Das Prinzip der Speicherbegrenzung, GDPR Art. 5(1)(e), besagt, dass personenbezogene Daten nicht länger als für den Zweck ihrer Erhebung notwendig gespeichert werden dürfen. Es ist eine der einfachsten Pflichten, die versehentlich verletzt werden kann, weil das Hinzufügen einer Tabelle oder eines Caches zur Routine gehört und der Löschpfad der Teil ist, den alle vergessen. Hier wird beschrieben, wie der Fehler durchkommt und wie ein Review ihn erkennt.
Wie der Fehler durchkommt
Eine Funktion muss sich etwas über einen Nutzer merken: eine Support-Interaktion, ein Gerät, ein hochgeladenes Dokument. Eine neue Tabelle wird hinzugefügt, die Funktion funktioniert, der PR wird genehmigt. Nichts davon sieht falsch aus, weil nichts davon als Code falsch ist. Was fehlt, ist unsichtbar: Es gibt keine Speicherbegrenzung, keinen Ablaufjob und oft keinen Pfad, über den der bestehende Lösch-mein-Konto-Flow den neuen Speicher erreicht.
Sechs Monate später gibt es personenbezogene Daten ohne definiertes Lebensende und möglicherweise Daten, die eine Löschanfrage überstehen, was dann auch ein Problem nach Art. 17 darstellt.
Worauf man im Diff achten sollte
Wenn eine Änderung einen neuen Speicher für personenbezogene Daten einführt, sollten im Review drei Fragen gestellt werden: Was ist die Speicherbegrenzung, was löscht die Daten, wenn diese Begrenzung überschritten wird, und erreicht der Löschpfad diese Daten? Wenn eine Antwort fehlt, ist die Änderung aus Datenschutzsicht unvollständig, auch wenn sie als Funktion vollständig ist.
Ein Indiz ist meist eine Migration oder ein Modell, das eine Spalte mit personenbezogenen Daten hinzufügt, ohne dass im selben PR eine entsprechende Änderung an einem Speicher- oder Löschpfad vorgenommen wird.
Was heygrc markiert
heygrc ist darauf ausgelegt, einen neuen Speicher für personenbezogene Daten ohne Speicherbegrenzung oder Löschpfad zu erkennen und dies gegen Art. 5(1)(e) zu melden, wobei Art. 17 vermerkt wird, wenn Löschanfragen betroffen sind, als Review-Kommentar. Der Sinn besteht darin, die fehlende Hälfte der Änderung zu zeigen, während der Autor noch daran arbeitet, nicht eine rechtliche Bewertung abzugeben.