一句话回答:符合条件的,企业必须配合。个人信息保护法第四十五条第三款规定,个人请求将个人信息转移至其指定的个人信息处理者,符合国家网信部门规定条件的,个人信息处理者应当提供转移的途径。
一、法律依据:个保法第四十五条三款
个人信息保护法第四十五条分三款:第一款是个人有权向个人信息处理者查阅、复制其个人信息,有第十八条第一款、第三十五条规定情形的除外;第二款是个人请求查阅、复制其个人信息的,个人信息处理者应当及时提供;第三款就是数据可携带权——个人请求将个人信息转移至其指定的个人信息处理者,符合国家网信部门规定条件的,个人信息处理者应当提供转移的途径。
这条要和第四十四条连起来看:个人对其个人信息的处理享有知情权、决定权,有权限制或者拒绝他人对其个人信息进行处理。也就是说,数据能不能“搬家”,首先取决于用户自己的意思表示。
二、实务视角:企业落地可携带权要过四道关
实务中要注意四点。第一,先核身份——不是任何人说一句就能把数据打包带走,必须验证是信息主体本人。第二,划清范围——请求转移的应是该用户本人的个人信息,混进他人信息或者商业秘密的部分不能给。第三,给“途径”不等于给“原始数据库”,法律要求的是提供转移的途径,企业可以设定合理的数据格式和提交方式。第四,别设不合理障碍——把入口藏起来、反复要求线下办理、拖着不回复,都可能被认定为未履行义务。
还要提醒一句:国家网信部门关于“规定条件”的配套细则仍在完善中,具体口径以最新公布的规范性文件为准。另外,境内平台之间转移和向境外提供个人信息是两回事,涉及出境的还要单独做评估、走相应程序。
三、案例分析(示意情景)
以下为示意情景,不是真实案件:某用户在社交平台A积累了几年内容和数据,想整体换到平台B,要求A提供一键迁移。A以“数据属于平台”为由拒绝。按第四十五条第三款,只要符合规定条件,A就应当提供转移的途径;若拒不提供,用户可向网信部门投诉,情节严重的还可能触发监管处罚。
四、一句收尾
一句话:数据可携带权已经写进法律,企业的正确姿势是“按条件配合加设合理规则”,而不是一口回绝。
五、常见问题(FAQ)
问:数据可携带权是法定权利吗?
答:是。个人信息保护法第四十五条第三款规定了个人请求将个人信息转移至其指定的个人信息处理者的权利。
问:企业不配合会有什么后果?
答:属于未依法履行个人信息保护义务,用户可向网信部门投诉,监管部门可依法处理。
问:企业能不能收费?
答:法律要求的是提供转移的途径,是否收费以及标准应以网信部门规定和监管口径为准。
问:可以转移哪些信息?
答:应是该用户本人的个人信息,涉及他人信息和商业秘密的内容不在转移范围。
问:怎么判断“符合国家网信部门规定条件”?
答:配套细则仍在完善,具体条件以最新公布的规范性文件为准。
相关阅读
- 数据合规与人工智能法律专题
- 死者个人信息怎么处理?近亲属能查询、复制、删除逝者的个人信息吗?
- 行踪轨迹信息属于敏感个人信息吗?企业收集员工定位、客户位置信息要遵守哪些规则?
- 个人信息保存期限是多久?企业超期保存、到期不删会有什么后果?
- 处理已公开的个人信息还需要同意吗?企业用公开数据会不会违法?
- 个人信息保护认证是什么?企业做PIP认证有什么用、怎么办理?
王冠律师|北京浩略律师事务所联合创始人|咨询电话:17813108512