知识科普：数据删除等同于数据销毁吗？

Posted 2021-12-24 tanovo

在《中华人民共和国个人信息保护法》（简称：个保法）中，指出了个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。在《中华人民共和国数据安全法》（简称：数安法）中，指出了数据处理活动包含数据的收集、存储、使用、加工、传输、提供、公开。关于数据删除或者数据销毁，个保法中提到了个人信息的删除，在数安法中没有涉及。那么，数据删除是否等同于数据销毁？

数据删除不等同于数据销毁，两者之间不具有替代性。涉及个人行驶个人信息删除权利时，适应于数据删除；涉及数据安全体系或数据生命周期安全时，适应于数据销毁。下面从技术角度和法律法规角度分析数据删除与数据销毁。

从技术角度来讲，数据删除和数据销毁不同。数据删除是一种逻辑删除，在物理上来看，经过删除的数据在物理层面依然是存在于存储介质上，通过一定的技术手段可能恢复出原始数据。数据销毁是从软销毁、硬销毁两个方面进行数据的处理，经过销毁的数据不能再恢复。软销毁比如对数据进行删除或者使用擦除软件对数据进行多次的覆写、清除（如使用0反复覆盖磁盘上的原始数据）；硬销毁比如熔炉中焚化、借助外力粉碎等等。数据删除属于数据软销毁的一种。从这个角度理解，数据删除的范围相比数据销毁要小，数据删除的技术处理力度以及最终产生的安全效力相比数据销毁来讲，要弱一些。从数据安全性来讲，数据销毁是数据生命周期终止的一个重要环节，不可恢复是数据生命周期终结的关键指标，因此，数据销毁是保障数据安全的重要一环。

图1 数据删除

图2 数据销毁——数据覆写与物理焚烧

从法律法规角度来讲，数据删除和数据销毁不同。个保法是目前唯一提到“删除”的法律法规。个保法中的“删除”，是指个人信息的删除，在权利描述上，“个人信息的删除”对应的是“删除权”，要求个人信息处理者为个人提供删除的响应，这一响应不等同于数据安全领域的数据销毁。数安法中没有提及数据销毁，这基本上延续了以往国家法律法规的习惯。在国家法律法规层面，一般不把数据销毁列入约束范围，但数据销毁作为数据生命周期的一个重要环节，多在标准要求、数据安全体系建设方法等方面做出约束。

数据删除不等同于数据销毁，数据删除不可替代数据销毁。涉及个人信息删除权利时，适应于数据删除；从数据安全的角度来讲，适应于数据销毁。专门针对个人信息处理而制定的相关标准，数据删除具有适应性；如制定通用的数据安全相关标准（适应范围包含非个人信息和个人信息），数据销毁具有适应性。GB/T 35273-2020《个人信息安全规范》中对个人信息删除的处理做了约定；工信部发出的《工业和信息化领域数据安全管理办法（试行）》（征求意见稿）是数据安全法规层面首次明确了数据销毁，可供各方参考。