der personenbezogene Daten enthält, und es wird keine Aufbewahrungsfrist oder Ablaufzeit festgelegt, sodass die Daten einfach angesammelt werden.
Ein Aufbewahrungsjob wird entfernt oder deaktiviert
Ein geplanter Löschvorgang, eine TTL für einen Cache oder eine Bereinigungsaufgabe wird bei einer Überarbeitung entfernt oder auskommentiert, um ein nicht verwandtes Problem zu beheben, und die Daten, die früher gelöscht wurden, bleiben nun erhalten.
Ein Zeitraum verlängert sich leise
Eine Aufbewahrungsfrist wird erhöht (90 Tage werden zu unbegrenzt oder eine Standardkonfiguration ändert sich) ohne einen Zweck oder einen dokumentierten Grund, die Daten länger zu behalten.
Eine weiche Löschung behält alles
Eine Löschung wird in eine Markierung geändert (z. B. eine Spalte deleted_at), sodass die Zeile und die darin enthaltenen personenbezogenen Daten weiterhin unbegrenzt vorhanden sind, was Aufbewahrung und keine Löschung ist.
Die Löschung erreicht nicht die neue Kopie
Ein neuer Ort, an dem personenbezogene Daten landen (z. B. ein Export, eine Analytik-Senke, eine zweite Datenbank), ist nicht mit dem Pfad für die Löschung meines Kontos verknüpft, sodass eine Kopie die Löschung überlebt. Dies ist auch ein Problem nach Art. 17.
Ein entfernter Bereinigungsjob, der inaktive Benutzer für immer behält.
Ein geplanter Job, der die personenbezogenen Daten langfristig inaktiver Benutzer gelöscht hat, wird entfernt, vielleicht weil er zu viele Meldungen verursacht hat oder es sicher schien, die Daten zu behalten. Die Folge ist, dass personenbezogene Daten nun keine definierte Lebensdauer mehr haben.
schedules: reconcile: { cron: "0 2 * * *" }- purge_inactive: { cron: "0 3 * * *", delete: users, older_than: P2Y }Dies entfernt die einzige Funktion, die personenbezogene Daten inaktiver Benutzer gelöscht hat, sodass sie nun ohne Enddatum aufbewahrt werden. Art. 5(1)(e) (Speicherbegrenzung) verlangt, dass personenbezogene Daten nicht länger als für den Zweck notwendig gespeichert werden. Wenn der Job zu aggressiv oder störend war, korrigieren Sie seinen Zeitplan oder Umfang, behalten Sie aber einen Aufbewahrungspfad bei, anstatt ihn vollständig zu entfernen.
Aufbewahrung ist auch ein Löschproblem.
Die Speicherbegrenzung wird anhand Ihrer Verarbeitungsverzeichnisse und Ihres Aufbewahrungsplans bewertet: Daten, die über ihren festgelegten Zweck hinaus existieren, sind die Lücke, nach der eine Prüfung sucht. Sie ist mit dem Recht auf Löschung, Art. 17, verknüpft, weil jeder Ort, an dem personenbezogene Daten gespeichert werden, ein Ort ist, den eine Löschanfrage erreichen muss. Ein neuer Speicher ohne Aufbewahrungsfrist ist in der Regel auch ein Speicher, den der Pfad für die Löschung meines Kontos nicht kennt, sodass diese beiden Pflichten tendenziell gemeinsam in demselben Pull Request verletzt werden.
Eine Prüfung, keine Rechtsberatung.
heygrc markiert Änderungen, die die Speicherbegrenzung betreffen, und zitiert den Artikel, damit die Korrektur im Pull Request erfolgt. Es legt keine Aufbewahrungsfristen fest, trifft keine rechtliche Bewertung und verwaltet nicht Ihre Verarbeitungsverzeichnisse. Es erkennt die Änderung frühzeitig, sodass eine Aufbewahrungsfrage während der Prüfung und nicht erst nach einem Vorfall beantwortet wird.