场景
苏州工业园区一家做智能家居的小公司,去年上线了一款 App,用户注册时要填手机号、家庭住址,还要授权通讯录和位置。今年三月,用户陈先生(化名)想注销账号,在 App 里翻了三圈没找到入口,最后通过客服邮箱发了一封邮件,写的是“请把我所有信息删掉,不要再用了”。客服回了一句“已收到,会处理”,然后就没有下文。两个月过去,陈先生发现自己的手机号还能收到营销短信,他再次发邮件,这次把《个人信息保护法》搬了出来,要求公司说明删了哪些、留了哪些、什么时候删完。公司这边也委屈:后台数据散在三个系统里,有的还要留着对账,到底该怎么回、回什么,没人说得清。
这个场景在苏州很常见。删除请求不是发一句“删掉”就完事,写得不清楚,企业不知道你要删什么;企业回得不清楚,你也不知道它到底删没删。下面就从文书怎么写、法律怎么规定、法院一般怎么看这几个角度说清楚。
法律规定
删除请求的权利基础在《个人信息保护法》第47条:处理目的已实现、无法实现或者为实现处理目的不再必要,个人信息处理者停止提供产品或者服务,或者保存期限已届满,个人撤回同意,处理者违法违规处理,以及法律、行政法规规定的其他情形,个人有权请求删除。第45条还给了查阅、复制权,第46条给了更正、补充权,这几条经常一起用。
但删除不是“一键清空”。第47条同时规定,法律、行政法规规定的保存期限未届满,或者删除在技术上难以实现的,处理者应当停止除存储和采取必要安全保护措施之外的处理。也就是说,该留的账还得留,但不能再拿去用。
企业这边,第17条要求告知处理目的、方式、种类、保存期限,第50条要求建立便捷的个人行使权利的申请受理和处理机制,第51条要求采取安全措施,第55条、第56条对处理敏感信息等情形要求做个人信息保护影响评估。第66条是法律责任条款,违法处理可能面临责令改正、警告、没收违法所得、罚款等后果。数据安全法第27条、第29条、第45条,网络安全法第41条、第42条、第64条,也都从不同角度约束企业的数据处理行为。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看,法院一般不会只看“有没有回”,而是看“回得对不对、做没做”。第一,看请求是否具体。只写“删掉我的信息”,法院通常会认为指向不明;写清楚账号、手机号、涉及哪些信息类型、希望达到什么状态,可执行性就强很多。第二,看企业有没有便捷渠道。第50条讲的是“便捷”,如果只能发邮件、还要反复催,法院通常会结合 App 界面、客服流程判断机制是否到位。第三,看删除范围是否合理。企业常拿“对账需要”“风控需要”抗辩,法院通常会结合保存期限、处理目的、是否已停止使用来判断,该留的留、该停的停,不能一边说留一边继续营销。第四,看有没有告知。第17条的告知义务履行得怎么样,往往影响法院对企业是否规范的判断。
需要说明的是,个案差异很大,上面只是普遍倾向,不是每个案子都这么走。
边界与例外
删除请求不是无边界的。法律、行政法规规定的保存期限未届满,比如某些交易记录、日志留存要求,企业可以继续存储,但应停止其他处理。技术上难以实现的,也要停止除存储和必要安全保护之外的处理。涉及第28条敏感个人信息、第31条不满十四周岁未成年人信息的,处理规则更严,删除请求的审查也更谨慎。第13条列了处理的合法性基础,第14条讲同意,第21条讲委托处理,第23条讲向第三方提供,第24条讲自动化决策,这些场景下删除请求的落点不一样,写文书时最好点明你针对的是哪一段处理活动。
普通人能怎么做
第一步,把请求写具体。标题写“个人信息删除请求”,正文写清姓名、账号、手机号、注册时间,列明要删的信息类型,比如“通讯录授权数据、位置记录、营销标签”,并说明依据第47条哪一项情形。第二步,走官方渠道并留痕。App 内的反馈入口、客服邮箱、隐私政策里写的联系方式,截图保存,邮件保留原始记录。第三步,要求书面答复。请对方说明删除范围、保留部分及理由、完成时间,这对应第50条的受理处理机制。第四步,如果没回应,可以向网信部门反映,也可以咨询律师评估是否具备诉讼条件。不要只发一句“删掉”,也不要只打电话不留记录。
律师温馨提示
董坤律师在苏州执业,处理过涉及 App 个人信息处理、企业数据合规体系搭建、删除与查阅请求答复的实务问题,熟悉从请求文书起草、企业侧流程梳理到监管沟通的各个环节。这类事情往往卡在“写不清楚”和“回不清楚”两头,早一点把文书和流程做扎实,比事后补救省力得多。具体个案怎么走,还是要结合材料单独判断。