論被遺忘權在中國的前景

谷 丹

(西南政法大學 經濟法學院，重慶 401147)

?

論被遺忘權在中國的前景

谷 丹

(西南政法大學 經濟法學院，重慶 401147)

被遺忘權是指信息主體要求數據控制者刪除已經公開發布在網絡上但持續存在會導致其社會評價降低的個人信息的權利。其最初被歐盟法院以判例的方式予以確認。中國目前立法體系中關于個人信息的保護規定側重于個人信息不被信息控制者泄露、出售或者非法提供給他人等方面。因此，當前在中國確定被遺忘權最直接、最有效的方案是出臺司法解釋，對《侵權責任法》第三十六條關于網絡侵權責任的規定進一步細化明確。

被遺忘權；個人信息保護；立法建議

一、被遺忘權的提出及發展歷程

(一)被遺忘權的提出背景

隨著現代信息技術的高速發展，個人信息曝光的程度超出了預期，個人信息泄露和被非法利用的事件層出不窮。2013年中國人壽保險公司由于合作網站升級操作失誤造成投保人個人信息泄密，致使80萬份保單的信息在網上可以被任意查找；2014年考研報名結束后不久，130萬考研用戶信息被泄露；2014年底，12306網站超過10萬條數據被泄露。2015年3月13日，中國消費者協會發布的《2014年度消費者個人信息網絡安全報告》顯示，2014年消費者個人信息保護現狀滿意度低；在中國消費者協會本次調查收集到的2 052份有效問卷中，非常不滿意和不滿意的受訪者占比高達56.58%，約有三分之二受訪者2014年個人信息被泄露；當個人信息被泄露或竊取后，80%的受訪者受到廣告(電話、短信、郵件等形式)騷擾，妨礙了正常生活*數據來自2015年7月21—22日在北京召開的“依法治國和消費者個人信息保護國際研討會”上中國消費者協會秘書長常宇作的題為《消費者個人信息保護實踐與問題》的報告。。

個人信息保護越來越受到國人的關注和重視，近幾年我國已有法律、法規及部門規章對個人信息保護問題作出了專門規定。被遺忘權(right to be forgotten)也被稱為“刪除的權利”( right to erasure),隨著個人信息保護的不斷加強開始走進國人的視野。

(二)被遺忘權在歐盟的發展歷程

1995年10月，歐盟出臺了《關于涉及個人數據處理的個人保護以及此類數據自由流動的第95/46/EC指令》，其中關于“有關公民可以在其個人數據不再需要時提出刪除要求，以保護個人數據信息”的規定，可以看作是被遺忘權的首次論述。2012年1月，歐盟公布了《關于涉及個人數據處理的個人保護以及此類數據自由流動的第2012/72、73號草案》，對1995年出臺的第95/46/EC指令進行了修改，其最具爭議性的議案是提出數據主體應享有“被遺忘的權利”(Right to be forgotten)。2012年11月，歐盟出臺了《一般數據保護條例》(GDPR)，在第17條正式增設“被遺忘和刪除的權利”(right to be forgotten and to erasure),規定“信息主體有權要求數據控制者刪除與其個人相關的資料信息，特別是當信息主體是不滿18周歲的未成年人時”。2014年3月，歐盟修改了《一般數據保護條例》(GDPR)，將第17條“被遺忘和刪除的權利”精簡為“刪除權”，并明確“信息主體有權要求任何已知的第三方刪除針對上述信息的所有復制和鏈接”[1]。通過對歐盟有關被遺忘權立法沿革的梳理和分析，我們不難得出以下結論：歐盟最早孕育、產生了被遺忘權的概念，明確了被遺忘權的主體、客體、適用條件、例外情況及不遵守被遺忘權的處罰措施，使被遺忘權成為信息主體的一項民事權利。

(三)爭論激烈的典型案例分析

研究和討論被遺忘權不能不提到引起激烈爭論的典型案例——谷歌西班牙案。

1.案情簡介

2009年11月，一名西班牙男子馬里奧·科斯特加·岡薩雷斯在谷歌上搜索自己名字時，發現西班牙報紙《先鋒報》1998年發表了一篇有關他因斷供而被強制拍賣財產的新聞報道。2010年2月，岡薩雷斯向西班牙數據保護局遞交了投訴，要求《先鋒報》移除或更改這些網頁信息，同時要求谷歌公司和谷歌西班牙分公司移除或者隱藏指向《先鋒報》的相關鏈接。2010年7月，西班牙數據保護局駁回了他針對《先鋒報》的訴求，但支持他對谷歌公司和谷歌西班牙分公司的訴求，要求谷歌公司刪除鏈接并保證通過搜索引擎無法打開該信息。谷歌公司和谷歌西班牙分公司針對西班牙數據保護局的決定分別向西班牙全國高等法院(National High Court)提起訴訟，西班牙全國高等法院將兩個訴訟合并后提交給了歐盟法院。

2014年5月13日，歐盟法院在廣泛聽取了各方意見后宣布了最終裁決，認為與谷歌類似的網絡搜索引擎是公民個人隱私數據的“控制者”，因而應該承擔移除相關個人隱私數據的責任。公民可以要求谷歌刪除“不適當、不相關或隨著時間流逝不再相關的信息數據”，包括第三方通過谷歌發布的鏈接信息。據此，歐盟法院最終裁決谷歌公司和谷歌西班牙分公司敗訴*案情介紹來自2015年7月21—22日在北京召開的“依法治國和消費者個人信息保護國際研討會”上哥廷根大學教授杰拉德·斯賓德勒博士作的題為《歐盟、德國消費者個人信息保護》的報告。。

2.案例影響

歐盟這一裁決影響深遠，同時也頗具爭議。影響深遠表現為這一判決開創了先例——讓搜索引擎提供商必須應特定個人要求刪除搜索結果中的特定鏈接，使遺忘權成為信息主體的一項民事權利。頗具爭議表現為美國對該案爭議聲不斷，美國媒體在這場爭議中普遍聲援谷歌，甚至認為該案“顛覆了網上自由”；一些政客和知識分子也表示對歐盟此次判決“感到憤怒、不理解，并拒絕接受”。

3.案例簡析

傳統及主流觀點認為，被遺忘權的法理淵源是基于對隱私權的保護，或者說被遺忘權起源于隱私權。隱私權構成人格權或稱人權的一部分，是作為社會契約簽訂者的個人未讓渡的“不受打擾地進行私人生活，自主決定公開或不公開、公開這些或公開那些私人信息”的權利[2]。人是社會動物，個人需要通過對私人信息池的管理、對私人信息池與公共領域的交集范圍的決定來塑造其在公共領域中的形象，這包括了決定公開和不公開、公開這些還是公開那些的權利，也就自然能順延到在無涉公共利益的前提下取回已經放入公共領域的私人信息的權利，因此被遺忘權和隱私權在心理模型上是一脈相承的。當然，也有學者認為，被遺忘權亦是財產所有權，尤其是著作權賦予作者一系列自行處理其作品的權利，和被遺忘權最為接近[3]。本文采用傳統及主流解釋，基于被遺忘權起源于隱私權，筆者認為，該案的爭議焦點主要表現為以下3個方面：一是貌似矛盾的判決結果。該案中，涉訴新聞報道的最初發表者是西班牙《先鋒報》而非谷歌公司，谷歌公司只是提供搜索的鏈接服務，沒有對信息進行任何加工。但是，《先鋒報》因新聞自由而被豁免，谷歌公司卻因公民的隱私權而敗訴。也就是說，“主犯”豁免、“從犯”獲罪，這貌似是主從責任顛倒的判決結果[4]。二是貌似矛盾的法律后果。該案中，歐盟法院稱因為尊重新聞自由，所以對《先鋒報》予以豁免；因為谷歌公司不尊重個人隱私權和自由，所以判決谷歌公司敗訴。谷歌公司辯稱，正是因為美國尊重新聞自由，才要求網絡服務提供商不得對信息進行審查，所以谷歌公司也應基于新聞自由而被豁免。也就是說，基于新聞自由這一項基本法律理念卻推論出兩個截然相反的法律后果，即在美國合法的行為在歐盟卻是違法的。三是貌似矛盾的價值觀。隱私是流淌在美國人血液里的一種價值觀[5]。早在互聯網行業起步階段，美國就開始制定一系列法律法規規范互聯網個人信息的收集與處理。被遺忘權正是基于保護個人隱私而被歐盟法院確定為信息主體的一項民事權利，卻為何在標榜具有共同價值觀的美國遭到了普遍質疑？

(四)美國對被遺忘權的不同看法與法律實踐

谷歌西班牙案引發的爭論折射出被遺忘權目前面臨的質疑，這也是我們在研究和討論被遺忘權時不能繞開而必須清醒面對的不同聲音。

被遺忘權在標榜具有共同價值觀的盟友之間遭遇了冰火兩重天的境況。不同于在歐盟的孕育、發展及通過判例加以確立的禮遇，被遺忘權在美國舉步維艱。這從美國媒體對歐洲法院谷歌西班牙案的質疑就可見一斑。美國《紐約時報》2014年5月13日報道：“歐洲最高法院今天說，人們有權決定公眾通過網上搜索可以了解他們的哪些情況。該裁決顛覆了人們長期以來持有的關于網上信息自由流通的觀念。該裁決強調了搜索引擎企業收回爭議信息的權力，同時對他們這樣做的能力進行了嚴格限制。它引出了下述可能性：通過谷歌搜索到的信息變得像臉譜網的簡介一樣喜氣洋洋，而且是片面的。歐洲法院說，搜索引擎不單單是非智能的渠道，而是發揮著數據‘控制者’的積極作用，而且必須為它們提供的鏈接負責。它說，搜索引擎可以清除通往某些網頁的鏈接，‘即使那些網頁上公布的內容本身是合法的’。”美國《華爾街日報》網站2014年5月14日報道：“歐盟最高法院周二表示，個人可以要求谷歌在有關自己名字的搜索結果中刪除指向新聞報道、法院判決和其他文件的鏈接。這項有關一樁在西班牙具有里程碑意義的案件的判決出人意料。該案的焦點是所謂的‘被遺忘權’。根據對這一裁決的解讀和執行情況，該裁決可能會對谷歌和其他搜索引擎運營商帶來巨大的破壞性影響。”[6]

在岡薩雷斯向谷歌西班牙分公司投訴的同一年，一名美國公民在美國也提起了類似的訴訟，但結果卻大相徑庭。2010年底，哈維·庫爾茨向施里尼·華森提起賠償訴訟，因為華森拒絕從《加利福尼亞日報》的在線檔案中刪除有關其兒子克里斯·庫爾茨的一篇文章。這篇發表于2006年的文章詳細報道了克里斯·庫爾茨在舊金山的脫衣舞俱樂部醉酒后與俱樂部員工發生沖突的事實。那次沖突事件后克里斯·庫爾茨就被加州大學伯克利分校球隊暫停比賽，2007年2月離開球隊，2010年不幸離開人世。克里斯·庫爾茨死后一個月，其父哈維·庫爾茨向《加利福尼亞日報》投訴，要求從其在線檔案里刪除有關克里斯·庫爾的文章。而華森以文章沒有達到規定的撤銷資格為由拒絕了哈維·庫爾茨的請求。哈維·庫爾茨認為華森的這一行為使他和他的妻子遭受了精神損害，從而提起了7500美元的賠償請求。但是法院沒有支持哈維·庫爾茨的訴求，法官認為雖然很同情哈維·庫爾茨的喪子之痛，但這并不能成為要求華森刪除有關克里斯·庫爾文章的合法理由[7]。

不管是美國媒體對谷歌西班牙案的爭論還是美國司法實踐做出與歐盟法院截然相反的判決，都反映出美國社會對被遺忘權的不同理解和看法。一直以來，美國法律都主張已經公開的信息不能再回到私密狀態，言論一旦進入公共領域就與私人領域無關，因此設定被遺忘權會不利于保護言論自由。

(五)歐美對被遺忘權不同態度的借鑒意義

歐美對被遺忘權采取不同態度，不少學者認為這是歐盟與美國傳統法律觀念的不同所造成的：歐盟存在著對歷史上納粹通過國家登記系統掌握個人信息大搞種族清洗的恐懼，始終強調人格尊嚴和個人數據的保護，《歐洲人權公約》即表達了歐洲對個人隱私權利的偏重；而美國《憲法》第一修正案即申明保障言論自由，在判例法上隱私保護與言論自由發生沖突時法院也常傾向于后者[2]。筆者認為，從法律觀念上解釋二者的不同肯定是無可厚非的，但是不全面，至少沒有從根本上揭示現象成因。筆者認為，其根本原因是國家利益和國家網絡主權的需要(這一問題筆者將在第二部分做詳細論述)。我國對互聯網的發展一直堅持保護加扶持的政策，2015年3月5日十二屆全國人大三次會議上，李克強總理在政府工作報告中首次提出“互聯網+”行動計劃，我國政府將推動移動互聯網、云計算、大數據、物聯網等與現代制造業結合，促進電子商務、工業互聯網和互聯網金融健康發展，引導互聯網企業拓展國際市場。盡管我國已有幾家互聯網企業躋身全球互聯網公司前列，但是總體而言，我國的互聯網發展與歐盟一樣，處于追趕者的位置。因此，筆者認為我國可借鑒歐盟的做法，引入被遺忘權制度，適度遏制美國互聯網巨頭的擴張性數據收集，這對于維護國家利益和國家網絡主權、保護公民的個人信息都具有十分重要的現實意義。

二、我國立法構建被遺忘權的必要性及可行性分析

(一)被遺忘權在我國的立法現狀

被遺忘權是伴隨著個人信息保護的加強而走進國人視野的，因此，研究被遺忘權在我國的立法現狀應先研究我國關于個人信息保護的法律法規現狀。我國是全球信息化浪潮中較后起的國家，近十余年來逐漸開始重視個人信息保護問題，有關個人信息保護的法律規定散見于各個層級的規范性文件中。

1.民商事法領域的規定。2009年12月26日通過的《侵權責任法》第三十六條規定：網絡用戶、網絡服務提供者利用網絡侵害他人民事權益的，應當承擔侵權責任。網絡用戶利用網絡服務實施侵權行為的，被侵權人有權通知網絡服務提供者采取刪除、屏蔽、斷開鏈接等必要措施。網絡服務提供者接到通知后未及時采取必要措施的，對損害的擴大部分與該網絡用戶承擔連帶責任。網絡服務提供者知道網絡用戶利用其網絡服務侵害他人民事權益，未采取必要措施的，與該網絡用戶承擔連帶責任。2014年6月23日最高人民法院通過《關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》，該司法解釋進一步細化明確了《侵權責任法》第三十六條關于網絡侵權責任的規定，第十二條明確了不得利用網絡公開他人個人信息的原則和不構成侵權的例外情形，為民事司法實踐中個人信息保護提供了具體的認定規則。

2.經濟法領域的規定。2014年3月15日實施的新《消費者權益保護法》首次明確了消費者“個人信息依法得到保護的權利”。新《消費者權益保護法》第二十九條規定：經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規則，不得違反法律、法規的相關規定和雙方的約定。經營者及其工作人員對收集的消費者個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供。經營者應當采取技術措施和其他必要措施，確保信息安全，防止消費者個人信息泄露、丟失。在發生或者可能發生信息泄露、丟失的情況時，應當立即采取補救措施。經營者未經消費者同意或者請求，或者消費者明確表示拒絕的，不得向其發送商業性信息。新《消費者權益保護法》第五十條、第五十六條第九款中明確規定經營者違反第二十九條的義務應承擔相應的民事賠償責任和行政處罰責任。

3.刑事法領域的規定。2015年8月29日第十二屆全國人民代表大會常務委員會第十六次會議通過的《刑法修正案(九)》規定：在刑法第二百八十六條后增加一條，作為第二百八十六條之一：“網絡服務提供者不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，有下列情形之一的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金：(一)致使違法信息大量傳播的；(二)致使用戶信息泄露，造成嚴重后果的；(三)致使刑事案件證據滅失，情節嚴重的； (四)有其他嚴重情節的。單位犯前款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照前款的規定處罰。有前兩款行為，同時構成其他犯罪的，依照處罰較重的規定定罪處罰。”

4.關于個人信息保護的專門規定。目前，我國關于個人信息保護的最高層級的專門規定是2012年12月28日頒布的《全國人民代表大會常務委員會關于加強網絡信息保護的決定》(以下簡稱《決定》)。《決定》雖然只有短短的十二條規定，卻第一次全面規定了網絡時代個人信息保護的基本原則、適用范圍、責任主體等內容。《決定》第二條規定：網絡服務提供者和其他企事業單位在業務活動中收集、使用公民個人電子信息時應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意，不得違反法律、法規的規定和雙方的約定收集、使用信息。網絡服務提供者和其他企事業單位收集、使用公民個人電子信息時，應當公開其收集、使用規則。《決定》不僅是針對“網絡信息”保護的法律規范，適用對象也不局限于網絡服務提供者，其更像是一部未冠名的《個人信息保護法》。

5.行政法領域的規定。國務院及其下屬的部委辦局制定了多項行政法規和部門規章加強個人信息保護，主要集中在征信業、電信和互聯網信息服務業。比如，國務院于2013年1月21日頒布的《征信業管理條例》，以第三章“征信業務規則”專章詳細規定了征信機構收集和使用個人信息的業務規范，為我國目前征信環節中的個人信息保護提供了明確的操作規則。

6.最新立法進展。2015年6月26日《網絡安全法》(草案)通過了全國人大常委會一審，2015年7月6日至8月5日第一次公開征求意見。《網絡安全法》(草案，以下簡稱《草案》)以第四章“網絡信息安全”專章的形式，加強對公民個人信息的保護，防止公民個人信息數據被非法獲取、泄露或者非法使用。《草案》第三十七條規定，“公民發現網絡運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的，有權要求網絡運營者刪除其個人信息；發現網絡運營者收集、存儲的其個人信息有錯誤的，有權要求網絡運營者予以更正。”*案情介紹來自2015年7月21—22日在北京召開的“依法治國和消費者個人信息保護國際研討會”上哥廷根大學教授杰拉德·斯賓德勒博士作的題為《歐盟、德國消費者個人信息保護》的報告。

綜上所述，我國目前已有多部法律法規對個人信息提供法律保護，但保護的內容主要側重于收集、使用公民個人信息，對收集的個人信息嚴格保密，不得泄露、出售或者非法向他人提供等，而對于信息主體的被遺忘權少有關注，尚未提及。那么，有沒有必要在我國立法中構建被遺忘權呢？筆者認為，雖然被遺忘權目前還存在爭議、面臨質疑，但是基于以下原因我國應當考慮在立法中構建被遺忘權。

(二)我國立法構建被遺忘權的必要性分析

1.大數據時代個人信息保護的需要。在數據為王的時代，網絡公司的競爭已經從直接獲利模式轉變為數據獲利模式。信息主體是數據的主要來源，其范圍非常廣泛，不僅包括基本的注冊資料、身份信息，而且還包括網絡行為信息。例如，用戶上網瀏覽過的頁面、看過的視頻、使用軟件的種類和頻率、網絡交易記錄、搜索關鍵詞、網絡購物品種、所在位置信息，甚至包括輸入法習慣和字符頻率等都成為大數據分析的對象。正是因為信息主體在網絡上的數據具有重要的商業價值，網絡公司才千方百計地吸引更多的用戶，保存更詳細的數據記錄。數據作為一種資源，本身屬于無體物，信息主體很難知曉網絡公司占據了自己多少除身份信息以外的數據。同時，網絡公司對數據的處理大都通過“云技術”、后臺加密技術等方式進行，信息主體因技術的原因和信息不對稱也無法知道自己的網絡行為到底有哪些正在被“收集”[8]。技術優勢本身使得網絡服務提供商應具備的技術中立性已被自己破壞，如果法律不傾向性地保護相對弱勢的信息主體權利，那么大數據時代必將成為數據掠奪的時代，個人信息保護也將成為停留在紙上的規定。而被遺忘權正是法律對信息主體給予的傾向性保護，可以有效地約束網絡服務提供商進行數據掠奪，進而更有效地對個人信息提供法律保護。

2.國家網絡主權的需要。網絡主權是國家主權在網絡空間的體現和延伸,數據是網絡時代的“石油”，是對國家安全至關重要的戰略資源。前面提到的谷歌西班牙案中，三個貌似矛盾的方面均是基于信息主權的爭奪而產生的。歐盟沒有像谷歌、臉譜等那樣具有霸主地位的網絡產業巨頭，其本國或本地區的個人信息甚至國家信息安全就可能受制于美國。因此，歐盟承認并擴大被遺忘權，表面上是基于“隱私自主”保護個人信息，更深層次的原因是擔心網絡信息的國家主權旁落，以免本國或本地區的數據信息被保存到其他國家手中。假設谷歌西班牙案中的涉案公司是歐盟的本土公司，是歐盟的全球霸主性網絡公司，那么之前提到的貌似矛盾的邏輯推理也許就會被改寫。因此，被遺忘權不是一項簡單的法律權利，它反映了網絡時代的多重利益背景，最后上升為信息劣勢國家對抗信息優勢國家，爭奪信息主權的問題。

3.立法超前性及完整性的需要。盡管被遺忘權在美國舉步維艱，但也并非鐵板一塊。2013年美國加利福尼亞州州長杰瑞·布朗簽署了加州參議院第568號法案，即“橡皮擦”法案。該法案要求包括臉譜、推特在內的社交網站允許未成年人擦除自己的上網痕跡，以避免因年少無、知缺乏網絡防范意識而不得不在今后面臨遺留的網絡痕跡所帶來的諸多困擾。雖然該法案僅適用于加利福尼亞州境內的未成年人，也明確只有未成年人自行發布在社交網站上的內容可以被刪除，對于其他人發布的有關自己的文字、圖片信息，本人則沒有要求刪除的權利[9]。即便如此，這也說明被遺忘權已被越來越多國家的信息主體關注，哪怕是堅持被遺忘權不利于保護言論自由的美國也出現了增設被遺忘權的司法實踐。因此，我國在構建個人信息保護的立法中，不能因為目前有爭議、有質疑就忽視被遺忘權。

(三)我國立法構建被遺忘權的可行性分析

雖然我國目前沒有以被遺忘權為由提起訴訟的司法實踐，但是不等于被遺忘權在我國就沒有可行性。

1.某些網絡服務提供商已經提供刪除服務。百度公司作為我國最大的搜索引擎公司，已經推出了針對網頁搜索相關問題接受網絡用戶投訴的專門服務——反饋服務之網頁搜索。該項服務為用戶提供免費處理網頁搜索快照刪除、更新以及刪除搜索引導詞等問題，包括“快照刪除與更新”“隱私問題反饋”“搜索提示詞刪除”“舉報不良信息”等內容。用戶按照要求填寫百度快照地址、聯系郵箱并詳細說明遇到的問題及申請原因，百度工作人員審核通過后，相關的網頁鏈接將會在24小時內被刪除*參見百度網服務中心“反饋服務之網頁搜索”，http://tousu.baidu.com/webmaster/suggest/，2015年9月1日訪問。。由此可見，百度公司推出的這項服務雖沒有冠以被遺忘權之名，但與谷歌西班牙案中的被遺忘權有異曲同工之處。我們有理由相信，如果我國立法構建被遺忘權，相關網絡服務提供商會比較容易接受。

2.類似的訴訟已經出現并被法院受理。2015年7月22日，北京海淀法院官方微博發布，“相聲演員徐亮(藝名：徐德亮)認為其百度百科中的簡介與作品有諸多不實之處，以侵犯名譽權為由將北京百度網訊科技有限公司訴至法院，要求判令立即停止侵權，刪除其百度詞條，采取有效措施防止百度詞條被再次建立。海淀法院受理了此案。”[10]據2015年9月5日中國之聲《央廣新聞》報道，相聲演員徐德亮起訴百度侵犯名譽權案又有新進展，在北京海淀法院官方微博發布法院受理此案之后，徐德亮透露，法院通知雙方2015年9月8日進行證據交換。徐德亮就此訴訟沒有要求經濟賠償，唯一訴求是要求百度刪除有關他的百度百科詞條，并防止再次建立。雖然本案當事人是以侵犯名譽權為由起訴北京百度網訊科技有限公司，但其訴求已暗含了不少被遺忘權的內容；雖然法院還沒有宣判，但是受理該案就是一個很大的進步，說明不僅是普通民眾，我國的司法界也越來越注重對個人信息的保護。

3.我國現行立法預留的空間。《侵權責任法》第三十六條規定：網絡用戶、網絡服務提供者利用網絡侵害他人民事權益的，應當承擔侵權責任。網絡用戶利用網絡服務實施侵權行為的，被侵權人有權通知網絡服務提供者采取刪除、屏蔽、斷開鏈接等必要措施。這里的“刪除、屏蔽、斷開鏈接”與谷歌西班牙案中的“刪除”已非常接近，只要改變其適用刪除規則的前提規定，就可以確立我國的被遺忘權。《網絡安全法》(草案)第三十七條規定：公民發現網絡運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的，有權要求網絡運營者刪除其個人信息；發現網絡運營者收集、存儲的其個人信息有錯誤的，有權要求網絡運營者予以更正。這里的“刪除”與谷歌西班牙案中的“刪除”適用范圍差別比較大，但可以通過在本條增加第二款的方式確立我國的被遺忘權。

三、關于我國確立被遺忘權的建議

通過上述分析，筆者認為我國在構建個人信息保護的立法中，應當對被遺忘權作出專門規定，被遺忘權不能被遺忘。那么在我國該如何確立被遺忘權？是釋法還是立法？如果立法，又以何種途徑實現？筆者將在分析被遺忘權的主體、客體、內容、救濟途徑及不能適用情形的基礎上，提出相關的建議。

(一)被遺忘權的主體

被遺忘權的主體包括權利主體和義務主體兩個方面。

1.權利主體。2012年11月歐盟出臺的《一般數據保護條例》(GDPR)規定：“數據控制者、其他自然人或法人通過合理手段，特別是通過身份證號碼、定位信息、網絡標識符、一個或多個與其身體、生理、心理、遺傳特征、經濟、文化、社會身份有關的特征等能夠準確確定的自然人”。從歐盟的立法條文中，我們可以看出被遺忘權的權利主體是指能產生個人信息且能通過其信息被識別身份、被準確確定的自然人，不包括法人在內。如果法人的信息資料受到侵害，可以通過知識產權法或者反不正當競爭法予以保護。

對于被遺忘權的權利主體只能是自然人，這一點似乎沒有爭議。但是，對于公眾人物是否與普通公民一樣享有無差別的被遺忘權卻有不同的觀點和看法。國內有學者認為，賦予公眾人物被遺忘權，無異于打開了潘多拉的盒子，公眾人物為維持其積極正面的形象，一旦發現網絡上存在有關自己的負面新聞，便會馬上以享有被遺忘權為由要求刪除。如此以來，普通民眾的知情權便會化為烏有。因此，出于維護社會公眾利益、滿足公眾興趣和保障公眾知情權的考慮，不應賦予公眾人物被遺忘權。國內還有學者認為，如賦予公眾人物與普通民眾毫無差別的被遺忘權，也是不公平的。因為，為平衡公眾人物權利保護與公眾知情權的關系，應賦予公眾人物以被遺忘權，但應對其進行適當限制——這種限制應體現在相關信息的存儲期限上，即那些與公眾人物不相關的、不恰當的、過時的、會導致其社會評價降低的負面信息是可以通過行使被遺忘權而被刪除的，但應保證這些相關信息在網絡上的存儲期限，即只有在這些信息從最初出現在網絡上到被刪除前經過了一定時間后才能夠通過被遺忘權予以刪除[9]。

筆者認為，被遺忘權的權利主體不宜區分普通公民和公眾人物，對被遺忘權的權利主體作這樣的區分沒有太大的法理和司法實踐意義。原因如下：一是我國目前尚無任何法律規定界定何為公眾人物，對公眾人物的概念、內涵尚處在學術研究階段。二是在大數據互聯網時代，越來越多的“草根”人物會通過網絡的傳播一夜之間成為非自愿性公眾人物或者偶然性公眾人物。比如，鳳姐、犀利哥之流，還有被網友“炒紅”的“最帥交警”“最美清潔工”等等，他們受知曉和被關注的程度不低于影視明星、體育明星。可以說，隨著互聯網的迅猛發展，普通公民和公眾人物的界限越來越模糊，人人都有可能一夜之間在網絡上“走紅”，因此區分普通公民和公眾人物會越來越困難。三是可以通過區分被遺忘權的適用條件而實現平衡公眾人物權利保護與公眾知情權關系的目的。比如，可以考慮在被遺忘權適用條件中，規定公眾人物信息在網絡上的存儲期限可以長于普通公民的信息存儲期限。

2.義務主體。歐盟《一般數據保護條例》(GDPR)將被遺忘權的義務主體規定為“數據控制者、其他自然人或法人”。筆者認為，數據控制者指單獨或與他人聯合決定個人信息收集、使用、處理的目的、方式和范圍的自然人、法人、國家權力機關、公共機構或其他實體，而數據控制者就構成了被遺忘權的義務主體。

(二)被遺忘權的客體

2014年3月，修改后的《一般數據保護條例》(GDPR)新增了“姓名”和“性別”兩項，將原“網絡標識符”修訂為“唯一標識符”。在我國現行的法律法規中，2015年3月15日起施行的《侵害消費者權益行為處罰辦法》(國家工商行政管理總局令第73號)第十一條規定：“前款中的消費者個人信息是指經營者在提供商品或者服務活動中收集的消費者姓名、性別、職業、出生日期、身份證件號碼、住址、聯系方式、收入和財產狀況、健康狀況、消費情況等能夠單獨或者與其他信息結合識別消費者的信息。”

筆者認為，被遺忘權的客體是與權利主體相關的個人信息，這是毫無疑問的。關鍵是個人信息的內涵和外延頗具爭議。有學者認為個人信息不僅可以是數字、文字，還可能是圖像、聲音等；不僅是個人生活數據，還包括了與經濟、職業、社會地位等相關的數據。筆者認為，在大數據時代，個人上網瀏覽過的頁面、看過的視頻、使用軟件的種類和頻率、網絡交易記錄、搜索關鍵詞、網絡購物品種、所在位置信息，甚至包括輸入法習慣和字符頻率等都成為網絡服務提供商大數據分析的對象。因此，被遺忘權客體的外延會隨著互聯網的發展而不斷延伸，不可能也沒必要規定得太細，只要牢牢把握“能夠單獨或者與其他信息結合識別被遺忘權權利主體身份”這一核心內容即可。

(三)被遺忘權的內容

被遺忘權的內容，是指被遺忘權的權利主體——信息主體所享有的權利和被遺忘權的義務主體——數據控制者所負有的義務。2012年11月歐盟出臺的《一般數據保護條例》(GDPR)將其規定為“當出現下列情形之一，信息主體有權要求數據控制者刪除有關信息主體的個人數據，避免這些數據進一步傳播：a)當這些數據不再與數據收集和其他處理的目的有關時；b)信息主體撤回數據處理的同意時，或者當同意的保留期已滿，而且處理數據沒有其他合法依據；c)信息主體反對處理與之相關的個人數據或數據處理違反GDPR的其他規定。”

筆者認為，被遺忘權內容的核心是信息主體有權要求數據控制者刪除與之相關的個人信息。具體而言，信息主體可以要求數據控制者刪除哪些個人信息；信息主體可以在哪些情形下要求數據控制者刪除個人信息；信息主體可以要求哪些數據控制者刪除個人信息。搞清楚以上問題就能明確信息主體所享有的權利和數據控制者所負有的義務。

1.可以要求刪除的個人信息。對于信息主體可以要求數據控制者刪除哪些個人信息，有學者認為“被遺忘權作為僅適用于網絡信息領域的一項權利，其針對的也僅為已發布在網絡上的、可為一般人可見的特定信息。該特定信息應概括為不恰當的、過時的、會導致信息主體社會評價降低的信息”[9]。筆者認為，將被遺忘權的個人信息限定為已發布在互聯網上的、可為一般人可見的特定信息符合被遺忘權孕育、產生及確定的時代背景，符合確定被遺忘權的立法精神和目的。但是，把特定信息概括為“不恰當的、過時的、會導致信息主體社會評價降低的信息”卻使被遺忘權保護的范圍較為模糊，不能更好地對信息主體給予保護。根據該學者的觀點：“不恰當的信息，是指目前仍存在于網絡上的信息對于信息主體狀態的描述是不正確的信息。過時的信息，是那些網絡上的文字或圖片信息所反映的事件已處于非持續狀態。”[9]筆者認為，“對于信息主體狀態的描述是不正確的信息”，信息主體可以通過提起侵害名譽權訴訟來尋求保護；而如果僅是過時的信息但不會對信息主體帶來不利影響，信息主體不會要求刪除，有些信息主體為了保持所謂的曝光度還希望保留這些過時的信息。因此，“不恰當的”“過時的”都不是被遺忘權中信息主體要求刪除信息的本質特征。只有那些會對信息主體帶來不利影響、導致其社會評價降低的網絡負面信息才是被遺忘權中信息主體要求刪除的對象。信息主體有權要求刪除之前留在互聯網上的數據以保護自己的聲譽及保持其社會評價，從而不對現在的工作、生活帶來影響和困擾。換言之，“會導致信息主體社會評價降低”才是特定信息的本質特征，亦是信息主體可以要求刪除的網絡信息。

2.可以要求刪除信息的情形。歐盟《一般數據保護條例》(GDPR)規定了以下3種情形：“a)當這些數據不再與數據收集和其他處理的目的有關時；b)信息主體撤回數據處理的同意時，或者當同意的保留期已滿，而且處理數據沒有其他合法依據；c)信息主體反對處理與之相關的個人數據或數據處理違反GDPR的其他規定。”[11]筆者認為，GDPR列出的3種情形更多地適用于信息控制者主動收集信息主體的個人信息時，而本文討論的是已經公布在互聯網上的信息。因此，信息主體可以行使刪除權的情形是該信息已經發布在網絡上且一般人可見，但這些信息的持續存在會導致信息主體社會評價降低。

3.可以要求刪除信息的義務主體。關于被遺忘權的義務主體本文之前已經討論過，這里再次提出主要是討論經第三方復制、鏈接的數據副本的刪除問題。歐盟《一般數據保護條例》(GDPR)對此雖有涉及，但規定得較為簡單而且模糊。所謂經第三方復制、鏈接的數據副本是指第三方通過復制、鏈接原數據從而實現公布信息主體的個人信息的目的。比如，某人在臉譜網上發布了自己的照片，而其他一些臉譜網用戶在自己的賬號上轉發了這些照片，該人是否有權要求臉譜網刪除其他臉譜網用戶轉發的這些照片？臉譜網是否有權直接刪除在其他臉譜用戶上轉發的這些照片？對此，國內有學者認為應當區分第三方與數據控制者之間的關系，只有在特定情況下數據控制者才可以直接刪除第三方復制、鏈接、公開的數據[12]。筆者認為，經第三方復制、鏈接、公開的互聯網數據副本亦會導致信息主體社會評價降低，也是信息主體要求刪除的對象。如果對這些數據副本進行區分，且作過多的限制，不利于信息主體徹底消除影響和困擾，不利于被遺忘權給予信息主體充分的個人信息保護。因此，數據控制者不僅負有刪除自己直接控制的信息義務，還應負有通過技術手段刪除經第三方復制、鏈接的數據副本的義務。

(四)被遺忘權不能適用的情形

被遺忘權不能適用的情形，即數據控制者根據法律規定可以拒絕承擔刪除個人信息的義務。2012年11月歐盟出臺的《一般數據保護條例》(GDPR)將其表述為“被遺忘權的例外情形包括：a)行使自由表達權；b)在公共健康領域符合公眾利益；c)出于歷史性、數據性、科學性研究的目的；d)遵從相關法律的個人數據留存義務。”由此可見，歐盟設定被遺忘權的例外情形是為了平衡個人隱私保護與言論自由、公共利益等方面價值沖突，防止被遺忘權被濫用。

筆者認為，出于歷史性、數據性、科學性研究目的以及公共健康領域都涉及公共利益，凡是涉及公共利益的信息都應排除被遺忘權，這也包括政府部門公開的個人信用記錄、犯罪記錄等。但是，第一種情形“行使自由表達權”頗具爭議。行使自由表達權，也就是我們通常所理解的言論自由，而最具代表性的就是新聞媒體的新聞報道或新聞評論。如果對新聞言論不加以區分，那么極有可能會出現谷歌西班牙案中的奇特現象：新聞媒體在其網站上發表的新聞報道會因為言論自由而豁免，被遺忘權的義務主體只剩下搜索引擎、社交網站這類網絡服務提供商，這將帶來較大的法律漏洞，很有可能使被遺忘權只停留在紙上。筆者認為，如果新聞報道或新聞評論不涉及任何個體利益，完全屬于公共利益范疇，那么在這些信息中排除被遺忘權是無可厚非的；反之，如果新聞媒體出于吸引眼球、博取點擊量而報道某明星結婚、離婚、孩子上學、甚至生病住院等信息，這些信息絲毫不會影響到公共利益，那么這些信息應當適用被遺忘權。因此，不能將新聞媒體的新聞言論一律排除在外，而應區分個體利益與公共利益。

同時，應對信息存儲期限作出限制。信息是有壽命的，隨著時間的推移，很多信息便會失去價值和存儲意義。我國《征信業管理條例》第十六條規定“征信機構對個人不良信息的保存期限，自不良行為或者事件終止之日起為5年；超過5年的，應當予以刪除。”筆者認為，可以參照《征信業管理條例》的規定，對被遺忘權適用的個人信息設定兩年的存儲期限，存儲期限屆滿后數據控制者不論以什么理由進行抗辯，比如普通民眾對公眾人物享有知情權、公眾人物應保持一定的曝光度等等，都不能免除其刪除個人信息的義務。

(五)被遺忘權的救濟途徑

本文采用傳統及主流解釋，被遺忘權起源于隱私權，因此被遺忘權屬于人格權，是含有請求權的絕對權。在我國現行的立法體系下，侵害被遺忘權的歸責原則、責任構成要件、侵權責任的承擔都可以依照《侵權責任法》的相關規定進行。比如，某網絡公司不履行刪除義務，侵害了信息主體的被遺忘權，可以依照《侵權責任法》第十五條的規定，判定該網絡公司立即停止侵害，刪除相關個人信息，實現信息主體的被遺忘權；造成不良影響的，可以承擔賠禮道歉、消除影響、恢復名譽的責任；造成精神損害的，可以依照《侵權責任法》第二十二條的規定，承擔精神損害賠償責任。

這里主要討論的是能否給被遺忘權設定行政責任和刑事責任。因為對于個人信息保護，在我國目前立法體系中，行政法領域及刑事法領域都有明確的規定，那么作為個人信息保護的被遺忘權是否需要設定行政責任和刑事責任呢？

筆者目前正在個人信息保護執法一線工作，深感個人信息保護行政執法，特別是非法收集、使用個人信息，泄露、出售或者非法向他人提供所收集的個人信息的違法行為面臨取證難、定性難、處罰難等問題。新《消費者權益保護法》實施一年多以來，全國工商行政管理部門及市場監督管理部門查處的侵害消費者個人信息權利的案件非常有限，處罰力度和效果也不盡如意。而在刑事執法領域，個人信息犯罪往往被其他犯罪行為吸收，在司法實踐中尚未發揮太大的作用。因此，筆者認為，在目前的形勢下，應當把有限的行政和司法資源配備到預防及查處可能危害大多數公民的個人信息權利的違法行為上，比如信息泄露，少則12306網站超10萬條數據被泄露，多則130萬考研用戶信息被泄露。對于涉及個體利益的被遺忘權，在目前的形勢下，不宜設立行政責任和刑事責任。

基于上述分析，筆者認為我國目前立法體系中關于個人信息的保護規定，無論是《侵權責任法》《消費者權益保護法》還是剛剛出臺的《刑法修正案(九)》均側重于收集、使用公民個人信息，保護個人信息不被信息控制者泄露、出售或者非法向他人提供等。因此，試圖通過解釋現行法律規定來確定被遺忘權難度較大，且比較牽強。

筆者認為，在我國確定被遺忘權最有效的切入點就是《侵權責任法》第三十六條關于網絡侵權責任的規定。之前也分析過，該條規定的“刪除、屏蔽、斷開鏈接”與本文討論的“刪除”已非常接近，但遺憾的是，2014年10月10日起施行的《關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》(以下簡稱《規定》)中，只規定了“網絡用戶或者網絡服務提供者利用網絡公開自然人基因信息、病歷資料、健康檢查資料、犯罪記錄、家庭住址、私人活動等個人隱私和其他個人信息，造成他人損害，被侵權人請求其承擔侵權責任的，人民法院應予支持。”因此，筆者認為在我國目前的立法體系下，確定被遺忘權最直接、最有效的方案就是由最高人民法院出臺司法解釋，對《侵權責任法》第三十六條關于網絡侵權責任的規定進行進一步的細化明確。鑒于《規定》第十二條明確了不得利用網絡公開他人個人信息的原則和不構成侵權的例外情形，筆者建議可以在第十二條后新增一條規定，實現在我國確立被遺忘權的目的。相關法律條文建議如下：

自然人有權要求網絡用戶或者網絡服務提供者刪除已經公開發布在網絡上但持續存在會導致其社會評價降低的個人信息，網絡用戶或者網絡服務提供者應當自收到自然人通知后及時刪除其直接控制的相關個人信息，并且采取有效的技術手段刪除經第三方復制、鏈接的數據副本。網絡用戶或者網絡服務提供者拒不履行刪除義務，造成他人損害，被侵權人請求其承擔侵權責任的，人民法院應予支持。但下列情形除外：

(1)為促進社會公共利益不宜刪除的個人信息；

(2)學校、科研機構等基于公共利益為學術研究或者統計的目的且不足以識別特定自然人的個人信息；

(3)法律或者行政法規另有規定。

網絡用戶或者網絡服務提供者以新聞自由、社會公眾人物等理由進行抗辯的，人民法院可以根據具體案情進行綜合考慮判定，但網絡用戶或者網絡服務提供者應自收到自然人通知之日起兩年內刪除相關個人信息。

國家機關行使職權公開的個人信息，不適用本條規定。

[1] 吳飛.名詞定義試擬：被遺忘權(Right to Be Forgotten)[J].新聞與傳播研究,2014(7):13-16.

[2] 張立翹.被遺忘權制度框架及引入中國的可行性[EB/OL].[2015-03-02].http://www.infseclaw.net/news/html/889.html.

[3] 邵國松.“被遺忘的權利”：個人信息保護的新問題及對策[J].南京社會科學，2013(2)：104-109.

[4] 陳昶屹.“被遺忘權”背后的法律博弈[N].北京日報,2014-05-21.

[5] 涂子沛.大數據[M].南寧:廣西師范大學出版社，2012:121.

[6] 佚名.美媒：歐洲法院裁決谷歌案引爭議或顛覆網上自由[EB/OL].[2014-05-15].http://news.xinhuanet.com/world/2014-05/15/c_126503845.htm.

[7] 吳飛，傅正科.大數據與“被遺忘權”[J].浙江大學學報(人文社會科學版)，2015(3):70-71.

[8] 朱巍.被遺忘權是大數據時代用戶核心權利[N].中國社會科學報,2014-12-03.

[9] 楊立新，韓煦.被遺忘權的中國本土化及法律適用[J].法學論壇，2015(2):25-32.

[10]佚名.相聲演員徐德亮狀告百度百科 要求消除自己姓名詞條[EB/OL].[2015-09-05].http://china.cnr.cn/ygxw/20150905/t20150905_519769742.shtml.

[11]AMBROSE M L.It’s about time:privacy,information life cycles,and the right to be forgotten[J].Stanford Technology Law Review,2013(4)：371-420.

[12]伍艷.論網絡信息時代的“被遺忘權”——以歐盟個人數據保護改革為視角[J].圖書館理論與實踐，2013(11)：4-9.

(責任編輯 馮 軍)

On the Prospect of the Right to Be Forgotten in China

GU Dan

(School of Economic Law, Southwest University of Political Science and Law, Chongqing 401147, China)

The right to be forgotten has been initially legislated by European Court of Justice by a legal precedent and the right entitles the citizens to requires the data controllers to erasure their own personal information that is publicly available on the web but its persistence can lead to lower their social assessment.In China’s current legislative system,protection for personal information is focused on information disclosure,sale or illegal providing to others.Therefore,the best way to legislate “the right to be forgotten” currently in China is the enactment of judicial interpretation by the Supreme People’s Court of PRC.That means clearly refining the Article 36th of the Tort Liability Act,provisions relating to web tort liability.

the right to be forgotten; protection for personal information; legislative proposal

2015-12-11 作者簡介：谷丹(1982—)，女，重慶大足人，博士研究生，研究方向：經濟法。

谷丹.論被遺忘權在中國的前景[J].重慶理工大學學報(社會科學)，2016(11):95-105.

format：GU Dan.On the Prospect of the Right to Be Forgotten in China[J].Journal of Chongqing University of Technology(Social Science)，2016(11):95-105.

10.3969/j.issn.1674-8425(s).2016.11.012

D912.29

A

1674-8425(2016)11-0095-11