《GDPR合规从零到一实战指南》

第3章数据主体权利（上）

3. 数据主体权利（上）：知情权、访问权、更正权、删除权（被遗忘权）

📌 核心提示： GDPR 赋予数据主体四项基础权利，如同数据保护的“四大基石”。企业必须建立清晰的响应机制，确保在法定期限内（通常为1个月）完成处理。本章聚焦前四项权利，帮助您从零搭建合规流程。

3.1 知情权 (Right to be Informed) — Art. 13-14

🎯 定义：数据控制者必须以简洁、透明、易懂、易于获取的方式，向数据主体提供以下信息：

✅ 控制者的身份与联系方式
✅ 数据保护官（DPO）联系方式（如有）
✅ 处理目的与法律依据
✅ 数据接收方或接收方类别
✅ 数据保留期限或确定期限的标准
✅ 数据主体的各项权利（访问、更正、删除等）
✅ 向监管机构投诉的权利
✅ 数据来源（间接收集时）

3.2 访问权 (Right of Access) — Art. 15

🎯 定义：数据主体有权从控制者处确认其个人数据是否正在被处理，并有权获取个人数据副本及以下信息：

📋 处理目的
📋 相关个人数据的类别
📋 数据接收方（尤其是第三国接收方）
📋 预期保留期限
📋 数据主体的各项权利
📋 自动化决策（包括画像）的逻辑与后果

💡 实操要点：

首次提供副本应免费，后续可收取合理费用
若通过电子方式请求，应提供常用电子格式
不得因行使访问权而对数据主体产生不利影响

3.3 更正权 (Right to Rectification) — Art. 16

🎯 定义：数据主体有权要求控制者及时更正不准确的个人数据，并有权补充不完整的个人数据（包括通过提供补充声明的方式）。

场景	处理要求	时限
姓名拼写错误	立即更正并通知相关接收方	1个月内
联系方式变更	更新主数据库及备份	1个月内
不完整档案	允许数据主体补充声明	1个月内

⚠️ 注意：更正后应通知所有已知接收方（Art. 19），除非证明不可能或需要不成比例的努力。

3.4 删除权 / 被遗忘权 (Right to Erasure / Right to be Forgotten) — Art. 17

🎯 定义：数据主体有权要求控制者无不当延迟地删除其个人数据，控制者有义务在以下情形下删除：

🔴 数据不再为收集目的所必需
🔴 数据主体撤回同意且无其他法律依据
🔴 数据主体反对处理且无压倒性合法理由
🔴 数据被非法处理
🔴 为履行法律义务而必须删除
🔴 数据涉及儿童（信息社会服务）

🚫 例外情形（不适用删除权）：

行使言论和信息自由权
履行法律义务或执行公共任务
公共卫生领域公共利益
存档、科学或历史研究目的
法律主张的设立、行使或辩护

📊 四项权利对比总结表

权利	法律依据	核心内容	响应时限	常见例外
知情权	Art. 13-14	提供透明化信息	收集时立即提供	已获知信息
访问权	Art. 15	获取数据副本	1个月	影响他人权利
更正权	Art. 16	更正/补充数据	1个月	数据准确
删除权	Art. 17	删除个人数据	无不当延迟	法律义务/公共利益

📝 实战检查清单

☐ 是否已建立数据主体请求接收渠道（邮箱、表单、电话）？
☐ 是否制定了身份验证流程以防止数据泄露？
☐ 是否准备了模板回复（同意/拒绝/延期通知）？
☐ 是否建立了内部流转机制（法务、IT、业务部门协作）？
☐ 是否记录了请求处理日志（时间、内容、结果）？
☐ 是否对员工进行了权利响应培训？
☐ 是否与第三方数据处理者约定了协助义务？