规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第四十七条，删除权的触发情形与例外）：《个人信息保护法》第四十七条规定：处理目的已实现、无法实现或者为实现处理目的不再必要，个人信息处理者停止提供产品或者服务，或者保存期限已届满，个人撤回同意，个人信息处理者违反法律、行政法规或者违反约定处理个人信息，以及法律、行政法规规定的其他情形出现时，处理者应当主动删除个人信息；未删除的，个人有权请求删除。法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，属于例外情形。

一、设计取向的转变

把删除做成人工动作，很难持久：责任人会变动，清单会过时，到期时间容易被遗忘。更可靠的做法是在系统设计时就约定数据的生命周期，让到期清理成为自动流程，人工只负责例外处置。

二、生命周期设计的四个环节

第一，分类。按数据的性质与法定要求，把数据分为有法定保存期限的、按业务需要留存的和应当短期持有的三类。第二，设期。为每一类设定明确的保存期限，并把期限作为元数据随数据一同存储。

第三，到期处置。设计到期后的默认动作，例如删除、不可逆匿名化或转入只有统计结果的汇总层。第四，例外管理。对确需延长留存的情形，设置审批与理由记录，避免随意续期。

三、覆盖全部留存点

生命周期设计应当覆盖主库、备份、仓库、日志与第三方系统。对备份中的历史数据，可以考虑采用轮转覆盖的方式，把最长留存期控制在可接受范围内；对第三方系统中的副本，应当在合作协议中约定同步删除的义务与时限。

四、删除的可核验性

设计中应当预留删除记录的能力：删了什么、什么时候删的、由什么规则触发、是否覆盖全部留存点。具备可核验能力，才能在被问及时拿出证据，而不是仅凭一句已经删除。