李瑜琪
(上海政法學院法律學院,上海201701)
大數據所具有的數據量巨大和時效性迅捷等特征對互聯網用戶個人數據信息的保護提出了新的挑戰。中國的互聯網人口居于世界前列,公民的個人數據信息保護立法迫在眉睫。為了有效保護個人數據信息,歐盟早在2012 年于立法層面規定了被遺忘權(right to be forgotten)的概念,歐盟《關于涉及個人信息處理的個人保護以及此類數據自由流動的第2012/72 號草案》的附件四中對“被遺忘權”做出了如下定義:公民有要求刪除或不再使用其無合法需要的個人數據信息,如當時使用其數據信息是基于該公民的同意,而此時他/她撤回同意或存儲期限已到,則公民可以要求刪除或不再使用該數據信息[1]。這一概念體現了對公民個人隱私的保護,維護了個人利益,只要公民認為屬于自己的個人數據信息不再使用或無合法需要便可要求刪除。然而,在一定條件下,個人數據信息不僅是個人隱私,還會成為社會公眾知情權的客體[2]。僅從概念來看,被遺忘權的行使,在一定程度上會忽視社會上除了權利主體之外的其他公眾的知情權,進而損害公共利益。2016 年4 月27 日,歐盟公布的《關于涉及個人信息處理的自然人保護和此類信息自由流動以及廢除歐共體95/46 號指令的第2016/679 號條例》(《一般數據保護條例》以下簡稱《GDPR》條例)第十七條規定了“被遺忘權”及其行使條件,但卻未明確其適用范圍,致使該權利的行使可能引起個人利益和公共利益的沖突。2014年“谷歌訴岡薩雷斯案”(以下簡稱“谷歌案”)的敗訴和2016 年“任甲玉訴百度公司案”(以下簡稱“百度案”)的敗訴結果體現出司法實踐中對被遺忘權適用范圍進行限定的傾向,但仍然沒有明確。本文以涉及被遺忘權適用范圍的典型案例入手,分析現階段被遺忘權的行使帶來的“公益”和“私益”沖突的原因,嘗試提出被遺忘權適用范圍的限定,以期被遺忘權能夠在我國未來的法律體系中發揮應有的價值。
英國著名法學家杰里米·邊沁早在200 多年前就曾提出“圓形監獄”的理論,而今天“互聯網讓人類住進了數字圓形監獄”[3]。在大數據時代,人們活在了數字監視之下,記憶并存儲個人數據信息的計算機成為監視者有利的工具。更可悲的是,人們甚至不知道誰是監視者,無法知曉哪些信息被他人知曉了,這些信息在多大程度上會對個人的生活造成影響。這些無法刪除的個人數據信息,既會對個人隱私造成侵害,又會影響未來個體的自我決定和自主權,由此對個人利益造成威脅。
為了保護公民個人數據信息,減少大數據時代下個人數據信息面臨的潛在威脅,歐盟于2010 年開始了“被遺忘權”的立法進程,司法專員薇薇安·雷丁對被遺忘權的定義是:如果個體不再希望其個人數據信息被控制者處理或存儲,或者控制者已不再具有合法理由持有該數據信息,該數據信息就應該被從系統中刪除。這個定于賦予了被遺忘權主體對其個人數據信息強大的控制能力,沒有考慮其個人數據信息是否和其他社會成員有關,該權利的行使是否會影響公共利益。
2012 年,被遺忘權的概念及相關問題在立法層面首次被提出。歐盟在同年進行的數據體制改革中頒布了《GDPR》草案,草案第十七條即為“被遺忘權和刪除權”,草案附件四中對被遺忘權做出了明確定義。2014 年3 月,歐盟議會對該草案進行修訂,將十七條修改為“刪除權(被遺忘權)”,被遺忘權被放在了括號里。2016 年4 月,《GDPR》條例被歐洲議會投票通過,并于2018 年5 月25 日取代《關于個人數據處理及其自由流動的個人保護第95/46/EC 號指令》正式實施,成為在大數據時代下歐盟保護個人數據信息的新憲章。
從被遺忘權在歐盟的發展歷史來看,被遺忘權的本質表現為個人可以自我決定關涉自身的數據信息使用方式的權利。而這些關涉自身的數據信息正是個人利益的載體。保護個人利益的被遺忘權至少體現了如下價值:第一,維護主體人格尊嚴。著名法學家康德關于“以人為目的”的人性觀被認為是人格尊嚴的哲學基礎。人格尊嚴保障了人作為法律主體得到他人的認可與尊重。具體到被遺忘權而言,權利主體通過要求個人信息數據控制者刪除關于其“不恰當的、不相關的、不及時的”數據信息以維護人格尊嚴。第二,尊重個人信息自我決定。法律所保護的自由價值意味著每個人都有是否向他人展示自己個人信息的選擇權和決定權。在大數據時代,個人的數據信息自然應該成為這種選擇權和決定權的客體。第三,保障個人發展。聯合國《發展權利宣言》指出:“每個人都有參與、促進并享受社會、政治、經濟和文化發展的權利,并在這種發展中,所有基本自由和人權都能得到充分實現?!卑l展權作為一種基本人權,一直受到法律的保護。在大數據時代下,許多過時的、不恰當的數據信息會長存于世,這些數據信息的保留和傳播會對數據信息主體的未來發展造成不良影響。因此,被遺忘權所體現的價值和精神利益正是其能作為一項權利被歐盟立法層面提出確立并保障的基礎。同時,立法確立被遺忘權的目的之一也是通過被遺忘權發揮上述價值以保障個人利益。
被遺忘權在歐盟經歷了漫長的發展過程,該權利也有充分的合理性基礎,但可能由于其適用范圍寬泛而在實踐中卻沒能得到有效適用。公民個體無論是誰能否可以隨心所欲刪除一切個人數據信息?這些被選擇刪除的個人數據信息是否會涉及公共利益?2014 年的“谷歌案”在歐盟法院的敗訴以及2015 年北京兩審法院對“中國互聯網被遺忘權第一案”(“百度案”)做出的兩審判決在一定程度上回答了上述問題,對被遺忘權的適用范圍進行了限定。
2009 年,馬里奧·科斯特加·岡薩雷斯在谷歌搜索引擎中發現《先鋒報》在1998 年刊登的一條公告鏈接中包含其姓名。該鏈接的內容是對岡薩雷斯因拖欠保險費用而被拍賣其財產的公告。隨后,岡薩雷斯向該報紙提出投訴,并要求報紙刪除這些與他相關的信息(因為該信息年代久遠,與其現狀相關性較?。??!断蠕h報》對該投訴并沒有做出相應處理。2010年,岡薩雷斯在請求谷歌公司刪除相關鏈接被拒絕后向西班牙數據保護局提交了投訴,要求《先鋒報》刪除報道或者刪除報道中與之相關的內容、谷歌公司刪除該鏈接。之后,基于該公告信息是報紙合法出版的理由,西班牙數據保護局駁回了岡薩雷斯針對報紙的投訴,但支持了他對谷歌公司的投訴,并責令谷歌公司采取必要技術措施刪除鏈接并使得這些數據信息“被遺忘”,未來不可以再被進入。
繼而,谷歌公司訴求西班牙高等法院撤銷西班牙數據保護局做出的決定。歐盟司法官認為:搜索引擎不僅僅具有經濟價值,而且具有便于信息傳播及獲取的公共價值,必須平衡數據信息主體的個人隱私利益與公共獲取信息的權利。數據信息主體不能僅基于其個人利益的考慮,認為該數據有害或違反其利益便要求搜索引擎將其刪除[4]。然而,歐盟法院在2014 年宣布的判決中并未參考歐盟司法官的意見,駁回了谷歌西班牙公司和谷歌公司的訴訟請求。歐盟法院認為:有關數據主體的“不恰當的、不相關的、不及時的”信息理應從搜索引擎中刪除。但是,西班牙數據保護局在處理該投訴時,出于維護公共利益的考慮限制了其被遺忘權的行使。雖然,新聞報紙業屬于傳統行業,被遺忘權是個人數據信息保護范疇的權利。但隨著互聯網2.0 時代的來臨,新聞報紙業進入了新媒體的時代。該案西班牙數據保護局和歐盟法院的做法至少明確了被遺忘權同樣適用于網絡信息領域下的傳統行業。
中國公民任甲玉于2014 在無錫陶氏生物科技有限公司從事相關教育工作。之后,任甲玉在百度中將其姓名作為關鍵詞進行檢索時,發現許多包含“陶氏教育任甲玉”等包含其名字和陶氏教育等字段的鏈接。一方面,由于任甲玉曾是教育管理人員,另一方面,無錫陶氏教育在業內的口碑不好。所以任甲玉認為這些鏈接嚴重侵犯其隱私,對其日常生活、就業和工作造成了影響。任甲玉在不斷向百度公司提出刪除這些鏈接的請求被拒絕之后,不得已就姓名權、名譽權及一般人格權中“被遺忘”的權利被侵害為由,向北京市海淀區人民法院提起訴訟,要求百度公司在百度搜索引擎中顯示包含其姓名的搜索鏈接之時,屏蔽掉“無錫陶氏教育”和“陶氏教育”等字段。
審理該案的法官認為,被遺忘權并沒有被納入我國現有的法律體系框架之中。我國《民法總則》雖然對人格權的保護有具體規定,但該規定屬于類型化的規定。對于網絡上個人數據信息的利益指向也不能歸入現有的類型化的人格權保護之中,因此該利益能否受到法律的保護,要從利益的正當性與受法律保護的必要性兩方面來考量。2015 年,北京市海淀區人民法院做出一審判決,駁回了任甲玉的訴訟請求,二審法院與一審法院的意見一致。在該案件中,任甲玉的訴請可能得到支持的前提是無錫陶氏教育在業內不具有較好的口碑。該案判決指出,不宜抽象地評價無錫陶氏教育公司的信譽好壞及任甲玉在該公司任職后對其產生嚴重后果的因果關系,何況任甲玉在就業過程中所選擇的現任公司還會與該公司存在一定的競爭關系。繼而,任甲玉的做法在一定程度上是一種向潛在客戶或者雇主隱瞞自己的職業經歷的行為。然而,這些個人數據信息應當被社會公眾知曉,為了保護個人利益而刪除該數據信息將會對公共利益造成侵害。這樣的請求不具有正當性更不能受到法律的保護。法院的做法表明在我國現有的法律框架之下,個人利益的保護不能以犧牲公共利益為代價。
在“谷歌案”中,西班牙數據保護局和歐盟法院都支持了岡薩雷斯要求谷歌公司刪除《先鋒報》中與其相關的鏈接的請求。無獨有偶,“百度案”中,北京兩級法院均未支持任甲玉對百度公司提出的刪除含有其姓名與“陶氏教育”等字段鏈接的請求。這兩起案件的背后是法律價值的博弈,個人利益和公共利益的沖突在該兩起案件中表現的尤為明顯,兩案都表現出對公共利益的保護,但兩案之間也有明顯的差別,主要表現在:
首先,兩案中“被遺忘權”的權利主體不同。谷歌案在歐盟法院宣判之時,法律文件明確規定了被遺忘權的《GDPR》條例并未生效,歐盟法院援引了《歐盟委員會個人信息保護以及信息流通95/46 號指令》中類似被遺忘權的條款。歐盟法院在比較了該條款中所涉及的類似被遺忘權的條款規定的權利之后,在公共利益和個人利益的法律價值衡量中找到了較好的平衡點。相較于網絡用戶的公眾知情權而言,歐盟法院傾向于保護公民個體的個人信息權,歐盟法院作出此種價值判斷的標準主要有:一是信息主體主要的社會角色;二是數據信息所承載的公共利益的比重;三是該數據信息與個人生活的關聯性。岡薩雷斯作為普通公民,其身份不具有特殊性,自身也未承擔公共角色,包含其個人數據信息的鏈接中所承載的公共利益還未多于其應受保護的個人利益。而在百度案中,盡管我國并無“被遺忘權”的具體規定,但是北京市兩級法院的判決書中均對“被遺忘權”進行了解釋。法院認為:對于原告任甲玉依據一般人格權主張的被遺忘權應屬一種人格利益。人格利益在一定程度上與主體的身份息息相關。任甲玉是中國著名管理設計大師,是中科院中科博大特聘高級工程師,國家高級人力資源師,具有一定的社會影響力,是承擔公共角色的公眾人物。而且,任甲玉要求百度公司刪除的是其自身的工作經歷,該信息承載的公共利益原大于任甲玉所主張的依人格權所保護的個人利益。如果法院支持任甲玉的訴訟請求,刪除了其在百度搜索引擎中的相關數據信息,反而在一定程度上會侵犯了社會公眾特別是其潛在客戶或者雇主的知情權。
其次,搜索引擎“記憶”兩案所涉及個人數據信息的目的不同。谷歌案中,《先鋒報》出于保護公共利益的目的,擁有西班牙勞動部和社會保障部的授權才“記憶”該數據信息以便在拍賣中獲得更多的競價者以填補岡薩雷斯在1998 年由于欠繳社會保險費用而造成的社會保險的缺額。岡薩雷斯在2009 年向西班牙數據保護局提出投訴之時,其財產早在多年之前已經被拍賣,公告的目的已經實現,該數據信息背后所保護的社會公共利益也已實現?!跋鄬τ谛畔⑹占哪康亩云浔匾砸褑适А笔菤W盟法院對被遺忘權進行利益衡量的結果。反觀我國百度案,百度搜索引擎中包含的“陶氏任甲玉”“無錫陶氏教育任甲玉”等鏈接是任甲玉從業經歷的客觀體現。百度公司是一家向社會公眾提供搜索服務的互聯網公司,其所承載的社會使命要求其應當提供客觀、準確、全面的數據信息。百度公司收錄任甲玉的個人數據信息也是為了完善公司搜索引擎數據量,便于向社會公眾提供更好的服務,實現公司自身的商業價值。無論從百度公司所具有的商業價值還是從其所承擔的社會責任來看,百度“記憶”任甲玉客觀從業經歷的數據信息都無不妥之處。如果任甲玉的“被遺忘權”被支持,這些數據信息都被百度公司刪除,社會公眾便難以方便地獲取社會公眾人物的信息,社會公共利益難免會被犧牲。
最后,兩案中權利主體行使“被遺忘權”對其他相關主體造成的法律后果不同。權利的行使不僅需要考慮權利主體的個人利益,也要關注行使權利所帶來的法律后果,具體表現為行使權利對所有的利益相關方造成的影響,包括該權利的行使是否對義務主體增加了不合理的負擔或者無法實現,以及是否會對社會公共利益造成影響。在谷歌案中,歐盟法院認為,“被遺忘權”的義務主體谷歌公司能夠采取必要的技術手段,較為容易刪除包含岡薩雷斯的財產被強制拍賣的鏈接,并且刪除該鏈接不會對谷歌公司造成嚴重的經濟損失。同時,歐盟法院經過對該鏈接內容的審查,認為該拍賣過程已經完結且距今時間久遠,刪除該鏈接并不會對其他相關主體(主要是民眾)的知情權造成影響。在我國的百度案中,百度公司稱:包含任甲玉姓名等個人數據信息的相關鏈接僅為根據用戶搜索的實際數據而會發生不斷變化的提示結果,是一種對內容的客觀展示。在百度公司向用戶提供搜索服務的過程中,百度既無人為干預的可能,也無人為干預的權力。因此任甲玉要求其直接更改關鍵詞相關檢索不具有可能性。而且,百度公司不只是向任甲玉一人提供搜索服務,如果任甲玉的相關數據信息被刪除,在一定程度上會造成百度公司提供的搜索服務不全面、不準確和不及時,直接對其他不特定相關主體的利益造成侵害。
雖然兩案的背景和事實不同,被遺忘權主體的身份特征以及行使該權利對其他相關主體造成的影響也不盡相同。但是,兩案的結果都呈現出法院在個人利益和公共利益之間所進行的價值判斷。在中國現有的法律框架之中,對公共利益的保護程度往往大于個人利益,對被遺忘權進行適用范圍的限定也契合我國法律傳統的做法。
誠然,被遺忘權在大數據時代具有合理性基礎,法律通過賦予權利主體刪除特定的個人數據信息實現個人利益的保護。但是在被遺忘權的行使過程中會不會帶來其他問題?法律的實施一般是各種利益博弈,各種價值平衡的藝術。被遺忘權的合理性以權利主體為起點,維護人格尊嚴、尊重個人信息自決和保障個人發展。然而人具有社會屬性,不能脫離社會而存在。即使被遺忘權具有合理性而可以被權利主體行使,但權利不能沒有邊界。如果一項權利的行使造成的危害遠大于其所帶來的收益,這樣的權利能否成為權利還有待商榷。被遺忘權一方面通過賦予數據信息主體任意刪除與其相關的“不恰當的、不相關的、不及時的”數據信息以維護權利主體的個人法益,另一方面也正式因為這些信息被刪掉導致其他相關主體無法客觀獲取這些關鍵信息從而對其他相關主體的利益造成影響,這種利益更多表現為社會公共利益。個人利益和公共利益的博弈始終是法學研究最為關注的領域,不同部門法的價值也是在兩者平衡中被逐漸體現。在我國公法領域,對個人利益的保護通過限制代表公共利益的國家公權力的方式來體現;在我國私法領域,對于平等主體之間個人利益的保護以不損害公共利益為基礎。在我國現有的法律體系中,個人權利的行使往往以不損害他人利益和公共利益為基礎。而且,隨著法理學對權利研究的深入,“個人利益并不代表權利的全部價值,權利亦非公共利益的天然對立面,在特定意義上,公共利益也是權利不可或缺的價值組成部分”。所以,對被遺忘權進行使用范圍的限定能夠有效解決個人利益和公共利益的沖突,也更加符合權利的本質。
在權利主體層面,盡管“人人生而平等”,但有部分主體因為具有身份的特殊性需要被特別對待,特殊主體行使被遺忘權的范圍應當受到限定。這類特殊主體主要表現為具有一定社會影響力的“公眾人物”,由于他們與公共利益的關聯度較高,對他們行使被遺忘權進行合理限制,也在一定程度上平衡了個人利益和公共利益的沖突。
早在美國的隱私保護領域的判決中出現了公眾人物的理論,該理論基于公共利益的判斷,將人民分為公眾人物和普通人。被遺忘權的適用往往也涉及公共利益,因此該理論也可以拓展適用于該權利。大數據時代使得公眾人物的生活暴露在人們的視野之下,公眾人物的公共生活和私人生活難以清晰界定,他們的一舉一動都可能成為人們關注的焦點。同時,由于公眾人物具有的公共屬性,其數據信息在一定程度上也是其他不特定主體知情權的對象。在公共利益和個人利益的博弈中,西班牙數據保護局和北京市兩級法院都側重于對公共利益的保護。因此筆者認為,被遺忘權的設立應對權利主體的范圍進行限定,公眾人物在行使被遺忘權時應被嚴格限定,其權利邊界應止于公共利益受損。當然,對于公共利益的判斷也不能繼續類型化,需要在個案中具體判斷。
歐盟立法文件中關于被遺忘權針對的個人數據信息的特征的表述為:不恰當、不相關和不及時。這樣的表述較為籠統,范圍較廣,可操作性不強,無法實現被遺忘權所追求的法律價值。因此,必須對可被數據信息主體請求“遺忘”的數據信息作出明確的限定。
數據信息主體請求依據被遺忘權刪除的數據信息必須是對其帶來較大負面影響的信息,且這些數據信息不能成為其他權利所涉及的內容。首先至少應當從以下角度判斷“不恰當、不相關和不及時”:第一,數據信息產生的時間背景。這些可以被刪除的數據信息產生的時間必須距現在足夠久遠,不再具有時效性,無法客觀反映權利主體現階段的情況。第二,數據信息和數據信息主體之間的關聯性。權利主體主張刪除的數據信息必須和其之間具有“負”相關性?!安磺‘?、不及時”的數據信息都會對主體的生活造成或多或少的影響,但只有當數據信息足夠體現主體特征且對主體造成的負面影響嚴重損害其個人利益時,被遺忘權才能被行使。第三,數據信息能否成為其他權利所涉及的內容。上述兩個案件中,權利主體所主張刪除的數據信息都是公眾知情權的客體,且搜索引擎所承載的服務職能和經濟價值要大于該權利所保障的個人利益。“谷歌案”中的數據信息承載的價值距起訴時時間較久,而“百度案”中這些數據信息正是公共知情權的客體。因此,在判斷被遺忘權客體能否被刪除時,必須要考慮個人利益和其他利益的沖突,這些其他利益通常表現為公共利益和商業價值。此時,個人利益應該讓位于公共利益,被遺忘權便不能被適用。
歐盟《GDPR》條例主要針對互聯網數據信息的保護,所以被遺忘權的適用也只能局限于互聯網領域。然而,隨著互聯網2.0 時代的來臨,諸如新聞傳媒業、醫療衛生業、信息服務業、科研教育業等關乎公共事務,涉及公共利益的傳統行業也搭上了互聯網的快車,呈現出新的樣態。這些行業內必然會存在關于社會公共秩序和公共利益的個人數據信息,這些數據信息由于一定程度上具有向社會公共公開的應當性而不能成為被遺忘權針對的客體。法律雖然無法窮盡列舉這些為了保護社會公共利益而無法適用被遺忘權的領域,但是不能因噎廢食,不對該權利的適用領域進行限定。筆者認為,可采取概括規定的方式,賦予被遺忘權義務主體以抗辯權來限制被遺忘權的適用。這種抗辯權的行使至少需要滿足以下條件:
第一,涉及公共事務領域的數據信息控制者出于自身職權的需要。較為典型的是提供公共服務組織的官方網站所涉及的信息,如政府網站信息、學校網站信息和醫院網站信息等數據信息。這些數據信息的收集和發布是相關組織為滿足公共需要,承擔自身社會職能的表現。對于這些數據信息中涉及到具體個人的部分,只要這些數據信息客觀真實且是相關組織采取合法的手段獲取的,便可以成為被遺忘權的抗辯事由。
第二,出于保護言論自由,保障新聞產業發展的需要。較為典型的是在線的舊新聞、舊報道以及新聞媒體行使輿論監督權,對個人不當行為的報道。新聞媒體肩負著傳播社會信息的職責,大數據時代的來臨也促進了新聞媒體的發展,使得信息在社會中的傳播更為迅速。公眾對社會信息準確性的要求越來越高,新聞媒體為了滿足公眾這一需求進而實現是承擔的社會責任,也在報道中對個人信息的披露更為充分。如果這些信息被披露的個人以被遺忘權為依據請求新聞媒體刪除這些數據信息,那么新聞行業的發展以及社會公眾的知情權便無法保障,新聞媒體更無法發揮良好的輿論監督作用,難以保障社會公共利益。所以,應當在媒體報道的價值和報道對當事人造成的傷害間加以權衡,賦予新聞產業等抗辯權以維護公共利益。
第三,基于人類發展的價值判斷,出于歷史、統計和科研等目的的需要。歷史、統計和科研的價值在于促進人類的良好發展。同時在人類發展的過程中,許多個人信息或是由于具有特殊的歷史意義,或是被統計機構收集、整理,或是出于科研的需要被記錄。進入大數據時代,這些信息成為永存的數據信息,如果不對被遺忘權的適用范圍進行限定,這些數據信息也會成為權利主體請求刪除的對象。但是這些信息關乎人類社會的發展進步,如果這些信息的控制者成為被遺忘權的義務人,該事由應當成為被遺忘權的抗辯理由。
綜上,被遺忘權的適用范圍沒有被歐盟立法機構明確規定造成了被遺忘權的行使無法較好地平衡個人利益和公共利益的沖突。通過對谷歌案和百度案的比較分析,應當從權利主體對被遺忘權進行限定,賦予被遺忘權義務人以合理的抗辯事由以更好的實現被遺忘權的價值。
被遺忘權自在歐盟法院被正式承認之后,一直頻繁出現在國內外學者的視野之中。我國作為世界上使用互聯網人數眾多的國家,可以借鑒歐盟法的經驗,嘗試開啟被遺忘權的立法之路。2019 年,全國人大將啟動《數據安全法》的立法工作,在這樣的契機下,結合我國的法律傳統對公共利益保護程度大于對個人利益保護程度的背景,在對被遺忘權進行合理的法律移植的過程中,對其適用范圍進行限定,使之符合我國現有的法律框架,在不損害公共利益的前提下最大程度地保護個人利益,發揮其應有的作用。但是文章只考慮了被遺忘權行使過程中個人利益和公共利益的價值沖突問題,被遺忘權中國化產生的諸多問題有待學界繼續研究。●