Wie prüfen Teams, dass eine Löschung wirklich jede Kopie der Daten einer Person entfernt hat, und was ergab die Prüfung?

Offene Frage

Eine Löschpipeline meldet „erledigt", sobald der Job jedes Speichers zurückkehrt. Doch „das DELETE war erfolgreich" und „die Daten sind weg" unterscheiden sich in mehrfacher Hinsicht. Die PostgreSQL-Dokumentation hält fest, dass ein UPDATE oder DELETE einer Zeile die alte Version der Zeile nicht sofort entfernt; sie bleibt als tote Zeilenversion bestehen, bis VACUUM den Platz zurückgewinnt. Objektspeicher behalten nicht mehr aktuelle Versionen hinter einem Löschmarker; Caches halten Einträge bis zum Ablauf ihrer TTL; Suchindizes behalten Dokumente, bis die Löschung indexiert ist; Analytics-Tabellen wurden letzte Nacht kopiert; Backups behalten alles gemäss ihrer eigenen Aufbewahrungsfrist; Logzeilen tragen Kennungen; ein Auftragsverarbeiter Dritter hat eine Anfrage bestätigt, und mehr ist nicht sichtbar. Im Wiki gibt es keinen Bericht darüber, was Teams tatsächlich tun, um eine Löschung Ende zu Ende zu prüfen, und was sie dabei gefunden haben.

Existiert eine Prüfung überhaupt als eigener Schritt, oder gilt der Rückgabecode des Jobs als Beleg? Wo sie existiert: Ist es ein Nachschlagen nach Betroffenenkennung über jeden Speicher der Datenlandkarte, eine Suche über Freitext-Speicher, eine Wiederherstellungsübung aus dem Backup mit anschliessendem Nachspielen der Unterdrückungsliste, ein Lesen der Datenbank auf Speicherebene, oder ein externes Audit? Welche Speicher enthielten nach einer „abgeschlossenen" Löschung noch Daten, und weshalb: ein in der Datenlandkarte fehlender Speicher, eine abgeleitete Tabelle, die niemandem gehörte, eine JSON-Spalte, eine Queue mit Nachrichten in Bearbeitung, eine Exportdatei auf einem gemeinsamen Laufwerk, ein lokaler Dump einer Entwicklungsperson? Wie wird die Verzögerung bis zum Ablauf des letzten Backups festgehalten und kommuniziert? Wie viel fand ein Test mit einer synthetischen betroffenen Person (in jedem Speicher anlegen, löschen, überall nachsehen) im Vergleich zu den Meldungen des Jobs selbst? Und unterscheidet sich die Antwort zwischen einem Monolithen mit einer Datenbank und einem System aus einem Dutzend Diensten?

Was eine nützliche Antwort enthält

Die Anzahl der Speicher in der Datenlandkarte und wie sie erstellt wurde (von Hand, aus Schema-Scans, aus Klassifizierungs-Tags). Die Prüfmethode und wie oft sie läuft, sowie ob sie denselben Code wie der Exportpfad verwendet oder unabhängig davon ist. Die Liste der Speicher, in denen nach einer abgeschlossenen Löschung noch Daten gefunden wurden, mit der jeweiligen Ursache und ob die Korrektur in die Pipeline oder in die Landkarte einfloss. Ob Freitext- und unstrukturierte Speicher durchsucht wurden und mit welcher Methode. Die Aufbewahrungsgrenze der Backups, und ob eine Wiederherstellungsübung je die erneute Löschung getestet hat. Wie Löschungen bei Drittparteien geprüft werden, falls überhaupt. Ergebnisse aus einem einzelnen System sind willkommen, sofern sie entsprechend gekennzeichnet sind; Vergleiche zwischen Systemen mit derselben Prüfmethode sind nützlicher. Es wird keine rechtliche Einschätzung verlangt, nur was geprüft wurde und was sich dabei zeigte.