一般法律知识分享,不构成法律意见。

数据合规6 分钟阅读

苏州删除请求:需要准备哪些证据

苏州工业园区一家做智能硬件的公司,去年上线了一款带语音交互的 App。用户注册时要授权通讯录、位置和麦克风,否则无法使用核心功能。今年 3 月,一位姓周的用户在卸载 App 后,发现自己的手机号仍然会…

发布于

更新于

场景

苏州工业园区一家做智能硬件的公司,去年上线了一款带语音交互的 App。用户注册时要授权通讯录、位置和麦克风,否则无法使用核心功能。今年 3 月,一位姓周的用户在卸载 App 后,发现自己的手机号仍然会收到该公司推送的营销短信,而且他在 App 里留过的收货地址、聊天记录似乎也被用于训练模型。周先生通过客服邮箱发了一封邮件,要求“把我所有的个人信息删掉,包括你们从别处拿到的”。公司回复说“已按流程处理”,但既没说删了哪些,也没给时间表。周先生于是找到苏州本地律师咨询:他想正式提删除请求,手里到底要准备什么证据?

这个场景在苏州并不少见。苏州互联网企业密集,电商、智能硬件、SaaS 服务多,用户和平台之间因为“删不删、删没删干净”产生的摩擦越来越常见。删除请求不是发个脾气就行,证据准备得怎么样,直接决定后面协商、投诉甚至诉讼的走向。

法律规定

《中华人民共和国个人信息保护法》第 47 条是删除请求的核心条款:处理目的已实现、无法实现或者为实现处理目的不再必要,个人信息处理者停止提供产品或者服务,或者保存期限已届满,个人撤回同意,处理者违法违规处理,以及法律规定的其他情形,个人有权请求删除;处理者应当主动删除,未删除的,个人有权请求删除。

第 45 条给了查阅、复制权,第 46 条给了更正、补充权,第 44 条则明确个人对个人信息享有知情、决定、限制和拒绝处理的权利。第 50 条要求处理者建立便捷的个人行使权利的申请受理和处理机制,拒绝请求的要说明理由。第 17 条要求处理者在处理前以显著方式、清晰易懂的语言告知处理目的、方式、种类、保存期限等。第 14 条讲同意应当自愿、明确,法律、行政法规规定处理敏感个人信息应取得单独同意的,从其规定;第 29 条、第 30 条对敏感个人信息的单独同意和告知作了更严要求。第 31 条涉及不满十四周岁未成年人的个人信息,须取得监护人同意并制定专门处理规则。

另外,第 13 条列了处理的合法性基础,第 6 条要求处理具有明确、合理的目的,与处理目的直接相关,采取对个人权益影响最小的方式,收集限于实现处理目的的最小范围。第 21 条讲委托处理,第 23 条讲向第三方提供要告知并取得单独同意,第 24 条讲自动化决策的透明度和拒绝权。这些条文在删除纠纷里经常被一起引用,因为“该不该删”往往要先看“当初收得合不合法、告没告知、同意有没有效”。

《数据安全法》第 27、29、30 条要求建立数据安全管理制度、风险监测和风险评估,《网络安全法》第 41、42 条要求收集使用个人信息遵循合法、正当、必要原则,不得泄露、篡改、毁损。涉及生成式人工智能的,还要看《生成式人工智能服务管理暂行办法》第 7、9、11、14、15 条,特别是训练数据来源合法、个人信息处理规则、投诉举报机制这些要求。

法院实务怎么判

从苏州法院公开裁判文书的常见审理思路看,删除请求类纠纷通常围绕几个点展开,但个案差异很大,不能一概而论。

第一,原告要先证明“我是谁、信息跟我有关”。法院一般会看账号注册记录、实名认证信息、订单截图、手机号归属证明等。光说“你们肯定有我数据”不够,得有初步证据把信息和处理者对上。

第二,要看请求是否具体。只说“全删了”往往被认为指向不明,法院更倾向支持能够识别到具体信息类型、具体处理场景的请求,比如“删除某账号下的收货地址和聊天记录”“停止将我的语音用于模型训练”。这跟第 47 条列举的删除情形是对应的。

第三,处理者常以“已删除”“技术无法删除”“法律要求留存”抗辩。法院通常会结合第 17 条的告知义务、第 51 条的安全管理措施、第 55 条的个人信息保护影响评估,看处理者有没有留存记录、删除机制是否可验证。如果处理者拿不出处理流程和删除日志,法院对其“已删除”的说法往往不会轻易采信,但也不会仅凭原告单方陈述就认定没删。

第四,关于“从别处拿到的信息”,法院会看第 23 条的告知和单独同意有没有做到,以及第 21 条委托处理链条是否清晰。链条说不清,删除范围就可能被扩大理解。

需要提醒的是,上述只是普遍倾向,具体到每个案子,证据形态、平台配合程度、信息类型都会影响走向。

边界与例外

删除请求不是无边界的。法律、行政法规规定的保存期限未届满,或者删除在技术上难以实现的,处理者应当停止除存储和采取必要安全保护措施之外的处理,这是第 47 条第二款的规则。比如某些交易记录依法要留存,用户不能要求一律抹掉。

另外,第 13 条列了可以不取得同意的情形,第 18 条虽然不在本次引用清单里,但“告知例外”的规则本身在实务中常被讨论。还有,删除请求针对的是个人信息,不等于删除用户发布的内容本身或合同履行记录,边界要分清。涉及生成式人工智能服务的,训练数据里如果已经匿名化、无法识别到特定个人,删除请求的指向也会不同。

普通人能怎么做

第一步,把身份和信息对应关系固定下来:账号 ID、注册手机号、订单号、聊天记录截图、授权页面截图,最好带时间。第二步,通过 App 内投诉入口、客服邮箱、隐私政策里写的联系方式正式提出,写清楚要求删除的信息类型和场景,保留发送记录和对方回复。第三步,对方拒绝或不回应,可以向网信部门投诉,也可以咨询律师评估是否起诉。第四步,如果进入诉讼,提前整理好请求清单,把“哪些信息、在哪个环节、依据哪条规则”写明白,比笼统喊“全删”有用得多。

律师温馨提示

董坤律师在苏州执业,长期处理数据合规和个人信息权益相关事务,接触过不少用户与平台之间关于删除、查阅、更正请求的沟通和争议,也协助企业梳理隐私政策、授权链路和删除机制。这类事情证据准备得细不细,往往比情绪激不激烈更影响结果,遇到具体问题,建议带着手头材料当面聊一聊,把请求范围和证据清单先理清楚。

免责声明

本文为一般性法律知识分享,不构成对任何具体案件的法律意见。法律判断依赖完整事实、证据与适用法律,请勿仅依据本文作出重大决定。需要个案帮助时,请咨询合资格的执业律师。

Related reading

相关阅读。

查看数据合规全部文章
数据合规4 分钟

苏州企业隐私政策怎么写,才能与实际处理行为一致?

隐私政策写得再漂亮,App实际多收一条通讯录、小程序偷偷读一次剪贴板,就可能被认定为告知不实。本文结合《民法典》《个人信息保护法》条文与苏州本地法院的审理思路,讲清"说的"和"做的"怎么对上,以及普通人该留什么证据。

董董坤
数据合规4 分钟

苏州企业数据分类分级怎么做?大客户催清单、员工信息混在共享盘,落地就这三步

数据分类分级不是写份制度交差。苏州不少企业被客户审核、监管检查倒逼,才发现员工信息、客户名单、设备数据全堆在一个共享盘里。这篇讲清法律依据、法院怎么看,以及中小企业的落地步骤。

董董坤

Follow

有新文章时,
再回来读。

通过 RSS 订阅更新,或直接发邮件联系。本站不设账号系统,不制造焦虑。

通过 RSS 订阅发送邮件

邮箱:dongkun@huashang.cn