Разберём по стадиям, на публичном примере: Google описывает свой процесс удаления подробнее большинства.
Сколько живёт запись после нажатия
По документу Google об удалении и хранении данных процесс идёт в несколько стадий.
Сначала данные убираются из вида и перестают использоваться для персонализации. Затем запускается собственно удаление из систем хранения — и, дословно, «этот процесс обычно занимает около 2 месяцев с момента удаления», причём в него часто входит период восстановления длиной до месяца на случай, если удаление было случайным.
И отдельной строкой: из зашифрованных систем резервного копирования данные могут оставаться «до 6 месяцев».
Итого от нажатия кнопки до исчезновения из всех систем — до полугода, и это описание добросовестного процесса, а не нарушения.
Почему так устроено
Причины инженерные, а не злонамеренные.
Резервные копии существуют, чтобы данные не пропали при аварии. Они снимаются целым куском, и отдельную строчку из готовой копии не выковыривают — копию либо хранят целиком, либо она истекает по сроку.
Логи нужны, чтобы разобраться, почему что-то сломалось. Полного текста там обычно нет, но есть время, объём, адрес и служебные признаки операции.
Вторая причина юридическая. В том же документе Google перечисляет, что часть данных хранится дольше: для защиты от мошенничества и несанкционированного доступа, для налоговой и финансовой отчётности, для соблюдения закона и запросов государственных органов. Конкретные сроки для этих исключений там не названы.
Отсюда стандартная формулировка любого соглашения: удаляем в такой-то срок, за исключением случаев, когда обязаны хранить. Исключений набирается достаточно.
Слой, из которого удалить нельзя в принципе
Если запись попала в обучающую выборку модели, она не лежит там строкой — она растворена в весах. Удалить её оттуда точечно нельзя.
Что здесь есть вместо теории — правовой прецедент.
11 января 2021 года Федеральная торговая комиссия США объявила о мировом соглашении с компанией Everalbum, разработчиком фотоприложения Ever. По версии комиссии, с сентября 2017 по август 2019 года компания собрала миллионы изображений лиц из пользовательских фотографий, объединила их с публичными наборами данных и построила четыре датасета для разработки технологии распознавания лиц — при этом уверяя пользователей, что распознавание не применяется без их явного согласия.
Предписание потребовало удалить не только данные, но и модели и алгоритмы, разработанные на пользовательских фотографиях и видео. Соглашение финализировано в мае 2021 года.
Это и называется алгоритмическим изъятием: раз изъять отдельную фотографию из модели невозможно, изымается модель целиком. Механизм существует, но запускает его регулятор, а не пользователь кнопкой в настройках.
Что реально работает
Удаление аккаунта, а не записи. Только оно запускает описанный выше процесс целиком.
Проверить подтверждение. Серьёзный сервис после запроса присылает письмо: процесс запущен, завершится к такой-то дате. Письма нет — велика вероятность, что вы вышли из аккаунта, а не удалили его.
Не заходить в период восстановления. У Google в процесс встроен период до месяца на случай случайного удаления; у многих сервисов это тридцать дней. Вход под старым логином в этот период отменяет удаление — на этом попадаются регулярно.
Отдельно про переписку
С заметками ситуация хотя бы описана документами. С сообщениями сложнее, потому что решение о хранении принимает не только автор.
Удаление у себя убирает сообщение с вашего экрана. Копия у собеседника остаётся, если не нажата отдельная кнопка удаления у всех — и она работает не везде и не всегда.
Дальше начинается менее очевидное. Собеседник мог сделать снимок экрана. Собеседник мог включить резервное копирование переписки в своё облако — тогда ваши сообщения лежат уже в двух облачных аккаунтах, вашем и его, и ко второму у вас нет никакого доступа.
Резервные копии переписки — самая недооценённая часть этой схемы: их включают один раз при настройке телефона и больше не вспоминают.
Вывод неприятный, но однозначный: отправленное сообщение вы больше не контролируете. Не из-за собеседника, а из-за архитектуры.
Что делать заранее
Дешевле не доводить до удаления. Рабочий фильтр — один вопрос перед записью в облачный сервис: спокойно ли отнестись к тому, что эта запись будет существовать неопределённо долго.
Список покупок — спокойно. План отпуска — спокойно. Сумма долга, диагноз родственника, детали рабочего конфликта — нет.
Второе относится не к секретности, а к зависимости: политика хранения может поменяться без вашего участия, и вы узнаете об этом из даты редакции соглашения, если вообще посмотрите.
Проверка на выходные: найдите в своём сервисе пункт про полное удаление аккаунта. Не для того, чтобы удалять, — просто посмотрите, существует ли он и какой срок в нём указан. Наличие внятного срока и есть главный признак того, что процесс вообще описан.
Источники
- Google, «Как Google хранит и удаляет данные» — стадии удаления, около 2 месяцев на процесс, до месяца на восстановление, до 6 месяцев в системах резервного копирования, перечень исключений: https://policies.google.com/technologies/retention
- Федеральная торговая комиссия США, пресс-релиз от 11.01.2021 — мировое соглашение с Everalbum, требование удалить модели и алгоритмы: https://www.ftc.gov/news-events/news/press-releases/2021/01/california-company-settles-ftc-allegations-it-deceived-consumers-about-use-facial-recognition-photo
- Федеральная торговая комиссия США, финализация соглашения, май 2021: https://www.ftc.gov/news-events/news/press-releases/2021/05/ftc-finalizes-settlement-photo-app-developer-related-misuse-facial-recognition-technology
- Текст предписания по делу Everalbum: https://www.ftc.gov/system/files/documents/cases/everalbum_order.pdf