Не откладывайте соответствие требованиям к данным на неделю запуска
Решения о персональных данных — это архитектурные решения. Когда соответствие становится частью проектирования, его стоимость падает.
Турецкий закон № 6698 о защите персональных данных всплывает у большинства команд на последней неделе проекта. В этот момент соответствие превращается в слой текста, приклеенный к продукту задним числом: пишется уведомление, добавляется галочка, и работа считается сделанной.
Но закон на самом деле требует не текстов, а решений. Какие данные вы собираете, на каком правовом основании, сколько храните, с кем делитесь? Ответы напрямую определяют вашу модель данных и архитектуру.
Вопросы для этапа проектирования
- Действительно ли нам нужно собирать это поле? (минимизация данных)
- На каком правовом основании мы его обрабатываем — явное согласие или исполнение договора?
- Удаляется ли запись автоматически по истечении срока хранения?
- Как мы обработаем запрос на выгрузку или удаление данных пользователя?
- Есть ли передача за пределы страны, и если да, то по какому механизму?
Команды, отвечающие на эти вопросы в начале проекта, записывают срок хранения столбцом в базе данных и передают удаление запланированной задаче. Команды, пытающиеся ответить в конце, работают скриптами, запускаемыми вручную, — это открыто и для ошибок, и для риска при проверке.
