[個資與隱私法 3] 當事人權利:查詢、更正、停止處理、刪除
個資法第 3 條賦予當事人五項基本權利,是當代資料自主權的具體展現。本文以五項權利的內容、企業處理時限、實務常見爭議、AI 時代的特殊挑戰四個面向,梳理當代當事人權利行使的完整地圖。
個 資 與 隱 私 法 · 第 三 篇 · 當 事 人 權 利
當事人五項權利
資料自主的法律基礎
查詢、複本、更正、停止處理、刪除——個資法賦予當事人五項基本權利,構成當代資料自主權的法律基礎。
劉博文律師 · 和鼎律師事務所主持律師
本文導讀
本文涵蓋:五項權利的法律內容、企業處理時限、實務常見爭議、AI 時代被遺忘權的特殊挑戰。協助當事人主張權益、企業建立處理機制。
第 壹 章
五項權利的法律基礎
個資法第 3 條的當代意義
5項
核心權利
個資法第 3 條:查詢/閱覽、製給複本、補充更正、停止處理利用、刪除
15天
回覆時限
第 13 條:當事人請求後 15 天內回覆,可延長一次
2年
消滅時效
侵權行為損害賠償請求權:知悉時起 2 年(民法第 197 條)
個資法當事人五項權利
查詢或請求閱覽
第 3 條 1 款 · 第 10 條
當事人有權查詢自己個資被誰、為何、如何處理。企業 15 天內回覆。
請求製給複本
第 3 條 2 款
有權取得自己個資複本(可作為轉至他機構或自行運用基礎)。企業可收必要費用。
請求補充或更正
第 3 條 3 款 · 第 11 條 1 項
發現個資不正確,有權要求補充更正。企業有義務確保資料正確。
請求停止處理利用
第 3 條 4 款 · 第 11 條 3 項
有權要求停止特定處理。企業除有特別事由外,應停止。
請求刪除
第 3 條 5 款 · 第 11 條 3 項
有權要求刪除個資。GDPR 進一步發展為「被遺忘權」,在 AI 場景面臨技術困難。
第 貳 章
企業可合法拒絕的事由
並非所有請求都必須照單全收
企業可合法拒絕當事人請求的五大事由
| 企業可拒絕事由 | 法律依據 | 舉證重點 |
|---|---|---|
| 有礙重大公益 | 個資法第 10 條但書 | 具體說明拒絕對公共利益的重要性 |
| 妨害第三人權益 | 同上 | 釐清涉及第三人之具體個資 |
| 妨害蒐集機關職務 | 同上 | 對公務機關有特殊適用 |
| 請求顯不合理 | 個資法第 11 條第 3 項但書 | 反覆無理請求、技術上極困難等 |
| 法律明文不得停止 | 其他法律規範 | 如稅捐紀錄、保險紀錄等法定保存 |
第 參 章
AI 時代的刪除權挑戰
被遺忘權在模型權重中的執行困難
「AI 時代最大的權利挑戰是「刪除權」。當資料已被吸收進模型權重,如何「徹底」刪除?這是當代個資法與 AI 技術的最深張力。」
— 本文觀點
第 肆 章
結語 · 下一篇:跨境傳輸
附 記
企業面對當事人權利請求時,常見三大錯誤:第一,拖延回覆(超過 15 天);第二,含糊拒絕(無法說明法律依據);第三,沒有處理機制(臨時應付)。建議建立標準化權利處理 SOP:接收 → 識別 → 評估 → 回覆 → 紀錄。本所協助企業建立完整當事人權利處理機制,如需請聯絡諮詢。
常見問題
Q. 我要求企業刪除我的個資,他們可以拒絕嗎?
A. 原則上不能,但有例外。可拒絕事由:法律明文要求保存(稅捐、保險紀錄)、有礙重大公益、妨害第三人權益、執行職務上特別需要等。企業拒絕需明確說明法律依據。若您認為拒絕不合理,可向個資保護委員會申訴或提起民事訴訟。
Q. 企業 15 天沒回覆我的個資請求,怎麼辦?
A. 可採三步驟:第一,書面催告(明確要求回覆並保留證據);第二,向個資保護委員會或地方主管機關申訴;第三,必要時委請律師處理(行政申訴 + 民事訴訟)。15 天時限是法定要求,逾期可作為企業違反個資法的依據。
Q. AI 已用我的資料訓練,可以要求刪除嗎?
A. 理論上可以(刪除權),但技術上極困難。實務上企業多採三層處理:第一,從訓練資料集中刪除(可立即執行);第二,輸出層過濾(技術上可行);第三,下次模型重訓時排除。徹底「移除模型對該資料的影響」目前技術不成熟。建議當事人:留存請求紀錄,作為後續法律行動基礎。
Q. 企業要我付費才提供個資複本,合理嗎?
A. 依個資法第 13 條,企業可收必要工本費(如紙本列印、郵寄成本),但不得藉此阻撓當事人行權。費用應合理且事先告知。若收費明顯不合理(高額、無據),可向主管機關申訴。GDPR 對歐盟居民更為嚴格:首次請求免費。
Q. 我可以要求企業提供我所有個資的複本嗎?
A. 可以。第 3 條第 2 款規定當事人有「請求製給複製本」之權利。企業應於 15 天內處理,以可閱讀之形式提供。實務常見爭議:資料範圍認定(僅該企業直接蒐集 vs 含關係企業)、提供形式(紙本 vs 電子)、費用計算。建議企業書面化處理流程,降低爭議。
個資與隱私法系列(規劃中,陸續上線)
- [個資與隱私法 1] 個資法總論:從個資法第 19 條到 GDPR 的當代隱私挑戰
- [個資與隱私法 2] 蒐集、處理、利用三段式架構與當事人同意
- [個資與隱私法 3] 當事人權利:查詢、更正、停止處理、刪除(本文)
- [個資與隱私法 4] 跨境傳輸的法律地圖
- [個資與隱私法 5] 資料保護長(DPO)制度與企業治理
- [個資與隱私法 6] GDPR 域外效力與台灣企業合規
- [個資與隱私法 7] 資料外洩的緊急處理 SOP
- [個資與隱私法 8] 員工個資與雇主監控的邊界
- [個資與隱私法 9] 醫療、金融、教育的特別個資規範
- [個資與隱私法 10] 兒童與未成年人個資特別保護
- [個資與隱私法 11] 數位足跡、Cookie、追蹤的法律邊界
- [個資與隱私法 12] 個資保護委員會與監理動態
