Gesaan dan konteks
Permintaan pemadaman tidak boleh diselesaikan dalam satu laluan apabila rekod transaksi berada di bawah pegangan undang-undang dan data peribadi kekal dalam sandaran bergulir. Oleh itu, pegangan undang-undang, sistem langsung, dan sandaran memerlukan keadaan, pemilik, peraturan tamat tempoh, dan bukti yang berbeza.
Perkara yang dinilai oleh penemu bual
- Mempunyai proses yang diberi kuasa untuk menentukan kesahihan dan pengecualian dan bukannya mengekod pertimbangan undang-undang dalam talian paip data.
- Mengekalkan medan yang diperlukan untuk tujuan yang dinyatakan sahaja, dengan pemilik, asas, dan tamat tempoh.
- Memastikan data sandaran berada di luar penggunaan dan menggunakan semula pemadaman selepas pemulihan.
- Memisahkan pemadaman langsung daripada kitaran hayat sandaran yang selebihnya.
Penjelasan sebelum menjawab
Sahkan identiti, kunci subjek, bidang kuasa, set data yang dipegang, dan tarikh tamat tempoh. Tentukan sama ada sandaran menyokong pemadaman rekod, jadual tulis ganti, proses pemulihan, dan salinan pihak ketiga. Pemilik privasi atau undang-undang menyediakan keputusan berstruktur; kejuruteraan melaksanakannya.
Rangka kerja jawapan 30 saat
Cipta keputusan kelayakan yang diversi. Data yang layak memasuki aliran kerja idempoten dengan serta-merta; data yang dipegang beralih ke domain terhad dengan medan minimum dan semakan tamat tempoh. Selepas pemadaman langsung, manifes penindasan yang dilindungi meliputi sandaran. Sandaran tidak boleh menyokong pemprosesan biasa, dan setiap pemulihan menggunakan manifes tersebut sebelum akses dibenarkan. Bukti menyenaraikan skop yang dipadamkan, skop dan asas yang dipegang, tamat tempoh sandaran terkini, dan keputusan latih tubi pemulihan secara berasingan.
Pendalaman langkah demi langkah
Gunakan keadaan eksplisit seperti eligible, partial_hold, live_erased, backup_pending, dan complete. Simpan kategori dan tarikh akhir, bukan menyalin kandungan peribadi. Kuncikan tindakan mengikut ID permintaan dan rujukan subjek dalaman yang tidak boleh diterbalikkan.
Sekat pemasukan semula sebelum memadamkan salinan langsung yang layak. Pindahkan rekod yang dipegang ke storan keistimewaan paling sedikit dan masukkannya ke dalam barisan secara automatik apabila tempoh pegangan tamat. Kecualikan agregat hanya selepas membuktikan bahawa ia tidak boleh dipautkan semula kepada seseorang secara munasabah.
Panduan ICO membenarkan tulis ganti sandaran mengikut jadual yang ditetapkan sambil memerlukan data yang terjejas berada di luar penggunaan. Pemulihan bermula secara terpencil, menggunakan manifes penindasan yang disulitkan, mengesahkan padanan sifar, dan hanya selepas itu dibuka kepada trafik perniagaan. Bukti merekodkan kategori sistem, masa, hasil, dan ringkasan (digest)—bukan kandungan yang dipadamkan.
Contoh jawapan yang kukuh
Pemilik yang diberi kuasa membekalkan skop pegangan berstruktur dan tarikh tamat tempoh. Talian paip data memadamkan semua perkara lain dan mengasingkan rekod minimum yang dipegang. Sebaik sahaja sistem langsung selesai, permintaan adalah backup_pending, bukan selesai.
Sandaran luput mengikut usia sepanjang 35 hari dan tidak boleh digunakan untuk pemprosesan biasa. Setiap pemulihan memainkan semula manifes penindasan terlebih dahulu. Pakej bukti mengandungi keputusan domain, asas pegangan dan tugas tamat tempoh, serta latih tubi pemulihan. Penyelesaian hanya berlaku selepas setiap sempadan ditutup.
Kesilapan biasa
- Membiarkan jurutera data menentukan pengecualian undang-undang.
- Mengekalkan keseluruhan profil kerana satu rekod dipegang.
- Mendakwa selesai serta-merta selepas pemadaman langsung.
- Memulihkan sandaran tanpa memainkan semula manifes penindasan.
- Menyalin data peribadi ke dalam jejak audit.
Soalan susulan
Bagaimana jika sandaran tidak boleh memadamkan satu rekod?
Lupuskannya mengikut jadual yang ditetapkan, pastikan data berada di luar penggunaan, gunakan manifes pada setiap pemulihan, dan dedahkan tarikh penyingkiran terkini.
Bagaimanakah anda mengelak daripada terlupa pegangan yang telah tamat tempoh?
Wajibkan tarikh tamat tempoh, pemilik, dan tugas automatik. Tamat tempoh akan memasukkan semula data ke dalam aliran kerja idempoten yang sama; kegagalan akan muncul dalam penyelarasan.
Bagaimanakah anda membuktikan pengendalian pemulihan berfungsi?
Pulihkan sandaran representatif secara terpencil, gunakan manifes, dan jalankan semakan padanan sifar menggunakan rujukan subjek dalaman. Simpan kiraan dan ringkasan (digest) sahaja.
Bagaimanakah pemproses pihak ketiga disertakan?
Hantar arahan berasaskan ID permintaan kepada setiap pemproses dan kumpulkan pengesahan. Ketiadaan perakuan pengesahan menyebabkan keseluruhan permintaan kekal tidak lengkap.