论被遗忘权中的个人信息法律保护

摘 要 近年欧盟提出“被遗忘权”，2014年5月，欧洲法院在一起针对谷歌的隐私诉讼中判定谷歌要尊重用户要求其删除链接的权利。虽然“被遗忘权”目前在欧盟还只是立法提案阶段，但欧盟以扩大解释《关于涉及个人数据处理的个人保护以及此类数据自由流动的第95/46/EC号指令》的方式积极开展“被遗忘权”的司法实践。美国对欧盟的这一做法持质疑态度，二者在被遗忘权问题上的不同的立场，反映的是二者背后不同的价值选择及利益博弈。需要看到隐藏在被遗忘权背后的政治因素，审慎对待此“权利”在中国的建构。

关键词 欧盟 被遗忘权 个人数据

作者简介：蔡晓明，江苏梁溪律师事务所，研究方向：民法和知识产权法。

中图分类号：D923 文献标识码：A DOI：10.19387/j.cnki.1009-0592.2019.01.130

清代文康在其《儿女英雄传》第三十二回中写道“人过留名，雁过留声”，对于人类而言，遗忘一直是常态，记忆才是例外。人类总是担心自己被遗忘，故而想方设法让自己以某种方式“被记忆”。随着数字技术与全球网络的发展，过往“遗忘”与“记忆”之间的“平衡”被打破了，“过去”像刺青一样被刻在我们的“网络”皮肤上，上传到Facebook的照片被储存，搜索过的信息被谷歌记录。这些被“记忆”的信息，立体展现了“网上痕迹”，有时令人发狂，甚至让人孤独绝望。由此，“被遗忘权”应运而生，赋予用户要求网络服务提供者删除特定信息的权利。2014年5月13日，欧洲法院在一起针对谷歌的隐私诉讼中，裁决用户有权要求互联网公司在搜索结果中删除不相关的多余信息。欧盟法院的判决“一石激起千层浪”，不仅事实上肯定了争论数年的“被遗忘权”，同时影响到了国际互联网法律规则的走向。

一、由《数据保护指令》到谷歌数据删除案

（一）被遗忘权的提出

一直以来，欧盟高度重视个人数据保护，1995年12月，欧盟通过了《关于涉及个人数据处理的个人保护以及此类数据自由流动的第95/46/EC号指令》（Directive 95/46/EC Of The European Parliament And Of The Council Of 24 October 1995 On The Protection Of Individuals With Regard To The Processing Of Personal Data And On The Free Movement Of Such Data，以下简称《数据保护指令》） ，并于1998年12月25日正式生效。该指令不但以极高立法标准对个人数据进行广泛的保护，还限制欧盟境内个人数据对外的国际流通。2011年1月，欧盟公布题为“欧盟个人数据保护综合方案”的报告，拟对《数据保护指令》进行修改，以期更好地反映个人数据保护方面的新变化，并于2012年1月25日公布《关于涉及个人数据处理的个人保护以及此类数据自由流动的第2012/72、73号草案》（Proposal For A Regulation Of The European Parliament And Of The Council On The Protection Of Individuals With Regard To The Processing Of Personal Data And On The Free Movement Of Such Data （General Data Protection Regulation），以下简称《GDPR草案》） 。

正是在《GDPR草案》中，欧盟提出了“被遗忘权”的概念。根据该草案，“被遗忘权”（right to be forgotten），是指数据主体有权要求数据控制者永久删除有关数据主体的个人数据，有权被互联网所遗忘，除非数据的保留有合法的理由。 “被遗忘权”，赋予了数据主体要求数据监控方彻底删除其数据的权利，进而终止或避免自己的个人数据在互联网或其他领域被使用、传播或泄露。根据《GDPR草案》，数据主体不但有权要求数据控制者删除其直接控制的数据信息，还有权要求数据控制者删除经第三方转载、复制后的所有数据。

对于“被遗忘权”，目前欧盟议会还只是立法提案阶段，然而西班牙等国已经积极付诸实践，仅在2011年4月，西班牙数据保护局（Agencia Espafiola de Protecion de Datos，简称AEPD）便以“被遗忘权”为由下令“谷歌在一个月内删除关于90名原告在互联网上的相关链接”， 欧洲法院于5月13日裁定的谷歌案，也仅仅是“西班牙的超过200起要求谷歌撤下涉及个人数据内容的起诉之一” 。

（二）谷歌数据删除案

1998年西班牙的《先锋报》（下文称“出版方”）报道了原告Mario Costeja Gonz醠e（下文称“数据主体”）住房因债务被收回的情况，随后，在网络上提供了电子版。2009年10月，数据主体联系出版方，称只要在谷歌搜索引擎上输入其姓名与姓氏，就会出现数页有关房地产拍卖的报刊链接，并主张其社会债务执行程序早已结束，已与现在毫无关系，要求出版方删除或修改该报道。出版方则回复称删除数据是不恰当的。2010年2月，数据主体联系Google Spain，要求当其名字与姓氏被输入谷歌搜索引擎时，不应显示该篇报道以及与该报道有链接的搜索结果。Google Spain将数据主体这一要求反映回Google Inc.，而Google Inc.拒绝了数据主体这一要求。

2010年3月5日，数据主体向西班牙数据保护局投诉，要求出版方删除或纠正该报道，使其个人數据不再显示，或提供搜索引擎能够获得的保护其个人数据的工具。其同时主张Google Spain与Google Inc.应被要求删除其数据，不再显示该报道的搜索结果和链接。2010年7月30日，西班牙数据保护局作出决定，要求Google Spain与Google Inc.采取措施删除其索引数据，并保证有关数据不再被访问。不过西班牙数据保护局拒绝了数据主体要求出版方删除的主张，其理由为该报刊出版合理合法。Google Spain与Google Inc.向西班牙最高院法院提起诉讼，要求撤销西班牙数据保护局的决定。2013年7月25日，西班牙最高法院裁定要求谷歌删除该链接，但谷歌却辩称该公司没有责任删除在其他网站上合法发布的信息，并拒绝删除相关内容。西班牙最高法院随后将该案提交给欧洲法院进行审理。2014年5月13日，欧洲法院作出裁决，认定谷歌有责任在特定情况下删除搜索结果中所显示的个人隐私信息，认为“搜索引擎业务活动是对网页出版商业务活动的补充，对于隐私权和个人数据的保护权等基本权利都有可能产生重大影响”， 搜索引擎有责任在特定情况下删除与个人有关的相关网页链接。

在欧盟现行的法律体系框架内，尚无明确的“被遗忘权”条款，这也是欧洲法院裁定谷歌要尊重用户“被遗忘权”所招致的批评原因之一。在谷歌数据删除案中，法官所依据的依然是《欧盟数据保护指令》， 事实上，“被遗忘权”概念的起源应当始于《欧盟数据保护指令》，该指令赋予了用户对个人数据接触、更正删除或封存以及反对的权利，并规定任何公民可以在其个人数据不再需要时提出删除要求。 《GDPR草案》在其解释备忘录中，明确指出，该草案第17条所规定的“被遗忘权”是对《欧盟数据保护指令》第12条（b）所规定的删除权的进一步阐述和具体化，由此不难得出，欧洲法院法官所提出的“欧洲现有数据保护法中已有‘被遗忘权”这一推论。 从具体条文规定来看，其与“被遗忘权”的内涵并不十分吻合，因此，可以得出这样的结论：在谷歌数据删除案中，欧洲法院的判决依据是对《欧盟数据保护指令》的规定进行了扩张解释。

二、被遗忘权的价值争论

（一）被遗忘权的规则理解

作为近代以来政治与发现的核心概念，权利的背后蕴含着个人自主的正当性。考察权利理论，其核心要素无非两点：利益与主张，由此需要从主体、客体、行为边界等角度去考察一项“权利”。

从《GDPR草案》规定来看，“被遗忘权”的权利主体是数据主体，而其义务主体为数据控制者。《数据保护指令》将数据主体定义为“身份已被识别或身份可被识别的自然人”，《GDPR草案》沿用了这一定义。 对于数据控制者的界定，《GDPR草案》与《欧盟数据保护指令》相同，都同时包括了私人性质的控制者和行使国家权力的数据控制者。

“被遗忘权”的客体是个人数据。《GDPR草案》第4条2款将个人数据定义为“与数据主体相关的任何信息”。从其规定看，凡是与“身份已被识别或身份可被识别的自然人”相联系的信息均可被界定为“个人数据”，定义十分宽泛。

至于“被遗忘权”的具体适用情形，《GDPR草案》第17条第1款规定了四类情形：（1）与数据收集和其他处理的目的不再有关；（2）数据主体撤回同意，或者当同意的保留期限已满，且处理数据没有其他合法依据；（3）数据主体反对；（4）与《2012 年欧盟草案》不符的其他数据处理情形。 在上述四类情形中，数据主体有权要求数据控制者删除有关数据主体的个人数据，包括其控制的第三方转载、复制后的数据。

（二）被遗忘争论背后的价值选择

事实上，欧盟被遗忘权涵盖哪些记录或内容，即“权利的范畴什么、谁是被遗忘的权利的主体、权利主体有什么权利和责任、谁是被遗忘的权利的施加对象、权利的施加对象又有什么权利和责任”等内容均是需要完善的， 欧盟发展出的“被遗忘权”受到了极大争论，尤其是欧境外对其质疑不断，美国尤甚， 认为欧盟的立法机关在“混沌思考”（foggy thinking） 。

1. 欧盟推行被遗忘权的背后逻辑

欧盟提出被遗忘权，与其珍视个人信息保护的传统密切相关。自文艺复兴、启蒙运动以来，欧洲对人的尊严的重视深入到其文化精髓。在前互联网时代，自然人在社会生活中所留下的印迹随着时间的消逝、空间的转移均会逐步淡出公众的视野。但在互联网时代，超链接、云储存等技术使得无论何时何地，自然人的印迹均得以被保留、被访问。欧盟提出被遗忘权体现了“以人为中心”的价值追求，毕竟相当多的个人数据涉及个人的隐私甚至是人格尊严问题。欧盟与美国在个人信息方面的立法价值也基于此而产生差异：美国同样对个人信息保护非常重视，但其价值理念更多倾向于财产理论，信息数据可以作为企业资产进行转移。“被遗忘权”对用户来说是有利的，享有“被遗忘权”的用户能够要求互联网企业或者公共机构及时删除其个人信息，防止信息进一步传播而被滥用。被遗忘权能够使用户有权决定哪些信息可以被公开，哪些信息应当被删除的自由，体现着对主体人格的尊重。

与此同时，欧盟在网络产业上一直难以有所作为，其众多网络产业服务市场为美国网络公司所垄断，美国的网络公司建立起了强大的数据帝国，这个为欧盟带来了担忧，这种担忧不仅限于国家层面、联盟层面，也存在于公民个人层面。2013年的斯诺登事件更加坚定了欧盟在个人数据方面采取更为严格政策的决心，某种程度上，被遗忘权是以赋予个人请求删除数据的权利、鼓励公民个人监督和维权这种巧妙的方式设置隐性的数据壁垒，进而遏止美国利用各种互联网工具收集和利用个人信息的趋势，以缩小欧盟信息收集、存储、使用产业与美国的差距。

2. 质疑被遗忘权的价值判断

一是言论自由。对于被遗忘权的批评，最核心的问题在于担心其对出版自由、言论自由的冲击。 被遗忘权涉及到同言论自由的平衡问题，该问题在欧洲大陆和美国的司法实践中的表现是不一样的。在欧洲大陆，如果隐私权保护和自由言论保护发生冲突，法院会尽力实现这两种权利之间的平衡，但是在一些情况下会更倾向于保护“被遗忘权”。例如在德国，一名司机因抢劫德国武器库而被判刑，一家媒体将这起案件拍成了包含被判刑司機的基本信息的纪录片，并计划将纪录片在该司机出狱当天播放。司机认为该媒体的行为侵犯了其隐私权，故诉至法院。最终法院认为播放包含该司机基本信息的纪录片，会对司机重新融入社会造成影响，故判决司机胜诉。然而在美国，如遇到隐私权和自由言论权冲突，法院会更加侧重于保护言论自由。例如一家媒体在一起涉及强奸案的报道中，提及了受害者的姓名。受害者认为这侵犯了其隐私权，故诉至法院。虽然地方法院支持了受害者的诉求，但是美国最高法院认为该报道对公共利益有重大意义，报道中包含受害者姓名并不足以侵犯受害者的隐私权，故推翻了地方法院的判决。

二是知情权。“被遗忘权”同时涉及公众“知情权”问题。“被遗忘权”在保护用户信息隐私的同时，也在一定程度上限制了公众的“知情权”。例如上述德国司机隐私权案。虽然法院的判决有利于保护司机的隐私，便于其改过自新再次回归社会，但是公众也因此无法详细了解该案件的始末，无法更好地保护自己免受犯罪分子的侵害。

三是成本与收益。美国之所以在被遗忘权问题上同欧盟存在重大差异 并质疑被遗忘权，其根源在于被遗忘权对美国互联网企业是不利的。互联网企业在保护用户“被遗忘权”过程中会出现高成本、低收益的不对称。

保护“被遗忘权”的高成本体现在两个方面：（1）根据“被遗忘权”规则，互联网企业需要对过去二十多年的互联网运营规则和模式进行大幅度改革，互联网企业需要建立一个新系统，用于接收、评估和执行删除搜索记录的请求，这必然带来巨大的变革成本。（2）“被遗忘权”的执行将成为互联网企业沉重的运营负担，一方面，互联网企业必须投入大量人力物力面对删除请求的爆炸，另一方面，如何实现全网删除将是一个技术难题，而且互联企业将不得不面对因对第三方信息删除而引发的侵权纠纷诉累，更有甚者，会出现竞争对手利用“被遗忘权”进行不正当竞争的局面。在谷歌数据删除案中，欧洲法院判决的另一个重要影响是对举证责任的改变，用户请求企业删除数据，不是由用户证明该数据是“不足的、无关紧要的、没有关联的”，而是由企业证明这些数据因为某种需要而不能被删除，这进一步加重了企业成本。

“被遗忘权”将给互联网企业带来成本的剧增，却很难带来收益的相应提高。用户数据是互联网企业享有的一大优势，甚至是其最重要的资产之一，能够为企业分析用户行为、吸引广告投入提供数据支持，很大程度上，谷歌等互聯网公司便是依靠收集、分析、储存信息数据而进行盈利的，“被遗忘权”将削弱数据的经济价值，诚如学者所言，在数字经济环境下公司和营销机构依靠数据来定位客户，允许用户删除数据，其商业优势不复存在。

在“被遗忘权”下，企业为保证能够根据用户需求及时删除数据的链接和副本，不断提高技术水平，加大投入，在面临这成本、收益不对称的同时，也面临着责任界定不确定性的困境，即企业需要在何种程度和范围内删除用户的数据？这都需要立法的进一步明确，而按照既定规则，谷歌等互联网企业作为“中立的转载中介”，不对第三方发布的信息承担责任，不会因网络使用者发布的内容被追究法律责任，责任范围明确。

三、结语：对被遗忘权的法理思考

被遗忘权主要的核心思想是解决无用信息对个人可能带来的在隐私、名誉等方面的负面困扰，然而目的并不成为证成自身正当性的基础。个人数据关涉隐私，被遗忘权和隐私权在心理模型上一脉相承，被遗忘权脱胎于隐私权也因此一直是被遗忘权正当性的主流解释。但隐私权无法为个体被遗忘的需求提供周严的保护，况且从操作上讲，隐私权的人格权属性也决定了其在损害证明和侵权主体识别等方面存在一定的主张困难。

从财产权角度来说，个人数据未尝不能被视为一种财产，对这种信息资产的保护在被遗忘权领域体现为法律对财产撤回甚至毁损的支配性权利的承认——这可以类比著作权法赋予作者对作品的支配权来理解。财产权进路虽然有侵权主张更容易被证成等优点，但却将被遗忘权限缩到了商业活动语境，给被遗忘权加上了财产利益这一限定，这显然影响了被遗忘权理论的解释力。

可见隐私权和财产权两种解释思路都无法完整填充被遗忘权的理论基础，这也从另一个维度体现了被遗忘权复杂性与争议性。

前互联网时代下信息流转的速度较慢、传播方式相对有限且容易受到物理空间的约束，个体对个人信息的控制力较强，在数据采集和数据存储水平都较低的情况下，个人日常生活所产生的海量信息大部分都会流失掉或者说被遗忘，可以说“被遗忘权”在此时完全是一种“自然权利”，隐私权保护制度已经可以较好地完成对个人部分重塑自身形象需求的保护任务，没有必要再创设一个独立的法律制度。互联网时代下，技术进步使得数据控制者数据采集、存储、挖掘的能力几何级增长，互联网大大加快了信息流转，也丰富了信息的存储方式并延长了存储时限，遗忘和记忆的天平翻转了。告知与同意的框架事实上崩塌了，如果我们承认分享和交互已经构成我们线上生活方式的一部分，就不得不面对更多已经完成隐私设置的主动提供的信息转过来给我们带来的尴尬——我们可能在披露后很快就删除了这些信息，但其可能已经被搜索引擎的爬虫程序所抓取，或者已经被他人转载，更甚于已经被重新转入线下存储。对此类数据进行删除的诉求大都超过了传统隐私权制度的保护能力，故而可能需要创设一种新的法定权利和配套的制度来对此进行保护。

被遗忘权使自然人隐私权的保障达到了新的高度，但对网络产业而言，其影响是巨大的：怎么删除、删除哪些内容、责任的边界统统是模糊的，而“被遗忘权”的极端便是走向媒体警察，形成寒蝉效应。欧盟提出“被遗忘权”在个人层面保护外，更有政治因素的考虑，也必须看到其背后的价值选择，进而理性思考“被遗忘权”对我国的借鉴“价值”。事实上，工信部在制定《电信和互联网用户个人信息保护规定》时，曾经考虑将“被遗忘权”纳入该规定，但是，考虑到“被遗忘权”对企业运营成本及技术水平的要求，最终立法时还是采取了更为保守和实际的做法。

注释：

2014年10月，日本东京地区法院发布禁令，要求谷歌删除与一名日本男子有关的互联网搜索结果，认为这些内容侵犯此人隐私。尽管东京法院的裁决不如欧洲法院彻底，但二者涉及的问题却是相似的。谷歌搜索中总共约有230条消息暗示该男子参与过去的一起刑事犯罪，东京法院要求谷歌删除其中的120条。参见书聿：“日本法院要求谷歌删除关于一用户的搜索结果”，资料来源：http：//tech.sina.com.cn/i/2014-10-11/09449683072.shtml；访问时间：2018年7月25日。

Council Directive 95/46/EC， 1995 O. J. （L. 281） 31， 31.

The European Parliament And Of The Council， COM （2012） 11 final， available at http：//ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_en.pdf.

伍艳.论网络信息时代的“被遗忘权”——以欧盟个人数据保护改革为视角.图书馆理论与实践.2013（11）.4，6.

COM （2012） 11 final art. 17.2。

Ciaran Giles， Spain Launches First 'Right To Be Forgotten' Case Against Google， http：//www.huffingtonpost.com/2011/04/21/right-to-be-forgotten-google-spain_n_851891.html？ （last visited Jan. 1， 2018）.

刘栋、陈丽丹.国际互联网巨头运营规则受冲击.资料来源：http：//cpc.people.com.cn/n/2014/0515/c83083-25019610.html，更新时间：2014年5月15日；访问时间：2018年7月26日。