“個人信息刪除權”坎坷前行

銀昕

“之前的立法比較概括，提出的是原則性要求，這次對個人信息刪除權作了迄今為止最細致的規(guī)定，而且還規(guī)定了平臺不提供刪除功能將會面臨的處罰?！?1月22日，通信行業(yè)觀察家項立剛就《網絡數據安全管理條例（征求意見稿）》（下稱“征求意見稿”）的發(fā)布，對《法人》記者說。

個人信息刪除權最早出現在網絡安全法中，其后，在民法典、個人信息保護法中也有相關規(guī)定。而此次的征求意見稿，對個人信息刪除權作出了更為細致的規(guī)定，如個人有權提出查閱、復制、更正、補充、限制處理和刪除其個人信息的合理請求，數據處理者提供便捷的支持個人復制、更正、補充、限制處理、刪除其個人信息、撤回授權同意以及注銷賬號的功能，且不得設置不合理條件等。

盡管個人信息的刪除權已多次出現在前序法律法規(guī)中，但習慣了數字經濟的大多數互聯(lián)網用戶，對個人信息的刪除以及撤回同意，仍十分陌生。

想“被遺忘”有多難？

記者使用自己的個人賬號在某支付平臺、某打車平臺和某外賣平臺提出刪除個人全部信息的申請，得到的回復大同小異。

某打車平臺的用戶界面中未提供刪除全部個人信息的選項，記者聯(lián)系客服專員，對方給出的解決方法是：將賬戶注銷?！叭绻~戶被注銷，所有的個人信息、打車信息和支付信息都不會存在?！钡?，記者最終也沒能找到在保留賬號的前提下，刪除全部個人信息的辦法。

某外賣平臺的用戶界面也沒有提供刪除個人信息的選項，記者從客服專員處了解到，該App目前可以逐條刪除每一筆訂單的消費記錄（不可一次性打包刪除，只能手動逐條刪除），也可以刪除全部瀏覽行為的歷史記錄，但若想刪除全部個人信息，也只能注銷賬戶。

某支付平臺的界面提供了注銷賬戶的選項，客服專員表示，只能通過注銷賬戶的方式刪除個人信息，不存在保留賬戶的前提下一次性打包刪除個人信息的選項。

以上現狀意味著，目前離個人信息刪除權的真正落地，尚有一段距離。

中國政法大學傳播法研究中心副主任朱巍對記者表示，所謂個人信息刪除權，可以類比歐盟《通用數據保護條例》在立法過程中一直強調的“被遺忘權”理念。“在數字經濟發(fā)達的時代，我們的行為無時無刻不被記錄著，每個人都被迫行使了被記錄權，所以此時應該更多地強調‘被遺忘權?！?/p>

朱巍認為，所謂“個人信息”，在范圍上應當有所圈定?！拔依斫獾膫€人信息，是指能直接識別到具體自然人的信息，比如某張訂單上標明的物品購買者的姓名、手機號碼和家庭住址;但如果把這些能直接識別出自然人的個人信息刪掉，只留下這張訂單，商家依然能夠看到是某人買了這些物品，但無法識別出究竟是哪個自然人買的，這種匿名化的處理方式是可以被接受的，而匿名化之后的訂單信息不屬于個人信息，不必刪除。”

用戶數據到底是誰的？

個人信息刪除權，最早出現在2017年施行的網絡安全法中。該法第四十三條規(guī)定，個人發(fā)現網絡運營者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個人信息的，有權要求網絡運營者刪除其個人信息。

一年后，2018年5月1日生效的《個人信息安全規(guī)范》，再度出現個人信息刪除權的內容，但該規(guī)范中刪除權的實現是有前提的：當信息收集者違反了有關法律法規(guī)，或違反了與被收集個人的約定時;當信息收集者違背了與個人的約定將個人信息轉移至第三方時;當信息收集者違反與個人的約定，對外公開披露個人信息時，刪除權得以行使。

民法典第一千零三十七條規(guī)定，自然人可以依法向信息處理者查閱或者復制其個人信息;發(fā)現信息有錯誤的，有權提出異議并請求及時采取更正等必要措施。自然人發(fā)現信息處理者違反法律、行政法規(guī)的規(guī)定或者雙方的約定處理其個人信息的，有權請求信息處理者及時刪除。

今年11月1日開始施行的個人信息保護法第四十七條規(guī)定，當信息被處理目的已實現、無法實現或者為實現處理目的不再必要時，個人信息處理者停止提供產品或者服務，或者保存期限已屆滿時，個人撤回同意時，個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人信息時，個人有權提出刪除。

個人信息刪除權的這幾次出現，第二次是出現在一項國家推薦性標準中，沒有法律效力，其他三次出現在法律中，但只規(guī)定了原則，沒有實施細則。但這次征求意見稿明確規(guī)定了數據處理者對個人行使刪除權所應盡的義務和提供的技術配合，還規(guī)定了一旦沒有做到，所面臨的具體懲處措施。如，第二十三條規(guī)定，數據處理者除了提供刪除個人信息的功能外，還被要求在個人信息主體提出刪除要求的十五個工作日內處理并反饋。并且在第六十一條規(guī)定，一旦違反了第二十三條，數據處理者面臨的處罰：由有關部門責令改正，給予警告，沒收違法所得，對違法處理個人信息的應用程序，責令暫?；蛘呓K止提供服務;拒不改正的，并處一百萬元以下罰款;對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。

用戶的數據到底是誰的？這個問題一度是數據行業(yè)的“靈魂之問”。2021年數據安全法實施之后，上海數據交易中心CEO湯奇峰對記者表示，數據安全法給這個問題提出了新的思路：不再問數據的主人是誰，而是追究一旦在某個環(huán)節(jié)出了問題，該由誰負責，負多大的責?！皵祿踩ǖ牧⒎ㄋ悸肥遣辉偌m結于數據到底歸誰，而是聚焦于數據產生和流轉的全生命周期，在哪個環(huán)節(jié)出了問題，該由哪些責任主體來承擔責任，以此來解決數據安全的問題。”湯奇峰說。

然而，在刪除權的問題上，中國法律法規(guī)似乎依然遵循著“數據歸用戶所有”的邏輯。項立剛對記者表示，征求意見稿對個人信息刪除權之所以有如此細致且易于落地的規(guī)定，就是為了保護用戶對個人信息的所有權和控制權?！坝捎脩舻男袨楫a生的數據，當用戶不想繼續(xù)被數據處理者使用時，自然可以提出刪除要求。”項立剛說。

何謂真正刪除？

另一個問題是，在信息爆炸的時代，將個人信息徹底刪除，在技術上究竟能不能實現？

一位不愿具名的某網站技術部門負責人對記者表示，很難真正銷毀一段數據?！熬拖裎覀冊陔娔X上刪除一個文件一樣，表面上刪除了，其實只是被挪到了回收站里而已;即便回收站被清空了，通過殘留的注冊表信息，依然可以復原，這都不叫真正的刪除，只是改變了數據的顯示方式而已?！?/p>

這位技術部門負責人還說，特別是在“得數據者得天下”的大數據時代，由于利益的驅動，各商家都希望盡可能多地掌握用戶的個人信息、瀏覽記錄、消費偏好和消費記錄等，幫助用戶徹底抹去一段數據，不符合數據處理者的商業(yè)利益?！白钭屓藫牡氖?，表面上個人行使了刪除權，實際上個人信息并未被徹底刪除?！?/p>

項立剛則認為，當監(jiān)管的壓力增大，特別是一些個案糾紛的發(fā)生客觀上起到推動作用之后，這個技術問題其實不難解決。“一旦出現爭端和訴訟，監(jiān)管部門隨后介入，會倒逼數據處理者做到真正意義上的刪除?！?/p>

技術之外的問題也不容忽視，有法規(guī)明確規(guī)定，某些信息必須至少保存三年。如國家市場監(jiān)督管理總局《網絡交易監(jiān)督管理辦法》第三十一條規(guī)定，網絡交易平臺經營者對平臺內經營者身份信息的保存時間自其退出平臺之日起不少于三年，對商品或者服務信息，支付記錄、物流快遞、退換貨以及售后等交易信息的保存時間自交易完成之日起不少于三年。朱巍告訴記者，這項規(guī)定是為了監(jiān)管部門在爭議發(fā)生之際有證可查。

“我認為可以這樣解決：當用戶提出刪除的要求后，這些信息立即停止在商業(yè)上的使用，存入另一個專門的數據庫中繼續(xù)保留，而這個數據庫須滿足一定條件才能開啟，如發(fā)生交易糾紛需要取證，或公安機關調查相關案件時提出取證要求等?！敝煳≌f。

（責編 惠寧寧 美編 趙佳）