個人在個人信息處理活動中的權利是個人參與個人信息保護的重要手段之一，《個人信息保護法》對個人在個人信息處理活動中的權利進行了充分規定。參考以《通用數據保護條例》（GDPR）為代表的國外個人信息保護立法，我國《個人信息保護法》賦予個人的權利種類基本一致。通過原則性條款明確了個人對其個人信息的處理享有知情權、決定權，以及有權限制或者拒絕他人對其個人信息進行處理（第四十四條）；具體規定了查閱、復制權，可攜帶權（第四十五條），更正補充權（第四十六條），刪除權（第四十七條），要求解釋權（第四十八條）。對于自然人死亡的，也明確了其近親屬行使相關權利的規定。
一、知情權
《個人信息保護法》第四十四條對此作了原則性規定，明確個人對其個人信息的處理享有知情權。《個人信息保護法》分別在第十七條、第二十三條、第三十條針對具體要求進行了細化。第十七條規定個人信息處理者應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知以下事項：個人信息處理者的名稱或者姓名和聯系方式；個人信息的處理目的、處理方式，處理的個人信息種類、保存期限；個人行使本法規定權利的方式和程序等。第二十三條針對個人信息處理者向其他個人信息處理者提供其處理的個人信息的情況，規定還應當向個人告知接收方的名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類等內容。第三十條針對個人信息處理者處理敏感個人信息的，規定還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響。
GDPR對“如何保障數據主體的知情權”提出了透明性以及形式上的要求。根據GDPR的規定，收集個人數據的方式分為兩種，一種是直接向數據主體收集，另一種是通過其他渠道獲取個人數據。當直接向數據主體收集個人數據時，數據控制者應當告知數據主體的信息主要包括：控制者及法定代表人、數據保護官（DPO）的身份、聯系方式；個人數據的種類；處理個人數據的目的和法律依據；是否向第三者或第三國轉移個人數據以及接收者的具體情況；數據的存儲期限等內容。當通過其他渠道間接獲取個人數據時，數據控制者應當向數據主體告知以上信息（除法律或合同的必要性）外，還應當告知個人數據的具體來源信息。且數據控制者需要在一個月內、一次性將上述信息告知數據主體。但在下列情況中，如果數據控制者是通過其他渠道間接獲取個人數據的，則不需要履行信息告知的義務，主要包括：數據主體已經知道了相關信息；數據控制者提供相關信息被證明是不可能或者需要投入過多不必要精力的，尤其是在數據處理是出于實現公共利益、科學研究、歷史研究等需要的情況下；數據控制者所遵守的歐盟或成員國法律已經對數據控制者獲取或披露個人數據的行為做了明確規定；依據歐盟或成員國法律關于職業保密義務的規定，數據控制者必須對相關信息進行保密。
二、查閱復制權
《個人信息保護法》第四十五條規定個人有權向個人信息處理者查閱、復制其個人信息，個人請求查閱、復制其個人信息的，個人信息處理者應當及時提供。但在下列情形中，個人查閱復制權的行使受到限制：個人信息處理者處理個人信息，有法律、行政法規規定應當保密或者不需要告知的情形的；國家機關履行法定職責處理個人信息，告知將妨礙國家機關履行法定職責的。
GDPR第十五條規定了數據主體的訪問權，即數據主體有權從數據控制者處知悉個人數據是否被處理。個人數據被處理的，數據主體有權訪問個人數據和以下信息：處理數據的目的；相關個人數據的類別；向第三方披露個人數據的，數據接收者的名稱或類別；個人數據被存儲的預設期限；數據主體享有的權利內容；數據的來源等內容。
三、更正補充權
《個人信息保護法》第四十六條規定個人發現其個人信息不準確或者不完整的，有權請求個人信息處理者更正、補充。個人請求更正、補充其個人信息的，個人信息處理者應當對其個人信息予以核實，并及時更正、補充。
GDPR第十六條規定，數據主體有權要求數據控制者立即更正個人數據的錯誤，有權要求完善不完整的個人數據。數據控制者可以以補充聲明等方式對個人數據進行更正完善。
四、刪除權
《個人信息保護法》第四十七條規定了應當刪除個人信息的情形，主要包括：處理目的已實現、無法實現或者為實現處理目的不再必要；個人信息處理者停止提供產品或者服務，或者保存期限已屆滿；個人撤回同意；個人信息處理者違反法律、行政法規或者違反約定處理個人信息；法律、行政法規規定的其他情形。在這些情形下，個人信息處理者應當履行主動刪除個人信息的義務，如果個人信息處理者未主動刪除，個人則可以行使權利要求個人信息處理者刪除個人信息。但該條同時明確，法律、行政法規規定的保存期限未屆滿，或者刪除個人信息從技術上難以實現的，個人信息處理者應當停止除存儲和采取必要的安全保護措施之外的處理。
GDPR第十七條規定數據主體可以行使權利，要求數據控制者立即刪除與其相關的個人數據，同時數據控制者也應當履行立即刪除的義務，行使刪除權的場景主要涉及：數據對于收集或處理時的目的已經不再必要；數據主體撤回處理個人數據的同意，且處理個人數據沒有其他合法性依據；數據主體行使了拒絕權，且處理個人數據沒有其他合法性依據；個人數據被非法處理；歐盟或成員國規定了數據控制者刪除個人數據的法定義務；個人數據的收集涉及向兒童提供社會服務信息。上述情形中，如果數據控制者已經公開了個人數據，在刪除個人數據后，還應當采取包括技術手段在內的多種措施，將數據主體要求刪除的個人數據的鏈接、副本和備份等告知正在處理該個人數據的其他數據控制者。
同時，GDPR也規定了刪除權行使的例外情形，主要包括：涉及言論和信息自由權的行使；基于歐盟或成員國法定義務以及為公共利益而處理個人數據的；出于公共健康領域的公共利益需要處理個人數據；為實現科學研究、歷史研究、統計等目的而處理個人數據；為提起訴訟或應訴處理個人數據。在這些情形中，刪除權的行使受到限制。
根據規定，GDPR的刪除權也同時包括被遺忘權的內容，但國內外對于被遺忘權的爭議較大，我國《個人信息保護法》中并未做規定。
五、限制處理權
《個人信息保護法》第四十四條規定個人有權限制他人對其個人信息進行處理。
GDPR第十八條規定，發生下列情形，數據主體有權限制數據控制者的處理行為：數據主體對個人數據的準確性提出質疑，數據控制者需要時間進行核實；數據處理的行為違法，但數據主體僅要求限制數據使用而非刪除其個人數據；數據控制者無需繼續處理個人數據，但這些個人數據是數據主體提起訴訟或應訴所必需；數據主體根據規定行使了拒絕權，但尚未確認數據控制者的數據處理理由是否優于數據主體的利益。
六、可攜帶權
《個人信息保護法》第四十五條規定，個人請求將個人信息轉移至其指定的個人信息處理者，符合國家網信部門規定條件的，個人信息處理者應當提供轉移的途徑。
GDPR第二十條規定，如果數據主體向數據控制者提供了與其有關的個人數據，那么在滿足下列情形時，數據主體有權從該數據控制者處獲取結構化、通用和可機讀的上述個人數據：處理是基于數據主體的同意或者合同的約定進行的；處理是通過自動化方式進行的。原數據控制者不得阻礙數據主體將這些數據轉移給其他的數據控制者。GDPR規定，可攜帶權的行使不得影響刪除權的行使，不適用于為執行公共任務、行使職權所進行的數據處理，且不應對他人的權利和自由產生不利影響。
2016年12月13日，歐盟數據工作保護組公布了《數據可攜帶權指南》（以下稱《指南》），在2018年5月EDPB第一次全體會議上，《指南》獲得了批準。根據《指南》，在以下兩種情形中，用戶數據可攜帶權的行使可能對他人的權利和自由造成不利影響：
1、請求可攜數據中包含有數據主體以外的第三人數據。用戶要求可攜的信息中往往會存在第三人的個人信息，而第三人與新的數據控制者間卻沒有相關的約定安排。據此，在應數據主體要求傳輸包含第三人數據信息時，數據控制者應注意以下幾點：首先，數據傳輸方不能拒絕傳輸所有含有第三人信息的數據。其次，數據傳輸方需謹慎對待含有第三人信息的數據。最后，數據接收方在應數據主體要求接收數據時應遵循最小化原則和合理目的原則。
2、請求可攜數據中包含他人的知識產權和商業秘密。《指南》認為，在可攜數據含有第三人商業秘密和知識產權的情形下，應刪除可能侵犯第三人權利的相關信息。但是，《指南》同時強調，數據控制者不得以此為由拒絕向數據主體提供所有信息，而是應在不泄露第三人信息的情況下，盡可能地向數據主體提供其要求轉移的數據。
七、拒絕權
《個人信息保護法》第四十四條規定個人有權拒絕他人對其個人信息進行處理。
GDPR第二十一條規定，數據主體有權基于自身特殊情況，隨時拒絕數據控制者依據自身職務權限、第三方合法利益條款而實施的個人數據處理行為。除非數據控制者能夠證明處理數據的合法依據優先于數據主體的利益或數據處理為提起訴訟或應訴所必要，否則數據控制者不得繼續處理個人數據。如果個人數據處理是用于直銷目的的，數據主體有權隨時拒絕處理行為，且拒絕后，該個人數據不應繼續因此目的而被處理。但在以下情況中，數據主體的拒絕權受到限制：數據控制者證明數據處理的合法性依據優先于數據主體的利益或數據處理為提起訴訟或應訴所必要（該條款不適用于為直銷目的處理個人數據）；數據處理是為執行公眾利益所必須。
除上述權利外，《個人信息保護法》還規定了個人的決定權、請求解釋權。第四十四條原則性規定了個人對其個人信息的處理享有決定權。第四十八條規定，個人有權要求個人信息處理者對其個人信息處理規則進行解釋說明。GDPR中并沒有明確將這兩項權利作為個人信息處理活動中的普遍性權利進行規定，但是針對自動化處理行為明確了類似的要求，如第二十二條規定數據主體有權不受僅基于自動化處理行為得出的決定的制約，以避免對個人產生法律影響或與之相類似的顯著影響，這種規定類似于個人的決定權。
