关于个人信息权利与响应，你知道多少？

自个人信息保护法实施以来，数据隐私问题越来越被个人、企业和监管部门重视。作为用户的我们，需要关注涉及我们切身利益的个人信息权利，作为数据处理者的企业，则需要积极响应个人信息主体的请求，以保障个人信息主体的权益和维护企业的良好形象。本文将探讨个人信息权利与响应的相关问题。

用户视角下的个人信息权利

首先我们来灵魂三问：

你知道什么是个人信息权利吗？

你知道个人信息权利都有哪些吗？

你知道如何行使个人信息权利吗？

部分网友对此可能略知一二，还有部分网友对此可能一无所知，我们先来看看欧洲相关法律的几个关键词：DSAR、DSR

DSAR：Data Subject Access Request，即数据主体访问请求，是一种特定类型的数据主体请求，通用的说法即访问权，GDPR第15条对其做了更具体、更精确的规定。

DSR：Data Subject Request，即数据主体请求，GDPR中规定的数据主体请求权利包括知情权、访问权、更正权、反对权、与自动化决策有关的权利、被遗忘权（又称“删除权”）、可携权和限制处理权。

我们可以看到，DSAR是DSR的子集，即DSR包括了DSAR，这是在欧洲法律法规体系下经常出现的关键词，在中国法律法规中对应的是个人信息权利请求。那么我们再翻开《个人信息保护法》来了解一番：

由此可见，个人信息权利指个人对其个人信息所依法享有的知情权、决定权、查阅权、复制权、可携带权、更正权、补充权、删除权、要求解释和说明权。

看完个保法相关法规要求，相信对于问题1、问题2你已经有了答案，那么用户该如何行使个人信息权利呢？

一般来说，行使信息权利需要关注三个方面：行使主体、行使内容、行使方式。个人信息权利的行使主体应为个人信息主体本人或其代理人，如儿童个人信息权利可由其监护人代为行使（其实个保法第四十九条针对死者的个人信息权利问题也做了说明，我们这里暂不讨论）。正如前文所述，个人信息权利的行使内容则包括知情权、决定权、查阅权、复制权、可携带权、更正权、补充权、删除权、要求解释和说明权。个人对其个人信息处理的知情权与决定权并不需要个人具体行使，应由个人信息处理者在个人信息处理活动中主动保障个人的相关权利，即提供明示告知同意的方式得以实现。除这两项权利外，对于查阅权、复制权、可携带权、更正权、补充权、删除权以及解释说明权，需要由个人通过针对个人信息处理者提出请求的方式来行使。为保障个人信息主体权利请求的行使，《个人信息保护法》第五十条要求个人信息处理者应当建立便捷的受理和处理机制。如个人信息处理者拒绝或在合理期限内不答复个人行使权利的请求的，个人有权依法向人民法院提起诉讼或向履行个人信息保护职责的部门进行投诉、举报。

随着越来越多的用户开始觉醒“隐私意识”，以及监管部门对个人信息方面监管的趋严，那么难题便来到了另一端——个人信息处理者（即企业端），接下来我们来探讨一下企业视角下的个人信息权利响应这一问题。

企业视角下的个人信息权利响应

当用户向个人信息处理者（企业）行使其个人信息权利时，企业有义务给出合理、便捷的行权入口、行权路径以及响应方式，并且需要在合理期限内进行响应。对于大多数企业来说，处理用户的这一请求并及时作出响应不是一件易事，在整个行权响应的工作中，高效、合规地满足用户需求存在诸多挑战。

挑战一：验证行权主体身份难

部分企业可能通过邮箱、电话的方式提供行权入口，导致用户身份验证困难，或者通过在线表单的形式收集用户请求，可能存在误填、漏填的情况，从而导致企业无法进行有效联系用户。另外，由于工作人员的专业度问题、身份验证信息的最小化收集要求等等因素的影响，使得企业在验证行权主体身份时困难重重。

解决方案：建立自动化、标准化的身份验证机制，通过可配置化的统一的行权入口进行行权主体身份信息的收集，将帮助企业更好地进行身份验证工作。

挑战二：行权处理流程复杂

在实际的行权响应与处理工作中，往往需要合规、业务、数据、IT等多部门的同学进行协同处置，如何使得这一过程高效、顺畅的进行成为企业的一大难题。

解决方案：将整个行权处理过程以线上工作流的形式开展，通过可编排的任务节点生成完整的行权工作流，企业可随时根据不同业务需要自定义与之对应的工作流，从而使得跨部门、多人员之间的协同处置变得简单高效。

挑战三：用户数据分散，发现完整用户信息难度大

在企业中，往往存在诸多内部系统和第三方系统，用户信息同时存在与各内部应用与第三方应用中，如何找到数据主体全部信息的位置成为企业行权响应中最大的技术难题。

解决方案：个人主体行权平台需能够对接海量的第三方应用，并且支持自定义接口与内部系统进行对接，从而获取完整的用户个人数据，从而满足行权响应。

挑战四：面对删除请求，企业难以应对

当用户提出删除请求时，企业通过上一个解决方案找到了用户的完整数据，但是如何将这些用户数据进行删除且不影响业务系统的正常运行，对于企业而言是一个巨大的挑战。

解决方案：个人主体行权平台通过数据接口与各系统进行对接，将删除指令通过接口下发给各系统，由各个系统进行删除操作并将执行结果返回给个人主体行权平台，如出现无法删除、系统响应异常等情况，则可在此节点通知对应IT人员，由IT人员人工介入处理，并将最终处理结果进行记录，从而保证删除请求的真正执行。

挑战五：回复用户易于阅读的数据副本并非易事

数据以符合数据库设计的标签存储，但是对于用户来说可读性较差。例如用户的【收货地址】可能存储在数据库中被命名为字段【address1】，而用户的【账单地址】可能存储在数据库中被命名为字段【address2】，在回复用户时显然不能以【address1】、【address2】来透出，将其重命名为【收货地址】、【账单地址】很显然是必要的。

解决方案：行权响应平台在发现个人信息主体的数据时，应同时提供数据识别能力将【address1】识别为【地址】，并结合数据上下文信息将其准确识别为【收货地址】，这样在响应用户时会更加友好。