账户注销及用户信息删除的合规实务问答

本文部分转载自：https://www.sohu.com/a/279550809_100138309
1. 用户请求注销及删除的法律依据有哪些？

1.1《关于加强网络信息保护的决定》、《网络安全法》、《电子商务法》及GB/T 35273《个人信息安全规范》（推荐性标准，下同）均规定，用户有权要求信息控制者删除用户信息。

其中，《电子商务法》规定的权利主体是“用户”（我们理解，用户应当包括“企业”和“个人”）；《关于加强网络信息保护的决定》、《网络安全法》规定的权利主体是“个人”。

此外，《关于加强网络信息保护的决定》、《网络安全法》规定的删除权（仅为本文表述用）是有法定条件的（例如违法或违约）；《电子商务法》规定的删除权是无条件的，更像“遗忘权”。

目前，我国关于删除权主要针对的线上业态，线下信息控制者是否有义务响应用户的删除请求，《网络安全法》第44条也未包括该种情形，其他法律暂无明确规范依据。

1.2 《电子商务法》及GB/T 35273《个人信息安全规范》规定，用户有权要求信息控制者注销账户；《电信和互联网用户个人信息保护规定》规定，信息控制者终止服务的，应当为用户提供注销服务。二者在条件上略有差异。

1.3用户发出注销或删除请求后，信息控制者采取的措施包括“响应”和“执行”两个阶段。部分法规仅规定了响应时限和程序等要求，部分法规规定了执行时限和程序等要求。

2. 用户账户可以在交易完结前注销吗？

实践中，在交易的不同阶段，是否响应并执行用户的注销请求，存在较大差异。我们理解：

2.1 在交易的所有阶段，均应当响应用户的注销请求，但可以视阶段执行用户的注销请求。

2.2 在交易的缔结及直接履行阶段（例如电商收货确认前），考虑到用户账户及用户信息为“签订和履行合同所必须”，应当响应但可以暂不执行用户的注销请求。

2.3 在交易的附随履行阶段（例如7天退货期或质保期内等），应当响应并执行用户的注销请求，但可以后台保留有关的用户信息及交易信息。

3. 注销及删除的请求入口、流程是否有法定要求？

法律层面，暂无账户注销及信息删除的入口、流程细则，仅规定“方法应当简便易操作”，且“不得设置不合理条件”。

3.1 结合汇业黄春林律师团队咨询主管部门意见及工信部、上海市通管局执法检查经验，信息控制者可以参照如下方式设置注销或删除请求入口：（1）直接在线自动注销的，应当在用户个人中心/主页（例如“我的”）等显著位置设置在线注销或删除入口；（2）通过客服等非在线方式注销的，应当在显著位置设置客服联系方式。

3.2 关于注销或删除流程，信息控制者应当通过用户协议或隐私政策明示流程，或者在注销或删除公布详细的、便捷的流程指引，不得设置不合理的条件。

常见的高风险案例包括：缺乏注销或删除入口或过于隐蔽，账户注册未满X日不得注销，要求解除关联绑定后才可以注销，设置所谓的“注销反悔期”导致用户注销流程过长，等等。

4. 注销及删除前，如何核验用户身份？

4.1 《网络安全法》、《反恐怖主义法》等均明确规定，为用户提供、确认服务的时，应当核验用户身份。根据《电子商务法》及GB/T 35273《个人信息安全规范》规定，信息控制者删除用户信息前，应当核实用户身份。核验身份本身就是信息控制者响应的一部分。

4.2 关于核验用户身份，信息控制者应当平衡安全性和便捷性，防止他人错误操作损害用户利益。实践中，应当结合审查用户账号密码的一致性，并采取如下方式核验：

(1) 核验向用户先前登记的联系方式（邮箱或手机）发送的实时验证码；

(2) 核验已经留存的指纹、虹膜、掌纹、人脸、语音等独特性的生物特征信息；

(3) 核验用户提供的与交易有关的交易记录（例如电商中的交易时间和交易金额等）；

(4) 通过与用户有过互动的其他用户来辅助核验，等等。

5. 注销及删除时，是否需要再次通知用户？

实践中，为了降低错误操作带来的法律风险，在用户提交申请后、正式注销及删除前，作为响应的一部分，汇业黄春林律师团队建议信息控制者对用户请求进行二次通知，通知的方式包括注销及删除流程中的文案提示，或者发送单独的确认信（函），内容可以包括但不限于：

(1) 注销及删除的时限及流程；

(2) 注销及删除导致的后果（例如未完结交易处置、账户内权益处置、附随信息或数据处置等）；

(3) 二次确认链接、按钮或验证码；等等。

6. 账户注销后，用户信息必须删除吗？

根据《电子商务法》及GB/T 35273《个人信息安全规范》规定，账户注销后，信息控制者应当删除账户有关的用户信息。

但是，根据GB/T 35273《个人信息安全规范》，“删除”是指在实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可被检索、访问的状态（即逻辑删除），而不是说要求信息控制者必须彻底的、永久的删除用户信息及其备份（即物理删除）。

此外，GB/T 35273《个人信息安全规范》还列明了信息控制者可以拒绝响应用户删除请求的一些常见情形，例如恶意或滥用权利，损害第三方利益，争议解决，等等。

对用户信息进行匿名化处理也是一种常见的“删除”措施。匿名化处理之前，不得继续使用、分享用户信息。

7. 删除后，企业依法必须留存哪些信息和数据？

《电子商务法》及《电信和互联网用户个人信息保护规定》等规定，“依照法律、行政法规的规定或者双方约定保存的，依照其规定”。实践中，对涉及用户信息的数据留存的法律、法规包括但不限于：

(1) 《网络安全法》规定，应当留存相关的网络日志（可能含有用户信息）不少于六个月。

(2) 《电子商务法》，在电子商务争议处理中，电子商务经营者应当提供原始合同和交易记录。结合民事诉讼时效相关规定，该资料至少应当保留三年。此外，电子商务平台经营者应当记录、保存平台上发布的商品和服务信息、交易信息保存时间自交易完成之日起不少于三年（根据2021年5月1日起即将生效的《网络交易监督管理办法》，网络交易平台经营者对平台内经营者身份信息的保存时间自其退出平台之日起不少于三年；对商品或者服务信息，支付记录、物流快递、退换货以及售后等交易信息的保存时间自交易完成之日起不少于三年。法律、行政法规另有规定的，依照其规定。）。

(3) 《网络安全法》、《反恐怖主义法》等法律法规还规定了在发生网络安全事件、违法信息传播事件等情形下，信息控制者的保存责任（暂无期限）；《电子商务法》等还规定了用户评价信息的禁止删除责任。

(4) 此外，根据《食品安全法》、《消费者权益保护法》及《侵权责任法》等法律法规中，在著作权、名誉权、消费者保护等侵权案件中，网络平台还必须提供侵权人的身份信息，否则存在连带责任的法律风险。

8. 账户注销后，账户有关的权益可以删除吗？

账户注销后，根据账户有关的权益类型不同，相应的处置方式也不同。通常情况下：

（1）注销前已经生效的订单仍应履行，未生效的订单可以取消。

（2）注销前已支付但未消费的现金款项（如订金、押金、充值余额等），应当原路退回。

（3）注销前用法定货币（或者具有现金价值的券/币等）购买的权益（例如包月权益、虚拟货币、代金券等），参照《网络游戏管理暂行办法》等规定，应当折算比例后以法定货币返还。

（4）注销前获赠的虚拟权益（例如积分、优惠券或用户等级等），考虑到赠与属性，由于具有较高的账户依赖性，在充分提示用户后，该类虚拟权益可以随着账户注销而取消。此外，考虑到账户注销与账户中止、冻结不同，若注销后用户重新申请账户的，信息控制者可以无需为其恢复虚拟权益。

用户协议如果对上述问题就相反约定且更有利于用户的，应当按照用户协议规定执行。

9. 应当在多长时间内完成注销和删除请求？

《电子商务法》规定的注销及删除的时限是“及时”、“立即”，没有具体的时间限制，主要还是考虑“合理性”；《电信和互联网用户个人信息保护规定》有规定在15日内答复用户有关“投诉”（理论上，删除和注销请求也属于广义“投诉”）；此外，GB/T 35273《个人信息安全规范》规定信息控制者应当及时响应，并在30天内答复用户。
2019年11月28日，国家互联网信息办公室、工业和信息化部、公安部、市场监管总局联合制定了《App违法违规收集使用个人信息行为认定方法》，自印发之日起实施。规定了以下行为可被认定为“未按法律规定提供删除或更正个人信息功能”或“未公布投诉、举报方式等信息”：
1、虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理；
2、未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理的。

综上所述，取其最小值，我们认为，目前在15个工作日内完成注销和删除是一个较为合理的期限；在15日内完成投诉的处理比较合适。

10. 企业是否必须确保第三方删除用户信息？

企业应用户请求删除用户信息后，是否必须确保共享、受让的第三方也同步删除用户信息？这个问题实践中争议较大，企业实施起来也缺乏可执行性和可验证性。

根据GB/T 35273《个人信息安全规范》规定，信息控制者应当发出通知，要求第三方及时删除相应的信息。同时，参考欧盟委员会对该问题的解读提及，企业有义务采取合理的步骤通知处理个人数据的其他公司执行用户请求。

因此，汇业黄春林律师团队认为，企业并不需要实际确保第三方已删除用户信息，而仅需要尽到合理的通知义务。为进一步降低企业法律风险，我们建议企业可与第三方签订专门的数据安全条款或承诺，承诺及时响应并有效执行用户删除请求。