個人データのキャッシュ：GDPR
「個人データ」（名前、郵便番号、電話番号、生年月日など）を含むリクエストが私のWebアプリケーションにあります。どのキャッシュ制御が推奨されるか知りたいのですが。 HTTPSを使用しています。
この質問 機密データをキャッシュするためのベストプラクティス は以前に尋ねられました。
私は非常に偏執的でないなら、私はCache-Control: privateを使用するべきであるように見えます。
応答メッセージのすべてまたは一部が1人のユーザーを対象とし、プロキシサーバーなどの共有キャッシュによってキャッシュされてはならないことを示します。
...そして私が非常に偏執的である場合は、Cache-Control: no-store。
そして「偏執狂的」とは、「個人データをユーザーエージェントのシングルユーザーキャッシュに保持することは悪い考えだ」という意味です。
ユーザーエージェントのシングルユーザーキャッシュに個人データを保持することは基本的に問題ないと思います。これについては意見が分かれているようですが、私の意見はグーグルの約10分からです。また、リンクされた質問が、ここで情報に基づいた決定を行う方法を実際に提供するとは思わない。 それで、人々が同意しない場合は聞きたいです。
GDPRのため、ここでアプローチを変更する必要がありますか？
"機密の個人データ" について同じ質問をした場合、何か変化はありますか？
法律は、何が保存できるかについてであり、インフラストラクチャを対象としています。法律は、ユーザーが自分のデータを制御できるようにすることを目的としています。
クライアントキャッシュは、合理的な定義でクライアントのインフラストラクチャに属し、すでにユーザーの制御下にあります。
これは、履歴が削除されても残っているスーパークッキーや他の卑劣なトリックなどを試すと、異なる解釈になる可能性がありますが、通常のクライアントキャッシュについて話している限り、これはアクティブに保存しているものではなく、直接持っているものでもありません。へのアクセス。
ただし、他のキャッシュに注意してください。多分あなたのロードバランサーはキャッシュを可能にするキャッシュヘッダーでレスポンスをキャッシュします。その後、人々はあなたがまだそれらに関するデータが保存されていると主張することができます。アクセスするのは簡単ではないかもしれませんが、そこにあるか、アクセスできるか、ハッキングされたときにリークする可能性があります。
免責事項：私は弁護士ではないので、弁護士を探したいかもしれません。現在、誰が実際にあなたを訴え、何を起こさないかは誰にもわかりません。