一、为什么把「主体权利」单列出来

谈数据合规，企业习惯从义务端入手：要取得同意、要告知、要做影响评估。但从用户端看，问题往往是另一句话——「我要把我的信息删掉，你们为什么做不到？」。这时企业面对的，是一组独立的请求权：查阅、复制、更正、删除、可携带。它们不是义务的附属品，而是法律直接赋予个人的权利，处理不好同样会引发投诉、监管关注甚至处罚。

二、总纲：知情权与决定权

《个人信息保护法》第 44 条规定，个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。这条规定是个人权利体系的总纲——查询、复制、更正、删除、可携带等具体权利，都是在这一基础上展开的。

与之配套的是第 17 条：处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理目的、处理方式、信息种类、保存期限，以及个人行使权利的方式和程序。换句话说，企业不仅要提供行使权利的渠道，还要在个人信息处理规则里把它写清楚、说清楚。

三、查阅、复制与可携带

个人有权查阅、复制其个人信息（要旨，具体条文与表述以官方文本为准）；在符合规定条件时，还可以要求将个人信息转移至其指定的处理者，即通常所说的可携带。落地层面上，这两项权利往往最考验企业的技术准备：数据分散在多少个系统里、能不能按人聚合、导出格式是否可用、响应时限如何安排。很多「不能查、不能导」的投诉，根源并不是不愿配合，而是从未把「按自然人维度取数」当作一项产品能力来建设。

四、更正与删除：删除不是简单的按钮

发现信息有误时，个人有权请求更正。而删除权的规则更细。《个人信息保护法》第 47 条规定：处理目的已实现、无法实现或者为实现处理目的不再必要，个人撤回同意，处理者违反法律、行政法规或者违反约定处理个人信息等情形下，处理者应当主动删除个人信息；未删除的，个人有权请求删除。同时该条也设了例外——法律、行政法规规定的保存期限未届满，或者删除在技术上难以实现的，应当停止除存储和采取必要的安全保护措施之外的处理。

这两个例外很关键。一是法定期限：例如合同、财务等领域的保存要求，可能使某些信息在特定期限内不能删除；二是技术障碍：分布式存储、灾备副本、日志归档中的信息难以即时彻底清除。此时正确的动作是「停止处理 + 隔离保存」，而不是一句「删不了」了事，更不是表面上删除、备份里照留。

五、把权利响应做成流程

• 设立统一入口。在 App 与网站提供可找到的权利行使入口，并在个人信息处理规则中写明方式与程序，对应第 17 条的告知要求。
• 明确响应时限与留痕。收到请求后登记、核验身份、判断适用情形、给出书面答复，全过程留痕；对不同权利类型分别设定处理时限。
• 区分「删除」与「停止处理」。落入第 47 条例外情形的，采取隔离、停用措施并记录理由，避免继续被业务系统调用。
• 同步下游。已向第三方提供或委托处理的，应当在合理范围内通知接收方同步处理，否则权利响应的效果会在下游被架空。

六、给企业的提示

主体权利响应是合规体系中最容易被用户直接感知的一环：做得顺畅，它是一次信任加分；做得拖沓，它很可能直接变成一封投诉信。与其在收到请求后临时协调，不如把「谁能查、查什么、多久回、怎么留痕」提前写进流程与系统。