Что происходит с персональными данными при обработке

Что проверяют

Относитесь ли вы к персональным данным как к ответственности сервиса, а не как к очередным колонкам. Вопрос задают там, где утечка стоит дорого, и слушают, назовёте ли вы сами логи, резервные копии и сроки хранения.

Как отвечать

Пройдите по жизненному циклу и на каждом шаге скажите, что делаете в коде:

• сбор: только то, что нужно под заявленную цель. Лишнее поле в форме это обязательство на годы вперёд;
• хранение: шифрование канала и носителя, отдельные права на чтение, разделение чувствительных полей и справочных;
• обработка: там, где личность не нужна, работают с псевдонимом. Обезличивание необратимо, а псевдонимизированные данные остаются персональными и защищаются так же;
• логи и телеметрия: структуру целиком в лог не пишут, для чувствительных типов делают свой метод строкового представления или сериализации с маскированием, тело запроса в текст ошибки не кладут;
• передача: только по основанию и по защищённому каналу, состав полей фиксируется;
• удаление: по сроку и по требованию субъекта, вместе с репликами, резервными копиями, поисковым индексом и выгрузками аналитики.

Для российского рынка называйте профильный закон о персональных данных и требование размещать базы с данными граждан России на территории страны, а не только европейский регламент: ссылка лишь на него выдаёт заученный ответ.

Где спотыкаются

Ограничиваются словом «шифруем». Шифрование не отвечает, у кого есть доступ, сколько данные хранятся и что из них уехало в логи, а именно эти три вопроса задают следом.

Пишут в лог всю структуру через %+v. Один отладочный вывод в обработчике отправляет в систему логов телефоны и адреса, и живут они там дольше, чем в базе, потому что на логи редко распространяют политику хранения.

Считают удалением одну строку в основной таблице. Данные остаются в резервных копиях, репликах, кэше, очередях и в тестовых контурах, куда их выгрузили целиком, поэтому порядок удаления описывают заранее, вместе с судьбой копий.