Scusa, invece di “blocca” intendevo “sospendi”.
Sì, ho provato così.
Il problema è che l’utente viene anonimizzato e quindi cambia il nome utente. Immagino che SAML non lo riconosca e aggiunga un nuovo utente perché SAML non riesce a trovare l’utente con il suo nome utente (= perché l’utente è stato anonimizzato in precedenza).
Sembra che tu non capisca come gestire le cancellazioni richieste dall’utente e quando/dove non si applicano.
Quando un utente si iscrive al tuo sito, hai il diritto di elaborare le informazioni fornite (email e nome utente) allo scopo della registrazione. Tale elaborazione non termina quando viene sospeso e cerca di andarsene, portando con sé i propri “giocattoli”.
Non sei obbligato a rimuovere l’email di un utente bannato o sospeso. Il diritto all’oblio non prevale sullo scopo dell’elaborazione.
E come è compatibile con il GDPR e il diritto degli utenti di richiedere la cancellazione dei propri dati?
Se conservi il loro account, questo è ancora associato ai loro dati e conservi le loro informazioni anche quando hanno richiesto la cancellazione dei dati dell’utente.
L’utente può revocare il proprio consenso al trattamento dei dati personali, ma il consenso è solo uno dei motivi che possono rendere lecito il trattamento dei dati ai sensi del GDPR.
Un altro motivo può essere il legittimo interesse del titolare del trattamento (articolo 6.1, f: il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento). Tale legittimo interesse può essere quello di garantire che l’utente non possa creare un nuovo account. Altrimenti l’utente potrebbe abusare del GDPR per far cancellare tutti i dati, compreso il fatto che si è comportato male.
Articolo 17 del GDPR, enfasi mia.
L’interessato ha il diritto di ottenere dal titolare la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare ha l’obbligo di cancellare i dati personali senza ingiustificato ritardo, laddove si applichi uno dei seguenti motivi: (…)
ritira il consenso su cui si basa il trattamento (…) e laddove non sussista altro fondamento giuridico per il trattamento;
Ciò significa fondamentalmente: sì, il forum deve rimuovere i dati dell’utente su richiesta, ma poiché il forum ha sospeso l’utente, ha bisogno di un modo per assicurarsi che l’utente non crei un nuovo account, quindi ha una buona ragione per conservare l’indirizzo email dell’utente sospeso, nonostante la richiesta dell’utente.
Un modo per farlo in Discourse è anonimizzare l’utente (già sospeso) e quindi ripristinare l’indirizzo email anonimizzato al loro indirizzo email reale. Potrebbe anche essere opportuno conservare il loro IP di registrazione, basandosi sullo stesso motivo, e aggiungerlo alla lista di blocco.