网络个人信息保护之探讨：以“被遗忘权”为例*

张 雨

(中南大学法学院，湖南 长沙 410082)

在大数据时代，人们在网络空间的行踪常常会留下永久或半永久的痕迹，利用网络技术追踪这些痕迹获取个人信息已非难事。在一定意义上，网络痕迹已经成为了个人信息在大数据时代的一种新的表现形式。网络痕迹在无形中暴露了网络用户的个人偏好、个人秘密等信息。而搜索引擎、社交网站等网络平台对这些痕迹的收集、组织与整合行为将对个人信息安全造成极大的威胁。当“遗忘”成为人们的现实需要，“记忆”这一预设的基本社会规范就需要被打破。

一、“被遗忘权”之提出：西班牙谷歌案

2016年欧盟通用数据保护规则(以下简称为规则)正式颁布，将逐步取代1995年欧盟数据保护指南(以下简称为指南)。规则在其第17条关于“删除的权利”之后的括号内写入了“被遗忘权”*Regulation(EU)2016/679 of The European Parliament and of The Council of 27 April 2016. in: Official Journal of the European Union, 2016.。“被遗忘权”最早的司法确认是在2010年西班牙谷歌一案中。基本案情如下：1998年1月19日至3月9日期间，西班牙先锋报连续刊登了该国居民格斯蒂亚.冈萨雷斯先生(Costeja. Gonzalez以下简称为G先生)因社会保险债务而被处以扣押、强制拍卖房产的处罚信息。12年之后，G先生在谷歌搜索引擎上输入自己的名字之后竟然还能搜索到该信息的链接，但其债务早已解决。据此，G先生认为该信息的出现不符合当前事实，已对其隐私名誉造成损害，并向西班牙个人信息保护机构提出申请。其不仅要求西班牙新闻网站删除该信息，还要求谷歌美国公司以及谷歌西班牙分公司在其搜索结果列表中将该事件的链接予以删除*Alvaro Fomperosa Rivero, Right to Be Forgotten in the European Court of Justice Google Spain Case: The Right Balance of Privacy Rights, Procedure and Extra-territoriality.in: Stanford-Vienna Transatlantic Technology Law Forum, 2017.。由于当时欧盟通用数据保护规则尚未生效， G先生主张适用1995年指南第6条1(a)、第12条(b)、第14条1(a)的规定。欧盟司法法院承认，指南第12条(b)、第14条1(a)不仅赋予了数据主体获取、纠正、清除、阻断信息的权利(即拒绝数据处理的权利)，还赋予了数据主体“被遗忘权”。欧盟司法法院判决认为，西班牙先锋报并未侵权，原因在于西班牙先锋报当时对G先生债务信息的报道属实。但时隔十余年，该个人信息已经属于不正确、不相关与过时的个人信息。谷歌不仅没有对该过时信息进行排除，还将该信息列表以供查询。据此，谷歌的数据处理行为侵犯了G先生隐私权。作为“数据控制者”的谷歌公司，尽管其不是第一个公布该当个人信息，但是其以结构化的形式对已经公布的个人信息进行收集、组织与整合，为个人提供了一个详细的个人信息概况。这些信息可能对个人私生活的许多方面产生影响，而诸上信息若无搜索引擎则不可能收集得到。按照判决的逻辑，谷歌公司应当对其收集到的个人信息进行审查，并依据个人的申请对其个人信息进行删除。这是作为数据控制者的谷歌公司应当履行的强制义务。

值得注意的是，欧盟司法法院的判决并未确认一般性的“被遗忘权”。从权利内容来看，“被遗忘权”并不是赋予个人得请求删除所有关于其过往不利信息的权利，而只是使某些不正确的、不相关的以及过期的个人信息不再那么轻易被公众所知悉。从欧盟司法法院只判决要求谷歌搜索引擎删除该个人信息列表，而不要求西班牙先锋报删除该个人信息链接也可以看出，“被遗忘权”并不是要使G先生的不良信息历史完全不被他人知悉，而只是降低被他人知悉的可能性或者说减少该信息的受众范围。从权利的价值目标来看，隐私在塑造日常社会关系过程中发挥着根本性的、关键性的作用*Lucas D. Introna. Why We Need Privacy in the Information Society. in; Meta-philosophy, Vol.28, No.3,1997.。如果没有作为先决条件的隐私权予以保障，人们将失去其作为个人的价值。“被遗忘权”的背后隐藏着一种“以保护人格尊严、发展权等基本人权为目的”的基本逻辑：即作为社会群体成员的个人期待其过去、现在的行为与经历以及将来的打算等信息免于被他人知悉，从而获得重新出发与重塑自己形象的机会。在信息近乎完全透明的网络空间中，人与人之间几乎不存在任何私密的空间。人一旦犯错就会被永久记录，就会被打上“坏人”这一永久的烙印，并随时能被他人知悉。“遗忘”渐渐成为奢望，而“记忆”则成为永恒。这无疑是对人格尊严最严重的威胁，是对个人发展最严峻的阻碍。因而，在网络空间这一特定场域内，“被遗忘权”就显得弥足珍贵。

二、 “被遗忘权”之性质及其与个人信息权、隐私权的关系

在大数据时代，不论是“个人信息权”“隐私权”，还是“被遗忘权”，三者的权利客体均与“个人信息”相关。或者说，三者均包含有“个人信息需要得到保护”的意味。但是要厘清三者之间的关系，首先要梳理的是个人信息权与隐私权之间的关系。个人信息权与隐私权在权利内容上的确有重叠之处*王利明.论个人信息权的法律保护——以个人信息权与隐私权的界分为中心[J].现代法学，2013,(4).，但是两者并不是完全的包含关系而是相交的关系。而两者相交的部分则被称为“信息隐私权”，其常常被界定为“个人因其人格尊严利益而对其自身信息的收集、处理、使用等享有决定权”，保护的对象是带有隐私因素的个人信息。 从根源上来说， 被遗忘权主要是“因信息的使用侵犯人格尊严利益，个人对该信息及其传播痕迹进行删除”的权利。可见，三者在权利内容上的确有重叠之处，但是区别在于其保护的个人信息价值趋向有所不同。

在“个人信息权”的定义范畴下，“个人信息”被潜在地设定为一种物权或者所有权的客体。依据所有权理论，“占有”是所有权得以实现的前提。个人信息之所以需要得到保护，是因为个人信息具有价值，且该价值可以归属至该个人。但关键要素有二：一为判断个人信息的价值标准；二为个人信息所具有的价值如何归属至该个人。洛克的“劳动财产权理论(又称为奖赏勤勉理论)”认为，劳动是判断价值的唯一标准*John Locke. Two Treatises of Government,Peter Laslett ed. Cambridge University Press, 1988,pp.98-100.。个人可以占有因其劳动行为而产生的信息，因此也获得了禁止或者制约他人对该信息使用的权利。但该理论至少在以下两个方面无法解释：一是在网络空间中，个人信息的产生并不直接依赖于该个人的劳动，而是自动生成；二是信息收集者与信息处理者对个人信息进行收集、整理，付出了劳动，理应取得该信息的所有权。但事实是与该信息相关的个人也享有个人信息所有权。为了弥补这一理论的缺陷，玛格丽特·雷丁教授提出了“人格财产权”理论。这一理论认为，由个人信息而衍生出的价值包括经济性利益与尊严性利益两个方面。信息相关者享有尊严性利益，而信息收集者则享有经济性利益。尊严性利益的享有者(即信息相关者)可以排除或限制个人信息财产的转移*Margaret Jane Radin. Property and Personhood. 34 Stanford Law Review,1982,p.957.。但是要严格区分个人信息中所包含的尊严性利益与经济性利益，显然十分困难。埃德温·贝克教授与约瑟夫·辛格教授补充了“人格财产权”理论，他们将财产详细地划分为交换、使用与其他价值，并主张非财产的所有价值或者社会功能均值得法律保护。而其中，对交换的控制反映出人们对该财产控制的权力。依据该理论，个人对其信息的控制权并不一定需要通过“占有”这种方式来体现，而只需要能够对该信息的交换施加影响，防止其信息被多次反复利用即可。理查德·波斯纳也认为，个人信息是一种能在市场上自由交换的有价值的商品。人们付出成本去隐藏的信息，对于他人来说也很可能是有价值的，所以其他人愿意付出成本来挖掘这些个人信息*Richard A.Posner. The Right of Privacy, 12GA.L.REV.1978,pp.393-394.。不难看出，个人信息权侧重更多的是对个人信息经济利益方面的保护。

在“隐私权”的定义范畴内，个人信息被设定成一种人格尊严的载体。尽管不同国家法律对于“隐私”的界定存在差异，但皆承认“个人信息中包含有尊严性利益且需要得到保护”。例如，传统的德国法将隐私权界定为“以保护人格尊严为价值内核”的一般人格权，并将其具体化为“私人生活领域”不受侵犯，以及“个人享有一个自我生活形成的自主领域”等内涵*〔9〕王泽鉴.人格权的具体化及其保护范围.隐私权篇[J].比较法研究，2008,(6).。此即“私人领域理论”。 但随着自动化信息处理系统的出现，尤其是网络的出现，这种“私人领域理论”逐渐被德国宪法法院所抛弃。在1983年“人口统计案”判决之后，德国宪法法院确立了“个人信息自决权”，即个人可以因其人格尊严理由来对抗他人使用其个人信息〔9〕。其对个人信息的保护不再限定在特定的私人领域范围之内，而是扩展到与个人相关的信息。原因在于，个人信息乃至信息痕迹均有可能成为他人探知私人领域的对象，亦即获取他人信息就有侵犯其隐私之嫌。与德国不同，美国的隐私权源于自由权，并通过联邦最高法院判决逐渐被确认为宪法上的一项权利。美国法上的隐私权有三重基本内涵，即私人空间不受侵犯、自主选择不受干预以及对个人信息的控制(即信息隐私权)*Jerry Kang. Information Privacy in Cyberspace Transaction. In: Stanford Law Review, Vol.50, No.4,1998.。关于信息隐私权的第一个判例是罗伊诉韦德案*Genelle I. Belmas & Jason M.Shepard & Wayne E. Overbeck. Major Principles of Media Law,2016 Edition. Published by Gengage Learning, 2016,pp.192-193.。法院在该案判决中指出，宪法所保护的隐私范围不仅包括“个人独立做出某项重要决定”，还包括“个人享有避免其自身事务公之于众的利益”。可见，法院最初所认定的信息隐私权被限定为一种个人享有其“个人信息不被公开”的自由权*Daniel J. Solove. Conceptualizing Privacy. in: California Law Review, Vol.9,No.4,2002,pp.1087-1155.。但在网络空间这一特定的场域之下，任何数据信息乃至信息痕迹均有可能曝露出个人的隐私偏好。因而，“保护个人信息隐私的理念不应当只局限于不让他人取得我们的个人信息，而是应该扩张到由我们自己控制个人信息的使用与流向。”*Daniel J Solove. A Brief History of Information Privacy Law.in: Proskauer on Privacy: A Guide to Privacy and Data Security Law in the Information Age, Published by Practicing Law Institute,pp.23-28.由此可见，美国法上的“信息隐私权”与德国法上的“个人信息自决权”均是从保护人格尊严的角度而发展出来的。

在“被遗忘权”的概念范畴之内，个人申请删除的是有可能侵犯其“隐私名誉”的信息，而不是任何与之相关的信息。有学者指出“被遗忘权”早已存在，只不过是一种“新瓶装旧酒”现象*郑志峰.网络社会的被遗忘权研究[J].法商研究，2015,(6).。这种说法不无道理。从权利内涵来看，“被遗忘权”与1995年指南中所规定的“删除权”“更正权”“禁止扩散权”存在着密切的关联。尽管如此，2016年规则中仍然单独提出了“被遗忘权”这一概念。究其原因，关键在于“被遗忘权”本身就带有“希望会影响自己人格尊严利益的信息被遗忘”的色彩，而不是简单地删除、更正或者禁止扩散。在网络空间，个人信息的获得、处理与传播所留下的痕迹并不会因为处理行为的结束而消失，反而会因为技术的支撑而留下永恒或者半永恒的迹象。正是网络空间的这些特性大大增加了信息隐私被侵犯的可能性。从“被遗忘权”所保护的个人信息价值属性来看，其保护的核心价值在于人格尊严。尽管学界对于西班牙谷歌案中的这种“过期的、已公开的”个人信息是否构成“隐私”在学界一直存在争议，但不能忽视的是个人信息所处场域之特殊性。在传统的隐私理论中，隐私常常被界定为“个人秘密信息”，意即“对个人而言具有敏感性，不宜公之于众”，或者“一旦被公众所知悉，个人对该信息的隐私合理期待就丧失了”。如果是个人“自愿公之于众”，那么一般认为该个人对其信息就丧失了“隐私保护的合理期待”，也就不会有侵犯隐私这一问题出现。在网络空间，“开放”“共享”已经成为基本特征。个人信息需要通过交流方能得到传递，网上交易也需要信息共享才能实现。如果人们对隐私的合理期待因为“自愿公开”而荡然无存，那么隐私保护制度也就丧失了其存在的意义。在现实中造成的不利后果就是人们越来越担心自己的隐私被他人知悉而不再愿意通过网络与他人交流。可见，“被遗忘权”在本质上是根源于“隐私”，而不是“个人信息”。“被遗忘权”事实上是一种以“请求删除”为主要内容、以个人信息为保护对象、以维护人格尊严不被侵犯为目的的权利。

由以上分析可知，个人信息权侧重保护的是个人信息的经济性利益，隐私权与“被遗忘权”侧重保护的是个人信息的尊严性利益。个人信息的产生并不依赖于个人劳动，其价值也并非因劳动而产生。从根源上来说，个人信息的经济价值源于其尊严性属性。人们珍视个人信息中所包含的尊严性利益，才会想方设法限制他人获取其个人信息的渠道，甚至愿意支付经济性代价。而网络空间的特性又使得任何个人信息均可能包含有隐私因素，因而保护隐私也就常常成为了保护个人信息最为重要的原因。如果过度强调个人信息的经济性利益，甚至以牺牲其尊严性利益为代价来获取经济性利益，那么侵害的是个人最为核心的“人格尊严”。在此意义上，保护个人信息的同时也就实现了保护隐私的目的。

三、“被遗忘权”判决对网络个人信息保护的影响

欧盟司法法院在西班牙谷歌案的判决中正式确认了“被遗忘权”。尽管关于“被遗忘权”仍然有较多争议，但是这一判决对个人信息保护仍产生了深远的影响。首先，网络个人信息的保护机制重心由强调“权利赋予”向重视“义务履行”倾斜。“权利赋予”强调的是信息主体一端权利的获得与法律确认，而“义务履行”则侧重的是网络服务提供者强制性义务的履行。其次，在处理信息隐私权与言论自由、公共利益等权益冲突时，网络服务提供者拥有较大的自由裁量空间。政府的角色已经逐渐转变为标准制定者、监督者与惩罚者。

第一，在主体方面，网络服务提供者成为事实上的信息审查者。依据西班牙谷歌判决，信息相关者直接向搜索引擎提交删除申请，只有在其不接收的情形下，信息相关者才有权提交国家信息保护机构或法院。这意味着搜索引擎这类网络服务提供者成为了事实上的信息审查者。然而，搜索引擎公司并不是网络上唯一的信息控制者，其他网络服务平台(如Facebook等社交网站)事实上也掌握了大量的个人信息。问题在于西班牙谷歌案判决只确定了搜索引擎的信息审查义务，没有确认其他网络服务平台对个人信息的审查义务。与搜索引擎相比，社交网站是个人信息的第一个公布场所，而个人在社交网站上公布的信息往往更具私密性。搜索引擎所收集整理的个人信息往往是已经公布的信息，是以一种结构化的方式对所有相关信息的整合，以便更为直观地掌握个人信息概况。社交网站上的个人信息却多是个人自愿公布的第一手资料，囿于特定情境以供用户之间相互交流。当个人决定离开该社交网站时，社交网站是否也应当接受用户的申请对其之前公布的个人信息进行删除。为了解决这一问题，欧盟执委会于2012年在修订数据保护指南时特别强调了社交网站用户的“被遗忘权”，并确立了个人信息使用的正当性与目的拘束原则*Viviane Reding-EU Justice Commisioner Independent Data Protection Authorities: Indispensable Watchdogs of the Digital Age Meeting of the Article 29 Working Party Brussels(Dec.7,2011), available at http:// europa.eu/rapid/pressReleasesAction.do？last visited on 28 Aug.2017.。意即作为信息控制者的网络服务提供者不再具有保留个人信息的正当性，或者其使用已经不符合最初的目的时，信息相关者可以申请删除该个人信息。随后，这些原则也得到了欧盟通用数据保护规则的确认。依据规则，社交网站属于信息控制者的范畴，也需要履行保护用户“被遗忘权”的义务。这意味着社交网站在收到网络用户的申请时亦负有审查信息的义务。对于网络服务提供者而言，西班牙谷歌案所确立的“被遗忘权”与其是一种对欧盟通用数据保护规则义务的履行，毋宁是一种审查个人信息权力的获得。

第二，在审查标准方面，信息审查者拥有充足的自由裁量空间。2014年11月，欧盟成员国代表组成的特别工作组发布了一系列关于谷歌执行判决的指南，并提供了十三种非穷尽式的考量标准以供参考。然而，这份政府所提供的判断标准并不是确定的、唯一的，而是为网络服务提供者预留了自由裁量空间。依据该指南，第1项考量因素是检查搜索结果是否与自然人相关，因为只有自然人才享有隐私权；第2项是考量该自然人是否为公众人物，且该人是否在公共生活中发挥重要作用；第3项为考量该自然人是否为未成年人；第4项是考量该信息是否正确；第5项为评估该信息是否相关、过剩，是否与信息主体的专业生活有关，是否构成仇恨言论、侮辱、诽谤或者类似的攻击性言论；第六项为考察该信息是否为关于种族或民族、政治、宗教信仰、贸易联盟成员身份、个人健康或性生活的言论；第七项为考量该信息是否过期或者是否与其原来的处理目的相符；第八项为比例原则，即信息所包含的隐私权与公共利益之间是否符合比例原则；第九项为考量信息使用是否将使信息主体面临身份窃取、潜行追踪、个人伤害及其他危险；第十项为考量信息公开的情境以及信息公开时是否获得信息主体的同意；第十一项为考量该信息是否构成新闻；第十二项为该信息是否为法律所要求；第十三项为考量该信息是否为信息主体的犯罪信息*Working party on the Protection of Individuals. Guidelines on the Implementation of the Court of Justice of the European Union Judgment on “Google Spain and Inc v. Agencia Espanola de Proteccion de Datos (AEPD) AND Mario Costeja Gonzalez” C-131/12, Nov.26,2014.。由于以上标准过于抽象，且含有多个不确定性概念，谷歌咨询委员会对以上十三项考量因素重新进行了分类解释，并确立了一项基本裁量标准：即是否考量某一因素仍然取决于该因素能否促进信息主体的隐私权或者公共利益保护。意即只要不偏离指南的基本原则，谷歌公司可以对个案进行自由裁量。谷歌公司在不完全照搬特别工作组所确立的判断因素基础上，充分考量了信息使用的具体情境。例如，2015年谷歌公布的欧盟隐私删除申请透明报告中，谷歌拒绝删除一则十年前牧师性侵儿童并被判监禁的信息，而同意删除另一则5年前发生的严重犯罪信息，因为该起犯罪上诉时已经被撤销了*European privacy requests for search removals, Google, available at: www.google.com/transparencyreport/removals/europeprivacy/?hl=en, last visited on 19 Jul.2017.。原因在于第一则信息仍然对公众做出正确评价与决策产生重要影响，而第二则信息已经属于不正确、不相关、已经被推翻的信息。与此同时，不论是1995年欧盟数据保护指南还是2016年通用数据保护规则均没有规定信息控制者信息审查的具体程序标准，这也为网络服务提供者进行自由裁量预留了巨大的空间。

第三，在信息内容方面，判断个人信息是否构成隐私的标准逐渐泛化。隐私不再被仅仅限定于以“私人领域”为核心的信息范畴，而是被扩展至任何与个人相关的信息乃至信息痕迹。事实上，并非所有的个人信息均能成为隐私权保护的对象。但是在网络空间“记忆”成为一般社会规范的情形下，任何个人信息乃至网络痕迹均可能曝露出个人的隐私偏好。自西班牙谷歌案之后，谷歌在欧盟接受到的要求删除个人信息申请不断增加，约一半的申请得到许可。根据谷歌发布的透明报告，自2014年5月29日至2017年1月18日，欧盟国家的网络用户向谷歌提交的删除个人信息申请已达675624件，其中约43.2%的申请得到许可*European privacy requests for search removals, Google, available at: www.google.com/transparencyreport/removals/europeprivacy/?hl=en, last visited on 19 Jul.2017.。在这些删除个人信息的申请中，大部分网络用户均是基于保护隐私名誉的目的而获得删除许可，且只要是与个人相关就能被判断为个人信息，而不论信息来源。

第四，在权益平衡方面，“情境化个案”*Helen. Nissenbaum. A Contextual Approach to Privacy Online, in: Daedalus, Vol.140. No.4,2011,pp.32-48.& Helen. Nissenbaum. Protecting Privacy in an Information Age: The Problem of Privacy In Public.in:17 Law &Phil,1998.分析的方式得到运用。谷歌透明报告中所公布的删除案例大致可以分为三类：第一类是个性化的信息，如个人地址信息；第二类是有关犯罪受害者与未成年人的信息；第三类是上诉被推翻的犯罪信息以及罪刑已执行完毕的信息。而拒绝删除的案例则主要是对公众仍然有帮助的信息。即使该信息已经过去很长时间，只要该信息仍然会引起公众的争议，就不会被删除。例如，谷歌透明报告中列举的一对夫妇在十年前实施的商业诈骗信息。尽管该信息存在的时间很长，但是该信息对于公众做出正确的判断仍然十分有用。因此，在该案例中公众的知悉权优先于信息主体的隐私权。对于隐私权与其他权益之间的冲突，谷歌多会根据该信息所处的特定情境进行分析，以此来判断是否可以删除，并对冲突的权益进行平衡。例如，某人于十年前犯了严重的杀人罪行，网上公布的消息中包含有该人的妻子姓名。该犯罪人本人申请删除该信息未获许可，但其妻子申请删除则获得许可。对于公众而言，该信息真正能对其决策与判断产生影响的因素是该犯罪人而非其妻子。在这一特定情境下，妻子的隐私权优先于公众的知情权。当然，谷歌许可妻子的删除申请，并不是完全使得该信息不再为公众所知悉，而是使有关妻子的信息不再那么容易被他人所知悉。

四、“被遗忘权”之应对：欧盟与美国

西班牙谷歌案判决之后，欧盟以赋予个人“被遗忘权”的方式来最大限度地保护公民个人信息隐私，而美国则对之极其排斥*Laura Lagone. The Right to Be Forgotten : A comparative Analysis. in:Fordham University School of Law,2012.。关键原因主要有两个方面。一是两者在法律文化传统上对待隐私的态度不同。美国的隐私保护起源于古希腊民主城邦、英国新教教派以及习惯法传统中要求限制政府的监控权力保护个人、家庭以及某一特定社群的隐私利益的观点，其崇尚自由权；而德国等大陆法系国家的隐私保护起源于古罗马与中世纪教会中允许政府、宗教团体在一定的限度内对人们进行监控的传统，其崇尚社会权*杨建顺.行政规制与权利保障[M].北京：中国人民大学出版社，2007.6-7.王郁琦.资讯、电信与法律[M].中国台北：元照出版公司，2004.5-7.。因而，欧盟国家将隐私权视为一项基本人权，是保证“自治”“发展权”“人格尊严”等基本人权目标得以实现的关键性因素。尽管美国法律也保护“隐私权”，但其保护的逻辑是“个人享有决定如何使用其信息的自由”。这种自由权保护的次序应遵循“言论自由优先于信息隐私”，意即隐私权处于次要保护的地位。二是两种不同态度背后所代表的利益群体的不同。与欧盟相比，美国有更多的互联网公司巨头，如微软、谷歌、雅虎等大型网络服务商。欧盟对个人信息隐私严格的保护措施无疑会加重这些网络服务商的法律义务，从而增加其经济成本。然而，值得注意的是，尽管美国官方对于“被遗忘权”持否定态度，但谷歌透明报告的数据显示，2011年美国申请删除个人信息的增长率为103%，即使是美国政府也开始向谷歌申请删除相关信息*Frederic Lardinois. Google Transparency Report: U.S. Content Removal Requests Increased 103%, Postedon Jun 18, 2012. available at https://techcrunch.com/tag/transparency-report/,last visited on Aug.29,2017.。这种现象的出现表明“被遗忘权”之精神事实上已得到了美国民众的广大认同，只是政府在保护策略、法律保护制度等方面仍然存在着差异。

首先，两者在信息隐私保护策略上的差异。“被遗忘权”所引发的第一个争议就是网络服务提供者的地位问题。在西班牙谷歌案件中，欧盟司法法院将谷歌认定为“信息控制者”，从而使其成为1995年数据保护指南的适用对象。此时，对网络服务提供者而言，其既被强制性地赋予了审查信息的义务，又无形中获得了判断个人信息价值的权力。在此意义上，实现网络用户的“被遗忘权”实质上是由欧盟司法法院授权网络服务提供者对个人信息有无价值进行判断的过程。作为私人主体的网络服务提供者通过公共机构的授权事实上获得了规制者的地位*H.H.Perrit. JR.. Towards a Hybrid Regulatory Scheme for the Internet. in: University of Chicago Legal Forum, 2001,pp.215-322.。事实上，欧盟司法法院与网络服务提供者组成了一种共同规制模式，后者规制权能的获得源于前者的授权。只有当网络服务提供者拒绝接受信息主体的删除申请时，其他信息保护机构与法院才会介入。在这种共同规制模式下，政府在事前通过立法、设定规制标准等方式允许、承认私人自治主体的规制行为，在事后对私人自治主体的规制行为进行监督、审查乃至惩罚*Christopher T. Marsden. Internet Co-regulation and Constitutionalism: Towards a More Nuanced View. available at : https://www. Researchgate.net/publication/228246195. Last visited on 25 February, 2017.。与欧盟不同，美国一直奉行市场本位的立法架构，企业的自我规制才是美国传统的规制方式。类似谷歌这样的网络服务提供者常常在政府采取措施之前就会制定相关的隐私保护政策。例如，在1998年《未成年人网络隐私保护法案》颁布以前，美国政府就提出要求网络服务提供者保护未成年人隐私的意见。如果网络服务提供者不自行制定并履行其隐私保护政策，政府就会介入。法案公布之后，法律条文中明确允许网络服务提供者行业协会进行自我规制，自行制定未成年人隐私保护政策*Genelle I. Belmas & Jason M.Shepard & Wayne E. Overbeck. Major Principles of Media Law,2016 Edition. Publishedby Gengage Learning, 2016,p.235.。2012年公布的名为《在迅速变革时代保护消费者隐私》的报告中，联邦贸易委员会也只是向网络与实体企业提出了保护网络消费者隐私的建议。事实上，美国主要采取的是一种依据竞争法进行事后规制的方式。如果相关网络服务提供者不自觉进行自我规制以达到社会所期待之结果，那么政府就会介入，并适用严格的正式规则以及昂贵的司法程序。在某种意义上，正是政府迫使企业进行自我规制，而企业又将自我规制作为预防政府干预的先发制人手段。谷歌等大型网络服务提供企业的隐私保护政策可以直接影响政府的立法与决策。由此可见，网络服务提供者在美国一直均是处于规制者的地位，并不需要事前得到正式机构的授权。

其次，两者在“被遗忘权”保护制度方面也存在较大的差异。在西班牙谷歌案件之前，“被遗忘权”以“请求删除”“拒绝信息处理”“阻断信息传播”等形式在1995年欧盟数据保护指南中体现。2016年修订后的欧盟通用数据保护规则则在其第17条中明确规定了“被遗忘权”。作为综合性的欧盟数据保护立法，不论是1995年指南还是2016年保护规则均对欧盟成员国立法具有指导性作用。“被遗忘权”的出现迫使欧盟成员国立法不得不进一步强化对个人信息隐私的保护。由此而引发的一连串变革就是：成员国国内立法不仅需要在宪法与法律上明确个人信息权的法律地位，而且必须制定与“被遗忘权”实现相关的配套法律规范与制度，以实现强化信息隐私保护的目的。例如，2017年8月7日英国政府宣布将会通过一部新的数据保护法案，该法案将规定“被遗忘权”，允许个人用户向网络服务平台申请删除其个人信息。为了便于网络用户及时获取其信息变动状态，该法案还对网络用户的“知情-同意”的标准增加了新的条件*何波.英国新数据保护法案介绍与分析[J].CAICT互联网法律研究中心.域外观察，2017，(8).。无一例外的是，大部分欧盟成员国均制订了专门的《数据保护法案》《个人信息保护法案》等规范性法律文件，通过在以上文件中增加“被遗忘权”的条款来实现保护信息隐私的目的。

与欧盟不同的是，美国也有类似的保护信息隐私的法律，但却并没有制定综合性的个人信息保护法。尽管美国在1996年通过的《通讯正当行为法案》第230条规定豁免了媒体因第三方言论而引发的侵权责任，但在历史实践中美国并不缺乏申请“保护过去信息不被公开”的案例，只是其所保护的权利名称没有被称作“被遗忘权”。其中，最著名的案例要属1931年加利福尼亚上诉法院判决的“梅尔文诉里德案”*Melvin v. Reid, 112C.A.285.。在该案中，加利福尼亚上诉法院认为，尽管关于梅尔文的信息是陈旧而又真实的事实，但是被告的这种信息公开行为侵犯了原告的隐私。然而，在之后的“盖茨诉探索通信公司”*Gates V. Discovery Communications, 34 C.4th 679.与“考克斯广播公司诉科恩”*Cox Broadcasting v. Cohn, 420 U.S.469.两个案件中，美国法院均认为新闻媒体公开报道“陈旧而真实的信息”不属侵犯隐私权。其理由是新闻媒体所公布的个人信息源于公共记录，且该个人信息具有新闻价值。长期以来，美国法院在处理“陈旧而真实的信息”案件时，新闻媒体的侵权责任大多数时候均被豁免*Genelle I. Belmas & Jason M.Shepard & Wayne E. Overbeck. Major Principles of Media Law,2016 Edition. Publishedby Gengage Learning, 2016,p.218.。直到20世纪90年代社交网络平台开始流行，美国贸易委员会才逐渐要求网络服务提供者保护用户的信息隐私。然而，美国并没能像欧盟成员国那样制定综合性的网络信息隐私保护法律。近年来美国国会一直在起草制定保护信息隐私的法案，但均尚未获生效。例如，2011年提出的《个人信息隐私与安全法案》要求数据持有者向个人收费获取其电子信息记录，并允许个人对其记录中有误的个人信息进行修改；《反网上追踪法案》要求联邦贸易委员会对收集、使用个人网络行为追踪而获得的信息进行规制。2015年提出的《个人信息通知与保护法案》要求私有主体通知网络用户数据外泄；《学生电子隐私法案》限制泄漏学生信息隐私，并不允许将其作为广告目标。但令人遗憾的是，以上法案均未获通过。由此可见，美国目前“被遗忘权”的保护主要是以违反侵权法的方式来进行救济，且“被遗忘权”成功获得保护的案例只占极少数的部分。

五、“被遗忘权”在我国法律上之检讨与启示

“被遗忘权”在我国现有法律体系内存在直接的法律基础。民法总则、侵权责任法、刑法、网络安全法等法律法规中均有类似的保护个人信息的法律条款。其中，民法总则第一百一十一条、网络安全法四十一条与四十三条是最为直接的“被遗忘权”法律依据。民法总则所确立的个人信息权为个人用户行使“被遗忘权”奠定了基础。我国网络安全法并没有采用“被遗忘权”这一概念，而是将其分解为“删除权”与“更正权”两部分内容。网络运营者并不会自行主动删除或者更改个人信息，而个人用户必须有正当的理由才能向其提出申请。第四十三条所规定的申请删除与更正的主体被限定为个人用户，申请的理由则比较笼统概括，包括违法、违约与信息不正确三种情形，申请的对象为与该用户相关的个人信息。侵犯个人信息中所包含的尊严性利益，尤其是侵犯信息隐私权，是公民申请删除与更正信息最为重要的理由。然而，不论是通过隐私权保护制度还是以个人信息权的救济制度来保护信息隐私均存在不足。

(一)适用隐私权保护制度之不足

首先，当前我国法律体系内的“隐私权”概念不足以涵盖“被遗忘权”。关于隐私权的定义多是在民法理论中进行讨论，且认为隐私权与“个人生活安宁”以及“对私人生活信息的控制”有关。然而，这种“对私人生活信息的控制”被限定在“尚未公开的、真实的秘密信息”，而非所有的与个人相关的信息。在司法实践中，我国对隐私的保护多通过侵害名誉权的方式进行处理。最高人民法院的解释中允许个人就新闻机构转载文章而引发的名誉权纠纷提起诉讼，且名誉权所针对的个人信息一般是“失实的信息”或者是“内容属实但有损名誉的信息”。只有在“内容属实”且有“侮辱他人人格”之嫌，该个人信息之公布才能被认定为侵害名誉权。然而，“被遗忘权”所针对的个人信息却是“已经公开的、真实但已过时的信息”，信息中是否包含有侮辱人格的内容并不是构成侵犯“被遗忘权”的关键因素。其次，我国宪法并没有明确规定隐私权为公民的基本权利。隐私权要获得宪法上之法律地位，必须从宪法中关于公民基本权利的条款内容来证成，其中涉及的公民基本权利主要是第33条的“人权条款”、第38条的“人格尊严不受侵犯”、第39条“住宅不受侵犯”以及第40条“通信自由与通信秘密”。我国宪法中所能证成之隐私权实质上是以上公民基本权利的综合体，是一种广义的隐私权。但我国民法上所保护的隐私权是一种狭义的隐私权，且在司法实践中隐私权的权利范围并不明确。在当前的隐私权保护机制下，个人信息中所包含的隐私权利内容亦不能完全获得保护。再次，适用隐私权的模式来保护“被遗忘权”，其实质是一种救济性补偿。但是个人信息只要在网络上上传就很难通过经济性补偿或者小范围内的赔礼道歉来恢复原状、消除影响。“被遗忘权”的设立初衷是“个人期待其过去、现在的行为与经历以及将来的打算等信息免于被他人知悉，从而获得重新出发与重塑自己形象的机会”。这种期待更需要事前的预防与控制手段介入。

(二)适用个人信息权救济制度之不足

民法总则第一百一十条规定，个人信息受法律保护，他人的使用行为将受个人限制。个人信息权由此而得以确立，且常常被定义为“个人与他人交易、交往过程中所产生的信息应当由该个人进行控制”。这一观点本身就突破了传统上对“占有某物”的理解界限。一方面，信息是与他人网上交往、交易过程中产生的，直接占有个人信息的并非用户本人而是网络服务提供者；另一方面，个人信息权体现的是关于某类信息“所有权”的状态，意即是关于“该类信息应当由谁占有、控制、使用并决定其用途、目的”的状态，但当前我国物权法理论中暂时还没有一个比较确切的词汇来描述个人信息的这种占有状态。它既不同于传统物权法上对某一实体“物品”的占有、使用与处置，又不同于共有财产的占有、使用与处置。在某种意义上，个人信息尽管来源于个人，但是其他主体完全可以通过其他方式获得、控制，也就是说个人对其信息并不能如传统物权法中的“占有”那样具有排他性。由此而引发的最为重要的冲突就是个人信息权的归属难题。

(三)“被遗忘权”对我国网络信息隐私保护的启示

第一，突破民法上狭义人格权理论的束缚。尽管人格权理论对于建构隐私权保护法律制度具有重要的作用，但是当面对电脑等自动化信息处理技术不断发展所带来的挑战，人格权的内涵已经无法涵盖个人信息中所有值得保护的尊严性利益。首先，在网络空间，任何网络信息与痕迹均有可能成为他人获取隐私的目标，因而有必要将隐私权所保护的信息范围扩大到任何与个人相关的信息，而不再限定在“尚未公开、隐秘与真实”的标准之内。其次，并非所有的个人信息均能成为隐私权保护的对象。如果采用“一刀切”的方式将所有的网络个人信息均纳入严格的隐私权保护机制之下，那么就会产生阻碍言论自由、降低经济效率、破坏网络信息开放与共享等风险。因而，在网络信息隐私权保护与个人信息合理使用之间需要建立一个有效的平衡机制。再次，隐私权极易与名誉权等具体人格权相混淆，需要有法律明确隐私权的权利范围。隐私权在宪法上与名誉权、荣誉权、肖像权、姓名权等具体人格权是处于并列的地位，而非包含的关系。民法与其他法律对隐私权的保护范围应当与宪法规定相一致，确保宪法上的公民权利能够有适当的救济途径。

第二，建立并完善以“个人信息”为中心的法律规范体系。我国对个人信息的保护是先从私法上开始的，公法保护尚未成为重点。然而，网络空间是一个私人领域与公共领域界限模糊的场域。在该场域之下，个人信息的私人性与隐密性减弱，而社会性与公共性不断增强*王学辉,赵昕.隐私权之公私法整合保护探索——以“大数据时代”个人信息隐私为分析视点[J].河北法学，2015,(5).。建立专门的个人信息保护法律规范体系势在必行。但将个人信息权置于何种法律体系之内进行保护，仍然存在争议。一方面，将个人信息权定义为民事权利有重经济性利益而轻尊严性利益之嫌。个人信息除了具有经济性利益之外，还蕴含有更深层次的尊严性利益。后者并不能简单地运用交换价值来衡量。也就是说对信息隐私的界定需要综合考量个人信息所具有的经济性利益与尊严性利益，要将两种利益进行整合需要一个全新的所有权理论。民法上的所有权理论并不能解决所有问题，需要宪法、行政法等公法理论的支撑。另一方面，网络信息技术的发展趋势掌握在少数占市场主体地位的互联网企业手中，网络用户个人在地位上具有先天的不平等性。在信息主体明显弱势的情形下，政府如若不能采用有效的立法、执法措施，制定相关的政策来确立并保障这种个人信息权的实现，那么即使个人信息权在宪法上获得了基本权利的法律地位，也不具有可实现性。再一方面，个人信息所涉及的领域十分广泛，不仅包括一般的非敏感领域，还涉及医疗、金融、税务、基因、通讯等敏感领域。个人信息的敏感程度不同，法律保护的程度也不相同。这就需要在制定专门的《个人信息保护法》同时，对其他敏感领域内的立法进行修订与完善。

第三，重视网络服务运营商自我规制手段的运用。与政府相比，网络服务运营商在保护个人信息方面更具有优势。一方面，网络服务运营商是个人信息的事实占有者，也是个人信息财产性利益的直接受益者。因而，其对个人信息规制的动力也最大。另一方面，网络服务运营商才是真正掌握网络核心技术的主体。政府保护个人信息隐私的手段最终仍然需要互联网企业技术手段的支持与配合。但是重视网络服务运营商的自我规制手段，并不意味着政府完全放权。我国的网络服务运营商更适合采用一种政府授权的共同规制模式。政府作为规制标准的制定者、监督者与惩罚者，可以采取措施防止网络服务运营商滥用个人信息，督促其在收集、使用个人信息时更加透明，从而使个人用户能够有更多的机会实现对其信息的控制。