Direito ao esquecimento

1) O que é o «direito ao esquecimento» e quando é aplicado

Right to Erasure - o direito do sujeito de dados de exigir a remoção de seus dados pessoais. A UE estabelece o artigo 17 do GDPR; as semelhanças existem em várias jurisdições (remoção por CCPA/CPRA, LGPD, etc.).

• Os dados já não são necessários para os fins que queriam.
• O processamento baseia-se no consentimento e o suspeito retirou-o.
• O sujeito se opõe ao processamento (não há fundamento legítimo prevalente).
• Os dados foram processados ilegalmente ou precisam cumprir a obrigação legal de remoção.
• Os dados são coletados da criança na oferta de serviços da sociedade da informação (base de dados).

2) Exceções: quando não é possível remover (ou não tudo)

• Obrigações legais (por exemplo, AML/KYC, contabilidade, contabilidade).
• Estabelecimento, execução ou proteção de requisitos legais (disputas judiciais/reclamações).
• Liberdade de expressão/direito à informação, interesse público em saúde, fins científicos/históricos/estatísticos, com garantias adequadas.

3) Remover vs desativação vs anonimato

A remoção é uma destruição indébita de dados pessoais.
Anonimato - exclusão irreversível da ligação com a pessoa; os dados podem ficar em um analista agregado/ML sem identificadores.
Desativar (encerrar a conta) - Desativar o acesso/função, e os dados permanecem até o prazo/exceções.

Recomendação: aplicar híbrido - remoção máxima + anonimato para os analistas de alimentos, onde for apropriado.

4) Processo DSR para remoção: desde solicitação até confirmação

1. Aceita a consulta através de canais disponíveis (formulário, email, perfil).
2. Verificação do requerente (o nível de verificação depende de risco/sensibilidade).
3. Verificação de exceções (AML/impostos/litígios, instruções de arranjo/frod).
4. Classificação de abrangência: perfil completo/categorias específicas/marketing.
5. Mark-for-Deletion + iniciar o Deletion Orquestrator (consulte No 7).
6. Notificação de vendedores/terceiros (processadores/contratantes) e captação de resposta.
7. Confirmação ao sujeito: o que foi removido, o que foi anónimo, o que está bloqueado por exceções, o prazo para os bacapes.
8. Loging: Registro WORM da prova de eliminação.

SLA (referência): resposta em 30 dias (pode ser renovado por mais 60 com notificação e justificativa).

5) Matriz «base → decisão → explicação»

6) O que apagar exatamente: abrangência por camadas

Camada transacional: perfil, dados de contato, tokens (onde está disponível), identificadores de pagamento, artefatos KYC (se não houver exceções).
Camadas de dados derivados: cachês, índices de busca, filas, função store ML, DWH, vitrines BI, relatórios.
Logi/traçado: onde há identificadores pessoais - máscara/remoção; é permitida a agregação/anonimato.
Marketing/atribuição: identificadores (cookies/SDK/MAID), postbacks de afiliados, público de publicidade - limpeza e supressão.
Perfilação/modelo: remove datasets de treinamento de iterações futuras, marca «do-not-use» no fiche-store.

7) Remoção orquestral (cascata e bacapes)

• Mark-for-Delition → Grace (7-30 dias) → Soft Delete (desligamento de acesso/comunicação) → Hard Delete/Anonymize nos sistemas primários → Cascade em cachês/índice/DWH/ML → Evidence Jobs.
• Backups: edição direta de bacapes não é permitida; a remoção é feita através da remoção da janela de armazenamento e da proibição de restaurações que levem à ré-identificação. Ao ser restaurado, é possível remover novamente os ID marcados.

• Tarefas idimpotentes, retraias, dedução de comandos.
• Traçado lineage (onde estão as cópias e as unidades).
• Subject-key unificado para cascata em todos os sistemas.
• Arquivo WORM de registros de remoção.

8) Vendedores/processadores: notificações e contratos

O DPA obriga os processadores a remover/devolver os dados de instruções, ajudar com o DSR, logar a remoção, notificar os resultados.
Registro de subprocessadores; data de resposta para pedidos de remoção (SLA).
Para plataformas de publicidade/análise - modos restricted processing, API 'delete/supress'.

9) Modelos de comunicação (fatias)

• "Recebemos o seu pedido de remoção de dados. Para proteger a sua privacidade, precisamos confirmar a sua identidade. Por favor, faça uma breve verificação no link/código"

• "Nós apagamos/impessoalizamos seus dados pessoais em produtos e sistemas de analistas. Os registros que são obrigados a ser mantidos de acordo com a lei (por exemplo, AML/impostos) estão bloqueados e não estão disponíveis para outros fins antes dos anos N. Os dados dos backups serão removidos pelo cronograma de armazenamento. ID de consulta: # XXXX"

• "Não podemos remover alguns registros devido à obrigação legal de armazenamento (AML/impostos/litígio). Estes registros são isolados e utilizados apenas para fins obrigatórios. Removemos o resto das informações e interrompemos o processamento opcional

10) Matriz «categoria de dados → método → prazo»

11) UX e nuances de alimentos

No perfil, o botão «Apagar os meus dados/fechar a conta» é compreensível, explicando os efeitos (perda de progresso/bônus).
Opção de não comercialização separada (não igual à remoção de conta).
Status da solicitação (no trabalho/concluído), prazo de conclusão, ID do pedido.
A remoção não pode quebrar os relatórios financeiros: armazene as unidades não regulares.

12) Métricas e controle

Deletição SLA: Mediana/95 Percentil desde a solicitação até a conclusão.
Cascade Complition Rate: proporção de sistemas onde cascata completa ≤SLA.
Backups Window Compliance: Cumpre as janelas de armazenamento de bacapes.
Legal Hold Review Rate: A hora de rever as colinas.
DSR Rejation Rate (por razões): taxa de rejeição com justificativa.
Evidence Completeness: Parte das malas com um pacote completo de artefactos.
Supressão Efetiveness: falta de acessos de marketing após a remoção.

13) Folhas de cheque (operacionais)

Antes do início do processo

• Verificação de identidade concluída.
• Exceções verificadas (AML/impostos/litígios).
• Abrangência definida (total/parcial).
• Foi criado um registro no Evidence Jong.

Execução

• Mark-for-Delation e Grace foram definidos.
• Concluído Hard Delete/Anonymize na camada transacional.
• A cascata em cachês/índices/DWH/ML foi iniciada.
• Notificações enviadas aos processadores/vendedores.
• Atualizado supression list.

Terminar

• Confirmar o usuário com os detalhes.
• Atualizado RoPA/Retenção-matriz, se necessário.
• Post-cheque de relatórios: SLA/erros/repetições.

14) Papéis e responsabilidades (RACI)

Suporte/Privaciy Ops: recepção, verificação, comunicação.
DPO/Legal: avaliação de fundamentos/exceções, legal hold.
Segurança/CISCO: auditoria de acesso, logs WORM, bacapes.
Data Engineering: Orquestrador de remoção, lineage, cascatas.
Marketing/CRM: Supressão, parar comunicações.
Finance/Compliance: gerenciamento de relatórios/responsabilidades AML.

15) Mapa de trânsito de implementação (6 passos)

1. Políticas e registros: atualizar a Privaciy Policy (seção de direito de remoção), RoPA, Retenção Matrix.
2. Orquestrador: subject-key, cascatas, idempotency, Evidence Jong (WORM).
3. Vendedores: requisitos DPA, canais 'delete/supress', SLA.
4. UX: pedido de remoção compreensível, estatais, modelos de e-mail.
5. Backaps: janelas de armazenamento, proibição de restaurações não autorizadas, escorts de saneamento.
6. Dimensão: dashboard SLA, Cascade, Evidence, Supressão; auditorias trimestrais.

16) Diferenças de jurisdição (resumido)

GDPR: Amplo direito de remoção + exclusões claras; prazo de resposta de 1 mês.
CCPA/CPRA: Direito de remoção dos consumidores; exceções obrigatórias (segurança/manutenção/erros/obrigações legais); é exigida a contabilidade de GPC para opt-out de «sal/share», bem como os mecanismos de remoção de dados não excluídos.
LGPD: remoção ao atingir o objetivo/vencimento/revogação do consentimento; exceções e «bloqueio» são semelhantes ao espírito do GDPR.

Resultado

O direito ao esquecimento não é um «botão», mas sim um processo transversal: avaliação legal de fundamentos e exceções → verificação → remoção em cascata e/ou anonimato em todas as camadas → gerenciamento de bacapes e vendedores → comprovabilidade e métricas. Ao incorporar este circuito à arquitetura e às operações, você respeitará as exigências dos reguladores, reduzirá a superfície de risco e preservará a confiança dos usuários - sem comprometer o negócio e a qualidade do produto.