一般法律知识分享,不构成法律意见。

数据合规6 分钟阅读

苏州删除请求:法院通常怎么判

苏州工业园区一家做智能家居的中型企业,去年上线了一套客户管理系统。员工小周(化名)在离职前,把自己跟进过的三百多条客户记录批量导出,里面既有客户姓名、手机号,也有家庭住址和安装偏好。公司发现后要求他删…

发布于

更新于

场景

苏州工业园区一家做智能家居的中型企业,去年上线了一套客户管理系统。员工小周(化名)在离职前,把自己跟进过的三百多条客户记录批量导出,里面既有客户姓名、手机号,也有家庭住址和安装偏好。公司发现后要求他删除,小周嘴上答应,转头却把数据存进了个人网盘,还用在了一家新东家的推广名单里。公司一边报警,一边向法院起诉,要求小周和那家新公司停止使用、删除相关个人信息并赔偿损失。小周的抗辩是:这些客户本来就是我开发的,我带走自己维护的客户资料,凭什么算侵权?

这类纠纷在苏州并不少见。企业说数据是公司的资产,个人说客户是我跑出来的,双方各执一词。真到了法院,法官通常不会简单站队,而是围绕“这些信息算不算个人信息”“谁有权处理”“删除请求该不该支持”逐层往下拆。

法律规定

先说清楚“删除请求”的法律依据。个人信息保护法第47条是核心条文:处理目的已实现、无法实现或者为实现处理目的不再必要,个人信息处理者停止提供产品或者服务,或者保存期限已届满,个人撤回同意,处理者违反法律、行政法规或者约定处理个人信息,以及法律、行政法规规定的其他情形,处理者应当主动删除;处理者未删除的,个人有权请求删除。

但删除不是想提就能提。第4条界定了什么是个人信息,第13条列了处理个人信息的合法性基础,第6条要求处理目的明确、合理、最小必要。换句话说,如果对方持有这些信息有合法依据、还在必要期限内,删除请求就未必成立。第44条到第46条给了个人知情、决定、查阅、复制、更正的权利,第47条才是删除。第50条要求处理者建立便捷的个人行权申请受理和处理机制,第51条要求采取安全措施,第55条、第66条则涉及风险评估和违法后果。

企业这边还要看数据安全法第27条、第29条、第45条,以及网络安全法第41条、第42条、第64条——收集使用要合法正当必要,不得泄露、篡改、毁损,否则面临处罚。如果涉及生成式人工智能服务,暂行办法第7条、第9条、第11条、第14条、第15条对训练数据来源合法、个人信息处理、投诉举报机制都有要求。

法院实务怎么判

结合苏州法院公开裁判文书的常见审理思路,删除请求类案件大致看四件事,个案会有差异。

第一,信息到底归谁。客户名单如果包含手机号、住址等可识别到个人的内容,就落入个人信息范畴,不因为“是我开发的”就变成个人财产。员工在职期间因履职获取的客户信息,通常认定为职务行为形成的数据,离职后继续持有、使用缺乏合法性基础。

第二,删除请求有没有前置条件。法院一般会审查请求人是不是信息主体本人,或者有没有合法授权。企业替客户主张删除,需要说明授权来源;员工主张删除自己留在公司系统里的个人信息,则要看公司保存是否还有必要。

第三,处理者有没有“应当删除”的情形。比如处理目的已经实现、个人撤回同意、处理行为违法,法院支持删除的可能性就大。反过来,如果信息仍在合同履行或法定义务保存期内,法院通常会驳回或部分驳回。

第四,会不会判“停止使用加删除”。苏州法院在类似纠纷中,较常见的处理是判令停止使用、限期删除特定范围内的个人信息,同时结合数据安全法、网络安全法判断是否赔偿。赔偿金额法院通常会结合信息类型、数量、过错程度、实际损失和获利情况综合判断,不会写死一个比例。

边界与例外

删除请求不是万能钥匙。几种情况要特别注意:一是法律、行政法规规定的保存期限未届满,比如某些交易记录、日志依法要留存,这时候不能删;二是处理者需要为诉讼、仲裁保留证据,在合理范围内可以继续持有;三是信息已经匿名化处理、无法识别到特定个人,就不再是个人信息,删除请求的基础也就不存在了。

还有一层边界在员工和企业之间。员工离职带走客户资料,企业可以主张商业秘密,也可以从个人信息保护角度要求删除,两条路径并行不悖。但企业自己也要合规:收集客户信息时有没有告知、有没有取得同意、有没有超出必要范围,这些都会被法院拿来衡量。企业自己处理不干净,反过来要求员工删除,说服力会打折扣。

普通人能怎么做

如果你是个人,想要求删除自己的信息,先做三件事:一是确认对方是谁、处理依据是什么,把告知同意记录、合同、聊天记录留好;二是通过对方公布的渠道提交书面删除申请,写清请求删除的信息范围和理由,保留提交凭证;三是对方不处理或拒绝,可以向网信部门投诉,也可以起诉,但要注意诉讼请求写具体,别只写“删除全部信息”。

如果你是企业,收到删除请求别拖着。第50条要求建立受理机制,内部要有登记、核查、答复的流程。核查时重点看:信息主体身份是否真实、处理依据是否还在、是否属于法定保存情形。该删的限期删,该留的说明理由并留痕。同时把员工离职的数据交接、权限回收、设备清退做成制度,比事后打官司省事得多。

律师温馨提示

董坤律师在苏州执业期间,处理过涉及客户数据离职带走、企业个人信息合规、删除请求应对等方面的案件和咨询,熟悉本地法院对个人信息范围、处理合法性基础、删除请求成立条件的审查思路,也能帮企业把行权受理机制、离职数据交接流程落到纸面上。具体案子怎么走,还是要结合证据和事实单独判断,不能一概而论。

免责声明

本文为一般性法律知识分享,不构成对任何具体案件的法律意见。法律判断依赖完整事实、证据与适用法律,请勿仅依据本文作出重大决定。需要个案帮助时,请咨询合资格的执业律师。

Related reading

相关阅读。

查看数据合规全部文章
数据合规4 分钟

苏州企业隐私政策怎么写,才能与实际处理行为一致?

隐私政策写得再漂亮,App实际多收一条通讯录、小程序偷偷读一次剪贴板,就可能被认定为告知不实。本文结合《民法典》《个人信息保护法》条文与苏州本地法院的审理思路,讲清"说的"和"做的"怎么对上,以及普通人该留什么证据。

董董坤
数据合规4 分钟

苏州企业数据分类分级怎么做?大客户催清单、员工信息混在共享盘,落地就这三步

数据分类分级不是写份制度交差。苏州不少企业被客户审核、监管检查倒逼,才发现员工信息、客户名单、设备数据全堆在一个共享盘里。这篇讲清法律依据、法院怎么看,以及中小企业的落地步骤。

董董坤

Follow

有新文章时,
再回来读。

通过 RSS 订阅更新,或直接发邮件联系。本站不设账号系统,不制造焦虑。

通过 RSS 订阅发送邮件

邮箱:dongkun@huashang.cn