现行基准： 网络安全法（2017）+ 数据安全法（2021）+ 个人信息保护法（2021）
数据可携带权与被遗忘权
最后更新：2026-04-06 | 由 LLM 基于知识库原始资料编译
关联概念：个人信息保护 | 个人信息主体权利与保护 | 数据出境合规
核心法条
- 《个人信息保护法》第 45 条第 3 款：个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径 [现行有效]
- 《个人信息保护法》第 47 条：删除权的适用情形——处理目的已实现、撤回同意、违法处理等 [现行有效]
- 《民法典》第 1037 条：自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除 [现行有效]
- GDPR 第 17 条（Right to Erasure / "Right to be Forgotten"）：欧盟被遗忘权的直接法源，对中国司法实践有参考意义
- GDPR 第 20 条（Right to Data Portability）：欧盟数据可携带权的完整规定
规则沿革
| 时间节点 | 变化内容 | 依据 |
|---|---|---|
| 2017-06-01 | 《网络安全法》施行 | 现行有效 |
| 2021-09-01 | 《数据安全法》施行 | 现行有效 |
| 2021-11-01 | 《个人信息保护法》施行 | 现行有效 |
一、数据可携带权
1.1 法律定位与立法沿革
《个保法》第 45 条第 3 款首次在立法层面确立了数据可携带权：
"个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。"
立法背景：
- 该条款直接参考了GDPR 第 20 条，但做了限缩性规定
- 我国采取了"原则确认+实施细则待建"的模式，具体操作条件由国家网信部门另行规定
- 截至目前，国家网信部门尚未出台关于可携带权的具体实施细则
1.2 权利内容的比较分析
| 维度 | 中国《个保法》第 45 条 | 欧盟 GDPR 第 20 条 |
|---|---|---|
| 适用范围 | 所有个人信息 | 基于同意或合同处理的个人信息 |
| 数据格式 | 未明确规定 | 结构化、通用、机器可读的格式 |
| 转移方式 | "提供转移的途径" | 直接转移至另一处理者（技术上可行的） |
| 限制条件 | "符合国家网信部门规定条件" | 不影响他人权利和自由 |
| 实施细则 | 尚待出台 | 已有详细指引和判例 |
1.3 适用条件与限制
依据法条文义和立法精神，我国数据可携带权的适用条件包括：
- 主体条件：权利主体为个人信息主体本人
- 接收方条件：转移至"其指定的个人信息处理者"（即第三方处理者）
- 信息范围：个人提供的个人信息（不包括处理者基于个人数据生成的衍生数据、画像数据等）
- 技术可行性：以技术上可行的方式为限
- 国家规定条件：须符合国家网信部门的进一步规定
1.4 实务应用前景
数据可携带权的制度价值在于：
- 促进竞争：降低用户锁定效应，促进平台间的竞争
- 保障自由：增强个人对其信息的控制和自主决定权
- 鼓励创新：推动数据流动和数据要素市场的发展
1.5 实务争议与难点
| 争议点 | 说明 | 实务处理建议 |
|---|---|---|
| 哪些数据可携带 | 个人信息范围 vs 衍生数据范围不明确 | 区分"用户提供的数据"和"企业加工的数据" |
| 格式标准缺失 | 无统一数据格式标准 | 参考行业最佳实践（如 JSON 格式） |
| 技术可行性 | 不同系统之间的数据格式转换 | 预先设计标准化的数据导出功能 |
| 实施条件未定 | 国家网信部门实施细则未出台 | 关注政策动态，提前准备合规能力 |
二、被遗忘权（删除权的延伸）
2.1 法律定位
我国现行法律体系中的"被遗忘权"主要通过删除权实现。
《个保法》第 47 条与GDPR 第 17 条存在一定关联但又不尽相同：
| 维度 | 中国《个保法》第 47 条 | 欧盟 GDPR 第 17 条 |
|---|---|---|
| 触发条件 | 目的已实现、撤回同意、违法处理等 | 目的不再需要、撤回同意、撤回异议等 |
| 搜索引擎责任 | 未明确规定 | 明确规定搜索引擎负有删除义务（Google Spain 案） |
| 公开信息的删除 | 删除后公开传播的，应采取合理措施通知他人删除 | 明确规定了通知义务 |
2.2 中国法下的适用情形
依据《个保法》第 47 条，个人信息处理者应当主动删除或回应删除请求的情形：
- 处理目的已实现、无法实现或者为实现处理目的不再必要
- 个人信息处理者停止提供产品或者服务，或者保存期限已届满
- 个人撤回同意
- 个人信息处理者违反法律、行政法规或者违反约定处理个人信息
- 法律、行政法规规定的其他情形
2.3 删除权与"被遗忘"的区别
删除权：侧重于从数据处理者的系统中删除个人信息。这是《个保法》明确规定的权利。
被遗忘权（在比较法上）：范围更广，不仅要求数据处理者删除，还要求搜索引擎等第三方消除搜索链接，使相关信息在公众视野中"被遗忘"。
中国现状：
- 《个保法》确立的是删除权，而非完整的"被遗忘权"
- 但司法实践中，已有涉及搜索引擎删除搜索链接的案例
- 学界认为，被遗忘权的概念在中国法中有逐步扩展的空间
2.4 司法实践
典型案例参考：
- "被遗忘权第一案"（任某与百度公司案，北京一中院 2015 年）：中国首次涉及"被遗忘权"的争议
- 原告要求搜索引擎删除涉及其个人工作经历的搜索联想词
- 法院认为：我国现行法没有规定被遗忘权，但删除权的行使在特定条件下可获得支持
- 最终判决：原告主张不符合删除权的条件，不予支持
发展趋势：
- 随着《个保法》的实施和配套规则的完善，被遗忘权的司法适用将更加明确
- 国家网信部门的实施细则可能进一步明确删除权的适用范围和操作程序
三、删除权与数据留存的平衡
3.1 冲突场景
| 冲突类型 | 说明 |
|---|---|
| 网络安全日志 | 网络日志依法须留存不少于 6 个月，与个人要求删除的权利存在冲突 |
| 税务与财务记录 | 企业财务报表等资料法定保存期限与个人信息删除权之间的平衡 |
| 诉讼证据保全 | 涉及诉讼时，企业需要保留相关证据，此时删除权受限 |
| 反洗钱与合规 | 金融机构依法须长期保存客户数据的义务 |
3.2 解决路径
面对上述冲突，处理者应采取以下解决路径：
- 匿名化：对个人可识别信息进行匿名化处理，在保留数据价值的同时消除可识别性
- 隔离存储：将被请求删除的数据与正常运营数据隔离，仅保留在必要范围内
- 期限匹配：在收集时即告知法定留存期限，期限届满后自动删除
- 最小留存：仅在法律和诉讼需要范围内保留数据，不超范围或超期限
四、个人信息的生命周期管理与权利衔接
4.1 权利行使的时序逻辑
收集阶段 → 知情权、决定权
↓
使用阶段 → 查阅复制权、更正补充权、拒绝自动化决策权
↓
提供阶段 → 单独同意权、可携带权
↓
存储阶段 → 保存期限知情权
↓
删除阶段 → 删除权（被遗忘权）
4.2 企业合规应对建议
- 建立个人信息目录：对个人信息的收集、使用、共享、存储有完整的管理台账
- 设计数据导出功能：为未来可携带权的实施提前做好准备
- 设置数据自动删除机制：基于保存期限的到期自动删除或匿名化处理
- 建立权利响应机制：设立专门的个人信息权利请求处理渠道和响应流程
- 培训员工：确保相关人员了解个人信息主体权利的法律法规和企业的响应流程
知识库原始资料索引
法律法规
- 中华人民共和国个人信息保护法/_个人信息保护法_适用要点解读.md)
- 中华人民共和国民法典（人格权编）
学术研究
- 程啸、王苑：论我国个人信息保护法中的查阅复制权
- 杨钢：个人信息权禁令的理论证成与构造
- 姚佳：个人信息主体权利的实现困境及其保护救济
司法实践
- 最高法：审理使用人脸识别技术处理个人信息相关民事案件的司法解释
欧盟参考
- GDPR 第 17 条：被遗忘权与删除权（Right to Erasure）
- GDPR 第 20 条：数据可携带权（Right to Data Portability）