《数据主体权利响应实战手册》
第2章 DSR请求类型
二、DSR请求类型：六大权利详解
数据主体权利（Data Subject Rights, DSR）是GDPR等隐私法规的核心。作为响应专员，您必须精准识别请求类型并采取对应措施。本节将逐一剖析六大核心权利：访问权、更正权、删除权、限制处理权、数据可携权、反对权。
2.1 访问权 (Right of Access)
定义：数据主体有权从控制者处确认其个人数据是否正在被处理，并有权访问该数据及获取相关处理信息。
响应要点：
- 必须提供的信息：处理目的、数据类别、接收方、存储期限、数据来源（非从主体收集时）等。
- 副本形式：电子请求优先提供电子副本（如CSV、PDF），纸质请求可提供纸质版。
- 常见例外：涉及他人权利与自由、商业秘密、司法特权等。
📌 实战提示： 访问权是最常见的DSR类型（约占40%）。务必建立自动化检索机制，避免手动翻找。
2.2 更正权 (Right to Rectification)
定义：数据主体有权要求控制者及时更正其不准确的个人数据，并有权补充不完整的数据（包括通过提供补充声明）。
响应要点：
- 核实不准确性：要求主体提供证明文件（如身份证、官方记录）。
- 补充不完整数据：若数据缺失必要字段，允许主体提供补充声明。
- 通知义务：若数据已披露给第三方，需通知各接收方进行更正（除非不可能或成本过高）。
📌 实战提示： 更正权常与访问权同时提出。建议设计“访问+更正”合并表单，提升效率。
2.3 删除权（被遗忘权）(Right to Erasure / Right to be Forgotten)
定义：数据主体有权要求控制者删除其个人数据，且控制者有义务及时删除，尤其在数据已不再必要、主体撤回同意或数据被非法处理等情形下。
响应要点：
- 例外情况：行使言论自由权、法律义务、公共卫生、公共利益存档、法律主张等。
- 技术删除：不仅删除主数据库，还需检查备份、日志、缓存等副本。
- 通知第三方：若数据已公开传播，需采取合理措施通知处理者删除链接/副本。
📌 实战提示： 删除权是最具争议的权利之一。务必记录删除请求及响应日志，以备监管审查。
2.4 限制处理权 (Right to Restriction of Processing)
定义：数据主体有权要求控制者限制对其个人数据的处理（即标记数据，仅允许存储，不得进行其他操作）。
触发条件：
| 条件 | 说明 |
|---|---|
| 准确性争议 | 主体质疑数据准确性，需时间核实 |
| 非法处理 | 主体反对删除，要求限制使用 |
| 数据不再必要 | 但主体需要数据用于法律主张 |
| 反对权待定 | 主体已行使反对权，等待结果 |
📌 实战提示： 限制处理是“临时措施”。在系统中设置“限制标记”字段，确保所有处理流程自动跳过该数据。
2.5 数据可携权 (Right to Data Portability)
定义：数据主体有权以结构化、通用且机器可读的格式接收其提供给控制者的个人数据，并有权将这些数据直接传输给另一控制者（技术上可行时）。
响应要点：
- 适用范围：仅限基于同意或合同且通过自动化方式处理的数据。
- 格式要求：JSON、CSV、XML 等机器可读格式，建议提供 API 直传选项。
- 不适用：纸质文件、非结构化数据、涉及第三方权利的数据。
📌 实战提示： 数据可携权是“数据民主化”的体现。提前设计数据导出模块，避免临时开发。
2.6 反对权 (Right to Object)
定义：数据主体有权基于其特定情况，反对控制者基于公共利益、官方权威或正当利益（包括画像）处理其个人数据。对于直接营销，主体可无条件反对。
响应要点：
- 直接营销：无条件反对，控制者必须立即停止处理，不得拒绝。
- 其他场景：控制者需证明存在压倒性的合法理由（如法律主张），否则必须停止。
- 画像相关：若处理涉及自动化决策（包括画像），主体有权反对，除非合同必要或法律授权。
📌 实战提示： 反对权与直接营销密切相关。建议在营销邮件中设置“一键退订”并自动触发反对权流程。
综合对比表
| 权利类型 | 核心要求 | 响应时限 | 常见例外 |
|---|---|---|---|
| 访问权 | 确认处理 + 提供副本 | 1个月 | 他人权利、商业秘密 |
| 更正权 | 修正不准确/补充不完整 | 1个月 | 无法核实真实性 |
| 删除权 | 删除数据及副本 | 1个月 | 法律义务、言论自由 |
| 限制处理权 | 标记数据，仅允许存储 | 1个月 | 主体同意或法律依据 |
| 数据可携权 | 结构化格式导出/直传 | 1个月 | 非自动化、非同意/合同 |
| 反对权 | 停止处理（营销无条件） | 1个月 | ← 上一章 📖 返回目录 下一章 → |