Может ли приложение хранить данные, полученные с Госуслуг, даже если пользователь отозвал разрешение?

Question

[InessaPlaksa]

Если мы добавим подтверждение данных пользователя через Госуслуги, получим от пользователя разрешение, но потом он его отзовёт, мы можем не удалять эти данные из своей БД, а просто их не обновлять?

Answer 1

[Владимир Дубровин]

Для хранения/обработки персданных требуются законные основания, например вы можете хранить их для исполнения условий договора с пользователем или в целях соблюдения законодательства / подзаконных актов, например чтобы иметь возможность ответить на претензии/обращения пользователя в рамках того срока, в течении которого эти претензии можно предъявить. По этой причине обычно допустимо хранить данные в течении некоторого времени (например несколько месяцев или даже лет - срок должен соответствовать целям). Вы не должны хранить данные только потому что они у вас есть. Если законных оснований для хранения данных нет, их необходимо удалить. В случае проверки, вас обязательно будут спрашивать о процедуре удаления данных и она должна быть.

Comments

[InessaPlaksa]

так а если у меня законное основание хранить данные вечно? например, мне надо сохранить дату рождения, чтобы быть уверенной, что пользователь совершеннолетний, т.к. ресурс 18+

[Владимир Дубровин]

Определите на каком законном основании вы храните и предоставляете данные, тогда будет определен и конкретный срок хранения. Если в законе нет определения сколько хранить данные, то обычно устанавливается срок порядка 3х лет, это же максимальный срок хранения по закону Яровой, например. При этом срок может быть разный по разным категориям данных, например если вы платите пользователям, то данные по выплатам должны храниться долго, по некоторым данным срок хранения законодательством устанавливается до 75 лет. Но главное вы хоть какой-то срок установите.

[shurshur]

InessaPlaksa, очень просто было бы, если бы дата реально была необходима. Если хранение даты необходимо для работы сайта, то она просто необходима. Поэтому удалить дату вы можете только с полным удалением аккаунта пользователя. Как и где получена эта дата неважно.

Но в данном случае проблема надумана. Вам не нужно знать дату рождения пользователя на постоянной основе. Это нужно только в момент создания аккаунта. Потом дату можно спокойно "забыть". Факт наличия верифицированного через надёжный источник аккаунта подтверждает, что на момент регистрации пользователю было необходимое число лет.

Вот если бы у вас сайт был 18-, то вам пришлось бы следить за тем, что аккаунт перерастёт пороговое значение, в этом случае дата была бы необходима.

[InessaPlaksa]

shurshur, спасибо большое за комментарий

Answer 2

[Алексей Ярков]

мы можем не удалять эти данные из своей БД

Можете. Просто никому не говорите об этом ))

Comments

[InessaPlaksa]

ну так не получится, т.к. мы должны на эти данные опираться, в соответствии с законодательством)

Answer 3

[kira_clover]

Если я правильно понимаю, госуслуги участвуют как подтверждение личности пользователя при регистрации? Тогда если эти данные необходимы в рамках пользовательского соглашения, то можно продолжать обрабатывать эти данные до тех пор, пока пользователь не захочет удалить свою учетную запись
Но тогда рекомендую при первой авторизации пользователя требовать от пользователя согласиться с пользовательским соглашением (а потом и при его обновлении), где указать информацию про обработку ПДн: какие ПДн, для чего обрабатываются с ссылкой на политику обработки ПДн