Veri saklama politikası

Her veri sınıfı için kural belirlemek

Veri saklama politikası, hangi verinin hangi amaçla ne kadar süre saklanacağını ve ardından ne yapılacağını açıklar. Sürenin başlangıcı ve planlanan silme, anonimleştirme veya sınırlı arşivleme buna dahildir. Aynı aktif veritabanındaki arşiv işareti erişimi tek başına düzenlemez.

AB GDPR kapsamındaki kişisel verilerde süre, işleme amacına ve ilgili yükümlülüklere bağlıdır. GDPR her veri türü için sabit gün sayısı vermez. Teknik bir varsayılan süre bu değerlendirmenin yerini almamalıdır.

Süreli bir dışa aktarım kopyasını yönetmek

Kurgusal bir portal, indirilebilir export-31 dosyasını üretir. Ürün kuralı, bu kopyayı oluşturulmasından itibaren 24 saat erişilebilir tutar. İndirme kontrolü süresi dolan kopyalara erişimi engeller; bir silme işi de ardından dosyayı kaldırır. Süre, bu örneğin varsayımıdır; genel bir yasal saklama süresi değildir. Asıl iş verileri için ayrı kural geçerlidir.

Dosyayı yalnızca arayüzden gizlemek silme işini yerine getirmez. Ekip, kuyruklarda, önbelleklerde veya yedeklerde kopya bulunup bulunmadığını ve buralarda hangi süre ve erişim sınırlarının geçerli olduğunu da belirlemelidir.

İşletimdeki sonucu kanıtlamak

Kayıtlı süre değeri, silmenin gerçekleştiğini kanıtlamaz. Başarısız işler fark edilebilir olmalıdır. Yedekten geri yüklemede de süresi dolmuş dışa aktarım kopyalarının yeniden indirilebilir olmamasını sağlayan bir akış gerekir. Bu nedenle kural gerçek saklama yerleri ve geri yükleme yollarıyla uyumlu olmalıdır.

Kaynaklar

• Data Protection Commission — Data retention periods

• CNIL — Define a data retention period

• OWASP — Logging