O1.07.5Erasure notification to recipients设计研究
数据一旦分享给第三方，删除请求需要向下游传播
别名: 删除通知传播 · 下游删除 · recipient notification
概念解释
向接收者传播删除通知（erasure notification to recipients）要求组织在自身批准删除后，处理此前披露给其他主体的数据去向，而不是把内部主库清除当作流程终点。以 GDPR 为例，控制者通常需把已执行的删除通知给接收过该数据的接收者，除非不可能或需不相称努力；对于已公开数据，规则还要求在考虑可用技术和实施成本后采取合理步骤，通知其他处理相关链接或副本的控制者。
机制
披露会把一条记录变成跨组织复制图。来源组织删除本地副本，不会自动改变分析供应商、营销平台或合作机构的存储。若没有接收者台账、稳定请求标识和回执，团队甚至无法判断应通知谁。传播义务把删除从单库操作变成供应链协议：上游负责发出具有可执行语义的事件，下游需定位副本、应用自身依据并报告结果或例外。
怎么研究
可用带唯一标记的测试记录跨供应商链路执行披露与删除，核对接收者发现率、通知成功率、回执时间、无法处理原因和下游继续使用。合同与数据流图审计应与真实网络、导出和供应商日志比对，因为静态供应商清单常会过期。研究还需区分处理者、独立控制者和公开再传播者，其责任与可控性不同，不能把“已发送邮件”当作全部完成。
边界
传播不是来源组织能够保证互联网所有副本消失。适用法律可能允许不可能或不相称努力等限制，独立接收者也可能有自己的保留依据。匿名聚合结果与仍可关联个人的化名数据应区别处理。具体义务取决于法域、主体角色和披露关系；产品不应把 GDPR 的接收者通知规则无条件描述为全球统一要求。
怎么落地
- 为每次披露记录接收者、数据类别、目的、角色、时间、删除接口和合同联系人，并随集成变化更新。
- 使用带请求标识、对象范围和截止状态的机器可处理删除事件，要求签名回执而非自由文本邮件。
- 对失败、无回执和声称例外的接收者分别升级，向请求者说明仍未确认的范围。
- 定期把标记记录发送到测试处理者后发起删除，检查对方查询与作业结果；只有内部完成与下游状态均有证据时，才关闭传播工单。