Olá, administradores. Encontrei muitos (muitos, muitos) tópicos sobre a GDPR, mas nenhum que parecesse ter essa resposta. Peço desculpas se isso for um duplicado.
Estou usando o Discourse com SSO, integrado a um site de associação maior. Estou tentando entender o que fazer se um membro do meu site excluir sua conta.
Normalmente, eu diria: bem, posso entrar em contato com o Discourse para anonimizar o perfil deles no Discourse, e isso resolve. Provavelmente é aceitável que suas postagens permaneçam públicas, e vou alterar meus Termos de Serviço para indicar especificamente que, se você excluir sua conta no meu site, suas postagens públicas no fórum permanecerão sob um nome de usuário anônimo. Isso parece correto.
No entanto, o que acontece se, uma semana depois, eu receber um e-mail dessa pessoa solicitando, com base na GDPR, que eu exclua todos os dados dela?
Como já anonimizei a conta dela, como posso determinar quais postagens no Discourse foram criadas por ela?
Mesmo com todo o meu esforço, não consigo localizar seus dados, pois eles estão em um conjunto de dados anonimizados. Se você puder provar a propriedade dos dados, ficarei feliz em removê-los.
Como isso seria um grande trabalho para o usuário, o assunto encerra-se aqui. Sob o GDPR, você está obrigado a esquecer um usuário e apagar qualquer dado que possa ser rastreado ou vinculado a ele; se o próprio usuário não consegue, ninguém conseguirá. Esta é uma abordagem muito leve da questão e, se você estiver realmente preocupado em termos legais, deve sempre consultar um advogado.
E quanto aos dados não estruturados? Recentemente, vi um caso em um fórum Discourse onde um usuário solicitou a exclusão de suas postagens porque elas continham detalhes identificadores.
Sim, é exatamente isso que estou pensando. E se alguém postar um selfie? Ou seu número de telefone? Eles excluem sua conta no meu site e, como parte desse processo (automatizado), a conta do Discourse é anonimizada… e no dia seguinte, recebo uma solicitação de exclusão sob o GDPR. Preciso remover todas as informações pessoais deles do meu site. Agora estou preso.
Gosto dessa ideia, mas duvido que ela se sustente no cenário que descrevi acima.
Outra opção seria, em vez de anonimizar, simplesmente excluí-los completamente do Discourse. Claro, o problema é que todas as mensagens antigas deles desaparecem, deixando buracos nos tópicos. Hmm. Também não estou muito animado com isso.
Hmm, não tenho certeza se entendi exatamente. Você está dizendo que, quando o Discourse anonimiza, ele retorna o nome de usuário anonimizado? Se for isso… então acho que poderia manter um registro de cada anonimização e dos nomes de usuário antes/depois, para ter um registro. Não é uma má ideia.
Já recebi algumas solicitações para remover todas as mensagens de membros que, por sorte, ainda não haviam sido anonimizados… e regularmente recebo solicitações de “esqueça-me” do GDPR, atualmente 2 a 3 por mês. Mas, considerando que estou baseado na Europa e tenho uma grande base de membros europeus, combinado com o fato de que minha comunidade tem motivos válidos para ser extremamente sensível em relação à privacidade… acho que ter uma boa e bem pensada resposta para “como você lida com minhas postagens no fórum” é extremamente importante. No momento, estou tentando definir isso.
Aqui está um artigo de um advogado holandês sobre este problema específico. Ênfase minha.
Este problema já foi reconhecido quando o RGPD foi introduzido, e por isso está estabelecido no direito ao esquecimento que ele não se aplica se o processamento (ou seja, a publicação) for necessário para o exercício do direito fundamental à liberdade de expressão (Artigo 17, parágrafo 3 do RGPD). Isso significa que, em princípio, um administrador de fórum pode impedir a remoção de mensagens. Um perfil ou registro de um usuário não se enquadra nesse direito fundamental e, portanto, deve ser removido mediante solicitação.
Um lembrete amigável: a maioria de nós aqui na Meta não é formada em direito. Para os poucos usuários que são advogados, eles não são seu advogado. Arnoud (do artigo que Richard linkou) também não é seu advogado.
Estamos felizes em discutir o lado técnico do tratamento de solicitações de eliminação de dados sob o GDPR. Também podemos discutir o lado da gestão da comunidade. Não podemos fornecer respostas sobre o aspecto legal. Para isso, é necessário um advogado, especificamente seu advogado. Um que conheça tanto o GDPR quanto as especificidades do seu caso. Qualquer informação fornecida aqui não é, e não deve ser considerada, aconselhamento jurídico.