请设想法庭上最常见的情形：欠款确定，合同告知无误，在失信人员登记系统中的登记也完全合法。数月之后，债务人——或者一家专办批量诉讼的律所——寄来一份删除个人数据的请求。贵公司无人按期答复，或者根本无人答复。仅这一份沉默，就足以成为一纸诉状的弹药。而失信人员登记系统中数据处理不当的判赔，参考区间为 3.000 至 10.000 €，另加诉讼费用。
实务结论虽不中听，却很清楚：在删除数据这件事上，风险不只在于贵公司如何登记欠款，也在于事后如何回应。本文说明法院究竟要求什么，同时也说明为什么许多针对企业的索赔，最后是因索赔人自己举证不足而失败。
「通用数据保护条例」（GDPR）第17条对贵公司的要求：一条简便且免费的渠道
删除权的处理，既不能「有空再说」，也不能「随手应付」。数据控制者——如果贵公司通报债务人数据，那就是贵公司——必须开通渠道，让任何数据主体都能无障碍、无成本地行使这项权利。不得要求填写难以完成的表格，不得把申请人在各部门之间推来推去，也不得为受理请求收取费用。
数据控制者有义务为数据主体提供一套简便且免费的程序，以处理其对上述各项权利的行使。「译文」
转化为经营决策：如果今天有客户把删除请求发到贵公司的通用联系邮箱，贵公司的团队知道该怎么处理、在多长期限内处理、如何留痕吗？如果答案是「看谁读到那封邮件」，贵公司就有一处敞开的风险。
必须作出明确答复。即便贵公司并不持有申请人的数据
这一点最让企业管理者意外。即使贵公司并未保存索赔人的任何数据——因为债权已转让、卷宗已归档，或者申请人发错了对象——该请求也不能不予答复。沉默从来不是安全的选择。
数据控制者必须对请求作出明确答复，即使其并不持有行使权利的数据主体的个人数据；并且，无论数据主体采用何种程序行使其权利，均应如此。「译文」
请注意最后一句：「无论数据主体采用何种程序」。请求是通过 burofax（带内容认证的挂号函件）、电子邮件还是某种非常规书面形式送达，都不能免除贵公司的答复义务。贵公司可以要求申请人满足身份识别的形式要件；但不能把请求直接归档了事。
期限：一个月。延期不是万能牌
删除请求应当不无故拖延地处理，且无论如何须在一个月内完成。虽然存在再延长两个月的余地，但有两项必须同时满足的条件，值得写进内部流程：只有因请求本身复杂才可延期，且必须在第一个月内告知数据主体。延期告知得晚了，或者只是出于操作方便而援引，都起不到任何保护作用。
就数据删除权而言，应当不无故拖延地处理，且无论如何须在一个月的期限内完成。不过，在因请求复杂而确有必要时，数据控制者可以再延长两个月……控制者必须在最初的一个月期限内将该延期告知数据主体。「译文」
时间也是变量：原本合法的，可能不再合法
还有第二条战线，企业通常会忽略。一笔正确登记的数据并非从此高枕无忧：如果它对于当初处理的目的已不再必要，继续保留就构成违法。登记当时的一张定格照片并不能为贵公司免责，如果此后的整个过程是放任不管。
……即使起初对准确数据的处理是合法的，随着时间推移，当这些数据对于其收集或处理的目的已不再必要时，该处理也可能变得与该指令〔现为「通用数据保护条例」（GDPR）〕不相容。「译文」
实务中的表现是：已清偿的欠款仍挂在名单上，已结案的卷宗无人清理数据，已进入诉争的余额继续对外公示。上述每一种情形都是一起潜在诉讼，哪怕当初的处理无可指摘。这一原则与保持数据准确、及时更新的义务直接相关，我们在导致企业因登记失信客户而被判败诉的五大错误中作了分析。
抗辩的一面：证明发出与送达的举证责任在索赔人
以上是义务。接下来是对被诉企业的好消息。在批量诉讼中，诉状常常声称「已申请删除，企业未予答复」。但主张行使过该权利的一方，需要证明的是两件事，而不是一件：既要证明发出了请求，也要证明数据控制者收到了该请求。
……证明其所称已提出的查阅请求之发出与送达的责任，落在索赔人一方……上述情形是认定其权利已被行使所不可或缺的。「译文」
许多批量诉讼恰恰败在这里：一封没有回执的邮件，一张看不出收件人的截图，一份从未投递成功的 burofax。如果贵公司严谨登记来件，就能证明收到了什么、没收到什么，从根本上推翻诉状的前提。抗辩从收件登记开始，而不是从法庭开始。
本周就该做的事
- 指定一名内部的 GDPR 权利事务负责人，并设一名替补。请求的处理不能取决于谁碰巧打开了邮箱。
- 把流程写成文件：收件、身份核验、明确答复、一个月期限、延期的判断标准。
- 定期复核已通报给登记机构的数据：已清偿、有诉争和已过时效的，无需他人提出就应当移除。
- 保存每一次答复的发出证据：在这个领域，无法证明的事等于没有发生。
如果贵公司想在法官作出判断之前，先了解自己目前处于什么位置，现在就可以用风险敞口测评来衡量：五分钟，无需提供任何机密数据，采用与西班牙省级法院相同的标准。