GDPR 第 17 条要求控制者响应删除申请，而链上字节没有任何节点握有删除键。本文分三层拆 NFT 个人信息的位置，梳理欧盟研究对不可篡改与删除权的结论、加密删钥匙等折中方案，给出创作者上链前的自检清单。

身份核验机构、云服务商、邮件平台、客服外包系统——交易所把账户生命周期的多个环节交给第三方执行，供应商被攻破时泄露的同样是用户数据。本文是撰写于 2026 年 9 月的机制说明：这类事件为什么发生、平台通知义务的边界在哪、受害数据通常包含什么，以及事件窗口期内的识别与自救顺序。