Um usuário pede a exclusão dos dados dele. Como você atende isso em um data lake e em um warehouse?

Você precisa saber onde os dados pessoais vivem antes de conseguir apagá-los, então comece por classificação e linhagem. Prefira um design que evite o problema: pseudonimize na ingestão e mantenha o mapeamento de identificadores em um único repositório restrito, para que apagar esse mapeamento torne o resto não identificável. Onde o dado bruto precisar mesmo ser apagado, use um formato de tabela com suporte a deletes em nível de linha e acompanhe o pedido até a conclusão, incluindo os backups.

A primeira resposta honesta é que você não apaga o que não catalogou, então isso depende inteiramente de classificação e linhagem já estarem no lugar. O design que eu defendo é pseudonimização na ingestão: o identificador bruto é trocado por um token substituto na fronteira e o mapeamento vive em um único repositório restrito. Aí um pedido de exclusão é basicamente apagar uma linha nesse repositório, e depois disso nada mais adiante está ligado a uma pessoa. Isso é muito mais barato do que reescrever anos de Parquet. Onde a exclusão de fato é obrigatória, um formato de tabela como Iceberg ou Delta oferece deletes em nível de linha sem reescrever partições inteiras na mão. As partes que as pessoas esquecem são as chatas: snapshots e histórico de viagem no tempo, backups com a própria retenção, extrações em CSV que alguém mandou por e-mail, e qualquer ferramenta de analytics de terceiros guardando uma cópia. Eu definiria a janela de retenção dos snapshots para que as exclusões se tornem permanentes dentro dela, documentaria isso e manteria um registro auditável de cada pedido e da sua conclusão.