Datan säilyttäminen rajattomasti on riski. Yksityisyyslaki edellyttää, että poistat datan, kun et enää tarvitse sitä. Tässä luvussa käsitellään säilytyskäytännöt (kuinka kauan dataa säilytetään) ja poistoprosessit (miten käsitellään käyttäjien poistopyynnöt ja järjestelmien siivous).
Miksi datan säilytyskäytännöillä on merkitystä
Lakisääteinen vaatimus
GDPR ja vastaavat lait edellyttävät datan säilytyskäytäntöjä. Sinun on poistettava data, kun ilmoitettu tarkoitus on saavutettu. "Säilytetään dataa ikuisesti varmuuden vuoksi" rikkoo tietojen minimoinnin periaatetta ja voi johtaa sakkoihin.
Käytännön hyöty
Vanhempi data on vähemmän hyödyllistä. Kaksi vuotta vanha tapahtuma vaikuttaa harvoin nykyisiin päätöksiin. Vanhan datan poistaminen pienentää tallennuskustannuksia, yksinkertaistaa varmuuskopioita ja vähentää altistumista tietomurrossa (pienempi tietojoukko paljastuu).
Käyttäjien odotukset
Käyttäjät odottavat, että poistat heidän datansa, kun sitä ei enää tarvita. Pilvipohjaisen tehtäväsovelluksen pitäisi poistaa tehtäväsi, kun suljet tilisi, ei säilyttää niitä rajattomasti. Selkeät poistokäytännöt rakentavat luottamusta.
Säilytyskäytäntöjen asettaminen
Mitä dataa? Kuinka kauan?
Eri datatyypeillä on erilaiset säilytystarpeet:
Analytiikkatapahtumat: 12 kuukautta on tyypillinen. Vuoden jälkeen vanhoja tapahtumia analysoidaan harvoin. Jos tarvitset pidempää, 24 kuukautta on kohtuullinen. Älä säilytä ikuisesti.
Asiakastilitiedot: Säilytä, kun tili on aktiivinen. Poista 90 päivää tilin sulkemisen jälkeen (jättää palautusajan). Älä säilytä rajattomasti.
Tukipyynnöt: Säilytä 2 - 3 vuotta (riita-asioiden vanhentumisaika). Poista sen jälkeen.
Talousasiakirjat: Säilytä 7 vuotta (vero- ja lakivaatimukset). Poista sen jälkeen.
Markkinointilistat: Säilytä, kun asiakas on listalla. Poista 30 päivää tilauksen perumisen jälkeen.
Pidempi säilytys tietyissä käyttötapauksissa
Jokin data voi vaatia pidempää säilytystä: väärinkäytösten havaitseminen (säilytä tarkastusketjua varten), oikeudelliset riidat (säilytä kunnes ratkaistu), sääntelyn noudattaminen (vaihtelee toimialoittain). Nämä ovat poikkeuksia. Oletuksen pitäisi olla: poista heti, kun data ei enää ole hyödyllistä.
Käytännön dokumentointi
Kirjoita säilytyskäytäntösi ylös: mitkä datatyypit, kunkin säilytysaika ja säilytyksen oikeusperuste. Tee se käyttäjien saataville tietosuojaselosteessasi. "Säilytämme tietojasi X kuukautta ja poistamme ne sen jälkeen." Avoimuus rakentaa luottamusta.
Automaattisen poiston toteutus
Ajastetut poistotyöt
Määritä automaattiset työt, jotka ajetaan aikataulun mukaan (kuukausittain, neljännesvuosittain) ja poistavat säilytysajan ylittäneen datan. Esimerkki: työ, joka poistaa kaikki yli 12 kuukautta vanhat analytiikkatapahtumat. Aja se automaattisesti, jotta poisto ei ole manuaalista tai unohdu.
Tapahtumapohjainen poisto
Osa poistoista käynnistyy tapahtumasta: kun käyttäjä sulkee tilinsä, poista hänen datansa. Kun käyttäjä peruu tilauksen, poista hänen sähköpostiosoitteensa. Määritä automaattiset työnkulut, jotka poistavat dataa tiettyjen tapahtumien yhteydessä.
Poiston kirjaus
Kirjaa, milloin data poistetaan (mikä data, milloin, miksi). Näin syntyy tarkastusketju. Jos viranomaiset kysyvät, miksi tiettyä dataa puuttuu, voit osoittaa sen poistetun käytännön mukaan, ei piilotetun.
Käyttäjien poistopyyntöjen käsittely
Oikeus tulla unohdetuksi
GDPR antaa yksilöille "oikeuden tulla unohdetuksi". Käyttäjät voivat pyytää henkilötietojensa poistoa. Sinulla on 30 päivää aikaa toimia (lakisääteisiä velvoitteita koskevin poikkeuksin). Siksi tarvitset kyvyn poistaa käyttäjädata pyynnöstä.
Poistotyönkulkujen toteutus
Vaihe 1: vastaanota pyyntö. Käyttäjä lähettää poistopyynnön tukilomakkeella tai tilin asetuksista.
Vaihe 2: varmista henkilöllisyys. Varmista, että pyyntö tulee tilin omistajalta (ei väärä pyyntö).
Vaihe 3: tunnista data. Etsi kaikki tähän käyttäjään liittyvä data: tili, analytiikkatapahtumat, tukipyynnöt, sähköpostilistat, varmuuskopiot.
Vaihe 4: poista. Poista käytössä olevista järjestelmistä ja varmuuskopioista. Vahvista poisto käyttäjälle kirjallisesti.
Vaihe 5: kirjaa. Dokumentoi poisto: kuka pyysi, milloin ja mitä poistettiin.
Poikkeukset poistamiseen
Sinun ei tarvitse poistaa, jos: sinulla on lakisääteinen velvoite säilyttää data (verotiedot, tuomioistuinten määräykset), tarvitset sitä ilmoitettuun tarkoitukseen, joka on yhä käynnissä, tai käyttäjä on antanut suostumuksen jatkokäsittelyyn poistopyynnön jälkeen. Nämä ovat kuitenkin poikkeuksia. Oletus on poistaa pyydettäessä.
Toteutuksen haasteet
Hajautettu data
Käyttäjädata on usein levinnyt eri järjestelmiin: käytössä oleva tietokanta, varmuuskopiot, kolmannen osapuolen palvelut (analytiikkatoimittajat, sähköpostipalvelut) ja työntekijöiden kannettavat. Kaiken poistettavan datan löytäminen on monimutkaista. Ratkaisu: ylläpidä tietoluetteloa. Tiedä, missä käyttäjädata sijaitsee. Sisällytä poistovaatimukset toimittajasopimuksiin.
Varmuuskopioiden säilytys
Varmuuskopiot sisältävät käyttäjädataa vielä sen jälkeen, kun se on poistettu käytössä olevista järjestelmistä. Kuinka kauan varmuuskopioita säilytetään? Et luultavasti palauta kolme vuotta vanhoista varmuuskopioista päivittäin, mutta oikeudelliset pidätykset voivat vaatia niiden säilyttämistä. Täsmennä: varmuuskopioita voi säilyttää pidempään kuin käytössä olevaa dataa, mutta ne on lopulta poistettava myös.
Anonymisoitu data
Todellisesti anonymisoitu data ei kuulu poisto-oikeuksien piiriin (se ei ole henkilötietoa). Useimmat "anonymisoidut" tiedot ovat kuitenkin tosiasiassa koostettuja tai pseudonymisoituja (palautettavissa). Jos sen voi tunnistaa uudelleen, se on henkilötietoa ja se on poistettava pyynnöstä. Ymmärrä, mitä todella tallennat.
Privacy by Design: poisto osana arkkitehtuuria
Suunnittele järjestelmät alusta asti poisto mielessä. Käytä tietorakenteita, jotka tekevät poistosta tehokasta. Älä sekoita datatyyppejä, joilla on erilaiset säilytystarpeet. Tee käyttäjädatan hakemisesta ja poistamisesta helppoa. Jos rakennat poistokyvyn alusta asti, säännösten noudattaminen on myöhemmin yksinkertaisempaa.
Mikä on realistinen analytiikkadatan säilytysaika eri liiketoimintatyypeille?
Blogi tai sisältösivusto: 12 kuukautta riittää (vanhaa dataa tarvitaan vähän). SaaS: 24 kuukautta (trendianalyysi vaatii). Verkkokauppa: 24 - 36 kuukautta (kausivaihtelun analyysi, väärinkäytösten havaitseminen). Rahoitus ja terveydenhuolto: noudata sääntelyä (usein yli 6 vuotta). Käy läpi viimeisen 6 kuukauden raportit: jos et analysoinut X kuukautta vanhempaa dataa, poista sitä vanhempi. Päivitä analytiikkapalvelusi asetukset poistamaan automaattisesti.
Mikä on tarkka prosessi poistopyyntöön vastaamiseksi lakisääteisessä määräajassa?
Päivä 1: vastaanota pyyntö, varmista henkilöllisyys, kirjaa pyyntöjärjestelmään. Päivät 2 - 7: paikanna kaikki data järjestelmistä (tietokanta, varmuuskopiot, kolmannen osapuolen palvelut). Päivät 8 - 20: suorita poisto ja varmista poisto lokeista. Päivä 28: lähetä käyttäjälle vahvistus, jossa kerrotaan, mitä poistettiin. Dokumentoi kaikki. 30 päivää on tiukka raja, joten aloita heti.
[wemasy-accordion type="primary" wemasy-accordion title="Mistä tiedän, onko "anonymisoitu" datani todella anonymisoitua vai yhä henkilötietoa?"]<p>Todellinen anonymisointi: uudelleentunnistus on mahdotonta (vain koostetut tilastot: "50 % käyttäjistä napsautti painiketta"). Pseudonymisointi: palautettavissa avaimella (tiivistetty käyttäjätunnus; yhä henkilötietoa). Varma sääntö: jos sinulla on hakuavain tai voit yhdistää dataa muuhun dataan, se on henkilötietoa ja se on poistettava pyynnöstä. Epäselvässä tilanteessa kohtele sitä henkilötietona.</p>[/wemasy-accordion]
Kuinka kauan varmuuskopioita pitäisi säilyttää ja miten käsittelen varmuuskopiodatan poistopyynnöt?
Käytössä olevan datan poisto: heti. 0 - 30 päivää vanhat varmuuskopiot: poista kaikista kopioista. 30 - 90 päivää vanhat varmuuskopiot: voi säilyttää, jos et palauta niitä päivittäisessä toiminnassa. Yli 90 päivää vanhat varmuuskopiot: GDPR:n mukaan ne on lopulta poistettava (ei rajatonta säilytystä). Tee varmuuskopioiden poistoaikataulu: neljännesvuosittainen tarkastus, poista käytännön päivämäärää vanhemmat varmuuskopiot. Sisällytä poistovahvistus vastaukseen käyttäjälle.
Mikä on vaiheittainen poistotyönkulku datalle, joka on hajaantunut analytiikkaan, sähköpostiin, asiakkuudenhallintaan ja toimittajien työkaluihin?
Vaihe 1: tietoluettelo-asiakirja kertoo, missä käyttäjädata sijaitsee (tietokanta, GA, sähköpostipalvelu, asiakkuudenhallinta jne.). Vaihe 2: automaattinen poistotyö kohdistuu ensisijaiseen tietokantaan. Vaihe 3: manuaalinen tai rajapintaan perustuva poisto kolmannen osapuolen työkaluissa. Vaihe 4: toimittajasopimukset edellyttävät poistovahvistusta (palvelutaso: 7 päivää). Vaihe 5: kokoa poistovahvistukset ja lähetä käyttäjälle 30 päivän kuluessa.
[wemasy-accordion type="primary" wemasy-accordion title="Mikä ero on "toiminnallisella viiveellä" ja 30 päivän säännön rikkomisella?"]<p>Hyväksyttävä viive: datan löytyminen odottamattomasta paikasta, oikeutetut tekniset ongelmat (enintään 8 - 10 päivää). Ei hyväksyttävä: "Hoidetaan joskus", kuukausittaisen työn odottaminen, datan palautuksen viiveet yli 15 päivää. 30 päivää on vastaukselle ja selitykselle, ei toteutusajalle. Jos et pysty poistamaan 30 päivässä, se on rikkomus. Kerro viiveistä heti ja dokumentoi syyt.</p>[/wemasy-accordion]