Право на забвение

1) Что такое «право на забвение» и когда оно применяется

Right to Erasure — право субъекта данных потребовать удаление своих персональных данных. В ЕС закреплено в GDPR ст.17; аналоги существуют в ряде юрисдикций (удаление по CCPA/CPRA, LGPD и др.).

• Данные больше не нужны для целей, ради которых собирались.
• Обработка основана на согласии, и субъект его отозвал.
• Субъект возражает против обработки (нет преобладающих законных оснований).
• Данные обрабатывались незаконно или нужно выполнить правовую обязанность по удалению.
• Данные собраны у ребенка при предложении услуг информационного общества (спец-основание).

2) Исключения: когда удалять нельзя (или не все)

• Юридических обязанностей (например, AML/KYC, налоговый учет, бухгалтерские документы).
• Установления, осуществления или защиты правовых требований (судебные/претензионные споры).
• Свободы выражения мнений/права на информацию, общественных интересов в области здравоохранения, научных/исторических/статистических целей с надлежащими гарантиями.

3) Удаление vs деактивация vs анонимизация

Удаление — безвозвратное уничтожение персональных данных.
Анонимизация — необратимое исключение связи с личностью; данные могут остаться в агрегатной аналитике/ML без идентификаторов.
Деактивация (закрытие аккаунта) — отключение доступа/функций, данные остаются до истечения сроков/исключений.

Рекомендация: применять гибрид — максимальное удаление + анонимизация для продуктовой аналитики, где это уместно.

4) Процесс DSR на удаление: от запроса до подтверждения

1. Прием запроса по доступным каналам (веб-форма, email, профиль).
2. Верификация заявителя (уровень проверки зависит от риска/чувствительности).
3. Проверка исключений (AML/налоги/споры, активные chargeback/фрод-расследования).
4. Классификация охвата: полный профиль / конкретные категории / маркетинг.
5. Mark-for-Deletion + запуск Deletion Orchestrator (см. §7).
6. Уведомление вендоров/третьих лиц (процессоры/подрядчики) и фиксация откликов.
7. Подтверждение субъекту: что удалено, что анонимизировано, что заблокировано по исключениям, сроки по бэкапам.
8. Логирование: WORM-журнал доказательств удаления.

SLA (ориентир): ответ в течение 30 дней (можно продлить еще на 60 с уведомлением и обоснованием).

5) Матрица «основание → решение → пояснение»

6) Что именно удалять: охват по слоям

Транзакционный слой: профиль, контактные данные, токены (где дозволено), платежные идентификаторы, KYC-артефакты (если нет исключений).
Слои производных данных: кэши, поисковые индексы, очереди, feature store ML, DWH, витрины BI, отчеты.
Логи/трассировки: где есть персональные идентификаторы — маска/удаление; допускается агрегирование/анонимизация.
Маркетинг/атрибуция: идентификаторы (cookie/SDK/MAID), постбеки аффилиатов, аудитории рекламы — очистка и suppression.
Профилирование/модели: удаление из обучающих датасетов будущих итераций, пометки «do-not-use» в фиче-сторе.

7) Оркестрация удаления (каскад и бэкапы)

• Mark-for-Deletion → Grace (7–30 дней) → Soft Delete (отключение доступа/коммуникаций) → Hard Delete/Anonymize в первичных системах → Cascade в кэши/индексы/DWH/ML → Evidence Log.
• Backups: прямое редактирование бэкапов не допускается; удаление осуществляется через истечение окна хранения и запрет восстановлений, приводящих к ре-идентификации. При восстановлении — sanitization-скрипт повторного удаления помеченных ID.

• Идемпотентные задачи, ретраи, дедупликация команд.
• Трассировка lineage (где копии и агрегаты).
• Единый subject-key для каскада по всем системам.
• WORM-архив актов удаления.

8) Вендоры/процессоры: уведомления и договоры

В DPA обязать процессоров: удалять/возвращать данные по инструкциям, помогать с DSR, логировать удаление, уведомлять о результатах.
Реестр субпроцессоров; сроки отклика на запросы удаления (SLA).
Для рекламных/аналитических платформ — режимы restricted processing, API-сигналы `delete/suppress`.

9) Шаблоны коммуникаций (фрагменты)

• «Мы получили ваш запрос на удаление данных. Для защиты вашей приватности нам нужно подтвердить вашу личность. Пожалуйста, пройдите короткую проверку по ссылке/кодом.»

• «Мы удалили/обезличили ваши персональные данные в продуктах и системах аналитики. Записи, которые обязаны храниться по закону (например, AML/налоги), заблокированы и недоступны для иных целей до истечения N лет. Данные в резервных копиях будут удалены по графику их хранения. Идентификатор запроса: #XXXX.»

• «Мы не можем удалить часть записей из-за правовой обязанности хранения (AML/налоги/спор). Эти записи изолированы и используются только по обязательной цели. Мы удалили остальную информацию и прекратили необязательную обработку.»

10) Матрица «категория данных → метод → срок»

11) UX и продуктовые нюансы

В профиле — понятная кнопка «Удалить мои данные/закрыть аккаунт» с разъяснением последствий (потеря прогресса/бонусов).
Отдельная опция «Отказ от маркетинга» (не равна удалению аккаунта).
Статус запроса (в работе/выполнено), срок завершения, идентификатор заявки.
Удаление не должно ломать финансовую отчетность: храните неперсональные агрегаты.

12) Метрики и контроль

Deletion SLA: медиана/95-й перцентиль от запроса до завершения.
Cascade Completion Rate: доля систем, где каскад завершен ≤SLA.
Backups Window Compliance: соблюдение окон хранения бэкапов.
Legal Hold Review Rate: своевременность пересмотра холдов.
DSR Rejection Rate (по причинам): доля отказов с обоснованием.
Evidence Completeness: доля кейсов с полным пакетом артефактов.
Suppression Effectiveness: отсутствие маркетинговых обращений после удаления.

13) Чек-листы (операционные)

Перед стартом процесса

• Верификация личности выполнена.
• Проверены исключения (AML/налоги/споры).
• Определен охват (полный/частичный).
• Создана запись в Evidence Log.

Исполнение

• Mark-for-Deletion и Grace заданы.
• Выполнен Hard Delete/Anonymize в транзакционном слое.
• Запущен каскад в кэши/индексы/DWH/ML.
• Отправлены уведомления процессорам/вендорам.
• Обновлен suppression list.

Завершение

• Подтверждение пользователю с деталями.
• Обновлен RoPA/Retention-матрица при необходимости.
• Пост-чек отчетов: SLA/ошибки/повторы.

14) Роли и ответственность (RACI)

Support/Privacy Ops: прием запросов, верификация, коммуникации.
DPO/Legal: оценка оснований/исключений, legal hold.
Security/CISO: аудит доступа, WORM-логи, бэкапы.
Data Engineering: оркестратор удаления, lineage, каскады.
Marketing/CRM: suppression, остановка коммуникаций.
Finance/Compliance: контроль отчетности/AML-обязанностей.

15) Дорожная карта внедрения (6 шагов)

1. Политики и реестры: обновить Privacy Policy (раздел о праве на удаление), RoPA, Retention Matrix.
2. Оркестратор: единый subject-key, каскады, idempotency, Evidence Log (WORM).
3. Вендоры: DPA-требования, каналы `delete/suppress`, SLA.
4. UX: понятная заявка на удаление, статусы, шаблоны писем.
5. Бэкапы: окна хранения, запрет несанкционированных восстановлений, sanitization-скрипты.
6. Измерение: дашборд SLA, Cascade, Evidence, Suppression; квартальные аудиты.

16) Отличия по юрисдикциям (кратко)

GDPR: широкое право на удаление + четкие исключения; срок ответа 1 месяц.
CCPA/CPRA: право на удаление у потребителей; обязательные исключения (безопасность/обслуживание/ошибки/правовые обязательства); требуется учет GPC для opt-out от «sale/share», а также механизмы удаления данных, не подпадающих под исключения.
LGPD: удаление при достижении цели/истечении срока/отзыве согласия; исключения и «блокировка» аналогичны по духу GDPR.

Итог

Право на забвение — это не «кнопка», а сквозной процесс: юридическая оценка оснований и исключений → верификация → каскадное удаление и/или анонимизация во всех слоях → управление бэкапами и вендорами → доказуемость и метрики. Встроив этот контур в архитектуру и операции, вы соблюдете требования регуляторов, уменьшите поверхность риска и сохраните доверие пользователей — без ущерба для бизнеса и качества продукта.