lgpd-retention-erasure

保持と消去

LGPD 第 15〜16 条では、取り扱いの終了が定められています。第 18 条第 VI 号では、消去する権利が認められています。実務上の課題は、法律で義務付けられた保持との兼ね合いです。

義務の優先順位

Retenção legal obrigatória > Retenção contratual > Vontade do titular (Art. 18, VI)

法律上の保持義務（税務、労務、銀行、Marco Civil）がある場合、法定期間が終了するまで、データはブロックされた状態（当初の目的には使用しない）で保持し、その後消去します。

ブラジルで一般的な保持期間

カテゴリ	期間	根拠
税務（請求書、税金）	5 年	CTN 第 173〜174 条
労務（契約書、給与台帳）	5 年	CLT 第 11 条
社会保障	10 年	法律 8.212/91
銀行	10 年	CMN
Marco Civil — 接続ログ	1 年	法律 12.965/2014 第 13 条
Marco Civil — アプリへのアクセスログ	6 か月	法律 12.965/2014 第 15 条
CDC — 消費者関係	5 年	CDC 第 27 条（時効）

消去の方法

1. ハード削除

法律上の保持義務がない場合に使用します。可能な限り、すべてのテーブル、レプリカ、バックアップに対して、明確に定義されたカスケード削除を行います。

2. ソフト削除＋ブロック

一部のフィールドに法律上の保持義務がある場合に使用します。deletedAt を設定し、必須でないフィールドをマスキングして、厳密に必要なデータのみ保持します。

3. 暗号鍵破棄

データ量が多く、ストレージ全体を走査するのが困難な場合に使用します。データはデータ主体の鍵で暗号化し、消去時にその鍵を破棄します。

4. 匿名化

消去に代わる方法です。不可逆的に匿名化すると、データは LGPD の適用対象外になります（第 12 条）。

Prisma スキーマ

model RetentionRule {
  id              String   @id @default(cuid())
  entity          String   // "User", "Order", "Message"
  purpose         String   // "marketing", "billing"
  retentionMonths Int
  legalBasis      String
  postAction      PostRetentionAction
  triggeredBy     String   // "consent_revoked", "contract_end", "ttl"
  active          Boolean  @default(true)
}

enum PostRetentionAction {
  HARD_DELETE
  ANONYMIZE
  CRYPTO_SHRED
  BLOCK_AND_RETAIN
}

自動消去ジョブ

毎日の Cron ジョブ：

1. 保持期間を過ぎたレコードを特定します
2. RetentionRule に応じて postAction を適用します
3. AuditLogEntry に記録します
4. 責任者に週次レポートを通知します

第 18 条第 VI 号に関するワークフロー

詳細は lgpd-dsar スキルを参照してください。概要：

1. 依頼を受け付けます
2. 法律上の保持義務を確認します
3. 保持義務がない場合 → ハード削除します
4. 一部に保持義務がある場合 → ソフト削除し、消去可能なフィールドの暗号鍵を破棄します
5. 記録します
6. 消去したデータとブロックしたデータ（期間を含む）をデータ主体に伝えます

ステータスの更新

## F8 — Retention ✓
- RetentionRules configuradas: {N}
- Job diário ativo
- Eliminação automatizada validada em ambiente staging
- {M} registros já em fila para eliminação
- Próximo: lgpd-incident-response