「被遺忘權」很美?——評國內首例「被遺忘權」案

10 人贊了文章

首發於《中國信息安全》2016年08期，作者：王融。

又見百度。但今天的話題不再是競價排名，而是隱私保護領域的熱門——「被遺忘權」。雖然百度在社會責任方面飽受詬病，但不得不承認它為國內的隱私保護司法實踐貢獻了多個經典案例。去年5月，南京中院審結的「朱某VS百度隱私侵權案」被稱為我國「cookie隱私第一案」，引發了關於cookie隱私的大討論。近日，媒體又將北京一中院審結的「任某VS百度名譽權案」冠之「全國首例被遺忘權案例」。

筆者十分認同法院關於「被遺忘權」的審判結果。更進一步說，即使本案發生在「被遺忘權」的發源地歐盟，也未必能夠得到支持。

一、案件概述

在本案中，原告任某從事人力資源和企事業管理，其曾於2014年在無錫某氏教育公司工作過。2015年，任某進入百度搜索頁面，鍵入自己姓名後，百度在「相關搜索」處顯示有「無錫某氏教育任某」等辭彙；另外，在搜索框內鍵入「某氏教育」，在「相關搜索」處顯示有「某氏教育騙局」等。

任某主張因某氏教育在業界名聲不好，百度在搜索頁面中公開其與某氏教育有關的個人信息侵犯了其名譽權、姓名權及作為一般人格權的「被遺忘權」，要求百度斷開涉案關鍵詞的搜索鏈接、賠禮道歉、賠償經濟損失。

本案中名譽權、姓名權侵權爭議不大。因為我國立法對名譽權、姓名權侵權認定有較為明確的的規定。本案中百度提供的相關搜索詞系由過去一定時期內使用頻率較高且與當前搜索詞相關聯的詞條統計而自動動態生成。百度不存在對任某進行侮辱、誹謗的侵權行為，也不存在干涉、盜用、假冒任某姓名的行為，不構成侵害名譽權、姓名權。

比較而言，本案關於「被遺忘權」的部分更具有討論價值。

二、原告對「被遺忘權」的主張及法院的審判觀點

原告任某認為，其已經結束了在某氏教育的工作，不再與該企業有任何關係，此段經歷不應當仍在網路上廣為傳播。而且該企業名聲不佳，在百度相關搜索上存留其與該企業的相關信息會形成誤導，並造成其在就業、招生等方面困難，百度公司應當承擔侵權責任。這種「利益」應當作為一種一般人格利益予以保護。也即原告主張的「被遺忘權」。

對此，法院審理認為：

第一、我國現行法中並無 「被遺忘權」的權利類型，原告所主張的一般人格利益，只有在滿足正當和必要的前提下，方可支持。

第二、原告任某希望刪除能夠指向其曾經在「某氏教育」工作經歷的搜索鏈接。該主張蘊含了其兩項具體的訴求意向：其一是確認其曾經合作過的「某氏教育」不具有良好商譽；其二是試圖向後續的學生及教育合作客戶至少在網路上隱瞞其曾經的工作經歷。

就前者而言，企業的商譽受法律保護，法律禁止任何人詆毀或不正當利用合法企業的商譽。不同個人對企業商譽的評價往往是一種主觀判斷，而企業客觀上的商譽也會隨著經營狀況的好壞而發生動態變化，因此不宜抽象地評價商譽好壞及商譽產生後果的因果聯繫。

就後者而言，涉訴工作經歷信息是原告任某最近發生的情況，與其目前的個人行業資信具有直接的相關性及時效性；這些信息的保留對於包括原告潛在客戶或學生在內的公眾知悉原告的相關情況具有客觀的必要性。

因此，任某在本案中主張的應「被遺忘」（刪除）信息的利益不具有正當性和受法律保護的必要性，法院不予支持。

筆者十分贊同上述審判觀點。法院並沒有因為我國現有立法未對「被遺忘權」作出規定而直接否定原告的主張，而是首先將包含有個人工作經歷的信息認定為個人信息，認可原告對該個人信息主張權利。

與此同時，法院將原告所主張的「被遺忘權」作為非類型化的人格權，分析其主張的權益是否有保護的正當性和必要性，特別從公共利益的視角出發，對二者進行了準確的分析，其中借鑒了歐洲法院相關判例中的經驗，認為原告所主張的工作經歷信息並非是過時的，不相關的個人信息，特定公眾對其享有合理的知情權。法院把握了「被遺忘權」這一新型權利的要害，值得讚許。

三、適用歐盟法分析本案

即使在對公民隱私保護最為激進的歐盟——「被遺忘權」的濫觴之地，原告的主張也未必能夠得到支持。

在歐盟層面（不包括歐盟成員國立法），「被遺忘權」的法律淵源主要有兩個方面：一是2014年5月歐洲法院對針對谷歌的一份判決，首次在該案中確立了「被遺忘權」[2]；二是歐盟數據保護一般條例（General Data Protection Regulation，GDPR）第17條刪除權（也可稱為「被遺忘權」）的規定。由於二者在適用範圍、權利內涵上有較大的差異，我們可分別將其作為依據，適用我國「任某訴百度案」進行討論。

（一）適用歐洲法院判例確立的「被遺忘權」規則

案例要旨：1998年，西班牙《先鋒報》刊登了西班牙公民岡薩雷斯因無力償還債務而遭拍賣物業的公告。2010年，岡薩雷斯發現，如果在谷歌搜索引擎輸入他的名字，會出現指向《先鋒報》關於其房產拍賣的網頁鏈接。岡薩雷斯認為這些信息已經過去多年，希望谷歌能夠刪除該鏈接。該案一直打到歐洲法院，歐洲法院隨後做出了轟動世界的「被遺忘權」判決：谷歌作為搜索引擎服務商，應被視為1995年《數據保護指令》界定的數據控制者，對其處理的第三方發布的帶有個人數據的網頁信息負有責任，在特定情形下，有義務協助數據主體將其消除。依據該判例，歐洲居民可以向搜索引擎申請在搜索結果中刪除有關個人的「不恰當的、不相關的、過時多餘」（inadequate, irrelevant, excessive）的網頁鏈接。

判決發布後引發了極大爭議，為解決實踐中的困惑，歐盟數據保護機構——第29條工作組專門為此發布了執行判決的指南文件[3]，明確了「被遺忘權」效力所及範圍，以及各國ＤＰＡｓ（數據保護機構）受理數據主體申訴的標準，包括：

第一：數據主體提出主張應當以其「姓名」為基礎。只有當以「姓名」為搜索關鍵詞時，如果出現符合條件的不相關個人信息鏈接，可以請求搜索引擎在搜索結果中刪除。

第二、搜索引擎不負責刪除原始網頁，而是不再顯示在搜索結果中（de-listing）。若原始網頁以「姓名」以外的關鍵詞仍然可以搜到，則不在搜索引擎協助刪除的範圍之內。

第三、搜索引擎在受理數據主體的「被遺忘權」主張時，在判斷是否予以刪除鏈接時可以考慮如下因素[4]：

1）數據主體是否在公共領域具有重要角色或具有公眾形象，以及公眾是否具有取得前述數據的權利。

2）數據是否具有正確性。

3）數據是否具有相關性且不過分

4）根據數據保護指令第８條，該數據是否具有敏感性信息如個人健康狀況、性取向或宗教信仰。

5）該數據是否已過時，或對於數據處理目的來說，其存在已為冗贅。

6）該數據是否已具有對數據主體的偏見，並且對其隱私具有不對等的負面影響。

7）搜尋結果與數據鏈接是否已造成數據主體暴露於危險威脅，例如竊取身份或受到跟蹤。

8）原有信息的發布是否具有新聞目的。

9）該數據是否涉及刑事犯罪。

綜上，參考歐洲法院判例及第29條工作組執行指南，歐盟居民提出「被遺忘權」，在具體個案中是否予以支持，首先要判斷其所主張的個人信息是否「不恰當，不相關、過時且多餘」，並在個人權利和公共利益之間作出平衡。第29條工作組所列的具體考慮因素充分體現了這種平衡要求。有些因素是考慮個人權利的加權項，例如是信息是否敏感，準確，而另外一些因素則是公共利益考量的加權項，例如數據主體是否是公眾人物，是否是有新聞目的等。

結合我國「任某訴百度」案，在該案中，任某主張刪除的個人信息為自己職業經歷的一部分，是客觀存在的真實經歷，且該經歷就發生在其主張權利的一年前，並不符合「不恰當」「過時多餘」的標準。並且對於從事教育、管理這樣的專業職業來說，其客戶受眾通過搜索引擎了解其職業經歷，這一活動具有正當性，也並不構成對任某個人權利的損害。

（二）適用歐洲條例確立的「被遺忘權」規則

剛剛通過的歐盟數據保護一般條例（General Data Protection Regulation，GDPR）第17條刪除權（「被遺忘權」）共計三款。其中第1款的核心仍然是傳統個人信息保護法中已經確立的刪除權：當用戶依法撤回同意或者數據數據控制者不再有合法理由繼續處理數據時，用戶有權要求刪除數據。

關於「被遺忘」的精神更多體現在第17條第2款：如果數據控制者將符合第1 款條件的個人數據進行了公開傳播，他應該採取所有合理的方式予以刪除（包括採取可用的技術手段和投入合理成本），數據控制者有責任通知處理此數據的其他數據控制者，刪除關於數據主體所主張的個人數據鏈接、複製件。

也就是說數據控制者不僅要刪除自己所控制的數據，還要求數據控制者負責對其公開傳播的數據，要通知其他第三方停止利用、刪除。這是對傳統「刪除權」的擴張。

但是，GDPR同樣對「被遺忘權」作出了重要的限制，第17條第3款規定了並不適用「被遺忘權」例外情形：

1）基於言論表達自由；

2）依據歐盟或成員國法律的要求，數據控制者應當履行的法定義務要求其處理數據或者基於公共利益、政府機構的要求處理數據

3）數據處理依法基於公共健康等公共利益；

4）基於歷史、統計和科學研究的目的；

5）出於建立、實施和保護合法權利的需要；

簡言之，「被遺忘權」雖然與公民個人權利直接掛鉤，但它與包括言論自由，信息的自由流動、公眾的知情權在內的其他公共價值追求有著尖銳的衝突，即便在將個信息保護作為基本人權的歐盟，其也在立法上對「被遺忘權」作出必要的限制。上述第17條第3款主要功能就在於此。

因此，若將歐盟GDPR適用於「任某訴百度案」，我們會發現：任某若想適用第17條第1、2款，首先需要排除第3款的例外情形，而第三款中關於保護合法權利的例外足以否定任某的主張。

四、對本案的延伸看法

在歐盟提出被遺忘權之後，我國學界給與了很大關注，很多學者認為「被遺忘權」是網路時代保護公民個人信息的絕佳機制，「在網路信息不斷膨脹的今天，信息主體對於清除負面信息並消除其對自身聲譽的影響的需求，是廣泛而迫切的」。並建議「我國作為世界上網路用戶最多的國家，應當借鑒歐美法的經驗，將被遺忘權本土化，使之成為我國公民人格權的組成部分。」[5]

對此，筆者認為，在當下中國，對「被遺忘權」的借鑒應當是審慎的，理由是：

第一、「刪除權」是被遺忘權的基礎，在我國現行立法還未建立「刪除權」的背景下，引入「被遺忘權」過於超前，甚至是無本之末。「被遺忘權」之所以形成於歐盟，一個重要原因在於歐盟已經為其建立了堅實的理論和立法基礎。1995年數據保護指令以及更早期的歐盟立法早已確立了「刪除權」，在此基礎上，「被遺忘權」的誕生順利成章。

依據歐盟個人數據保護原則，個人數據應當被公平、合法的處理，出於特定、明確的目的進行收集。當個人數據不再與其被收集時所確立的目的相關，個人有權要求數據控制者予以刪除。被國內學者熱議的歐盟GDPR中的「被遺忘權」，其核心仍然是歐盟傳統的刪除權。其擴展部分也是在刪除權基礎上，規定如果數據控制者進行了傳播，則應當告知第三方予以刪除。

而目前國內相當一部分學者所提建議混淆了「刪除權」與「被遺忘權」的內涵，將我國尚未建立的「刪除權」也打上「被遺忘權」的標籤。由於「被遺忘權」極富爭議性，這種混同的理解並不有利於立法建設。畢竟，在國內個人信息保護立法薄弱的背景下，更為迫切的需求是建立包括刪除權在內的最基本制度。

第二、相比於歐洲立法GDPR所確立的「被遺忘權」（第17條），歐洲法院判例引入的「被遺忘權」規則有更大爭議。不消說美國首先質疑其合理性，即使在歐盟內部，該判決很大程度上也在意料之外。谷歌在建立線上「被遺忘權」申訴平台後，曾接到大量申請要求刪除相關新聞報道，這被觀察者認為是一種新形式的網路審查。

不容否認，「被遺忘權」對增強用戶個人權利非常有效，但它對其他公共價值的張力也是巨大的。如上述，歐盟不論是判例，還是在立法中都對「被遺忘權」作出了諸多限制。

「被遺忘權」看上去很美，但遠比想像中複雜……

參考文獻及說明：

[1]北京市第一中級人民法院 民 事 判 決 書（2015）一中民終字第09558號

[2] InfoCuria - Case-law of the Court of Justice，JUDGMENT OF THE COURT (Grand Chamber),13 May 2014 (*),Google SpainSL,Google Inc.VS Agencia Espa?ola de Protección de Datos (AEPD),Mario CostejaGonzález

[3] article 29 data protection working party，14/en，wp 225，guidelines on the implementation of the court of justice of theeuropean nion judgment on「google spain and inc v. agencia espa?ola de protecciónde datos (aepd) and mario costeja gonzález」 c-131/12

[4]具體標準中原文有13項，鑒於與本文討論主題的相關性，本文摘取了其中部分項

[5] 楊立新，韓煦：被遺忘權的中國本土化及法律適用，《法律適用》, 2015(2):24-34