Правовое основание, согласие и хранение

Что это такое

Прежде чем хранить персональные данные, нужно письменно ответить на три вопроса: на каком основании нам разрешено их обрабатывать, что мы сказали человеку и как он согласился, и как долго мы будем их держать. Артефакт — запись по каждой категории данных: небольшая таблица, которая выдерживает аудит и, что полезнее, выдерживает смену команды.

Почему это важно

Согласие — основание, которое команды выбирают по умолчанию, и самое хрупкое в опоре: его можно отозвать, а дать его должны свободно. Договор и законный интерес часто оказываются честным ответом для данных, без которых сервис действительно не работает. Ошибка здесь означает, что система построена вокруг допущения, которое потом ломается: согласие собрано до заполнения формы, записи о том, когда и как оно дано, нет, а отозвать его нечем. Хранение — та часть, которая тихо стоит денег и риска: каждый год логов — это год ответственности без продуктовой ценности.

Ключевые идеи

Одна строка на категорию данных, а не на систему

Запишите, что собирается, зачем, на каком основании, где лежит, кто это видит и сколько хранится. Эта таблица и есть артефакт; всё остальное из неё выводится.

Данные                    Назначение       Основание        Хранилище  Срок хранения
email                     аккаунт + вход   договор          users      срок жизни аккаунта
IP-адрес                  защита от атак   законный интерес логи       30 дней
маркетинговые предпочтения рассылки        согласие         users      до отзыва
история заказов           исполнение       договор          orders     нормативный минимум

Заметьте, что данные одного человека встречаются в нескольких строках с разными основаниями и разными сроками жизни.

Записывайте согласие вместе с доказательством

Храните дату, версию показанного текста и то, на какую цель согласились. Логическая колонка не ответит на вопрос «на что именно они согласились», а согласие на одну цель не покрывает другую.

Сделайте отзыв таким же лёгким, как согласие

Путь отзыва, требующий письма в поддержку, не соответствует требованиям и, что практичнее, копит ручную работу. Переключатель, который поставил согласие, должен уметь его снять.

Срок хранения из цели, и исполняйте его задачей

Каждому сроку хранения нужен механизм: запланированное удаление, отбрасывание раздела или задача обезличивания. Политика без задачи дрейфует в хранение всего.

Сокращайте прежде, чем защищать

Самые дешёвые в защите, удалении, выгрузке и аудите данные — те, которые вы не собирали. Спрашивайте про каждое поле, зависит ли от него какое-либо решение.

Практика

Составьте таблицу данных для одной системы

Перечислите каждую категорию персональных данных в одной системе с назначением, основанием, хранилищем и сроком хранения и отметьте строки, где срок обеспечивается задачей.

Готово, когда: каждая строка заполнена и хотя бы у одной строки есть либо задача удаления, либо письменная причина, почему её нет.

Проверьте одну задачу удаления

Возьмите с таблицы самый короткий срок, убедитесь на стенде, что задача удаляет или обезличивает как заявлено, и сравните количество до и после.

Готово, когда: строки старше срока исчезли или обезличены, а количество совпадает с вашим ожиданием до запуска.

Частые ошибки

• Согласие выбрано основанием по умолчанию — его легче всего потерять и труднее всего доказать; исправить: используйте договор или законный интерес там, где сервис действительно нуждается в данных.
• Нет записи о согласии — вы не можете показать, на что согласились; исправить: храните дату, версию текста и цель.
• Срок хранения без механизма — политика есть, а данные накапливаются; исправить: обеспечивайте каждый срок запланированной задачей.
• Отзыв требует человека — пользователь не может снять переключатель; исправить: сделайте отзыв таким же лёгким, как согласие.
• Сначала собрать, потом обосновать — поле без назначения несёт риск и расходы; исправить: спрашивайте, какое решение зависит от каждого поля, прежде чем его добавлять.

Что читать дальше

• GDPR и приватность данных (07-security/05-gdpr-data-privacy) — трек, который открывает эта глава.
• Право на забвение в базе данных (07-security/05-gdpr-data-privacy/02-the-right-to-be-forgotten-in-a-database) — что должна поддерживать эта запись.
• Этика данных (07-security/07-data-ethics) — вопросы, которые законность не решает.
• Управление секретами (07-security/03-secrets-management) — защита данных, которые описывает эта таблица.