个人信息删除既是个人信息保护法所规定的一项权利，同时也是个人信息处理者的一项法定义务。但个人信息删除权的行使，有时会受制于特定的法律规定。其中金融机构反洗钱义务项下的保存责任，在法定期限内可以对抗个人删除请求。同时，由于金融机构可能同时为用户提供多种服务，用户在公司不同部门开立了不同账户且均留存了个人信息，什么情况属于“停止提供产品或者服务”？也是金融机构业务实践中常见的问题。本文以某用户诉金融机构删除个人信息案为分析样本，讨论“停止提供产品或者服务”的认定标准，以及法定保存期限对删除权的限制。本案中，作者代理金融机构应诉，并维护了金融机构的利益。

原告于某金融机构先后开立两个账户，第一个账户于2018年销户，第二个账户于2023年销户。2024年6月，原告以个人信息保护纠纷为由提起诉讼，请求判令该金融机构限期删除其全部个人信息，包括敏感个人信息及生物识别等敏感信息。

被告答辩认为，依据《中华人民共和国反洗钱法》（以下简称《反洗钱法》）关于客户身份资料和交易记录保存的规定，客户身份资料自业务关系结束后、交易记录自交易结束后应当至少保存五年；虽然第一个账户销户时间较早，但双方业务关系并未终结，不构成“停止提供产品或者服务”，而应以最后一个账户销户的2023年起算个人信息的保存期限，故删除条件尚未成就。

本案争点可归纳为两点：其一，“业务关系结束”应以单个账户销户为准，还是以客户与机构之间全部账户销户，即金融机构与客户之间的业务关系终结为准；其二，在法定最短保存期内，个人能否行使删除权。

首先需要指出的是，被告答辩所援引的《中华人民共和国反洗钱法》关于客户身份信息及交易记录的保存最低时间为“五年”，而根据2024年11月8日修订通过的《中华人民共和国反洗钱法》第三十四条的规定，金融机构应当按照规定建立客户身份资料和交易记录保存制度，客户身份资料在业务关系结束后、客户交易信息在交易结束后，应当至少保存十年，修订后的《反洗钱法》已于2025年1月1日起施行。如果按照修订后的《反洗钱法》，即便是第一个账户的销户时间，依然没有超出法定保存时间的要求。

（一）权利属性

《中华人民共和国个人信息保护法》（简称《个人信息保护法》或《个保法》）第四十七条第一款列举了五项删除事由，包括（1）处理目的已实现或不再必要；（2）处理者停止提供产品或服务、保存期限届满；（3）个人撤回同意；（4）违法或违约处理；（5）法律行政法规规定的其他情形。第二款则规定了不能删除时的替代处理规则。《中华人民共和国民法典》（简称《民法典》）第一千零三十七条第二款和《中华人民共和国网络安全法》第四十五条亦从不同角度规定了个人信息的删除请求权。

如，《民法典》规定，自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。虽然并未明确界定上述五种删除的情形，但根据其中所规定的“违反法律、行政法规的规定”，即可援引《个保法》第四十七条的规定，成为民事诉讼请求权的基础。

关于个人信息删除的权利属性，王利明教授认为，删除权“在性质上属于个人信息的一项权能，且是人格权请求权的具体体现”，是一种“防御性权利”¹。按照这一观点，删除权并非对个人信息的积极支配，而是在处理行为丧失合法性与必要性基础时，请求处理者停止个人信息处理活动的消极防御。作为一种防御性权利，删除权的行使应受场景的约束，不能脱离具体的个人信息处理活动作抽象主张。

（二）删除义务的触发与例外

1、删除义务的触发条件

《个保法》第四十七条规定了应依法主动删除个人信息的几种情况，分述如下：

（1）处理目的已实现或不再必要；个人信息处理的目的达成后，继续保存即丧失正当性基础。例如用户仅为办理某项业务而提交的资料，业务办结后可以视为处理目的已经实现，处理者即应对个人信息予以删除。不再必要，通常发生在业务尚未达成的场景，比如双方在办理某项业务过程中，个人信息处理者获取了交易对方的信息，但双方并未达成交易，此时个人信息处理已经不再必要，就需要删除信息。

（2）处理者停止提供产品或服务、保存期限届满；本项是本案的争点所在。“停止提供产品或者服务”既包括处理者单方终止服务，也包括用户销户、注销等主动终止情形；“保存期限届满”则与法定保存义务相衔接。

（3）个人撤回同意；基于同意的处理，个人有权撤回同意（《个保法》第十五条），撤回后相应的处理活动丧失合法性基础，处理者应停止处理并删除相关信息；但撤回不影响撤回前基于同意已进行的处理活动的效力。

（4）违法或违约处理；处理者违反法律、行政法规或者与个人的约定处理个人信息的，如超范围收集、未经同意对外提供、强制捆绑授权等，个人有权要求删除。这一条与《民法典》第一千零三十七条第二款的规定类似。

（5）法律行政法规规定的其他情形。本项一般衔接其他法规上的特殊删除规则，例如《征信业管理条例》第十六条规定的征信机构对不良信息保存期限届满后应当删除等情形，均可经由本项纳入删除请求权的范围。

2、删除义务的例外

上述《个保法》第四十七条第一款所规定的几种删除触发条件成就时，个人信息处理者并不必然需要删除个人信息。《个保法》第四十七条第二款规定了删除的例外情形，该条款规定“法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。”

该款规定包含两层含义。其一，保存期限未届满，构成删除权的法定限制。但不能删除并不意味着个人信息处理的不受限制，而是“不得进行除存储和必要安全保护之外的处理”，即只能以安全的方式进行存储。第二，对于保存期限，应遵循“法律、行政法规”的规定。

（三）权利行使与救济

删除权的行使，按照法律规定，有两种途径，一是通过个人信息处理者建立的申请受理和处理机制，二是通过人民法院提起诉讼。

根据《个保法》第五十条的规定，个人信息处理者应建立便捷的申请受理和处理机制，个人可根据受理处理机制向处理者提出删除的请求。此外，个人可以依法向人民法院提起诉讼，在侵权责任规则原则上，《个保法》第六十九条采过错推定，个人信息处理者需就处理行为合法性承担举证责任，这在一定程度上缓解了个人在技术能力与证据掌握上的结构性弱势。

1、通过处理者建立的申请受理渠道要求删除

实践中，处理者通常通过客服热线、APP内功能设置、官方邮箱等途径受理删除请求。个人提出请求后，处理者应当及时核验请求人身份，在合理期限内作出处理，并如实告知处理结果；拒绝删除的，应当说明理由并告知后续救济途径。需要提示的是，建立便捷的申请受理和处理机制属于《个保法》第五十条的强制性义务，处理者未建立相应机制或者怠于处理的，本身即构成违规，可能引发行政处罚责任。

2、向人民法院提起诉讼

个人可以“个人信息保护纠纷”为案由向人民法院提起诉讼，请求判令处理者限期删除个人信息，并可向个人信息处理者主张赔礼道歉、赔偿损失。本案中，原告即以个人信息保护纠纷为由，请求判令金融机构限期删除其全部个人信息。需要注意的是，删除请求能否成立，取决于《个保法》第四十七条第一款所列情形是否成就，以及是否存在第二款规定的法定保存期限、技术障碍等阻却事由，这正是本案实体审查的中心。

（一）单一账户场景

如果客户在金融机构仅用一个账户开通一种服务，属于单一服务场景。在单一账户场景下，“业务关系结束”即指该账户销户。此时账户与业务关系结束时间的起算点清晰，争议不大。如果法律法规对于用户个人信息规定了最短保存期限，则客户申请账户销户的时间，即为保存期限的起始时间。法定保存期限届满，金融机构即应删除用户的个人信息。

（二）多账户场景

多账户场景下存在两种解释可能。其一为“整体说”，即同一客户在同一机构开立多个账户的，多个账户均为整体的服务关系组成部分，应以最后一个账户销户之日为业务关系结束之时。在本案中，被告即采用这一观点。从反洗钱法的视角来看，可疑交易监测需要将同一客户名下多个账户的资金往来合并分析，若分批删除，可能割裂资金链条，削弱监测能力。其二为“分别说”，即每一个账户对应一个独立的业务关系，各自销户、各自起算删除期限的起算时点。

笔者认为，当客户在同一金融机构开设多个账户，的情况下，判断业务关系结束，停止提供产品或服务的时点，应以所有账户均注销作为标志，即应采取“整体说”²。

需要说明的是，在构成《个保法》第四十七条第一款所规定的几种删除触发条件后，即便存在法定保存期，此时的保存义务亦并非无边界的“保管权”，而是构成一种法定义务。也就是说，保存不是个人信息处理者的权利，而仅仅是一种法定义务的遵循。这就意味着，在法定的保存期限内，个人信息处理者应遵循如下的限制：

1、保存的个人信息范围限制。保存对象仅限于法定的客户身份资料与交易记录，不及于营销信息、用户画像标签、模型训练数据等。超出法定保存范围的信息，如果没有客户的进一步授权，即使在法定保存期内，也应予以或进行匿名化处理。

2、保存后的个人信息使用目的限制。保存仅供反洗钱、司法协助等法定目的使用，不得用于营销推广、产品优化、对外提供或商业利用。《中华人民共和国反洗钱法》第三十七条明确要求，反洗钱信息共享“不得用于反洗钱和反恐怖主义融资以外的用途”。

3、保存仅限于采取个人信息的“存储”措施。保存期内只能“存储”并采取必要安全保护措施，不得对个人信息采取使用、加工、提供、公开等处理措施，但是为了存储的目的，可以在存储安全空间内进行必要传输，比如金融机构将存储的个人信息进行必要的异地安全备份。同时，金融机构应实施权限隔离、加密存储、脱敏展示等数据安全管理措施和技术措施，并严格限制数据的调用。

此外，实务中常以“技术上难以删除”作为抗辩。对此应作限缩解释：所谓“难以实现”，应依据客观标准，结合当前技术条件判断删除是否可行或是否需要付出不合理成本，而不能由处理者以系统架构复杂、改造成本高为由自行认定。即便客观上难以物理删除，亦应依据《中华人民共和国个人信息保护法》第七十三条第四项进行匿名化处理，且须达到“无法识别特定自然人且不能复原”的程度；仅作字段隐藏、假名替换而未切断关联性的，不构成合法替代。

综上，个人信息删除权的边界由两个维度共同划定：一是权利的触发条件，即《个保法》第四十七条第一款所列举的删除事由是否成就；二是法定保存期限等阻却事由所产生的对抗效力。就金融机构而言，法定的保存期限可以对抗个人的删除请求，但保存本身不是权利而是义务，应受保存范围、使用目的与保存方式的严格约束。个人而言，删除权的行使亦应尊重反洗钱等基于公共利益的制度安排。