處理 GDPR 被遺忘權請求：合規團隊的實務工作流程

處理 GDPR 被遺忘權（GDPR 第 17 條，即刪除權）請求，核心動作只有四項：核實請求人身份；判斷請求在第 17 條下是否成立，以及第 17 條第 3 款（Art. 17(3)）的例外是否適用；在一個月內執行刪除（或作出有理據的拒絕）；並將你所做的一切及其原因完整記錄。本文面向 SaaS 企業的 DPO（資料保護專員）、合規主管及營運經理，逐步拆解整個流程——包括一個真正棘手的情況：資料當事人的個人資料存於已簽署合約及審計紀錄之中，而這些紀錄可能恰恰不容刪除。

本指南屬科普性質，依據公開的 GDPR 條文（第 12 條第 3 款 Art. 12(3)、第 17 條、第 17 條第 3 款、第 5 條第 2 款 Art. 5(2)）撰寫，不構成法律意見；邊緣個案請與貴司法律顧問確認，或參考監管機構的指引。

GDPR 第 17 條規定，凡符合六項法定事由之一，任何歐盟／歐洲經濟區（EU/EEA）的資料當事人均有權要求「在無不當延誤的情況下」刪除其個人資料。實務上與企業團隊最相關的事由包括：

資料對當初收集的目的已不再必要。
資料當事人撤回同意，且處理再無其他法律依據。
資料當事人反對處理，且不存在壓倒性的合法利益事由。
資料自始即屬被違法處理。
為履行法律義務而必須刪除。
資料是就資訊社會服務向兒童收集的。

有兩個範圍界定問題，常在早期便令團隊失足。第一，請求針對的是個人資料——即能識別自然人的資訊——不適用於公司、不適用於已匿名化的資料，也不適用於你實際從未持有的資料。第二，該權利涵蓋你控制下任何位置的資料：生產資料庫、CRM、市場推廣自動化工具、客戶服務工單、電子簽署平台、備份，以及你曾分享資料的所有下游處理者。第 17 條第 2 款（Art. 17(2)）更補充：若你已將資料公開，必須採取合理措施，通知其他正在處理該資料的控制者有人提出了刪除請求。

一個月的時限（以及何時可以延長）

第 12 條第 3 款（Art. 12(3)）設定了期限：在無不當延誤下作出回應，且無論如何須於收到請求後一個月內完成。時鐘由你收到請求之日起計——而非由你的工單系統把它分派到正確隊伍那一天起計。受理環節的紀律之所以如此重要，原因正在於此。

你最多可延長兩個月，但僅限於請求複雜、或請求數量眾多的情況。若決定延長，必須在第一個月內告知資料當事人、解釋原因，並訂明新的期限。「我們太忙」不構成複雜性理由；跨多系統的資料核對、龐大的資料量，或確實互相衝突的法律義務，方可構成。

請把這個期限視為硬性營運約束：數天內確認收訖，把完成目標定在遠早於一個月的位置，並將延期通知函製成範本——令啟用延期成為一項決定，而非臨時手忙腳亂。

刪除任何資料之前，先核實請求人身份

刪除不可逆，因此身份核實是整個工作流程中風險最高的一步。第 12 條第 6 款（Art. 12(6)）容許你在對請求人身份有合理懷疑時，要求其提供確認身份所需的額外資料。

比例原則是總綱：要求提供足以令你信納的證明，但不得索取超出你現有資料範圍的資訊，更不得藉核實之名收集新的個人資料。可規模化的實務做法包括：驗證對方對存檔電郵地址的控制權；要求提供只有資料當事人本人才知道的交易或賬戶編號；或使用既有的已驗證登入。若請求人透過其過往使用過的同一已認證渠道與你聯絡，該渠道本身通常已足夠。

若仍無法確認身份，你可以拒絕採取行動——但必須明確告知、解釋原因，並說明甚麼能消除疑慮。這裡與簽署流程有一個平行參照：用於認證簽署人身份的同一類核驗技術，例如為簽署人啟用雙重認證（2FA），正是判斷遠程身份主張「多少保障才算足夠」的有益先例。

何時可以拒絕或限制刪除請求

第 17 條第 3 款（Art. 17(3)）列出刪除權不適用的情況。下表對應最常見的業務場景、拒絕是否一般站得住腳，以及應寫入紀錄的內容。

拒絕事由（第 17 條第 3 款）	可否拒絕？	應記錄甚麼
行使言論及資訊自由	可以，在適用範圍內（對典型 SaaS 資料較罕見）	公共利益依據及已進行的權衡測試
履行法律義務（歐盟或成員國法律）	可以——例如稅務、會計、反洗錢的法定保留期限	具體法規條文、其保留期限，以及法律依據的對應關係
公共衛生領域的公共利益	可以，限於狹窄的健康資料場景	公共衛生事由及比例性評估
公共利益存檔、科學／歷史研究或統計	可以，前提是刪除將嚴重損害該目的	為何該目的會受損害；已採取的保障措施
法律申索的確立、行使或抗辯	可以——這是已簽署協議最常用的例外	申索風險的性質、訴訟保全狀態及預計持續時間
履行合約仍然需要（第 17 條第 1 款 a 項事由不成立）	實質上可以——資料仍屬必要	存續中的處理目的、為何仍然必要，以及覆核日期

有兩個習慣能令拒絕經得起考驗。第一，能部分拒絕便部分拒絕：即使合約紀錄必須保留，市場推廣資料及客戶服務往來仍應刪除。把資料最小化原則應用於拒絕本身，正是監管機構期望看到的做法。第二，務必回應——拒絕也是一種回應，且必須援引所依據的例外條款，並告知請求人有權向監管機構投訴或尋求司法補救。

已簽合約難題：刪除權與簽署證據之間

實務中最尖銳的張力出現在已簽署協議上。一位前客戶行使第 17 條權利，而其姓名、電郵、IP 地址及簽署事件，都嵌在已生效的合約與審計紀錄之中。刪掉它們感覺不對；全部保留又彷彿無視請求。

通常的解法是分層處理。第一，記錄雙方義務的已簽合約，一般落入「法律申索」例外或法定保留義務的範圍——你保留它們，並在回覆中明說。簽署證據存在的意義，正是證明誰同意了甚麼；例如每個簽署信封附帶的完成證明書（certificate of completion）這類電子簽署審計紀錄，正是為「以防篡改方式記錄這一切」而設計的。

第二，對核心紀錄以外的一切應用最小化。與該人相關的市場推廣檔案、產品分析資料、客戶服務對話、草稿或未簽署文件，通常都可刪除。第三，當文件必須保留、但不再需要持續識別該人時，可考慮對非必要欄位作匿名化或假名化處理——例如在保留已簽署文書的同時隱去個人電郵——而非把日後爭議中可能需要的證據整體刪除。妥善匿名化的資料完全落在 GDPR 適用範圍之外；但「妥善」的門檻很高，應視之為法律判斷，而非技術上的預設做法。

這亦是一課採購課。評估平台時，簽約前便要查清廠商如何處理保留、刪除與資料駐留——諸如面向 Adobe Sign 用戶的 GDPR 與 eIDAS 採購核查事項，以及eIDAS 合規電子簽署指南，展示的正是成熟買家針對這些控制點會提出的問題。

處理刪除請求的逐步工作流程

把這份清單當作可重複執行的標準作業程序。

受理及登記。 請求到達當天，即在專用登記冊記錄請求內容、收訖日期、渠道及請求人資料，並指派負責人。
確認收訖。 向請求人確認收到，說明一個月期限，並管理其預期。
核實身份。 執行合乎比例的核驗。僅當核驗確實失敗時才暫停實質處理，並記錄該疑慮。
界定資料範圍。 查詢該人資料所在的每一個系統——CRM、計費、客戶服務、市場推廣、產品分析、電子簽署平台、資料倉庫及備份，並涵蓋處理者與次處理者。
評估事由與例外。 就每個資料類別，記錄刪除事由、可能適用的第 17 條第 3 款例外、保留義務及訴訟保全狀態。有爭議的事項須取得法務批核。
執行。 刪除必須刪除的，適當地匿名化，保留必須保留的。向處理者發出刪除指示並確認完成。
回覆。 告知請求人哪些已刪除、哪些被保留、每項保留的法律依據，以及其向監管機構投訴的權利。
記錄及覆核。 將完整紀錄歸檔至登記冊；註明曾否啟用延期；為所保留資料在保留期屆滿時安排刪除。

第 5 條第 2 款下的文件紀錄與問責

第 5 條第 2 款（Art. 5(2)）——問責原則——意味著你必須能夠證明合規，而不僅僅是做到合規。請求登記冊是核心載體：每項記錄應載明收訖日期、身份核驗方式、曾檢索的系統、各資料類別的處理決定、所援引的例外、已採取的行動、處理者確認、回覆日期及回覆內容。

有兩項配套控制，回報遠超投入。其一是保持更新的資料地圖，能把工作流程第 4 步由「搜證式排查」變成快速查詢。其二是供應商盡職審查，確保你的處理者確有能力執行刪除指示——SOC 2 Type II 報告這類安全核證，表明廠商的控制措施經過獨立審查；而具備審計紀錄的電子簽署方案這類平台功能，則讓你紀錄中的證據部分始終站得住腳，即使你在其他環節不斷壓縮個人資料。

最後，把刪除與欺詐風險一併考量：刪除請求本身也是一種社交工程攻擊途徑，因此對異常請求，要拿出你審視電子簽署欺詐風險時同樣的存疑態度——先核實，再行動。

以 Nota Sign 簡化合規工作流程

要妥善處理刪除請求，前提是清楚個人資料落在文件體系的哪個位置——並且所依托的平台能提供清晰的審計紀錄、保留控制及區域資料駐留選項。Nota Sign 是法大大（FaDaDa）旗下的全球電子簽署平台，正是為這樣的營運環境而生：連續多年位居 IDC 中國電子簽名軟件市場第一，法律覆蓋 100+ 個國家及地區，並具備深厚的亞太合規能力，包括 iAM Smart、Singpass、SES/AES/QES 各簽署級別，以及區域數據中心。

Nota Sign 的收費模式對合規團隊同樣友好：不設按席位收費，中小團隊推行受規管的簽署流程，不會隨人數增長而出現成本膨脹；中大型及企業客戶則可按其資料駐留與工作流程要求，獲得量身定制的方案。

如果你正在審視自家電子簽署體系如何處理審計紀錄、保留與跨境資料，歡迎聯絡 Nota Sign 團隊，談談你的合規需要。