全球传播下个人数据保护探究

摘要：被遗忘权是数字时代解决记忆伦理问题的新方案。在这一项尚未成熟的权利确立不久后，谷歌诉CNIL一案落下帷幕。欧洲法院对此案的裁决具有里程碑式的意义，影响着未来被遗忘权在国际上的适用范围。欧盟的法律实践表明，在被遗忘权适用范围的三种选择中“全球本土化”最具可操作性，多方利益相关者的参与需要互相平衡，以实现欧盟和全球范围内个人数据保护的协调统一。

关键词：全球传播；个人数据保护；谷歌；CNIL

中图分类号：D912.1 文献标志码：A 文章编号：1674-8883（2021）10-0027-03

大数据时代，人们的生物记忆被数字记忆无限延伸，网络数据具有的长期存储、容易获得和重复共享等特点引发了记忆伦理问题。由此，欧盟最先在法律中确立被遗忘权（Right to Be Forgotten），数据主体有权要求数据控制者修改不完整的信息。这项尚未成熟的权利在近几年的司法实践中不断摸索边界，其中谷歌诉CNIL（Commission nationale de l’informatique et des libertés，即法国国家信息与自由委员会）一案由来已久。谷歌在全球“被遗忘权第一案”——西班牙谷歌案中败诉后，按法院裁定删除在欧洲网站上的相关数据信息。但是CNIL以谷歌未在其所有版本的网站（包括谷歌全球域Google. com）上删除相关链接为由对谷歌进行10万欧元的罚款，谷歌上诉至欧洲法院（European Court of Justice），最终胜诉。

一、谷歌诉CNIL：里程碑式的司法判例

欧洲法院在谷歌诉CNIL一案的判决结果中支持谷歌公司的上诉，反对将被遗忘权推行到欧盟以外的范围。法院判定在欧盟法律下谷歌及其他搜索引擎公司无义务在全球范围内进行数据的删除（Delisting/De-Referencing），欧盟公民的被遗忘权仅在28个成员国范围内行使。这一裁决综合考虑了1995年的《数据保护指令》（Data Protection Directive，以下简称Directive）和2018年5月25日生效的《通用数据保护条例》（General Data Protection Regulation，以下简称GDPR）。

（一）适用范围的三种可能

谷歌作为跨国互联网企业，按照地域将网站划分为不同的域名（如Google.fr，Google.de，Google.com等），在Google.com上进行的搜索都会自动跳转到与提供该信息来源的国家相对应的域名。在这一前提下，欧洲法院指出被遗忘权的权限划分有三种选择[1]。第一种选择提倡被遗忘权在全球范围内通用，要求搜索引擎公司删除全球范围内的相关数据，包括全球各国不同版本上的链接，这一方式被称为全球性（Universal）。第二种选择提倡被遗忘权仅在欧盟范围内行使，即要求删除数据主体所在成员国乃至整个欧盟所有成员国在搜索引擎网站上对应的相关链接，这一方式被稱为区域性（Regional）。第三种选择则是谷歌在执行欧洲法院裁决时采取的措施，在第二种区域性方式的基础上同时对欧盟外的网站使用国家地域封锁（Geo-Blocking）的方法，即利用互联网协议地址和用户的其他技术手段推断用户的位置，从而在没有删除链接的情况下限制用户在各版本网站上对有关内容的访问，这一方式被称为全球本土化（Glocal）。尽管CNIL认同全球本土化有所改进，但仍要求采用第一种方式。CNIL强调被遗忘权执行过程中的彻底性、有效性，并指出在全球本土化方式下欧盟内的用户仍有很大可能通过特殊途径获取被删除的信息：定位在法国的互联网用户可以登录谷歌在欧盟以外其他域名的网站，比如Google.com，而非欧盟的用户也可以通过虚拟网络服务（Virtual Private Network）绕过国家地域封锁一类的措施获取被封锁的链接。但谷歌称在全球范围的网站实行被遗忘权可能会违反国际法的不干涉原则，并且会引发全面的信息审查，有悖于互联网开放平等的精神，对言论自由也有一定程度的侵犯[2]。

欧洲法院需要在两难局面中进行权衡。如果坚持要求在全球范围内执行被遗忘权以增强数据保护的有效性，那么法院将面临侵犯欧盟外第三方国家主权利益的风险；若否决被遗忘权的域外适用转而以欧盟为界划定范围，那么将要对被遗忘权在执行中的有限性进行妥协。最终，欧洲最高法院宣布只在欧盟范围内推行这一权利。

（二）裁决为全球性保留可能

尽管此案中谷歌的胜诉意味着被遗忘权在国际上仍缺少推行的土壤，但欧洲法院并没有排除在全球范围内行使被遗忘权的可能性。法院强调欧盟的最终目标是为公民提供更高水平的个人数据保护，在裁决中明确允许国家和数据监管机构在适当的情况下要求互联网公司在全球范围内采取删除措施，并称相信各国数据保护机构有能力平衡个人隐私、数据安全和信息自由三者的关系。从这一声明来看，欧盟仍致力于将被遗忘权的合法性全球化。但对于什么是“适当的情况”，欧洲法院并没有作更进一步的解释。

随着谷歌诉CNIL一案的落幕，这场对被遗忘权的实施范围之争为今后被遗忘权的实施程度立下了衡量标准，此案也被视作被遗忘权司法实践中的里程碑。不能将被遗忘权延伸到欧盟外的这一裁决，对受到官方严格审查的搜索引擎公司来说是一个好消息。然而也有人认为谷歌的胜诉只是表面的胜利，欧洲法院仍然保留了各国在必要情况下在全球范围内实行被遗忘权的可能性。

二、谷歌诉CNIL案判决对个人数据保护的启示

（一）全球本土化或成最优解

网络空间没有实际的地理位置或具体形态，人们在互联网上获取来自世界各地的信息，互联网即人们所处的环境。但并不能因此推断对信息的管辖不需要根据地域划分。被遗忘权的适用范围在欧盟法规中有明确的规定。1995年Directive第28条指出，当局没有在第三国处理此类数据的权力，但是应当“给相关国家机构保留较大的自主选择权”。在之后的判例中法院补充：被遗忘权的实践尊重他国的主权，根据合法性原则和法治概念，原则上不能在行政机构允许授权的法律范围外实行。而2018年生效的GDPR中规定应“综合整体考虑并直接应用于各成员国”，在一定程度上限制了CNIL这样的数据处理机构。

在全球性和区域性的选择上，法院的最终裁决是被遗忘权的区域性，并倾向于给被遗忘权的全球性提供可能。在这场官司中，如果谷歌没有上诉成功，那么美国的公民将因与他们毫不相关的法律而被剥夺在本国搜索引擎上获取信息的权利。如果所有法庭都声称本国的法律在全球适用，将会侵犯别国利益并引起国际法律的混乱。而推行区域性的优势则在于欧盟内部的协调统一。被遗忘权在欧洲起源，经欧洲联盟法院解释的判例法中也称这项权利并不是一项绝对权利，被遗忘权在网络上的适用范围应与其实际的地理适用范围一致，即在欧盟内部实行。人们在这一范围内活动，因此搜索引擎的义务也在这一范围内履行，这一具有协调性的逻辑更为合理。

全球本土化这一选择即在区域性的基础上实行国家地域封锁的方法。CNIL认为这一方式具有不彻底性，数据主体权利的落实不应取决于数据接收者，根据发起搜索的IP地址决定被删除数据的保护水平这一做法在原则上是不能被接受的。但Geo-Blocking这一技术在很多判决中都是一种常见的、较为适宜的折中办法，法院甚至会强制要求网络服务提供商推行。在这一技术上双方的分歧主要在于这种封锁是否会被避开（Bypassed）。然而，技术上几乎不存在不会被避开的封锁屏蔽，即使存在，不计成本地实施仍然是不可取的。经过权衡，法院认定全球本土化这一措施能够最大限度地满足被遗忘权的需要。

然而被遗忘权的全球性仍然具有更长远的意义。国家之间的协调程度越高，行使域外管辖权中产生的问题就越少。因此，被遗忘权合法性全球化这一议题的解决有赖于国际共识的达成。如今，在被遗忘权与所有G20成员数据保护框架的兼容性研究中，20国集团的19个国家中有15个国家现在已经通过了数据保护法，为大多数形式的个人数据处理建立了总体框架[3]。在未来，被遗忘权将不再是仅限于欧洲的概念，欧洲法院的这一裁决也为被遗忘权的普及带来了希望。

（二）多方利益相关者的参与需要互相平衡

抛开地域的限制，此案的复杂之处还在于互联网治理包含多方利益相关者，受到政府、企业、民间组织、技术社群和学术界等方面的影响。以下对国家数据机构、互联网服务提供商和作为数据主体的个人三方之间的关系进行讨论。

一方面，这场官司是作为法国国家数据保护机构的CNIL和作为最大跨国互联网企业的谷歌之间的一场博弈，较典型地体现出了国家机构和互联网公司之间的复杂关系。随着处理大量数据信息的互联网巨头国际规模的不断扩张，互联网企业和国家监管机构之间的关系也更加紧张[4]。路透社在报道中将被遗忘权的范围划定视作欧盟在领土范围外延伸其数据保护和隐私标准的一次测试，法院也期望在互联网的法规管理方面有更大的影响，尤其是在缺乏国际统一标准的情况下通过扩大国际影响延伸本国权利的范围，以确保对公民数据处理的全面保护。GDPR起草时欧盟承诺公民这一法案会保障跨国互联网企业掌握着的信息安全，而允许欧盟外的互联网用户有途径获取在欧盟内被删除的信息会潜在地削弱被遗忘权的效力，为公民提供高水平信息安全保障的最终目标也难以达到。而谷歌坚持对数据的保护要符合国际规范，遵守已确立的地域原则，但同时也鼓励全球范围内的交互操作，指出允许跨境数据流动的机制对经济发展的重要性。结合双方的观点来看，数据存储的地理限制会破坏安全性，也会降低服务提供商的可靠性和业务效率。隐私监管应支持跨境数据传输机制，信息保护应该视数据本身的情况而定，而不是仅仅依据国界来划定范围。

另一方面，作为网络服务提供者的互联网和提供数据价值的用户之间的关系也影响着被遗忘权的范围。对用户而言，网络服务提供者只有寥寥几家，而网络服务提供者面对的是不计其数的用户。这无疑会在实施中给网络服务提供者带来巨额成本和巨大的工作量，在很大程度上打击其服务积极性。同时，对于信息制作者、上传者、传播者等群体是否应承担责任存在争议[5]。而且，对于搜索引擎服务商是不是数据控制者（Data Controller）仍存在争议。搜索引擎仅提供信息定位工具，并不会对第三方网页上的个人资料进行控制，在对源网页进行抓取、分析和索引的过程中，个人数据不会以任何特定的方式显示出来。因此许多国家推迟了被遗忘权的立法并驳回删除已有网页链接的申请。另外，谷歌的首席隐私官凯斯·恩莱特认为互联网数据信息管理中潜在的碎片化倾向（Fragmentation）对行业内各企业来说是不可忽视的隐患，为此谷歌公开了一份数据保护法规框架，提出了所有“负责任”的互联网企业应遵守的数据保护要求。谷歌倡导让数据主体重新掌握对个人信息的控制权，主体有权访问之前提供的信息并进行修改更正，同时要求将烦冗的操作手续简单化，数据主体无须在每次处理个人信息时都发出申请。这一措施不仅为个人赋权，也保证了市场的创新性和竞争性。

身处大数据时代，数据价值的利用引发了新的问题。直至今日，被遗忘权对公众知情权、言论自由是否存在侵犯仍存争议，在数据价值被充分挖掘并转化为商业价值的当下，被遗忘权要求删除的数据可能并不像用户声称的一样“毫无价值”。单个数据因其内容的独特性，产生独属于其自身的个体价值，个体数据组成了大数据的基础，并以多样态组合的形式出现。数据能高效、自由地流动是大数据产业发展的根本，个人数据若要充分发挥价值，就必须使其自由流动。因此也要对被遗忘权的使用加以约束，避免滥用删除行为引发不必要的删除，进而导致信息的封闭[6]。

（三）实现个人数据保护在各国司法实践中的协调统一

在判决中，法院多次强调实现欧盟内个人数据保护的协调统一（Harmonised European Data Protection），以达到对公民更高水平的数据保护，而欧洲法院的裁决可能在一定程度上挫伤了这一目标。允许各个成员国的监管机构自行实施“平衡测试”（Balancing Test，一种综合多方因素以求得最公平结果的司法方法），将会在不同国家的司法实践上造成差异。正如前文所说，GDPR相较于Directive在更大程度上限制了成員国的自主权。Directive的实践证明，被遗忘权在各国实施过程中产生的差异有悖于欧盟内数据法的协调性，也不利于个人数据在欧盟内的自由流动。而GDPR更注重法律确定性和透明性，力图赋予欧洲公民同等级别的数据保护。对于联盟内跨国界案件的处理，法院强制相关国家机构达成同一决策并为搜索引擎提供明确可行的指令，这一合作机制在解决各国数据法之间的碎片化问题上十分关键。然而即使在GDPR的指引下，被遗忘权的实施仍然没有达到统一。目前在欧盟层面，数据保护和公众知情权之间始终没有统一的衡量标准，搜索引擎公司和数据主体还将持续面对被遗忘权的不确定性和不可预测性。尽管给予各国的自主权反而造成法律实践的不协调，法院仍认为为成员国保留司法的灵活度是有必要的。总体来说，GDPR作为一项可以直接应用于所有成员国的法规，为实现欧盟数据保护的立法统一提供了更有力的保障，而全球范围的实践应以欧盟内部实现一致性为基础，进一步为国际上的推广提供经验。

三、结语

谷歌诉CNIL案的决策显然并不像媒体报道所称的是一次“属于谷歌的胜利”，法院的判决承认了被遗忘权全球化的合法性。在欧盟有关数据隐私和保护的法律体制生效之际，这一决定吸引了国际的关注。自从生效以来，GDPR有望为全球的数据保护立下标准，对各国的数据保护机构加强和完善各自的数据保护法规起到了启发作用。同时，全球的互联网公司也十分关心GDPR的生效会如何影响它们的管理和运作。虽然这一案件仅仅聚焦于被遗忘权，但判决结果对GDPR整体的适用领域有更深意义的解读。除了搜索引擎公司，任何被欧盟或国家监管机构认定为提供个人数据处理服务的公司都被处于GDPR的管辖范围内。

回到本案，裁决结果在被遗忘权的治外法上增加了法律确定性，这仅仅是一个开始。欧洲法院在未来将面对更多有关欧盟数据保护法适用范围的问题。GDPR显著地改变了全球被遗忘权的实践图景，这一案证明在全球范围内实施被遗忘权的关键还在于国际数据保护制度的发展。无论如何，欧盟在国家、超国家和国际治理层面的有效合作上进行的尝试，对数字时代被遗忘权的开拓作出了积极的贡献。

参考文献：

[1] 亚恩·帕多瓦.被遗忘权是一项全球性、地域性还是“全球本土化”的权利？[J].国际数据隐私法，2019（03）：9-1，21-29.

[2] 葛兰素·奥斯卡尔.被遗忘权：欧洲数据帝国主义、国家特权还是世界人权？[J].欧洲行政法论述，2020（01）：125-152.

[3] 大卫·鄂尔多斯. G20法定数据保护框架内的线上“被遗忘权”[J].国际数据隐私法，2020（04）：78-87.

[4] 玛丽·萨蒙特.谷歌CNIL案：欧盟法律下的被遗忘权适用范围[J].欧洲论坛，2019（04）：839-851.

[5] 王恬.谷歌与CNIL“被遗忘权”之争[J].中国审判，2019（06）：86-88.

[6] 令倩，王晓培.尊严、言论与隐私：网络时代“被遗忘权”的多重维度[J].新闻界，2019（7）：74-82.

作者简介：王枫茹（2000—），女，安徽合肥人，本科在读，研究方向：广播电视学。