こんにちは、管理者の皆様。GDPRに関するトピックは多数（非常に多数）見つかりましたが、この質問に対する答えが載っているものは見当たりませんでした。もし重複していたらお詫びします。
私はDiscourseをSSOと連携させ、より大規模な会員サイトと接続して利用しています。サイト会員がアカウントを削除した場合、どのように対応すべきか検討しています。
通常であれば、「Discourseに連絡してプロフィールを匿名化すれば問題ない」と考えます。投稿が公開されたままでもおそらく問題ないでしょうし、利用規約（TOS）を変更して、「当サイトでアカウントを削除した場合、公開されたフォーラム投稿は匿名のユーザー名の下に残る」と明記する予定です。これは問題ないと思われます。
しかし、1週間後にその人物からメールでGDPRに基づきすべてのデータの削除を請求された場合はどうなるでしょうか？
すでにアカウントを匿名化している場合、Discourse上のどの投稿がその人物によって作成されたのかをどのように特定すればよいのでしょうか？
弁護士のご意見を伺わないと断定は難しいですが、証拠として提示させていただきます。
https://www.infogoto.com/is-the-anonymization-of-personal-data-the-same-as-data-erasure/
…それに対して私は、フォーラムの投稿は常に「収集された目的のために使用されている」と主張します。
匿名化されたデータのプール内に存在するため、私の能力の限りであなたのデータを見つけることはできません。データの所有権を証明していただければ、喜んで削除いたします。
これはユーザーにとって大きな取り組みとなるため、そこで話は終わります。GDPR（一般データ保護規則）の下では、ユーザー自身がデータを特定できない場合でも、追跡または特定可能なすべてのデータを「忘れ去る」こと（削除すること）が義務付けられています。これはこの問題に対する非常に軽い解釈ですが、法的な観点から本当に懸念がある場合は、常に弁護士に相談してください。
では、非構造化データはどうでしょうか？最近、Discourse のフォーラムで、投稿に個人を特定できる情報が含まれていたため、ユーザーが自身の投稿の削除を求めた事例がありました。
はい、まさにその点について考えています。もし誰かがセルフィーを投稿したり、電話番号を掲載したりしたらどうなるでしょうか？彼らが私のサイトでアカウントを削除すると、その一部として（自動化された）プロセスにより、Discourse のアカウントは匿名化されます。そして翌日、GDPR による削除リクエストが届きます。サイトからすべての個人情報を削除しなければならないのですが、今では行き詰まってしまいました。
このアイデアは気に入っていますが、上記で説明したシナリオでは通用しないのではないかと疑っています。
別の選択肢として、匿名化するのではなく、Discourse から完全に削除するという方法もあります。もちろん、問題点は、すべての過去のメッセージが削除され、トピックに穴が開いてしまうことです。これもあまり気に入っていません。
もし彼らが投稿者なら、トピック全体が削除されることになります。
実際には、匿名化リクエストの検証に必要な範囲で記録を保持することが許可されています。
この手順が不十分だと、実際に誰かがあなたに苦情を申し立てたことはありますか？
うーん、正確にはよくわかりません。Discourse が匿名化を行う際、匿名化されたユーザー名を返すということでしょうか？もしそうなら……各匿名化のログと、匿名化前後のユーザー名を記録しておけば、記録として残せるかもしれません。それは悪くないアイデアですね。
これまでに、幸運にもまだ匿名化されていないメンバーのすべての投稿を削除するよう、数件のリクエストを受けました。また、現在月 2〜3 件の GDPR の「忘れられる権利」に関するリクエストも定期的に受けています。しかし、私がヨーロッパに拠点を置き、多くのヨーロッパ人メンバーがいることに加え、コミュニティがプライバシーに対して極めて敏感である正当な理由があることを考えると、「フォーラムの投稿をどのように扱うか」について、明確でよく考えられた回答を用意することが非常に重要だと考えています。現在、その方法を模索しているところです。
この特定の問題について、オランダの弁護士が書いた記事をご紹介します。太字は私が強調した部分です。
この問題はGDPR導入時にすでに認識されており、忘れられる権利においては、処理（つまり公開）が表現の自由という基本権の行使に必要である場合には適用されない旨が明記されています（GDPR第17条第3項）。 つまり、原則としてフォーラム管理者はメッセージの削除を防ぐことができます。 ユーザーのプロフィールや登録は、その基本権の範疇には含まれないため、請求に応じて削除されなければなりません。
friendly reminder: Meta のメンバーのほとんどは弁護士ではありません。弁護士であるユーザーが数人いるとしても、彼らは「あなた」の弁護士ではありません。リチャード氏がリンクした記事のアルノウドも、あなたの弁護士ではありません。GDPR に基づくデータ削除リクエストの技術的な側面については喜んで議論します。コミュニティ管理の側面についても話し合えます。しかし、法的な側面に関する回答は提供できません。そのためには、弁護士、特に「あなた」の弁護士が必要です。GDPR とあなたの状況の両方を理解している弁護士です。ここで提供される情報は、法的助言ではなく、法的助言とみなしてはなりません。