【条文主旨】
本条是关于个人在个人信息处理活动中的权利救济方式的规定。
【条文理解】
一、本条在立法过程中的沿革变化
在中国人大网公布《个人信息保护法（草案）》征求意见稿中，本条规定为：“个人信息处理者应当建立个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。”在《个人信息保护法（草案二次审议稿）》征求意见时，本条规定无变化。
2021年8月17日，全国人民代表大会
宪法和法律委员会对《个人信息保护法（草案三次审议稿）》进行了分组审议。审议中，有的常委委员提出，应当要求个人信息处理者提供便捷的途径，并明确个人向人民法院起诉寻求救济的权利，以更好保障个人行使个人信息查询、复制等权利。宪法和法律委员会经研究，建议在《个人信息保护法（草案三次审议稿）》第50条中增加以下规定：一是个人信息处理者应当建立“便捷的”个人行使权利的申请受理和处理机制；二是个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。该意见被吸收采纳，形成现在的条文规定。
这次修改中，在申请受理和处理机制前增加“便捷的”限定词具有鲜明的立法导向，要求个人信息处理者不仅要建立个人行使权利的申请受理和处理机制，而且要求相关机制必须是便捷的，不能人为设置过于复杂、不易操作的申请受理和处理机制。例如，采用交互式页面（如网站、移动互联网应用程序、客户端软件等）提供产品或服务的，宜直接设置便捷的交互式页面提供功能或选项，便于个人信息主体在线行使其访问、更正、删除、撤回授权同意、注销账户等权利。[1]这次修改还明确了个人可以诉诸司法救济，即增加规定“个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼”。司法是社会纠纷解决的最后一道防线，本条明确个人的诉权对于强化保护个人信息的司法保护具有重要意义。
二、申请受理机制、处理机制和说明理由机制
根据本法第四章的规定，个人在个人信息处理活动中拥有知情权、决定权，查阅权、复制权，更正权、补充权，删除权等诸多权利，个人行使这些权利需要个人信息处理者提供必要的条件。
本条规定在第四章“个人在个人信息处理活动中的权利”之中，有学者认为，该条确立了个体参与原则，[2]也有人认为，本条似乎更多是规定个人信息处理者之义务而非个人之权利，规定在第五章“个人信息处理者的义务”中更为合适。事实上，权利和义务是相对的，个人的权利对应的就是个人信息处理者的义务，个人行使权利的申请受理和处理机制的健全是保障个人权利有效行使的关键环节，也是个人参与个人信息处理的重要途径和方式，纳入“个人在个人信息处理活动中的权利”一章具有鲜明的导向和宣示意义。
《
民法典》第1195条、第1196条的规定确立了“通知与取下”和“反通知”制度，[3]《
网络安全法》第49条规定网络运营者应当建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。本条在吸收这些规定和其他规定的基础上，确立了申请受理机制、处理机制和说明理由机制。
（一）申请受理机制
个人行使知情权、决定权，查阅权、复制权，更正权、补充权，删除权等权利需要个人信息处理者加以配合，申请受理机制是个人向个人信息处理者行使权利的有效方式。个人信息处理者应当以恰当的方式明确个人信息处理者的名称或者姓名、联系方式，以及接受个人行使各项权利的途径和方式，保证申请受理机制的畅通。对于申请受理机制，本条明确要求须是“便捷的”。个人信息处理者的申请受理机制应当以方便个人提出行使权利的申请为目的，不得对个人行使权利设置不必要的障碍。例如，《个人信息保护法》第15条第1款规定，基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。这条规定属于申请受理机制的具体组成部分。
（二）处理机制
“处理机制”在个人信息相关法律文本中存在不同含义，例如，GDPR中的“处理机制”多指个人信息处理者处理个人信息的程序、算法、方式等。本条中的处理机制并非个人信息处理机制，而是指个人信息处理者在收到个人的行权请求或者有关投诉后，及时处理个人的相关要求的程序机制。[4]处理机制不能认为是个人信息处理者内部的程序，处理机制不得与《民法典》《个人信息保护法》《网络安全法》等
法律法规的规定相抵触，处理机制应能充分保护个人的各项权利，并及时将处理结果向权利人反馈。
需要说的是，处理机制包括紧急情况下的采取必要措施的机制。例如，根据《使用人脸识别技术处理个人信息民事案件规定》第9条的规定，自然人有证据证明信息处理者使用人脸识别技术正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，向人民法院申请采取责令信息处理者停止有关行为的措施的，人民法院可以根据案件具体情况依法作出人格权侵害禁令。而个人信息处理者应当建立健全相应的处理机制，在接到权利人或者人民法院有关要求后，确保能够及时采取停止有关行为的措施。
（三）说明理由机制
知情权、决定权，查阅权、复制权，更正权、补充权，删除权等权利是法律赋予个人的权利，个人信息处理者拒绝个人行使权利的请求的，应当说明理由。理由包括申请人不是权利人、信息处理者的信息处理行为合法、信息处理者信息处理符合双方的约定等。
个人信息处理者拒绝个人行使权利的请求的，应当说明理由，这并不意味着只要说明理由，就可以拒绝信息主体行使权利的请求。个人信息处理者无正当理由拒绝权利人行使权利造成损害的，应当承担责任。个人信息处理者拒绝个人行使权利的请求时应当说明理由，这一方面可以保证个人信息处理活动的公开透明，保障个人的知情权，另一方面也可以防止个人信息处理者任意拒绝权利人的合理请求，并且在个人提起诉讼时方便法院判断个人信息处理者拒绝个人行权的行为依据是否充分、是否合法。[5]
三、个人提起诉讼的权利
根据本条第2款规定，个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。本条并未限定提起诉讼的性质，不可当然认为个人只能提起民事诉讼。《个人信息保护法》第33条规定：“国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定”；该法第37条规定：“法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。”也就是说，国家机关以及法律、法规授权的具有管理公共事务职能的组织也可以成为《个人信息保护法》上的个人信息处理者，因此，根据个人信息处理者身份的不同，个人可以分别提起行政诉讼或民事诉讼。
（一）提起行政诉讼
处理个人信息活动的国家机关或者履行法定职责处理个人信息的法律、法规授权的具有管理公共事务职能的组织拒绝个人行使权利请求的，个人提起的诉讼符合《
行政诉讼法》第12条和第25条规定的受案范围和原告资格的，人民法院应依法作为行政诉讼案件受理。当然，本条并不排除个人在提起行政诉讼前可以按照相关规定提起行政复议。但是，对于法律、法规规定应当先向行政机关申请复议，对复议决定不服再向人民法院提起行政诉讼的，依照法律、法规的规定。
（二）提起民事诉讼
根据《
民事诉讼法》第119条规定，起诉必须符合下列条件：（1）原告是与本案有直接利害关系的公民、法人和其他组织；（2）有明确的被告；（3）有具体的诉讼请求和事实、理由；（4）属于人民法院受理民事诉讼的范围和受诉人民法院管辖。个人认为相关权利被个人信息处理者侵害的，有明确的原告和被告，与案件有直接利害关系，也有具体的诉讼请求、事实和理由，符合《民事诉讼法》关于受理条件的规定，可以依法提起诉讼。为方便权利人行使诉权，2020年新修订的《民事案件案由规定》也专门增加了个人信息保护纠纷案由。从实体法角度说，《民法典》《个人信息保护法》《网络安全法》及相关法律法规和
司法解释为个人行使诉权提供了法律依据。
【条文适用】
本条第1款规定的是个人向个人信息处理者提出行使权利的请求，第2款规定的是在个人信息处理者拒绝个人行使权利的请求的情况下，个人可以提起诉讼。本条在适用中，需注意个人向个人信息处理者提出权利诉求、个人信息处理者拒绝个人行使权利的请求与向人民法院提起诉讼的关系。
首先，本条倡导个人行使权利时应先向个人信息处理者提出。个人行使权利的相对方是个人信息处理者，个人的权利诉求应向个人信息处理者主张。个人信息处理者应通过便捷的申请受理和处理机制，保障和满足个人的合法权利诉求。因为个人信息处理者有能力回应个人的合理行权诉求，引导个人先向个人信息处理者主张权利，一方面有利于纠纷从源头化解，另一方面也是高效、实质化解纠纷的需要。
其次，对于个人信息处理者拒绝个人行使权利的请求的，该个人可以提起诉讼。如果个人信息处理者满足了个人行使权利的请求，纠纷得以解决，无须诉至法院，纠纷通过个人信息处理者的内部程序加以解决，这也是本条的立法导向，避免大量纠纷直接诉诸法院。如果个人信息处理者拒绝了个人行使权利的请求，个人认为该拒绝损害其个人信息权益的，可以向人民法院起诉。
最后，个人信息处理者提出权利诉求且个人信息处理者拒绝个人行使权利的请求不是向人民法院提起诉讼的前置条件。[6]《民事诉讼法》第124条规定：依照法律规定，应当由其他机关处理的争议，告知原告向有关机关申请解决，人民法院不予以处理。诉权是公民、法人和非法人组织的一项基本权利，限制诉权须有法律的明确规定。本条倡导个人行使权利时先向个人信息处理者主张，但并不是法律的强制，个人可以不经向信息处理者主张行权而直接向人民法院起诉。例如，在情况紧急的情况下，个人可以不向个人信息处理者主张权利而直接向人民法院起诉。
