全球傳播下個人數據保護探究

摘要：被遺忘權是數字時代解決記憶倫理問題的新方案。在這一項尚未成熟的權利確立不久后，谷歌訴CNIL一案落下帷幕。歐洲法院對此案的裁決具有里程碑式的意義，影響著未來被遺忘權在國際上的適用范圍。歐盟的法律實踐表明，在被遺忘權適用范圍的三種選擇中“全球本土化”最具可操作性，多方利益相關者的參與需要互相平衡，以實現歐盟和全球范圍內個人數據保護的協調統一。

關鍵詞：全球傳播；個人數據保護；谷歌；CNIL

中圖分類號：D912.1 文獻標志碼：A 文章編號：1674-8883（2021）10-0027-03

大數據時代，人們的生物記憶被數字記憶無限延伸，網絡數據具有的長期存儲、容易獲得和重復共享等特點引發了記憶倫理問題。由此，歐盟最先在法律中確立被遺忘權（Right to Be Forgotten），數據主體有權要求數據控制者修改不完整的信息。這項尚未成熟的權利在近幾年的司法實踐中不斷摸索邊界，其中谷歌訴CNIL（Commission nationale de l’informatique et des libertés，即法國國家信息與自由委員會）一案由來已久。谷歌在全球“被遺忘權第一案”——西班牙谷歌案中敗訴后，按法院裁定刪除在歐洲網站上的相關數據信息。但是CNIL以谷歌未在其所有版本的網站（包括谷歌全球域Google. com）上刪除相關鏈接為由對谷歌進行10萬歐元的罰款，谷歌上訴至歐洲法院（European Court of Justice），最終勝訴。

一、谷歌訴CNIL：里程碑式的司法判例

歐洲法院在谷歌訴CNIL一案的判決結果中支持谷歌公司的上訴，反對將被遺忘權推行到歐盟以外的范圍。法院判定在歐盟法律下谷歌及其他搜索引擎公司無義務在全球范圍內進行數據的刪除（Delisting/De-Referencing），歐盟公民的被遺忘權僅在28個成員國范圍內行使。這一裁決綜合考慮了1995年的《數據保護指令》（Data Protection Directive，以下簡稱Directive）和2018年5月25日生效的《通用數據保護條例》（General Data Protection Regulation，以下簡稱GDPR）。

（一）適用范圍的三種可能

谷歌作為跨國互聯網企業，按照地域將網站劃分為不同的域名（如Google.fr，Google.de，Google.com等），在Google.com上進行的搜索都會自動跳轉到與提供該信息來源的國家相對應的域名。在這一前提下，歐洲法院指出被遺忘權的權限劃分有三種選擇[1]。第一種選擇提倡被遺忘權在全球范圍內通用，要求搜索引擎公司刪除全球范圍內的相關數據，包括全球各國不同版本上的鏈接，這一方式被稱為全球性（Universal）。第二種選擇提倡被遺忘權僅在歐盟范圍內行使，即要求刪除數據主體所在成員國乃至整個歐盟所有成員國在搜索引擎網站上對應的相關鏈接，這一方式被稱為區域性（Regional）。第三種選擇則是谷歌在執行歐洲法院裁決時采取的措施，在第二種區域性方式的基礎上同時對歐盟外的網站使用國家地域封鎖（Geo-Blocking）的方法，即利用互聯網協議地址和用戶的其他技術手段推斷用戶的位置，從而在沒有刪除鏈接的情況下限制用戶在各版本網站上對有關內容的訪問，這一方式被稱為全球本土化（Glocal）。盡管CNIL認同全球本土化有所改進，但仍要求采用第一種方式。CNIL強調被遺忘權執行過程中的徹底性、有效性，并指出在全球本土化方式下歐盟內的用戶仍有很大可能通過特殊途徑獲取被刪除的信息：定位在法國的互聯網用戶可以登錄谷歌在歐盟以外其他域名的網站，比如Google.com，而非歐盟的用戶也可以通過虛擬網絡服務（Virtual Private Network）繞過國家地域封鎖一類的措施獲取被封鎖的鏈接。但谷歌稱在全球范圍的網站實行被遺忘權可能會違反國際法的不干涉原則，并且會引發全面的信息審查，有悖于互聯網開放平等的精神，對言論自由也有一定程度的侵犯[2]。

歐洲法院需要在兩難局面中進行權衡。如果堅持要求在全球范圍內執行被遺忘權以增強數據保護的有效性，那么法院將面臨侵犯歐盟外第三方國家主權利益的風險；若否決被遺忘權的域外適用轉而以歐盟為界劃定范圍，那么將要對被遺忘權在執行中的有限性進行妥協。最終，歐洲最高法院宣布只在歐盟范圍內推行這一權利。

（二）裁決為全球性保留可能

盡管此案中谷歌的勝訴意味著被遺忘權在國際上仍缺少推行的土壤，但歐洲法院并沒有排除在全球范圍內行使被遺忘權的可能性。法院強調歐盟的最終目標是為公民提供更高水平的個人數據保護，在裁決中明確允許國家和數據監管機構在適當的情況下要求互聯網公司在全球范圍內采取刪除措施，并稱相信各國數據保護機構有能力平衡個人隱私、數據安全和信息自由三者的關系。從這一聲明來看，歐盟仍致力于將被遺忘權的合法性全球化。但對于什么是“適當的情況”，歐洲法院并沒有作更進一步的解釋。

隨著谷歌訴CNIL一案的落幕，這場對被遺忘權的實施范圍之爭為今后被遺忘權的實施程度立下了衡量標準，此案也被視作被遺忘權司法實踐中的里程碑。不能將被遺忘權延伸到歐盟外的這一裁決，對受到官方嚴格審查的搜索引擎公司來說是一個好消息。然而也有人認為谷歌的勝訴只是表面的勝利，歐洲法院仍然保留了各國在必要情況下在全球范圍內實行被遺忘權的可能性。

二、谷歌訴CNIL案判決對個人數據保護的啟示

（一）全球本土化或成最優解

網絡空間沒有實際的地理位置或具體形態，人們在互聯網上獲取來自世界各地的信息，互聯網即人們所處的環境。但并不能因此推斷對信息的管轄不需要根據地域劃分。被遺忘權的適用范圍在歐盟法規中有明確的規定。1995年Directive第28條指出，當局沒有在第三國處理此類數據的權力，但是應當“給相關國家機構保留較大的自主選擇權”。在之后的判例中法院補充：被遺忘權的實踐尊重他國的主權，根據合法性原則和法治概念，原則上不能在行政機構允許授權的法律范圍外實行。而2018年生效的GDPR中規定應“綜合整體考慮并直接應用于各成員國”，在一定程度上限制了CNIL這樣的數據處理機構。

在全球性和區域性的選擇上，法院的最終裁決是被遺忘權的區域性，并傾向于給被遺忘權的全球性提供可能。在這場官司中，如果谷歌沒有上訴成功，那么美國的公民將因與他們毫不相關的法律而被剝奪在本國搜索引擎上獲取信息的權利。如果所有法庭都聲稱本國的法律在全球適用，將會侵犯別國利益并引起國際法律的混亂。而推行區域性的優勢則在于歐盟內部的協調統一。被遺忘權在歐洲起源，經歐洲聯盟法院解釋的判例法中也稱這項權利并不是一項絕對權利，被遺忘權在網絡上的適用范圍應與其實際的地理適用范圍一致，即在歐盟內部實行。人們在這一范圍內活動，因此搜索引擎的義務也在這一范圍內履行，這一具有協調性的邏輯更為合理。

全球本土化這一選擇即在區域性的基礎上實行國家地域封鎖的方法。CNIL認為這一方式具有不徹底性，數據主體權利的落實不應取決于數據接收者，根據發起搜索的IP地址決定被刪除數據的保護水平這一做法在原則上是不能被接受的。但Geo-Blocking這一技術在很多判決中都是一種常見的、較為適宜的折中辦法，法院甚至會強制要求網絡服務提供商推行。在這一技術上雙方的分歧主要在于這種封鎖是否會被避開（Bypassed）。然而，技術上幾乎不存在不會被避開的封鎖屏蔽，即使存在，不計成本地實施仍然是不可取的。經過權衡，法院認定全球本土化這一措施能夠最大限度地滿足被遺忘權的需要。

然而被遺忘權的全球性仍然具有更長遠的意義。國家之間的協調程度越高，行使域外管轄權中產生的問題就越少。因此，被遺忘權合法性全球化這一議題的解決有賴于國際共識的達成。如今，在被遺忘權與所有G20成員數據保護框架的兼容性研究中，20國集團的19個國家中有15個國家現在已經通過了數據保護法，為大多數形式的個人數據處理建立了總體框架[3]。在未來，被遺忘權將不再是僅限于歐洲的概念，歐洲法院的這一裁決也為被遺忘權的普及帶來了希望。

（二）多方利益相關者的參與需要互相平衡

拋開地域的限制，此案的復雜之處還在于互聯網治理包含多方利益相關者，受到政府、企業、民間組織、技術社群和學術界等方面的影響。以下對國家數據機構、互聯網服務提供商和作為數據主體的個人三方之間的關系進行討論。

一方面，這場官司是作為法國國家數據保護機構的CNIL和作為最大跨國互聯網企業的谷歌之間的一場博弈，較典型地體現出了國家機構和互聯網公司之間的復雜關系。隨著處理大量數據信息的互聯網巨頭國際規模的不斷擴張，互聯網企業和國家監管機構之間的關系也更加緊張[4]。路透社在報道中將被遺忘權的范圍劃定視作歐盟在領土范圍外延伸其數據保護和隱私標準的一次測試，法院也期望在互聯網的法規管理方面有更大的影響，尤其是在缺乏國際統一標準的情況下通過擴大國際影響延伸本國權利的范圍，以確保對公民數據處理的全面保護。GDPR起草時歐盟承諾公民這一法案會保障跨國互聯網企業掌握著的信息安全，而允許歐盟外的互聯網用戶有途徑獲取在歐盟內被刪除的信息會潛在地削弱被遺忘權的效力，為公民提供高水平信息安全保障的最終目標也難以達到。而谷歌堅持對數據的保護要符合國際規范，遵守已確立的地域原則，但同時也鼓勵全球范圍內的交互操作，指出允許跨境數據流動的機制對經濟發展的重要性。結合雙方的觀點來看，數據存儲的地理限制會破壞安全性，也會降低服務提供商的可靠性和業務效率。隱私監管應支持跨境數據傳輸機制，信息保護應該視數據本身的情況而定，而不是僅僅依據國界來劃定范圍。

另一方面，作為網絡服務提供者的互聯網和提供數據價值的用戶之間的關系也影響著被遺忘權的范圍。對用戶而言，網絡服務提供者只有寥寥幾家，而網絡服務提供者面對的是不計其數的用戶。這無疑會在實施中給網絡服務提供者帶來巨額成本和巨大的工作量，在很大程度上打擊其服務積極性。同時，對于信息制作者、上傳者、傳播者等群體是否應承擔責任存在爭議[5]。而且，對于搜索引擎服務商是不是數據控制者（Data Controller）仍存在爭議。搜索引擎僅提供信息定位工具，并不會對第三方網頁上的個人資料進行控制，在對源網頁進行抓取、分析和索引的過程中，個人數據不會以任何特定的方式顯示出來。因此許多國家推遲了被遺忘權的立法并駁回刪除已有網頁鏈接的申請。另外，谷歌的首席隱私官凱斯·恩萊特認為互聯網數據信息管理中潛在的碎片化傾向（Fragmentation）對行業內各企業來說是不可忽視的隱患，為此谷歌公開了一份數據保護法規框架，提出了所有“負責任”的互聯網企業應遵守的數據保護要求。谷歌倡導讓數據主體重新掌握對個人信息的控制權，主體有權訪問之前提供的信息并進行修改更正，同時要求將煩冗的操作手續簡單化，數據主體無須在每次處理個人信息時都發出申請。這一措施不僅為個人賦權，也保證了市場的創新性和競爭性。

身處大數據時代，數據價值的利用引發了新的問題。直至今日，被遺忘權對公眾知情權、言論自由是否存在侵犯仍存爭議，在數據價值被充分挖掘并轉化為商業價值的當下，被遺忘權要求刪除的數據可能并不像用戶聲稱的一樣“毫無價值”。單個數據因其內容的獨特性，產生獨屬于其自身的個體價值，個體數據組成了大數據的基礎，并以多樣態組合的形式出現。數據能高效、自由地流動是大數據產業發展的根本，個人數據若要充分發揮價值，就必須使其自由流動。因此也要對被遺忘權的使用加以約束，避免濫用刪除行為引發不必要的刪除，進而導致信息的封閉[6]。

（三）實現個人數據保護在各國司法實踐中的協調統一

在判決中，法院多次強調實現歐盟內個人數據保護的協調統一（Harmonised European Data Protection），以達到對公民更高水平的數據保護，而歐洲法院的裁決可能在一定程度上挫傷了這一目標。允許各個成員國的監管機構自行實施“平衡測試”（Balancing Test，一種綜合多方因素以求得最公平結果的司法方法），將會在不同國家的司法實踐上造成差異。正如前文所說，GDPR相較于Directive在更大程度上限制了成員國的自主權。Directive的實踐證明，被遺忘權在各國實施過程中產生的差異有悖于歐盟內數據法的協調性，也不利于個人數據在歐盟內的自由流動。而GDPR更注重法律確定性和透明性，力圖賦予歐洲公民同等級別的數據保護。對于聯盟內跨國界案件的處理，法院強制相關國家機構達成同一決策并為搜索引擎提供明確可行的指令，這一合作機制在解決各國數據法之間的碎片化問題上十分關鍵。然而即使在GDPR的指引下，被遺忘權的實施仍然沒有達到統一。目前在歐盟層面，數據保護和公眾知情權之間始終沒有統一的衡量標準，搜索引擎公司和數據主體還將持續面對被遺忘權的不確定性和不可預測性。盡管給予各國的自主權反而造成法律實踐的不協調，法院仍認為為成員國保留司法的靈活度是有必要的。總體來說，GDPR作為一項可以直接應用于所有成員國的法規，為實現歐盟數據保護的立法統一提供了更有力的保障，而全球范圍的實踐應以歐盟內部實現一致性為基礎，進一步為國際上的推廣提供經驗。

三、結語

谷歌訴CNIL案的決策顯然并不像媒體報道所稱的是一次“屬于谷歌的勝利”，法院的判決承認了被遺忘權全球化的合法性。在歐盟有關數據隱私和保護的法律體制生效之際，這一決定吸引了國際的關注。自從生效以來，GDPR有望為全球的數據保護立下標準，對各國的數據保護機構加強和完善各自的數據保護法規起到了啟發作用。同時，全球的互聯網公司也十分關心GDPR的生效會如何影響它們的管理和運作。雖然這一案件僅僅聚焦于被遺忘權，但判決結果對GDPR整體的適用領域有更深意義的解讀。除了搜索引擎公司，任何被歐盟或國家監管機構認定為提供個人數據處理服務的公司都被處于GDPR的管轄范圍內。

回到本案，裁決結果在被遺忘權的治外法上增加了法律確定性，這僅僅是一個開始。歐洲法院在未來將面對更多有關歐盟數據保護法適用范圍的問題。GDPR顯著地改變了全球被遺忘權的實踐圖景，這一案證明在全球范圍內實施被遺忘權的關鍵還在于國際數據保護制度的發展。無論如何，歐盟在國家、超國家和國際治理層面的有效合作上進行的嘗試，對數字時代被遺忘權的開拓作出了積極的貢獻。

參考文獻：

[1] 亞恩·帕多瓦.被遺忘權是一項全球性、地域性還是“全球本土化”的權利？[J].國際數據隱私法，2019（03）：9-1，21-29.

[2] 葛蘭素·奧斯卡爾.被遺忘權：歐洲數據帝國主義、國家特權還是世界人權？[J].歐洲行政法論述，2020（01）：125-152.

[3] 大衛·鄂爾多斯. G20法定數據保護框架內的線上“被遺忘權”[J].國際數據隱私法，2020（04）：78-87.

[4] 瑪麗·薩蒙特.谷歌CNIL案：歐盟法律下的被遺忘權適用范圍[J].歐洲論壇，2019（04）：839-851.

[5] 王恬.谷歌與CNIL“被遺忘權”之爭[J].中國審判，2019（06）：86-88.

[6] 令倩，王曉培.尊嚴、言論與隱私：網絡時代“被遺忘權”的多重維度[J].新聞界，2019（7）：74-82.

作者簡介：王楓茹（2000—），女，安徽合肥人，本科在讀，研究方向：廣播電視學。