Account verwijderen: de knop die verplicht is geworden
Een verwijzing naar je klantenservice volstaat niet meer. Gebruikers moeten in de app zelf hun account kunnen opheffen, inclusief de gegevens die daaraan hangen. Dat is meer dan een knop: het dwingt je om vooraf te bepalen wat er precies weggaat.
Waarom dit meer is dan een knop
De eis klinkt eenvoudig: laat gebruikers hun account verwijderen zonder tussenkomst van een mens. In de praktijk stelt hij drie vragen die je moet beantwoorden voordat je iets bouwt. Wat verdwijnt er precies, wat blijft en waarom, en wat gebeurt er met gegevens die inmiddels ergens anders staan.
Die derde is de lastigste. Een gebruiker die zich uitschrijft staat vaak ook in je mailtool, je supportsysteem en je analytics. Verwijderen in je eigen database is dan maar een deel van het verhaal, en juist die andere plekken vergeet men.
Er is ook een ontwerpvraag: wat gebeurt er met inhoud die de gebruiker heeft gemaakt en die andere gebruikers zien. Berichten in een gedeelde omgeving, reacties, gedeelde bestanden. Alles weggooien breekt het beeld voor anderen; alles laten staan is niet wat de gebruiker verwacht.
Wat mag blijven staan
Niet alles hoeft weg. Gegevens die je om administratieve of wettelijke redenen moet bewaren, zoals facturen en betalingsgegevens, mogen blijven zolang die bewaarplicht loopt. Datzelfde geldt vaak voor logboeken die je nodig hebt om misbruik te kunnen onderzoeken.
Wat wel moet verdwijnen is het account zelf en alles wat direct aan de persoon hangt: naam, e-mailadres, profiel, voorkeuren. En de gebruiker moet begrijpen wat er wel en niet weggaat, in gewone taal, op het moment dat hij de keuze maakt.
Een veelgebruikte middenweg is anonimiseren in plaats van verwijderen: de persoonlijke gegevens weg, de gebruiksgegevens los van de persoon behouden. Dat is verdedigbaar mits het echt anoniem is en niet met een omweg herleidbaar blijft.
Hoe je het inbouwt
Begin bij een inventarisatie: waar staan gegevens van een gebruiker, in je eigen systeem en bij derden. Die lijst is dezelfde als je nodig hebt voor je verwerkingsregister, dus het werk is niet dubbel.
Bouw verwijderen als een proces, niet als een enkele actie. Een verzoek komt binnen, de gebruiker krijgt een bevestiging, de gegevens worden gemarkeerd, de externe systemen krijgen bericht, en pas daarna is het klaar. Dat maakt het navolgbaar en herstelbaar als er iets misgaat.
Bouw een korte bedenktijd in, bijvoorbeeld een paar dagen tussen verzoek en definitieve verwijdering. Dat vangt vergissingen op en is toegestaan zolang het verzoek daadwerkelijk wordt uitgevoerd.
