Το να κρατάς δεδομένα επ' αόριστον είναι ευθύνη. Ο νόμος για την ιδιωτικότητα απαιτεί να διαγράφεις τα δεδομένα όταν δεν τα χρειάζεσαι πια. Αυτό το κεφάλαιο καλύπτει τις πολιτικές διατήρησης (πόσο καιρό κρατάς δεδομένα) και τις διαδικασίες διαγραφής (πώς χειρίζεσαι τα αιτήματα διαγραφής χρηστών και τους καθαρισμούς συστημάτων).
Γιατί μετράνε οι πολιτικές διατήρησης δεδομένων
Νομική απαίτηση
Ο GDPR και παρόμοιοι νόμοι απαιτούν πολιτικές διατήρησης δεδομένων. Πρέπει να διαγράφεις τα δεδομένα αφού πετύχεις τον δηλωμένο σκοπό σου. Το «κρατάω τα δεδομένα για πάντα μήπως χρειαστούν» παραβιάζει τις αρχές ελαχιστοποίησης δεδομένων και μπορεί να οδηγήσει σε πρόστιμα.
Λειτουργικό όφελος
Τα παλιά δεδομένα είναι λιγότερο χρήσιμα. Ένα γεγονός από πριν 2 χρόνια σπάνια επηρεάζει τις τωρινές αποφάσεις. Η διαγραφή παλιών δεδομένων μειώνει το κόστος αποθήκευσης, απλοποιεί τα αντίγραφα ασφαλείας και μειώνει την έκθεση σε περίπτωση παραβίασης (μικρότερο σύνολο δεδομένων να εκτεθεί).
Προσδοκίες των χρηστών
Οι χρήστες περιμένουν να διαγράψεις τα δεδομένα τους όταν δεν χρειάζονται πια. Μια εφαρμογή εργασιών στο cloud πρέπει να διαγράφει τις εργασίες σου όταν κλείνεις τον λογαριασμό σου και όχι να τις κρατά για πάντα. Οι σαφείς πολιτικές διαγραφής χτίζουν εμπιστοσύνη.
Πώς ορίζεις πολιτικές διατήρησης
Ποια δεδομένα; Για πόσο καιρό;
Διαφορετικοί τύποι δεδομένων έχουν διαφορετικές ανάγκες διατήρησης:
Γεγονότα στατιστικών: Συνήθως 12 μήνες. Μετά από έναν χρόνο, τα παλιά γεγονότα σπάνια αναλύονται. Αν χρειάζεσαι περισσότερο, οι 24 μήνες είναι λογικοί. Μην τα κρατάς για πάντα.
Δεδομένα λογαριασμών πελατών: Κράτα τα όσο ο λογαριασμός είναι ενεργός. Διέγραψέ τα 90 ημέρες μετά το κλείσιμο του λογαριασμού (δίνει περιθώριο επαναφοράς). Μην τα κρατάς επ' αόριστον.
Αιτήματα υποστήριξης: Κράτα τα για 2-3 χρόνια (παραγραφή διαφορών). Μετά διέγραψέ τα.
Οικονομικά αρχεία: Κράτα τα για 7 χρόνια (φορολογικές και νομικές απαιτήσεις). Μετά διέγραψέ τα.
Λίστες μάρκετινγκ: Κράτα τα όσο ο πελάτης είναι στη λίστα. Διέγραψέ τα 30 ημέρες μετά την απεγγραφή.
Μεγαλύτερη διατήρηση για συγκεκριμένες περιπτώσεις
Κάποια δεδομένα μπορεί να θέλουν μεγαλύτερη διατήρηση: εντοπισμός απάτης (κράτα για ίχνος ελέγχου), νομικές διαφορές (κράτα μέχρι να λυθούν), κανονιστική συμμόρφωση (διαφέρει ανά κλάδο). Αυτές είναι εξαιρέσεις. Ο κανόνας πρέπει να είναι: διέγραψε μόλις τα δεδομένα δεν είναι πια χρήσιμα.
Πώς καταγράφεις την πολιτική σου
Γράψε την πολιτική διατήρησης: ποιοι τύποι δεδομένων, περίοδος διατήρησης για κάθε τύπο, νομική βάση της διατήρησης. Δώσε την στους χρήστες μέσα στην πολιτική απορρήτου σου. «Κρατάμε τα δεδομένα σου για Χ μήνες και μετά τα διαγράφουμε.» Η διαφάνεια χτίζει εμπιστοσύνη.
Πώς εφαρμόζεις αυτόματη διαγραφή
Προγραμματισμένες εργασίες διαγραφής
Στήσε αυτόματες εργασίες που τρέχουν με πρόγραμμα (μηνιαία, τριμηνιαία) και διαγράφουν δεδομένα που πέρασαν την ημερομηνία διατήρησης. Παράδειγμα: μια εργασία που διαγράφει όλα τα γεγονότα στατιστικών παλαιότερα από 12 μήνες. Τρέξε την αυτόματα, ώστε η διαγραφή να μην είναι χειροκίνητη ή να ξεχνιέται.
Διαγραφή που ενεργοποιείται από γεγονός
Κάποια διαγραφή ενεργοποιείται από γεγονός: όταν ένας χρήστης κλείνει τον λογαριασμό του, διέγραψε τα δεδομένα του. Όταν ένας χρήστης κάνει απεγγραφή, διέγραψε το email του. Στήσε αυτόματες ροές που διαγράφουν όταν συμβαίνουν συγκεκριμένα γεγονότα.
Καταγραφή της διαγραφής
Κατάγραψε πότε διαγράφονται δεδομένα (ποια δεδομένα, πότε, γιατί). Έτσι φτιάχνεις ίχνος ελέγχου. Αν οι ρυθμιστικές αρχές ρωτήσουν γιατί λείπουν κάποια δεδομένα, μπορείς να δείξεις ότι διαγράφηκαν σύμφωνα με την πολιτική και δεν κρύφτηκαν.
Πώς χειρίζεσαι τα αιτήματα διαγραφής από χρήστες
Το δικαίωμα στη λήθη
Ο GDPR δίνει στα άτομα το «δικαίωμα στη λήθη». Οι χρήστες μπορούν να ζητήσουν διαγραφή των προσωπικών τους δεδομένων. Έχεις 30 ημέρες για να συμμορφωθείς (με εξαιρέσεις για νομικές υποχρεώσεις). Άρα χρειάζεσαι τη δυνατότητα να διαγράφεις δεδομένα χρήστη όταν το ζητήσουν.
Πώς εφαρμόζεις ροές διαγραφής
Βήμα 1: Παραλαβή αιτήματος. Ο χρήστης υποβάλλει αίτημα διαγραφής μέσω φόρμας υποστήριξης ή ρυθμίσεων λογαριασμού.
Βήμα 2: Επαλήθευση ταυτότητας. Επιβεβαίωσε ότι το αίτημα έρχεται από τον ιδιοκτήτη του λογαριασμού (όχι ψεύτικο αίτημα).
Βήμα 3: Εντοπισμός δεδομένων. Βρες όλα τα δεδομένα που αφορούν αυτόν τον χρήστη: λογαριασμό, γεγονότα στατιστικών, αιτήματα υποστήριξης, λίστες email, αντίγραφα ασφαλείας.
Βήμα 4: Διαγραφή. Αφαίρεσε από τα ζωντανά συστήματα και τα αντίγραφα ασφαλείας. Επιβεβαίωσε τη διαγραφή γραπτώς στον χρήστη.
Βήμα 5: Καταγραφή. Κατάγραψε τη διαγραφή: ποιος τη ζήτησε, πότε, τι διαγράφηκε.
Εξαιρέσεις στη διαγραφή
Δεν είσαι υποχρεωμένος να διαγράψεις αν: έχεις νομική υποχρέωση να κρατήσεις τα δεδομένα (φορολογικά αρχεία, δικαστικές αποφάσεις), τα χρειάζεσαι για δηλωμένο σκοπό που ακόμα εκπληρώνεται, ή ο χρήστης συναίνεσε σε περαιτέρω επεξεργασία μετά το αίτημα διαγραφής. Αυτές όμως είναι εξαιρέσεις. Ο κανόνας είναι να διαγράφεις όταν το ζητούν.
Προκλήσεις στην εφαρμογή
Κατανεμημένα δεδομένα
Τα δεδομένα των χρηστών συχνά είναι σκορπισμένα σε πολλά συστήματα: ζωντανή βάση δεδομένων, αντίγραφα ασφαλείας, υπηρεσίες τρίτων (πάροχοι στατιστικών, πάροχοι email), φορητοί υπολογιστές εργαζομένων. Η εύρεση όλων των δεδομένων για διαγραφή είναι σύνθετη. Λύση: κράτα κατάλογο δεδομένων. Να ξέρεις πού βρίσκονται τα δεδομένα των χρηστών. Βάλε απαιτήσεις διαγραφής στις συμφωνίες με παρόχους.
Διατήρηση αντιγράφων ασφαλείας
Τα αντίγραφα ασφαλείας περιέχουν δεδομένα χρηστών ακόμα και μετά τη διαγραφή από τα ζωντανά συστήματα. Πόσο καιρό κρατάς τα αντίγραφα; Μάλλον δεν επαναφέρεις καθημερινά από αντίγραφα 3 ετών, αλλά νομικά κλειδώματα μπορεί να απαιτούν να τα κρατήσεις. Ξεκαθάρισε: τα αντίγραφα μπορούν να κρατηθούν περισσότερο από τα ζωντανά δεδομένα, αλλά πρέπει κάποια στιγμή να διαγραφούν κι αυτά.
Ανωνυμοποιημένα δεδομένα
Τα πραγματικά ανωνυμοποιημένα δεδομένα δεν καλύπτονται από τα δικαιώματα διαγραφής (δεν είναι προσωπικά δεδομένα). Τα περισσότερα «ανωνυμοποιημένα» δεδομένα όμως είναι στην πραγματικότητα συγκεντρωτικά ή ψευδωνυμοποιημένα (αναστρέψιμα). Αν μπορείς να τα αναγνωρίσεις ξανά, είναι προσωπικά δεδομένα και πρέπει να διαγραφούν όταν ζητηθεί. Κατάλαβε τι αποθηκεύεις πραγματικά.
Privacy by Design: η διαγραφή μέσα στην αρχιτεκτονική
Σχεδίασε τα συστήματα με τη διαγραφή στο μυαλό από την αρχή. Χρησιμοποίησε δομές δεδομένων που κάνουν τη διαγραφή αποδοτική. Μην ανακατεύεις τύπους δεδομένων με διαφορετικές ανάγκες διατήρησης. Κάνε εύκολο να βρίσκεις και να διαγράφεις δεδομένα χρηστών. Αν φτιάξεις τη δυνατότητα διαγραφής από την αρχή, η συμμόρφωση γίνεται πιο απλή αργότερα.
Ποια είναι μια ρεαλιστική διάρκεια διατήρησης δεδομένων στατιστικών για διαφορετικούς τύπους επιχειρήσεων;
Blog/περιεχόμενο: αρκούν 12 μήνες (ελάχιστη ανάγκη για παλιά δεδομένα). SaaS: 24 μήνες (χρειάζεται ανάλυση τάσεων). E-shop: 24-36 μήνες (ανάλυση εποχικότητας, εντοπισμός απάτης). Χρηματοοικονομικά/υγεία: ακολούθησε τη ρύθμιση (συχνά 6+ χρόνια). Έλεγξε τις αναφορές των τελευταίων 6 μηνών: αν δεν αναλύσεις δεδομένα παλαιότερα από Χ μήνες, διέγραψε ό,τι είναι πιο παλιό. Ενημέρωσε τις ρυθμίσεις της πλατφόρμας στατιστικών για αυτόματη διαγραφή.
Ποια είναι η ακριβής διαδικασία για να απαντήσω σε αίτημα διαγραφής μέσα στη νόμιμη προθεσμία;
Ημέρα 1: παραλαβή αιτήματος, επαλήθευση ταυτότητας, καταχώριση στο σύστημα αιτημάτων. Ημέρες 2-7: εντοπισμός όλων των δεδομένων στα συστήματα (βάση, αντίγραφα, υπηρεσίες τρίτων). Ημέρες 8-20: εκτέλεση διαγραφής, έλεγχος της διαγραφής στα logs. Ημέρα 28: αποστολή επιβεβαίωσης στον χρήστη με το τι διαγράφηκε. Κατάγραψε τα πάντα. Οι 30 ημέρες είναι αυστηρές: η άμεση έναρξη είναι κρίσιμη.
Πώς καταλαβαίνω αν τα «ανωνυμοποιημένα» δεδομένα μου είναι πραγματικά ανωνυμοποιημένα ή ακόμα προσωπικά;
Πραγματική ανωνυμοποίηση: αδύνατη η επαναναγνώριση (μόνο συγκεντρωτικά στατιστικά: «το 50% των χρηστών πάτησε το κουμπί»). Ψευδωνυμοποίηση: αναστρέψιμη με κλειδί (κατακερματισμένο αναγνωριστικό χρήστη, ακόμα προσωπικά δεδομένα). Ασφαλής κανόνας: αν έχεις κλειδί αντιστοίχισης ή μπορείς να διασταυρώσεις με άλλα δεδομένα, είναι προσωπικά δεδομένα και πρέπει να διαγραφούν όταν ζητηθεί. Όταν αμφιβάλλεις, αντιμετώπισέ τα ως προσωπικά δεδομένα.
Πόσο καιρό να κρατάω αντίγραφα ασφαλείας και πώς χειρίζομαι αιτήματα διαγραφής για δεδομένα σε αντίγραφα;
Διαγραφή ζωντανών δεδομένων: άμεση. Αντίγραφα 0-30 ημερών: διέγραψε από όλα τα αντίγραφα. Αντίγραφα 30-90 ημερών: μπορείς να τα κρατήσεις αν δεν τα επαναφέρεις για καθημερινή λειτουργία. Αντίγραφα 90+ ημερών: πρέπει τελικά να διαγραφούν σύμφωνα με τον GDPR (όχι αποθήκευση επ' αόριστον). Φτιάξε πρόγραμμα διαγραφής αντιγράφων: τριμηνιαίος έλεγχος, διαγραφή αντιγράφων παλαιότερων από την ημερομηνία της πολιτικής. Βάλε την επιβεβαίωση διαγραφής στην απάντηση προς τον χρήστη.
Ποια είναι η ροή διαγραφής βήμα βήμα για δεδομένα σκορπισμένα σε στατιστικά, email, CRM και εργαλεία παρόχων;
Βήμα 1: ένα έγγραφο καταλόγου δεδομένων γράφει πού βρίσκονται τα δεδομένα χρηστών (βάση, GA, πλατφόρμα email, CRM κ.λπ.). Βήμα 2: αυτόματη εργασία διαγραφής στην κύρια βάση. Βήμα 3: χειροκίνητη διαγραφή ή διαγραφή με API στα εργαλεία τρίτων. Βήμα 4: τα συμβόλαια παρόχων απαιτούν επιβεβαίωση διαγραφής (SLA: 7 ημέρες). Βήμα 5: συγκέντρωσε τις επιβεβαιώσεις διαγραφής και στείλε τις στον χρήστη μέσα σε 30 ημέρες συνολικά.
Ποια είναι η διαφορά ανάμεσα σε «λειτουργική καθυστέρηση» και παραβίαση του κανόνα των 30 ημερών;
Αποδεκτή καθυστέρηση: ανακάλυψη δεδομένων σε απροσδόκητη τοποθεσία, πραγματικά τεχνικά προβλήματα (8-10 ημέρες το πολύ). Απαράδεκτη: «θα το κάνουμε κάποια στιγμή», αναμονή για τη μηνιαία εργασία, καθυστερήσεις ανάκτησης δεδομένων πάνω από 15 ημέρες. Οι 30 ημέρες είναι για την απάντηση και την εξήγησή σου, όχι για τον χρόνο υλοποίησης. Αν δεν μπορείς να διαγράψεις μέσα σε 30 ημέρες, είναι παραβίαση. Ενημέρωσε αμέσως για τις καθυστερήσεις και κατάγραψε γιατί.