场景
苏州工业园区一家做智能硬件的公司，去年上线了一款带语音交互功能的小家电。产品卖得不错，问题也跟着来了。有位用户姓周，发现自己跟设备说的话，被用来训练模型了，而且他在App里翻来翻去，只找到一个“同意隐私政策”的勾选框，想撤回授权、想删掉历史语音，压根找不到入口。周先生先是在App里提交了删除申请，客服回了一句“已记录，会处理”，然后就没有然后了。他又发邮件，对方说数据已经脱敏，不属于个人信息，删不了。周先生火了，跑到公司所在的写字楼下面拍了张照片发朋友圈，说“这家公司拿我的声音去喂AI”。公司这边也委屈：语音数据确实做了处理，而且用户当初勾了同意，怎么就成了侵权？
这个场景在苏州不算少见。园区、高新区一堆做智能硬件、SaaS、跨境电商的企业，数据合规的底子往往跟不上业务跑的速度。删除请求这件事，看着简单，真操作起来，误区一大把。
法律规定
先把规则捋清楚。《中华人民共和国个人信息保护法》第4条讲得很明白，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。声音如果能把人认出来，那就是个人信息，脱敏处理不等于自动出圈，得看还能不能识别到具体的人。
第47条是删除请求的核心条款：处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人撤回同意；处理者违法违规处理；以及法律、行政法规规定的其他情形。出现这些情形，处理者应当主动删除，没删除的，个人有权请求删除。
但删除不是无条件的。第47条同时留了口子：法律、行政法规规定的保存期限未届满，或者删除在技术上难以实现的，处理者应当停止除存储和采取必要的安全保护措施之外的处理。这句话很关键，它说明“删不掉”在特定条件下是被允许的，但前提是“技术上难以实现”，而且必须停止其他处理，不能一边说删不了，一边继续拿去训练模型。
另外几条也得提。第13条讲合法性基础，同意只是其中之一；第14条要求同意得是自愿、明确作出的，不能靠默认勾选糊弄；第15条规定个人有权撤回同意，处理者应当提供便捷的撤回方式；第17条要求处理前以显著方式、清晰易懂的语言告知处理目的、方式、种类、保存期限等；第45条赋予个人查阅、复制权；第50条要求处理者建立便捷的个人行使权利的申请受理和处理机制，拒绝的应当说明理由。
还有第55条，处理敏感个人信息、利用个人信息进行自动化决策、委托处理、向他人提供等情形，应当事前进行个人信息保护影响评估。语音数据如果涉及声纹，很可能落入敏感个人信息，第28、29条对单独同意有更严的要求。
法院实务怎么判
苏州法院在公开裁判文书里体现出的审理思路，大致有几个倾向，个案会有差异，不能一概而论。
第一，看“同意”是不是真的成立。法院通常会结合告知是否显著、语言是否清晰、勾选是否默认、有没有单独同意来判断。一个笼统的“同意隐私政策”勾选框，覆盖不了敏感信息的处理，也覆盖不了后续用途的变更。用户在勾选时根本不知道语音会被拿去训练模型，这种同意很难被认定为有效。
第二，看删除请求有没有被实质回应。法院一般不要求企业秒删，但会看有没有受理机制、有没有在合理期限内答复、拒绝时有没有说明理由。客服一句“已记录”然后石沉大海，这种处理方式在法庭上很难站住脚。第50条要求的“便捷的申请受理和处理机制”，不是摆设。
第三，看“技术难以实现”这个抗辩成不成立。企业说数据已经进了模型、删不干净，法院通常会追问：是原始数据删不了，还是衍生数据删不了？有没有停止除存储和安全保护之外的处理？如果一边主张删不了，一边模型还在迭代、数据还在用，这个抗辩基本会被打掉。
第四，看损害和因果。个人信息删除纠纷里，原告往往拿不出直接经济损失，法院通常会结合侵权行为的性质、持续时间、影响范围、企业过错程度来判断责任，金额不会写死，而是综合酌定。企业如果存在明显违规，比如未做影响评估、未提供撤回途径，被认定过错的可能性会更高。
边界与例外
删除请求不是万能钥匙，边界得说清楚。
一是法定义务的保存。比如网络安全法第21条要求网络运营者留存网络日志不少于六个月，这类法定留存期内，删除请求要让位于法定义务，但企业只能存储，不能拿去做别的处理。
二是技术上确实难以实现的。比如数据已经融入模型参数，逐条剥离不现实，这时候法律允许停止除存储和安全保护之外的处理，但企业得能证明“难以实现”是真的，不是懒得做。
三是涉及他人权利或公共利益的。比如删除会侵害第三人合法权益，或者涉及司法机关、行政机关依法调取的情形。
四是匿名化之后的处理。第4条区分了个人信息和匿名化信息，真正匿名化、无法复原识别到个人的数据，不再属于个人信息，删除请求的适用空间会缩小。但匿名化得经得起检验，假匿名、可复原的“脱敏”，法院一般不认。
普通人能怎么做
第一步，留证据。删除申请的截图、客服对话、邮件往来、时间点，都存好。别只在电话里说，要有书面痕迹。
第二步，走正式渠道。先看App或官网有没有“个人信息权利行使”入口，没有就发邮件到隐私政策里留的联系方式，写明请求删除的具体数据范围、依据第47条哪一项情形。
第三步，要求书面答复。拒绝的，让对方说明理由，这是第50条给的底气。
第四步，向监管部门投诉。网信、市场监管都可以，苏州本地也有相应的受理渠道。投诉记录本身也是后续维权的材料。
第五步，诉讼。真走到这一步，诉求要具体，是删除原始数据、停止用于训练，还是赔偿，得分清楚。别一上来就喊天价赔偿，法院看的是证据和过错。
律师温馨提示
董坤律师在苏州执业，处理过不少涉及数据合规、个人信息权益的咨询和争议，接触过智能硬件、电商、SaaS等不同类型企业的删除请求应对，也帮个人用户梳理过权利行使的路径。这类事情往往卡在“同意是否有效”“删除是否可行”“答复是否合规”几个节点上，早一点把告知文本、撤回机制、影响评估这些基础工作做扎实，比事后解释管用得多。个案情况不同，具体怎么走，还得结合手头的材料具体看。