个人信息权保障难题解答（二）：企业如何响应用户删除权？

删除权作为信息主体的权利和个人信息处理者的义务，具有双重意义：一是从消极防御的维度，保障个人信息主体权益的自决和完整；二是从处理行为的维度，落实个人信息处理的合法原则及目的限制原则。本文以案例解析，就个人信息权的保障难题发起第二问：企业应如何响应用户的删除权？
一、案例解读
郭某诉杭州野生动物世界有限公司服务合同纠纷案
人脸识别第一案
（2020）浙01民终10940号
基本案情
2019年4月，郭某向杭州野生动物世界有限公司（下称“野生动物世界”）购买双人年卡，支付年费1360元
，同时留下自己与妻子姓名、身份证号码，并拍照和录入指纹。后野生动物世界决定将入园方式从指纹识别调整为人脸识别，并以店堂告示的形式公示通过相关文件。同年7月，野生动物世界向年卡持卡客户群发短信通知人脸激活事宜。其于10月停用指纹识别闸机，并以短信告知未注册人脸识别的用户无法正常入园。2019年10月28日，郭兵向杭州市富阳区人民法院提起诉讼，请求确认强制指纹和人脸识别无效，删除相关信息并承担有关赔偿费用。
裁判观点：
在人脸识别第一案中，一、二审法院均支持了原告删除人脸信息的请求，一审法院认为被告收集原告及其妻的人脸识别信息，超出了办卡时签订的采用指纹识别方式入园的服务合同的必要原则，不具有正当性，尽管原告及其妻在办卡时已拍照，但仅是为配合指纹年卡的使用，被告并未告知拍照是对人脸信息的收集及收集目的，原告及其妻的行为不视为对被告收集人脸识别信息的同意。
二审法院除认定被告行为不构成有效告知外，还认为收集照片信息超出事前收集目的、扩大了信息处理范围，同时，鉴于收集照片与人脸识别利用的特定关系，被告以短信通知等方式要求原告激活人脸识别，表明其存在侵害原告面部特征信息之人格利益的可能与危险。
对于指纹识别信息，一审法院以原告知情同意、服务合同实际履行为由，认定被告收集指纹识别信息符合“合法、正当、必要”的原则，不支持删除指纹信息的请求。
二审法院则认为虽然被告收集、使用原告的指纹识别信息系在原告知情同意下进行，但鉴于被告在履约过程中单方变更指纹年卡的入园方式，并停止使用指纹识别闸机，致使原约定的指纹识别入园方式无法实现，故与该服务方式相对应的指纹识别信息亦应当予以删除，也就是二审法院确认了指纹信息已不再属于履行合同的方式，通过指纹信息进入动物园再无必要性，故支持了原告删除指纹信息的请求。
二、场景盘点
企业应在哪些情形下删除个人信息？
（一）个人信息主体撤回同意
《个保法》第47条明确规定了个人信息处理者删除义务的五种法定情形，其中首个删除义务触发点是“个人撤回同意”。我们在之前文章
《个人信息权保障难题解答：企业如何落地用户撤回同意权？》
中分析了用户撤回同意权的落地路径，对于基于个人同意而进行的个人信息处理，当同意撤回后，除非有其他合法根据，处理者不得再进行处理活动，其存储个人信息也不再具有必要性，应主动删除。
（二）违反法律法规或违反约定处理个人信息
在上述“人脸识别第一案”中，法院支持原告人脸信息删除的请求，是基于第二种情形“个人信息处理者违反法律、行政法规或者违反约定处理个人信息”。在个人信息处理活动本身违法、违规、违约的情况下，不当处理行为应当立即停止，包括删除不当处理的个人信息。同时需要提示企业注意，删除个人信息并不能免除企业因实施个人信息不当处理活动而需承担的法律责任。
（三）不再具备必要的处理目的
二审法院支持原告删除指纹识别信息的请求是基于另一种情形：“处理目的已经实现、无法实现或者为实现处理目的不再必要”。对于本身合法收集的个人信息，处理活动的正当性与处理目的的实现挂钩。一旦不具备处理目的，处理的正当性也随之消失，企业应当主动删除个人信息。
（四）停止提供产品或者服务
大量互联网企业收集用户信息主要是为了满足产品使用及服务提供需求，当出现产品下架、服务停供、企业解散、合同解除等情形时，个人信息处理目的也就此终止。近日，“生鲜电商第一股”每日优鲜大厦将倾，其背后庞大的数据信息，包括3000万余用户的个人信息、配送骑手信息、前置仓员工信息，如同一颗定时炸弹，时刻考验着每日优鲜数据合规意识与能力。
（五）个人信息的保存期限届满
除了上述情形外，《个保法》第47条还规定了“个人信息的保存期限已届满”情况下的信息删除。关于个人信息的保存期限，《个保法》第19条规定，“除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。”可见，确定个人信息保存期限，应首先保证满足法律、行政法规规定的时限要求；其次，在法律、行政法规未予规定时，保存期限应遵循目的限制原则，以实现处理目的所必需的保存时间为限。
我们总结了部分法律和行政法规对信息保存的期限要求：



那么除法律、行政法规以外，如果部门规章规定了个人信息保存期限，企业是否必须参照适用？如果部门规章规定的保存时限长于完成处理目的所需的最短时间，在面对用户的删除请求时，企业应当如何处理？
如下表所示，我们整理了部分部门规章对信息保存时限的要求：




例如，《医疗机构管理条例实施细则》要求医疗机构的门诊病历的保存期不得少于十五年，住院病历的保存期不得少于三十年。在医疗服务完成后，如患者要求医疗机构删除病历中的个人信息，医疗机构能否以部门规章要求的保存期限尚未届满为由，拒绝此类删除要求？
我们认为，面对用户个人信息权益和行政监管要求的冲突，企业更稳妥的做法是，在收集用户个人信息时明确向用户告知行政部门对信息保存时限的具体规定，优先获取用户的知情同意。同时，在个人信息处理目的完成后的存储期间，企业应当将收集的个人信息做“埋没”处理，停止除存储和采取必要的安全保护措施之外的其他处理行为。
三、要点解读
企业应如何响应用户的删除权请求？
（一）如何达到法律概念上的删除标准？
《网络安全法》《民法典》《个保法》均明确个人信息主体享有删除权，但并未对法律概念上的“删除”给出明确定义。在技术层面，目前对删除操作有两种模式：一是物理删除，删除对象为承载个人信息的数据，实现擦除或清零文件存储所用到的磁存储区域；二是逻辑删除，指向对象为个人信息，即通过标记“个人信息”使用状态符，使标记后的个人信息无法在系统前端检索，后端数据没有被真正删除。
参考标准和指南的规定，《信息安全技术公共及商用服务信息系统个人信息保护指南》认为“删除是指个人信息在信息系统中不再可用”，《信息安全技术个人信息安全规范》认为，删除是指“在实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可被检索、访问的状态”。不论如何手段，其关键在于“使个人信息不可用”，或是操作不能，或是成本巨额。基于此，逻辑删除因为仍可以通过一定操作恢复，可能难以被认定为达到删除效果。
此外，考虑到删除操作的技术障碍，《个保法》增加了停止处理个人信息另一选择，即“删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理”。
（二）如何证明个人信息已删除？
证“有”容易，如何证“无”？
个人信息已删除的证实也是现实难题。“人脸识别第一案”中，野生动物世界在二审中主张目前已删除原告的指纹和照片信息，但法院认为其未能举证证实，对此不予采信。
比较法上，美国《儿童在线白板法案（草案）》（“Clean Slate for Kids Online Act of 2021”）给了一种思路。法案明确要求互联网平台需就删除权的行使提供便捷的实现路径，包含发布通知、应要求立即删除及提供书面确认三个步骤。尤其是要求平台删除后应当向提出删除要求的个人或其监护人提供删除的书面确认。
企业在履行删除义务后及时向用户反馈其权利主张响应进程，虽然并不能完全证明其履行了删除义务，但这一方式可以让用户感知到个人信息的终止处理，也能够更好地留存证据，证明企业及时保障用户信息权益。
（三）如何构建个人信息删除机制？
构建个人信息删除机制是企业保障信息主体权益的积极举措，《App违法违规收集使用个人信息行为认定方法》将“未提供有效的删除个人信息及注销用户账号功能”规定为六种违规行为之一，全民健身公共服务平台“群体通”App，也曾因此被广东省通信管理局写上通报名单。
为构建完善的个人信息删除机制，我们建议企业采取以下措施：
首先，企业需要厘清业务处理活动，对存储的数据分类分级，能够识别不同部门不同系统存储了何种不同类别个人信息，这是响应用户删除权执行删除义务的前提。
其次，企业应提供有效的删除个人信息的途径，且途径简单易操作，不设置不必要或不合理的条件。
企业可以为用户提供在线操作方式以及时响应删除请求，需人工核对的，应在承诺时限内（建议承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理。
其三，用户提出删除个人信息请求并核查无误后，后台应按照规范化流程执行物理删除操作，保证删除后的个人信息不得访问、不再可用。
如因法律法规规定的保存期限未到，或技术障碍难以克服，企业也应当通过权限控制、数据加密等方式进行安全存储，且不得再将个人信息用于日常业务中。
其四，删除操作执行完毕后，我们建议企业向用户反馈“删除完结通知”，通知中可以注明删除请求日期及实际删除日期，告知删除后果。
最后，针对违法违规违约情形下的删除义务，企业在个人信息主体提起请求之前主动删除显得更为重要。
对此，企业需要搭建覆盖个人信息收集、传输、存储、委托或提供、删除等全流程的组织架构和管理制度以进行常规审查，并在审计系统、网络监控等技术措施的配合下，及时发现问题并积极解决，降低数据合规风险。
结语
贯以《个人信息权保障难题解答》系列首篇文章的“知情同意权-撤回同意权-删除权”思考路径，落实删除权是实现个人信息自决和完整的终极目标。删除并非一键“Delete”,企业需要遵守保存期限的多元情形，克服信息删除的技术障碍，开展删除机制的多重流程，将个人信息删除要求落到实处。