Desculpe, em vez de “bloquear”, quis dizer “suspender”.
Sim, tentei isso.
O problema é que o usuário é anonimizado e, portanto, o nome de usuário muda. Acho que o SAML não reconhece isso e adiciona um novo usuário, porque o SAML não consegue encontrar o usuário com seu nome de usuário (= porque o usuário foi anonimizado antes).
Parece que você não entende como lidar com exclusões solicitadas pelo usuário e quando/onde isso não se aplica.
Quando um usuário se inscreve em seu site, você tem o direito de processar as informações fornecidas (e-mail e nome de usuário) para fins de registro. Esse processamento não termina quando eles são suspensos e tentam sair, levando seus brinquedos com eles.
Você não é obrigado a remover o e-mail de um usuário banido ou suspenso. O direito ao esquecimento não se sobrepõe ao propósito do processamento.
E como isso é compatível com o GDPR e o direito dos usuários de solicitar a exclusão de seus dados?
Se você mantiver a conta deles, isso ainda estará associado aos dados deles e você manterá as informações deles mesmo quando eles solicitarem a exclusão de dados do usuário.
O usuário pode retirar seu consentimento para o processamento de dados pessoais, mas o consentimento é apenas um dos fundamentos que podem tornar o processamento de dados legal sob o GDPR.
Outro fundamento pode ser o interesse legítimo do controlador (artigo 6.1, f: o processamento é necessário para os fins dos interesses legítimos perseguidos pelo controlador). Tal interesse legítimo pode ser garantir que o usuário não possa criar uma nova conta. Caso contrário, o usuário poderia abusar do GDPR para ter todos os registros apagados, incluindo o fato de que ele se comportou mal.
Artigo 17 do GDPR, ênfase minha.
O titular dos dados terá o direito de obter do controlador a eliminação dos dados pessoais que lhe digam respeito sem demora injustificada e o controlador terá a obrigação de apagar os dados pessoais sem demora injustificada sempre que se aplique um dos seguintes fundamentos: (…)
o titular dos dados retira o consentimento em que se baseia o processamento (…) e quando não houver outro fundamento jurídico para o processamento;
O que basicamente significa: sim, o fórum tem que remover os dados do usuário mediante solicitação, mas como o fórum suspendeu o usuário, eles precisam de uma maneira de garantir que o usuário não crie uma nova conta, então eles têm um bom motivo para manter o endereço de e-mail do usuário suspenso em arquivo, apesar da solicitação do usuário.
Uma maneira de fazer isso no Discourse é anonimizar o usuário (já suspenso) e, em seguida, alterar o endereço de e-mail anonimizado de volta para o endereço de e-mail real. Você também pode querer manter o IP de registro deles, com base no mesmo fundamento, e adicioná-lo à lista de bloqueio.