IAPP加拿大专栏：数据删除从“政策承诺”走向“可验证证明”——加州审计提案与C-36法案的启示

IAPP加拿大专栏作者Kris Klein撰文指出，数据删除权在纸面上看似简单，实践中却极难兑现——删除一条记录容易，但证明它已从所有副本、派生数据与外发渠道中彻底消失则非常困难。加州隐私保护局（CalPrivacy）8月7日发布的一项初步审计提案，正试图从根本上改变这一局面。

该提案要求数据经纪商证明删除请求确实生效：不能仅援引隐私政策或取得管理层书面证明，而须提交系统测试结果、操作日志、数据映射和抽样记录等实质性证据，证明删除已覆盖所有相关系统，包括服务商与承包商持有的数据，以及据此生成的画像、推断等派生信息。提案仍处初步阶段，尚未进入正式规则制定程序。

作者强调此举对加拿大具有直接借鉴意义。加拿大C-36法案拟创设个人信息处置义务与个人处置请求权，要求组织在处置信息后确保下游服务商同步删除，同时赋予监管机构审计权，包括在特定情形下要求提供第三方合规报告。

现代组织运行数十乃至数百个包含个人信息的系统，副本散落于生产环境、分析工具、归档和服务商系统中，原始数据还可能衍生成评分、画像等产物。仅删除源记录无法回答整个信息生态的问题，政策声明与管理层认证都难以构成有效证明。

作者预测，随着隐私项目走向成熟，监管讨论将从“个体是否享有删除权”转向“组织能否证明权利真正落地”。隐私专业人员应将可审计性视为设计阶段的硬性要求而非事后合规，这一转变看似细微，实则意义重大。