第五章
关于数据主体权利的说明

12. 数据主体权利简要概述：

• 信息公开透明、有效沟通以及促进相关方行使权利
• 知情权——当个人数据是从数据主体处收集时
• 向相关当事人提供告知及应向其提供的信息（若数据控制者并非直接从该当事人处获取个人数据）
• 相关方的访问权
• 更正权
• 被删除权（„被遗忘权”）
• 限制数据处理的权利
• 关于更正或删除个人数据以及限制数据处理的通知义务
• 数据可携权
• 抗议权
• 针对具体案件的自动化决策，包括建立用户画像
• 限制
• 向相关人员通报数据泄露事件
• 向监管机构提出投诉的权利（寻求行政救济的权利）
• 针对监管机构寻求有效司法救济的权利
• 针对数据控制者或数据处理者寻求有效司法救济的权利

13. 数据主体的权利详情如下：

1. 信息公开透明、沟通顺畅，并促进相关方行使权利

1.1. 数据控制者应以简洁、透明、易懂且易于获取的形式，以清晰通俗的语言向数据主体提供有关个人数据处理的所有信息及各项通知，特别是针对儿童的任何信息。 信息应以书面形式或其他方式（在适当情况下包括电子方式）提供。应数据主体的要求，也可提供口头告知，但前提是通过其他方式已核实了数据主体的身份。.

1.2. 数据控制者应协助数据主体行使相关权利。.

1.3. 数据控制者应在无正当理由延迟的情况下，且无论如何应在收到请求之日起一个月内，将根据数据主体行使权利的请求所采取的措施通知该数据主体。 该期限可根据《条例》规定的条件再延长两个月，并须将此情况告知数据主体。.

1.4. 如果数据控制者未根据数据主体的请求采取措施，则应毫不拖延地， 但最迟应在收到申请之日起一个月内，向数据主体说明未采取措施的原因，并告知数据主体有权向监管机构提出投诉，以及有权行使司法救济权。.

1.5. 数据控制者应免费提供相关信息以及关于数据主体权利的告知和相关措施，但在《条例》规定的情况下，可收取费用。.

详细规定见该条例第12条。.

2. 知情权——当个人数据是从数据主体处收集时

2.1. 数据主体有权在数据处理开始之前，获知与数据处理相关的事实和信息。在此框架下，应向数据主体告知以下内容：

• 数据控制者及其代表的身份和联系方式，,
• 数据保护官的联系方式（如有），,
• 关于个人数据拟处理的目的以及数据处理的法律依据，,
• 在基于正当利益进行数据处理的情况下，关于数据控制者或第三方的正当利益，,
• 关于个人数据的接收方（即个人数据将向其披露的对象），以及接收方的类别（如有）；;
• e) 如有必要，应告知数据控制者拟将个人数据传输至第三国或向国际组织传输这一事实。.

2.2. 为确保数据处理的正当性和透明度，数据控制者应向数据主体告知以下补充信息：

• 关于个人数据的保存期限，或者如果无法确定该期限，则关于确定该期限的依据；;
• 数据主体有权向数据控制者请求访问、更正、删除或限制对其个人数据的处理，并有权反对此类个人数据的处理，以及数据主体享有数据可携权；;
• 在基于相关方同意进行数据处理的情况下，应告知其有权在任何时候撤回同意，且该撤回不影响撤回前基于该同意所进行的数据处理的合法性；;
• 向监管机构提交投诉的权利；;
• 关于提供个人数据是否基于法律法规或合同义务，或是否为订立合同的先决条件，以及相关方是否有义务提供个人数据， 此外，未提供个人数据可能带来哪些后果；;
• 关于自动化决策的事实（包括建立个人画像），以及至少在这些情况下所采用的逻辑，以及关于此类数据处理的意义及其对数据主体可能产生的后果的易于理解的信息。.

2.3. 如果数据控制者希望出于与收集个人数据目的不同的目的对个人数据进行进一步处理，则在进行进一步处理之前，必须将该不同目的及所有相关补充信息告知数据主体。.

关于事先知情权的详细规定载于该条例第13条。.

3. 向数据主体告知的情况及应向其提供的信息（若数据控制者并非直接从该数据主体处获取个人数据）

3.1. 如果数据控制者并非从数据主体处获取个人数据，则应在获取个人数据之日起一个月内；如果个人数据用于与数据主体保持联系， 则至少应在首次与数据主体建立联系时；或者若预计将向其他收件人披露该数据，则最迟应在首次披露个人数据时，向数据主体告知第2点所述的事实和信息， 此外，还应告知相关个人数据的类别、个人数据的来源，以及在适用情况下，这些数据是否来自公开渠道。.

3.2. 其他规定应以前文第2点（知情权）中的内容为准。.

该条例第14条规定了此类信息的详细规则。.

4. 数据主体的访问权

4.1. 数据主体有权向数据控制者查询其个人数据是否正在被处理；若正在进行此类数据处理，则有权访问该个人数据及相关信息。 （《条例》第15条）。.

4.2. 如果个人数据被转移至第三国或国际组织，数据主体有权获知关于该转移的、依据《条例》第46条规定的相应保障措施的相关信息。.

4.3. 数据控制者应向数据主体提供作为数据处理对象的个人数据的副本。对于数据主体要求的额外副本，数据控制者可收取基于行政成本的、合理范围内的费用。.

关于相关人员访问权的详细规定载于《条例》第15条。.

5. 更正权

5.1. 数据主体有权要求数据控制者在其提出请求后，在不无故拖延的情况下更正与其相关的不准确的个人数据。.

5.2. 考虑到数据处理的目的，数据主体有权要求对不完整的个人数据进行补充，包括但不限于通过补充声明的方式。.

这些规定载于该条例第16条。.

6. 被删除权（„被遗忘权”）

6.1. 数据主体有权要求数据控制者在其提出请求后，在无正当理由的情况下及时删除与其相关的个人数据；数据控制者有义务在无正当理由的情况下及时删除与数据主体相关的个人数据，如果

• 个人数据已不再用于其被收集或以其他方式处理时的目的；;
• 数据主体撤回了作为数据处理依据的同意，且数据处理没有其他法律依据；;
• 数据主体对数据处理提出异议，且不存在具有优先权的合法理由支持该数据处理，,
• 个人数据被非法处理；;
• 必须删除个人数据，以履行适用于数据控制者的欧盟或成员国法律规定的法律义务；;
• 收集个人数据的行为发生在向儿童直接提供与信息社会相关的服务过程中。.

6.2. 如果数据处理是必要的，则不得行使删除权

• 为了行使言论自由和知情权；;
• 为履行适用于数据控制者的欧盟或成员国法律规定的义务，或为履行基于公共利益或行使授予数据控制者的公共权力而开展的任务；;
• 基于涉及公共卫生的公共利益；;
• 出于公共利益存档的目的、科学和历史研究的目的或统计目的，且如果行使删除权可能会导致该数据处理无法进行或对其造成严重威胁；或者
• 提出、行使和维护法律权利。.

关于删除权的详细规定载于该条例第17条。.

7. 限制数据处理的权利

7.1. 在数据处理受到限制的情况下，除存储外，此类个人数据仅可在数据主体同意的情况下，或为提出、 维护或保护其他自然人或法人的权利，或出于欧盟或某成员国的重要公共利益，方可处理此类个人数据。.

7.2. 如满足以下任一条件，数据主体有权要求数据控制者限制数据处理：

• 若相关当事人对个人数据的准确性提出异议，则该限制措施的适用期限应为数据控制者核实个人数据准确性所需的合理时间；;
• 数据处理属于非法，且数据主体反对删除数据，而是要求限制其使用；;
• 数据控制者已无需为数据处理目的而保留个人数据，但数据主体为提出、行使或维护法律主张而需要该等数据；或者
• 数据主体对数据处理提出了异议；在此情况下，限制措施的适用期限将持续至确定数据控制者的正当理由是否优先于数据主体的正当理由为止。.

7.3. 应事先将解除数据处理限制一事通知数据主体。.

相关规定载于该条例第18条。.

8. 关于更正或删除个人数据以及限制数据处理的通知义务

数据控制者应将所有更正、删除或限制处理的情况通知所有曾接收过该个人数据的收件人， 除非该通知被证明无法实现，或需要付出不成比例的巨大努力。应数据主体的要求，数据控制者应告知其这些接收方的信息。.

这些规定载于该条例第19条。.

9. 数据可携权

9.1. 根据本条例规定的条件，数据主体有权以结构化、通用且可机读的格式获取其向某数据控制者提供的、与其相关的个人数据， 此外，数据主体还有权将这些数据传输给另一数据控制者，且向其提供个人数据的数据控制者不得对此加以阻碍，前提是

• 数据处理基于同意或合同；且
• 数据处理是通过自动化方式进行的。.

9.2. 数据主体也可要求在数据控制者之间直接传输个人数据。.

9.3. 行使数据可携权不得违反《条例》第17条（删除权，即„被遗忘权”）。 如果数据处理是为了公共利益，或者为了履行数据控制者在行使公共权力授权范围内所承担的任务所必需的，则数据可携权不适用。该权利不得对他人权利和自由造成不利影响。.

具体规定载于该条例第20条。.

10. 抗议权

10.1. 数据主体有权基于其个人情况，随时对基于公共利益、履行公共任务（第6条 第(1)款）或正当利益（第6条第f项）为依据对其个人数据进行处理的行为提出异议，包括基于上述规定进行的个人画像分析。 在此情况下，数据控制者不得继续处理个人数据，除非数据控制者能证明该数据处理有具有压倒性正当理由，且该理由优先于数据主体的利益、权利和自由， 或者该处理与提出、行使或捍卫法律主张有关。.

10.2. 如果个人数据的处理旨在进行直接营销，数据主体有权随时反对将其个人数据用于此目的，包括与直接营销相关的个人画像。 如果数据主体反对为直接营销目的而处理其个人数据，则此后不得再为该目的处理该个人数据。.

10.3. 最迟应在首次与相关人员联系时，明确向其说明这些权利，并应以清晰明确的方式呈现相关信息，且该信息应与其他所有信息分开显示。.

10.4. 数据主体也可通过基于技术规范的自动化工具行使反对权。.

10.5. 如果出于科学和历史研究目的或统计目的对个人数据进行处理， 数据主体有权基于自身情况，对涉及其个人的个人数据处理提出异议，但为履行公共利益任务而必须进行数据处理的情况除外。.

相关规定载于该条例的该条中。.

11. 在具体案件中进行自动化决策，包括建立个人画像

11.1. 数据主体有权不受到仅基于自动化数据处理（包括建立个人画像）且对其产生法律效力或对其产生类似重大影响的决定的约束。.

11.2. 如果该决定：

• 为订立或履行数据主体与数据控制者之间的合同所必需；;
• 该决定的作出是根据适用于数据控制者的欧盟或成员国法律允许的，且该法律同时规定了旨在保护数据主体的权利、自由及合法利益的适当措施；或者
• 以相关方的明确同意为依据。.

11.3. 在前文第a)和c)点所述的情况下，数据控制者有义务采取适当措施，以保护数据主体的权利、自由和合法利益，包括至少保障数据主体有权要求数据控制者进行人工干预， 表达其立场，并对该决定提出异议。.

该条例第22条载有其他规定。.

12. 限制

适用于数据控制者或数据处理者的欧盟或成员国法律可通过立法措施限制相关权利和义务（《条例》第12至22条、第34条、 第5条）的适用范围，前提是该限制尊重基本权利和自由的实质内容。.

该限制的条件载于《条例》第23条。.

13. 向相关人员通报数据泄露事件

13.1. 如果数据泄露事件可能对自然人的权利和自由造成高风险，数据控制者应在不无故拖延的情况下，将该数据泄露事件通知数据主体。 该通知应清晰、通俗易懂地说明数据泄露事件的性质，并至少包含以下内容：

• 数据保护官或可提供进一步信息的其他联系人的姓名及联系方式；;
• 必须说明数据泄露事件可能造成的后果；;
• 应说明数据控制者为补救数据保护事件已采取或计划采取的措施，包括在适当情况下为减轻数据保护事件可能造成的负面后果而采取的措施。.

13.2. 如果满足以下任一条件，则无需向数据主体告知：

• 数据控制者已实施适当的技术和组织保护措施，且这些措施已针对受数据保护事件影响的数据予以应用， 特别是那些能够使未经授权访问个人数据的人员无法解读数据的安全措施，例如加密；;
• 数据控制者在发生数据保护事件后采取了进一步措施，以确保该事件对数据主体的权利和自由构成的较高风险今后不太可能再发生；;
• 提供信息将需要付出不成比例的努力。在这种情况下，应通过公开发布的信息向相关方提供信息，或采取类似措施，以确保向相关方提供同等有效的信息。.

该条例第34条载有其他规定。.

14. 向监管机构提出投诉的权利（寻求行政救济的权利）

数据主体有权向监管机构提出投诉——特别是向其惯常居住地、 工作地点或涉嫌侵权行为发生地的成员国——向监管机构提出投诉，前提是该数据主体认为对其个人数据的处理违反了《条例》。 受理投诉的监管机构有义务向当事人通报与投诉相关的程序进展及处理结果，包括告知当事人有权寻求司法救济。.

这些规定载于该条例第77条。.

15. 针对监管机构享有有效的司法救济权

15.1. 在不影响其他行政或非司法救济途径的前提下，所有自然人和法人均有权针对监管机构对其作出的具有法律约束力的决定，寻求有效的司法救济。.

15.2. 在不影响其他行政或非司法救济途径的前提下， 如果主管监督机构未处理投诉，或未在三个月内向相关当事人通报所提交投诉的处理进展或结果，则所有相关当事人均有权获得有效的司法救济。.

15.3. 针对监管机构的诉讼，应向监管机构所在地成员国的法院提起。.

15.4. 如果针对监管机构某项决定提起诉讼，而该决定此前已在统一机制框架内由委员会发表过意见或作出过决定，则监管机构有义务将该意见或决定提交给法院。.

这些规定载于该条例第78条。.

16. 针对数据控制者或数据处理者寻求有效司法救济的权利

16.1. 在不影响现有行政或非司法救济途径（包括向监管机构提出投诉的权利）的前提下， 所有相关方均有权获得有效的司法救济，如果其认为因个人数据未按本条例规定进行处理，导致其根据本条例享有的权利受到侵犯。.

16.2. 针对数据控制者或数据处理者的诉讼，应向数据控制者或数据处理者开展业务活动的成员国法院提起。 此类诉讼也可在数据主体惯常居所所在成员国的法院提起，除非数据控制者或数据处理者是某成员国行使公权力的公共机构。.

这些规定载于该条例第79条。.

签署于布达佩斯，2026年8月31日。.