Petunjuk dan konteks
Permintaan penghapusan data tidak dapat diselesaikan dalam satu tahap ketika catatan transaksi berada di bawah legal hold dan data pribadi tetap berada dalam cadangan bergulir. Oleh karena itu, legal hold, sistem aktif (live), dan cadangan memerlukan status, pemilik, aturan kedaluwarsa, dan bukti yang berbeda.
Hal yang dievaluasi pewawancara
- Memiliki proses resmi yang memutuskan validitas dan pengecualian alih-alih mengodekan penilaian hukum ke dalam pipeline.
- Hanya menyimpan bidang yang diperlukan untuk tujuan yang dinyatakan, disertai pemilik, dasar hukum, dan masa kedaluwarsa.
- Menjaga data cadangan agar tidak dapat digunakan (beyond use) dan menerapkan kembali penghapusan setelah pemulihan (restore).
- Memisahkan penghapusan sistem aktif dari sisa siklus hidup cadangan.
Klarifikasi sebelum menjawab
Konfirmasikan identitas, kunci subjek, yurisdiksi, set data yang ditahan, dan masa kedaluwarsa. Pastikan apakah cadangan mendukung penghapusan per rekaman, jadwal penimpaan (overwrite), proses pemulihan, dan salinan pihak ketiga. Pemilik dari tim privasi atau hukum memberikan keputusan terstruktur; tim rekayasa mengeksekusinya.
Kerangka jawaban 30 detik
Buat keputusan kelayakan yang memiliki versi. Data yang memenuhi syarat segera masuk ke alur kerja idempoten; data yang ditahan dipindahkan ke domain terbatas dengan bidang seminimal mungkin dan tinjauan kedaluwarsa. Setelah penghapusan sistem aktif, manifes supresi yang terlindungi mencakup cadangan. Cadangan tidak boleh mendukung pemrosesan biasa, dan setiap pemulihan menerapkan manifes tersebut sebelum akses dibuka. Bukti secara terpisah mencantumkan cakupan yang dihapus, cakupan dan dasar penahanan, kedaluwarsa cadangan terbaru, dan hasil uji coba pemulihan.
Pembahasan mendalam langkah demi langkah
Gunakan status eksplisit seperti eligible, partial_hold, live_erased, backup_pending, dan complete. Simpan kategori dan tenggat waktu, bukan menyalin konten pribadi. Berikan kunci tindakan berdasarkan ID permintaan dan referensi subjek internal yang tidak dapat dibalikkan.
Blokir penyerapan kembali (re-ingestion) sebelum menghapus salinan aktif yang memenuhi syarat. Pindahkan catatan yang ditahan ke penyimpanan dengan hak akses paling rendah dan antrekan secara otomatis saat masa penahanan berakhir. Kecualikan data agregat hanya setelah membuktikan bahwa data tersebut tidak dapat ditautkan kembali ke seseorang secara wajar.
Panduan ICO mengizinkan penimpaan cadangan pada jadwal yang ditetapkan sekaligus mengharuskan data yang terpengaruh berada di luar penggunaan. Pemulihan dimulai dalam isolasi, menerapkan manifes supresi terenkripsi, memverifikasi kecocokan nol, dan baru kemudian dibuka untuk lalu lintas bisnis. Bukti mencatat kategori sistem, waktu, hasil, dan digest—bukan konten yang dihapus.
Contoh jawaban yang kuat
Pemilik yang berwenang memberikan cakupan penahanan dan masa kedaluwarsa yang terstruktur. Pipeline menghapus hal lainnya dan mengisolasi catatan minimal yang ditahan. Setelah sistem aktif selesai, permintaan berstatus backup_pending, bukan selesai.
Cadangan akan kedaluwarsa seiring waktu selama 35 hari dan tidak dapat melayani pemrosesan biasa. Setiap pemulihan memutar ulang manifes supresi terlebih dahulu. Paket bukti berisi hasil per domain, dasar penahanan dan tugas kedaluwarsa, ditambah uji coba pemulihan. Penyelesaian hanya terjadi setelah setiap batasan ditutup.
Kesalahan umum
- Membiarkan data engineer memutuskan pengecualian hukum.
- Mempertahankan seluruh profil hanya karena satu catatan ditahan.
- Mengklaim penyelesaian segera setelah penghapusan di sistem aktif.
- Memulihkan cadangan tanpa memutar ulang manifes supresi.
- Menyalin data pribadi ke dalam jejak audit.
Pertanyaan lanjutan
Bagaimana jika cadangan tidak dapat menghapus satu rekaman tertentu?
Biarkan kedaluwarsa sesuai jadwal yang ditetapkan, jaga agar data tidak dapat digunakan, terapkan manifes pada setiap pemulihan, dan ungkapkan tanggal penghapusan terbaru.
Bagaimana cara menghindari kelupaan terhadap penahanan yang telah kedaluwarsa?
Wajibkan adanya tanggal kedaluwarsa, pemilik, dan tugas otomatis. Kedaluwarsa akan memasukkan kembali data ke alur kerja idempoten yang sama; kegagalan akan muncul dalam rekonsiliasi.
Bagaimana Anda membuktikan bahwa penanganan pemulihan berfungsi?
Pulihkan cadangan representatif dalam isolasi, terapkan manifes, dan jalankan pemeriksaan kecocokan nol menggunakan referensi subjek internal. Simpan jumlah hitungan dan digest saja.
Bagaimana pemroses pihak ketiga disertakan?
Kirimkan instruksi berbasis ID permintaan ke setiap pemroses dan kumpulkan konfirmasi. Pengakuan yang hilang membuat permintaan secara keseluruhan tetap belum selesai.