本文共 3525 字，大约阅读时间需要 11 分钟。
本篇介绍：个人信息主体权利保护
本篇为第5篇/共9篇 上一篇： 下一篇：在离开前公司之后（2020.06），我来到新的公司担任安全部负责人，负责新公司的安全架构设计与安全体系建设，由于新公司的业务都是面向国内的，因此在建设隐私合规体系时，参照的都是国内的法律法规标准。本系列即以国内法律法规为基准，抛砖引玉，来探讨纯国内业务企业的隐私合规体系建设。
根据相关法律法规规定，个人信息主体应当享有个人信息查询权、个人信息更正权、个人信息删除权、个人信息主体撤回同意权、个人信息主体注销账户权、复制个人信息或获取个人信息副本权、响应个人信息主体请求权、个人信息主体投诉举报权等权利。
接下来，我将依据上述权利来探讨个人信息主体权利保护的合规化。
《个人信息安全规范》第8.1条规定：网络运营者应向个人信息主体提供查询下列信息的方法：a）其所持有的关于该主体的个人信息或个人信息类型；b）上述个人信息的来源、所用于的目的；c）已经获得上述个人信息的第三方身份或类型。
在实践中，网络运营者应当为个人信息主体提供查询个人信息的路径和方法，一般情况下，用户可以在“我的”页面里查询其个人信息，如用户名、昵称、脱敏手机号码、身份证号、银行卡号、收货地址等。对于脱敏展示的内容，如果用户确实需要查询，可以通过指纹、面部ID、手势等解锁方式验证后在展示原始内容，降低在展示环节泄露个人信息的风险。
《个人信息安全规范》第8.2条规定：个人信息主体发现网络运营者所持有的该主体的个人信息有错误或不完整的，网络运营者应为其提供请求更正或补充信息的方法。
在实践中，个人信息更正的权利主要在于保护更正错误或不完整个人信息的权利，而非随意更改个人信息的权利。为了防止用户随意更改个人信息或他人恶意更改用户个人信息，网络运营者可以设置验证措施，如验证已认证的姓名、手机号码等，核验安全性和进行身份识别。
对于验证通过的用户，网络运营者应根据个人信息主体的要求，及时采取措施进行更正，避免拖延和不更正。
《个人信息安全规范》第8.3条规定，对网络运营者的要求包括：
a）符合以下情形，个人信息主体要求删除的，应及时删除个人信息：1）网络运营者违反法律法规规定，收集、使用个人信息的；2）网络运营者违反与个人信息主体的约定，收集、使用个人信息的。
b）网络运营者违反法律法规规定或违反与个人信息主体的约定向第三方共享、转让个人信息，且个人信息主体要求删除的，网络运营者应立即停止共享、转让的行为，并通知第三方及时删除。
c）网络运营者违反法律法规规定或违反与个人信息主体的约定，公开披露个人信息，且个人信息主体要求删除的，网络运营者应立即停止公开披露的行为，并发布通知要求相关接收方删除相应的信息。
在实践中，个人信息主体如果没有任何依据提出删除个人信息的权利主张，网络运营者一般不会响应个人信息主体的请求。但个人信息主体如何发现网络运营者违法违规处理个人信息成为实践中的问题，因为对于隐藏比较深的隐秘收集APP内应用安装列表或隐瞒SDK收集个人信息的行为，用户是没有明显感知的，很难自主发现。因此，就需要网信部门、工信部门等监管部门进行专业测评和通告了。
《个人信息安全规范》第8.4条规定，对网络运营者的要求包括：
a）应向个人信息主体提供撤回收集、使用其个人信息的授权同意的方法。撤回授权同意后，网络运营者后续不应再处理相应的个人信息；
b）应保障个人信息主体拒绝接收基于其个人信息推送商业广告的权利。对外共享、转让、公开披露个人信息，应向个人信息主体提供撤回授权同意的方法。
在实践中，赋予个人信息主体撤回同意的权利，主要在于防止一次授权终身使用的情形，给予个人信息主体后悔的机会，个人信息主体撤回授权同意后，网络运营者后续不应再处理相应的个人信息，但不影响撤回前基于授权同意的个人信息处理。同时，应确保提供的途径和方式切实何用，避免流于形式和在用户撤回同意时故意设置多种障碍。
《个人信息安全规范》第8.5条规定，对网络运营者的要求包括：
a）通过注册账户提供产品或服务的个人信息控制者，应向个人信息主体提供注销账户的方法，且方法简便易操作；
b）受理注销账户请求后，需要人工处理的，应在承诺时限内（不超过15个工作日）完成核查和处理；
c）注销过程如需进行身份核验，要求个人信息主体再次提供的个人信息类型不应多于注册、使用等服务环节收集的个人信息类型；
d）注销过程不应设置不合理的条件或提出额外要求增加个人信息主体义务，如注销单个账户视同注销多个产品或服务，要求个人信息主体填写精确的历史操作记录作为注销的必要条件等；
e）注销账户的过程需收集个人敏感信息核验身份时，应明确对收集个人敏感信息后的处理措施，如达成目的后立即删除或匿名化处理等；
f）个人信息主体注销账户后，应及时删除其个人信息或匿名化处理。因法律规规定需要留存个人信息的，不能再次将其用于日常业务活动中。
在实践中，对于账户注销应当做到如下方面：
1、便于用户操作，不应通过隐藏入口、操作繁琐等方式影响用户权利的实现；
2、用户行使该权利时，如需核验用户身份信息，重新提供的个人信息不应多于注册、使用服务环节收集的个人信息；
3、不应要求用户填写精准的历史操作记录作为必要的注销条件，常见的多选一的选择式历史操作记录即可满足验证需求；
4、不应在各部门之间来回推诿，需要人工处理的，不应超过15个工作日；
5、不应仅提示存在积分、参与活动、授权登录解绑等影响权利行使的问题，而不提供解决具体问题的通道；
6、用户注销账户的前端操作完成后，后端也应同步实现账户注销操作，不应表面上完成注销而实际上后台并未实现账户的注销；
7、用户注销账户后，应及时删除其个人信息或做匿名化处理。
《个人信息安全规范》第8.6条规定：根据个人信息主体的请求，个人信息控制者宜为个人信息主体提供获取以下类型个人信息副本的方法，或在技术可行的前提下直接将以下类型个人信息的副本传输给个人信息主体指定的第三方：a）本人的基本资料、身份信息；b）本人的健康生理信息、教育工作信息。
在实践中，如果因为技术不便或其他原因导致的获取个人信息副本无法实现或实现难度大，可以暂时不在隐私政策中体现该内容，因为个人信息安全规范对获取个人信息副本要求的动词表述是“宜”，代表能够获取个人信息副本更好。当然，如果易于实现，建议体现该项内容，能够有助于个人信息主体权利的全面保障。
一、响应时间
《个人信息安全规范》第8.7条规定：在验证个人信息主体身份后，应及时响应个人信息主体提出的查询、更正、删除、撤回授权同意、注销账户和获取个人信息副本的请求，应在30天内或法律法规规定的期限内作出答复及合理解释，并告知个人信息主体外部纠纷解决途径。
在实践中，若法律法规规定了及时响应的明确期限，应遵守其规定；如无规定，应及时响应并在30天内做出答复及合理解释。通常来说，30天的时间通常是足够了的。
二、可不响应请求的情形
《个人信息安全规范》第8.7条规定：以下情行可不响应个人信息主体提出的权利请求，包括：
1）与个人信息控制者履行法律法规规定的义务相关的；
2）与国家安全、国防安全直接相关的； 3）与公共安全、公共卫生、重大公共利益直接相关的； 4）与刑事侦查、起诉、审判和执行判决等直接相关的； 5）个人信息控制者有充分证据表明个人信息主体存在主观恶意或滥用权利的； 6）出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的； 7）响应个人信息主体的请求将导致个人信息主体或其他个人、组织的合法权益受到严重损害的； 8）涉及商业秘密的。在实践中，这些条件都是比较苛刻的，想要适用该等情形，需要有充分的依据，且是经得起考验的依据，不得盲目适用。
《个人信息安全规范》第8.8条规定：个人信息控制者应建立投诉管理机制和投诉跟踪流程，并在合理的时间内对投诉进行响应。
在实践中，网络运营者可以通过隐私政策公布相应的投诉渠道，例如隐私邮箱、客服电话、在线客服等，并在受理用户投诉后，在不超过15个工作日的时间内予以回复。在经过内部核查认定用户投诉举报不成立的情况下，建议充分向用户解释认定举报不成立的原因，以安抚用户。
本篇介绍：个人信息主体权利保护
本篇为第5篇/共9篇 上一篇： 下一篇：转载地址：http://kgeaf.baihongyu.com/