随着数字化时代的到来，人们对个人信息的保护意识不断提升，如何响应个人信息权利请求已成为企业面临的重要挑战之一。本文将从个人信息权利的内容出发，结合实际案例，探讨企业应如何构建个人信息权利响应机制，以切实保障个人信息主体的合法权益并履行企业的相关合规义务。
一、个人信息权利有哪些？
在《个人信息保护法》（以下简称“《个保法》”）出台前，有关个人信息主体对个人信息享有的权利，分散在《网络安全法》《民法典》《未成年人保护法》等法律规定中。《个保法》在这些法律基础上重新梳理，并设立了专章进行规定，明确了个人在个人信息处理活动中的几项基本权利。现将这些权利整理如下：
序号 | 个人信息权利 | 具体规定 |
1 | 撤回同意权 | 第15条基于个人同意处理个人信息的，个人有权撤回其同意。 |
2 | 知情权和决定权 | 第44条个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。 |
3 | 查阅权和复制权 | 第45条个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。 个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。 |
4 | 可携带权 | 第45条个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。 |
5 | 更正补充权 | 第46条个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。 |
6 | 删除权 | 第47条有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除： （一）处理目的已实现、无法实现或者为实现处理目的不再必要； （二）个人信息处理者停止提供产品或者服务，或者保存期限已届满； （三）个人撤回同意； （四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息； （五）法律、行政法规规定的其他情形。 |
7 | 要求解释说明权 | 第48条个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。 |
二、如何设置个人信息权利响应渠道？
根据《个保法》规定，个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。在处理个人信息之前，还应当以显著方式、清晰易懂的语言向个人告知其行使个人信息权利的方式和程序。关于个人信息主体行权渠道的便捷性要求，《GB/T35273-2020信息安全技术个人信息安全规范》（以下简称“《个人信息安全规范》”）从实践层面提出了可操作的建议。例如，采用交互式页面（如网站、移动互联网应用程序、客户端软件等）提供产品或服务的，可以直接设置便捷的交互式页面提供功能或选项，以便个人信息主体在线行使其权利。
在实际操作中，企业通常会将《隐私政策》或《个人信息保护政策》中披露的个人信息处理者的联系方式作为个人信息主体行使权利的主要渠道。具体而言，常见的响应渠道包括在线咨询、客服热线、企业邮箱及邮寄地址等。个人信息主体可以通过上述渠道发出具体的行权要求，以实现行使权利的目的。
参考《移动互联网应用程序（App）个人信息保护常见问题及处置指南》中关于“未提供删除、更正或投诉举报的功能或渠道”的认定标准，企业在设置个人信息行权渠道时，应提供有效且能够及时响应的路径，不得为个人行权设置不合理或不必要的条件，例如，要求个人信息主体填写额外的个人信息资料、提交详细的历史操作记录才允许注销账号。
三、个人信息权利响应机制的实施要点
为了确保个人有效行使其享有的个人信息权利，企业可以从明确责任部门、细化操作流程、建立标准化反馈机制等方面完善个人信息权利响应制度。在实践中，企业在处理个人信息权利请求时需注意以下实施要点：
（一）身份验证
为保障个人信息的安全，个人信息处理者在接收到权利请求时可以先行验证个人信息主体的身份。《电子商务法》中也有类似的规定，即要求电子商务经营者收到用户信息查询或更正、删除请求后，应当在核实身份后及时提供查询或更正、删除用户信息的服务。以尹某诉滴滴出行案[1]为例，尹某主张滴滴出行要求上传身份证件才能删除和更正错误信息的行为侵犯了其合法权益。然而，法院经审理认为，滴滴公司为对尹某所述手机号码使用人变更的事实进行核实，而要求尹某提供该手机号的开户材料及尹某的身份证明材料，系滴滴公司履行注销账号的审查义务，具有合理性。
在身份验证环节，个人信息处理者应遵循最小必要原则，仅收集必要的个人信息。例如，当用户选择注销账号时，企业不应要求个人信息主体提供超过注册、使用等服务环节所收集的个人信息类型的额外信息。一个典型的例子是，在APP注册时并未要求提供身份信息，但在注销时却要求提交手持身份证照片或绑定银行卡等额外信息。企业应当仅收集必要的个人信息，在授权范围内查询或核验个人的相关信息并仅在必要范围内使用。
（二）响应时限和费用
响应时限 | 依据 | 待响应内容 |
30日 | 《个人信息安全规范》8.7、8.8 | 查询、更正、删除、撤回授权同意、注销账户、获取个人信息副本 |
合理的时间 | 投诉 | |
承诺时限（不超过15个工作日） | 删除、更正、投诉举报、注销账号 | |
承诺时限（不超过15日） | 《个人信息处理中告知和同意的实施指南》 | 撤回同意请求 |
关于费用问题，《个人信息安全规范》要求对个人合理的请求原则上不收取费用，但对一定时期内多次重复、超出合理限度的请求，可视情况收取一定成本费用。如果直接实现个人信息主体的请求需要付出高额成本或存在其他显著困难，个人信息处理者应提供其他替代方法，以保障个人信息主体的合法权益。对于无端重复、需要过多技术手段（例如，需要开发新系统或从根本上改变现行惯例）、给他人合法权益带来风险或者非常不切实际（例如，涉及备份服务器上存放的信息）的请求，个人信息处理者有权拒绝。
（三）个人信息权利执行处理
1. 个人信息的查阅和复制
个人信息处理者核实个人信息主体身份后，可以向其提供查询下列信息的方法：（1）关于该主体的个人信息或个人信息的类型；（2）上述个人信息的来源及处理目的；（3）已经获得上述个人信息的第三方身份或类型。如果查询的是非个人主动提供的个人信息时，个人信息处理者可综合考虑不响应请求可能对个人信息主体合法权益带来的风险和损害，以及技术可行性、实现请求的成本等因素后，作出是否响应的决定，并给出解释说明。
在周某与唯品会个人信息保护纠纷案[2]中，法院对个人信息查阅复制权的范围和形式进行了深入探讨。法院认为，为了实现查阅复制权的功能价值、保护个人合法权益，查阅复制权的客体不仅包括个人信息本身，还应包括个人信息处理情况。在该案中，法院认为平台自动生成的个人信息、浏览记录及平台与第三方共享的个人信息（包括信息种类、信息内容、使用目的、使用场景和共享方式等内容）是个人信息及其处理情况的重要组成部分。这些信息应当向个人披露，而披露成本高和行业惯例不能成为免责事由。
关于个人信息的披露方式，公司主张已提供便捷的个人信息查阅途径，但法院认为仅提供查阅途径不能满足用户复制个人信息的请求。因此，公司应以提供副本的方式向个人披露其个人信息，副本应当采取书面形式，可为纸介质或者电子介质。从减少个人信息处理者的披露成本、方便个人查阅的角度，公司也可提供Excel表格、Word文档等形式的电子化副本。在张某与北京某信息服务公司个人信息保护纠纷案[3]中，法院认为在不对个人查阅复制权行使造成障碍的情况下，个人信息处理者可依据其信息存储形式、存储能力、查阅复制成本等，自行选择合理的提供信息的方式。
当个人查询的信息内容涉及到他人个人信息时，企业应如何处理呢？以李某诉抖音案[4]为例，李某主张查阅、复制的信息既属于李某的关联性信息，即浏览行为信息的组成部分，也属于他人识别性个人信息，即同一组数据上承载了多主体的个人信息利益。法院认为，在这种情况下，应综合考虑行权主体对个人信息是否享有合法合理利益、是否侵害他人合法权益以及涉案个人信息的敏感程度进行判断。
2. 个人信息的转移
《个保法》规定个人请求转移其个人信息，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。《网络数据安全管理条例（征求意见稿）》进一步明确，如果个人信息转移请求符合以下条件，数据处理者应提供转移服务：（1） 所请求的个人信息是基于同意或履行合同所需而收集的；（2）所请求的个人信息是本人信息或经合法获得且不侵犯他人意愿的他人信息；（3）能够验证请求人的合法身份。如果数据处理者发现接收方存在非法处理个人信息的风险，还应提供合理的风险提示。由于该条例目前仍处于征求意见稿阶段，企业可以根据实际情况参照执行。以微信关于个人信息转移的实践为例，对于国际wechat用户提出的转移请求，微信要求提供第三方详细资料，并且只在技术可行的情况下进行转移；对于微信用户提出的转移请求，微信会确保转移行为已取得用户的明示同意，同时对转移行为进行风险评估。
（来源：WECHAT 隐私政策）
（来源：微信隐私保护指引）
3. 个人信息的删除
《网络安全法》《民法典》《个保法》都明确规定了个人信息主体享有删除权。当收到个人信息主体的请求时，如果发现个人信息处理者违反法律法规或违反与个人信息主体的约定收集、使用个人信息，应及时删除相关个人信息。以郭某诉杭州野生动物世界案[5]为例，原告同意办卡时拍摄照片，但仅用于指纹年卡的使用。被告欲将照片用于人脸识别，超出了事前收集目的，违反了正当性原则。因此，被告负有义务删除原告的面部特征信息。
《个保法》进一步规定，如果删除个人信息从技术上难以实现，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。在实际操作中，企业可以在收集用户个人信息时明确告知个人有关信息的存储时间、删除路径以及因客观原因无法删除时的处理行为。
（来源：阿里云法律声明及隐私权政策）
四、能否不响应个人信息主体的请求？
一般情况下，个人信息处理者应积极响应个人提出的个人信息权利请求。在孙某诉搜狐案[6]中，原告通过线上反馈渠道向被告发布通知要求其删除证件照，但被告未作出任何回复和处理。北京互联网法院认为，作为专业网络服务提供商，被告在有能力采取相匹配必要措施的情况下，怠于采取措施，导致涉案侵权损失的进一步扩大，构成了对原告个人信息权益的侵害。
只有存在特殊情况时，个人信息处理者可以不响应个人信息主体的请求。根据《个人信息安全规范》第8.7条规定，不响应的情况包括：（1） 与个人信息控制者履行法律法规规定的义务相关的；（2）与国家安全、国防安全直接相关的；（3）与公共安全、公共卫生、重大公共利益直接相关的；（4）与刑事侦查、起诉、审判和执行判决等直接相关的；（5）个人信息控制者有充分证据表明个人信息主体存在主观恶意或滥用权利的；（6）出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的；（7） 响应个人信息主体的请求将导致个人信息主体或其他个人、组织的合法权益受到严重损害的；（8）涉及商业秘密的。
需要注意的是，不响应个人信息主体的请求并不代表不处理或不反馈。如果个人信息处理者认为存在上述情形而决定不响应个人信息主体的请求，则应当向个人信息主体告知该决定的具体理由，并提供投诉的途径。
[1] (2023)京民申2388号
[2] （2022）粤01民终3937号
[3] 北京互联网法院个人信息保护典型案例四
[4] （2023）京04民终39号
[5] （2020）浙01民终10940号
[6] （2019）京0491民初10989号