法定留存要求下无法立即删除的数据需向用户单独说明
别名: 法定保留 · legal hold after deletion · 不能马上删
概念解释
账号删了，不等于每一字节都能立刻从所有系统消失。会计、税务、反洗钱、通信、医疗等规则会要求在法定期限内留下特定记录。单独说明指这些留下的类别、依据的规则类型、以及期满后的处理，与「一般个人资料将在 N 日内删除」分开写，不混进同一句「我们会尽快删除你的数据」。这条只管法定留存这一例外。入口好不好找、导出有没有做、第三方手里的副本、冷静期、标识能不能再注册，都不是这里的主题。
机制
人把删除理解成立刻清空。法定留存把一部分记录变成「账号没了、记录还在」，若混在一般时限里，人会在期满前要求「为什么账单还在」，或反过来以为所有数据都要留七年。单独列表把例外做成可核验的集合：发票、交易流水、实名核验档案——每项对应一类义务，而不是「合规需要」这种空集合。说明还要写清留存期间谁还能访问（通常是法务与审计，不是产品推荐系统），否则「删了还在」会被读成暗中继续画像。期满删除是第二段时钟，必须与一般删除时钟并排，不能只写前一段。
怎么研究
在确认删除前让人列出「会马上没的」和「会依法留下的」，对照真实留存清单。
自变量：法定项是否单独成块、是否点名类别与期限、是否说明访问范围。 因变量：复述与真实清单的吻合、删除后因「账单还在」产生的工单、把法定留存理解成营销画像仍在的比例。
不要在研究里引用未核实的具体法条年限当通用数字；年限随司法辖区与业务线变化，实验操纵的是「有没有分开说」，不是「七年对不对」。律师提供的清单才是对照标准。实验室会认真读；真实要以不展开法律长文时屏幕上仍留下的那一块为准。
边界
没有法定留存义务的纯工具可以写「没有依法必须留下的个人数据」，单独一块仍建议保留，以免人去猜。司法辖区不同，说明要随账号所在地变化，用全球最长年限吓唬所有人会制造不必要的恐惧。正在进行的调查或诉讼可能加临时冻结，这类应在发生时再通知，不要提前写进每份注销说明变成恐吓。与法定留存无关的备份滚动延迟属于一般时限，不要塞进法定块以免稀释。
怎么落地
- 在一般删除时限之外设「依法需要留下」块：类别、留到何时、期满后删除、留存期间仅合规访问。
- 清单与法务维护的义务表同源，禁止文案写「相关法律法规」而不列类别。
- 账号所在地变化时更新该块，不要用一份全球最长列表。
- 验证：确认前让人写出至少一项会留下的数据和一项不会留下的数据，对照现行清单。删除后抽查产品推荐与营销系统不得再读这些留存库。期满日用测试时钟核对法定项是否进入删除队列。