一句话回答：必须提供。《个人信息保护法》第四十五条规定，个人有权向个人信息处理者查阅、复制其个人信息，处理者应当及时提供；只有法律、行政法规规定的例外情形才可以拒绝。拒绝的必须说明理由，个人还可以向法院起诉；企业拒不改正的，最高会被处一百万元罚款，情节严重的可以罚到五千万元以下或者上一年度营业额的百分之五以下。
一、法律依据：三个条文讲清楚
《个人信息保护法》第四十五条规定：个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。
第五十条规定：个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。
第六十六条规定了罚则：违反本法规定处理个人信息，或者未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。
二、例外情形不是企业的“挡箭牌”
法律规定的除外情形，主要是依法应当保密，以及国家机关履行法定职责等特定情况，比如第十八条第一款所指的有法定情形可以不事先告知、第三十五条规定的国家机关为履行法定职责处理个人信息的情形。企业不能拿“这些是商业秘密”“系统改造麻烦”“只有总部能导出”当理由，这些都不是法定的拒绝事由。
三、实务中要注意的三点
第一，要有一条真正走得通的申请入口：客服渠道、App 内的个人信息副本申请、书面邮箱都可以，但不能只写在隐私政策里、实际没人处理。第二，要有处理时限和留痕，谁在什么时候答复、答复了什么内容，内部要能查得到。第三，拒绝必须书面说明理由，而且理由要具体，不能一句“不符合条件”了事，否则在投诉或者诉讼里很难站住脚。
四、案例分析（示意情景，非真实案件）
示意情景：某平台用户要求导出自己的订单、评价和浏览记录，客服以“涉及公司商业秘密”为由拒绝，也没有给出书面理由。用户向网信部门投诉后，平台被责令改正并给予警告，还被要求限期建立权利申请的受理和处理机制。这个情景提醒企业：拒绝权并不在企业手里，企业能做的是把受理、答复、留痕这套流程做实，而不是指望用一句话挡回去。
五、常见问题（FAQ）
问：用户要求查阅、复制个人信息，企业必须给吗？
答：必须。个人有权向个人信息处理者查阅、复制其个人信息，处理者应当及时提供；只有第十八条第一款、第三十五条规定等法定情形才可以除外。
问：拒绝用户的权利请求会有什么后果？
答：拒绝应当说明理由，个人可以依法向法院起诉；行政层面可被责令改正、给予警告，拒不改正的并处一百万元以下罚款，情节严重的可罚到五千万元以下或者上一年度营业额的百分之五以下。
问：用户要求把信息转给别的平台，也要满足吗？
答：符合国家网信部门规定条件的，处理者应当提供转移的途径，这条同样写在第四十五条里。
问：企业说涉及商业秘密就能拒绝吗？
答：不能。法定除外情形有明确范围，商业秘密、系统改造成本高都不是拒绝的法定理由。
问：没有书面答复会有什么风险？
答：第五十条要求建立便捷的申请受理和处理机制，拒绝的要说明理由；没有留痕，在投诉或者诉讼中很难证明企业已经依法履职。
问：企业应该怎么把流程做实？
答：设可用的申请入口、明确答复时限、逐单留痕、拒绝时书面说明具体理由，并把申请受理和处理机制写入内部制度。
延伸阅读：
相关阅读
- 数据合规与人工智能法律专题
- 死者个人信息怎么处理？近亲属能查询、复制、删除逝者的个人信息吗？
- 行踪轨迹信息属于敏感个人信息吗？企业收集员工定位、客户位置信息要遵守哪些规则？
- 个人信息保存期限是多久？企业超期保存、到期不删会有什么后果？
- 处理已公开的个人信息还需要同意吗？企业用公开数据会不会违法？
- 个人信息保护认证是什么？企业做PIP认证有什么用、怎么办理？
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512