首发于《中国信息安全》2016年08期，作者：王融。
又见百度。但今天的话题不再是竞价排名，而是隐私保护领域的热门——"被遗忘权"。虽然百度在社会责任方面饱受诟病，但不得不承认它为国内的隐私保护司法实践贡献了多个经典案例。去年5月，南京中院审结的"朱某VS百度隐私侵权案"被称为我国"cookie隐私第一案"，引发了关于cookie隐私的大讨论。近日，媒体又将北京一中院审结的"任某VS百度名誉权案"冠之"全国首例被'遗忘权'案例"。
笔者十分认同法院关于"被遗忘权"的审判结果。更进一步说，即使本案发生在"被遗忘权"的发源地欧盟，也未必能够得到支持。
一、案件概述
在本案中，原告任某从事人力资源和企事业管理，其曾于2014年在无锡某氏教育公司工作过。2015年，任某进入百度搜索页面，键入自己姓名后，百度在"相关搜索"处显示有"无锡某氏教育任某"等词汇；另外，在搜索框内键入"某氏教育"，在"相关搜索"处显示有"某氏教育骗局"等。
任某主张因某氏教育在业界名声不好，百度在搜索页面中公开其与某氏教育有关的个人信息侵犯了其名誉权、姓名权及作为一般人格权的"被遗忘权"，要求百度断开涉案关键词的搜索链接、赔礼道歉、赔偿经济损失。
本案中名誉权、姓名权侵权争议不大。因为我国立法对名誉权、姓名权侵权认定有较为明确的的规定。本案中百度提供的相关搜索词系由过去一定时期内使用频率较高且与当前搜索词相关联的词条统计而自动动态生成。百度不存在对任某进行侮辱、诽谤的侵权行为，也不存在干涉、盗用、假冒任某姓名的行为，不构成侵害名誉权、姓名权。
比较而言，本案关于"被遗忘权"的部分更具有讨论价值。
二、原告对"被遗忘权"的主张及法院的审判观点
原告任某认为，其已经结束了在某氏教育的工作，不再与该企业有任何关系，此段经历不应当仍在网络上广为传播。而且该企业名声不佳，在百度相关搜索上存留其与该企业的相关信息会形成误导，并造成其在就业、招生等方面困难，百度公司应当承担侵权责任。这种"利益"应当作为一种一般人格利益予以保护。也即原告主张的"被遗忘权"。
对此，法院审理认为：
第一、我国现行法中并无 "被遗忘权"的权利类型，原告所主张的一般人格利益，只有在满足正当和必要的前提下，方可支持。
第二、原告任某希望删除能够指向其曾经在"某氏教育"工作经历的搜索链接。该主张蕴含了其两项具体的诉求意向：其一是确认其曾经合作过的"某氏教育"不具有良好商誉；其二是试图向后续的学生及教育合作客户至少在网络上隐瞒其曾经的工作经历。
就前者而言，企业的商誉受法律保护，法律禁止任何人诋毁或不正当利用合法企业的商誉。不同个人对企业商誉的评价往往是一种主观判断，而企业客观上的商誉也会随着经营状况的好坏而发生动态变化，因此不宜抽象地评价商誉好坏及商誉产生后果的因果联系。
就后者而言，涉诉工作经历信息是原告任某最近发生的情况，与其目前的个人行业资信具有直接的相关性及时效性；这些信息的保留对于包括原告潜在客户或学生在内的公众知悉原告的相关情况具有客观的必要性。
因此，任某在本案中主张的应"被遗忘"（删除）信息的利益不具有正当性和受法律保护的必要性，法院不予支持。
笔者十分赞同上述审判观点。法院并没有因为我国现有立法未对"被遗忘权"作出规定而直接否定原告的主张，而是首先将包含有个人工作经历的信息认定为个人信息，认可原告对该个人信息主张权利。
与此同时，法院将原告所主张的"被遗忘权"作为非类型化的人格权，分析其主张的权益是否有保护的正当性和必要性，特别从公共利益的视角出发，对二者进行了准确的分析，其中借鉴了欧洲法院相关判例中的经验，认为原告所主张的工作经历信息并非是过时的，不相关的个人信息，特定公众对其享有合理的知情权。法院把握了"被遗忘权"这一新型权利的要害，值得赞许。
三、适用欧盟法分析本案
即使在对公民隐私保护最为激进的欧盟——"被遗忘权"的滥觞之地，原告的主张也未必能够得到支持。
在欧盟层面（不包括欧盟成员国立法），"被遗忘权"的法律渊源主要有两个方面：一是2014年5月欧洲法院对针对谷歌的一份判决，首次在该案中确立了"被遗忘权"[2]；二是欧盟数据保护一般条例（General Data Protection Regulation，GDPR）第17条删除权（也可称为"被遗忘权"）的规定。由于二者在适用范围、权利内涵上有较大的差异，我们可分别将其作为依据，适用我国"任某诉百度案"进行讨论。
（一）适用欧洲法院判例确立的"被遗忘权"规则
案例要旨：1998年，西班牙《先锋报》刊登了西班牙公民冈萨雷斯因无力偿还债务而遭拍卖物业的公告。2010年，冈萨雷斯发现，如果在谷歌搜索引擎输入他的名字，会出现指向《先锋报》关于其房产拍卖的网页链接。冈萨雷斯认为这些信息已经过去多年，希望谷歌能够删除该链接。该案一直打到欧洲法院，欧洲法院随后做出了轰动世界的"被遗忘权"判决：谷歌作为搜索引擎服务商，应被视为1995年《数据保护指令》界定的数据控制者，对其处理的第三方发布的带有个人数据的网页信息负有责任，在特定情形下，有义务协助数据主体将其消除。依据该判例，欧洲居民可以向搜索引擎申请在搜索结果中删除有关个人的"不恰当的、不相关的、过时多余"（inadequate, irrelevant, excessive）的网页链接。
判决发布后引发了极大争议，为解决实践中的困惑，欧盟数据保护机构——第29条工作组专门为此发布了执行判决的指南文件[3]，明确了"被遗忘权"效力所及范围，以及各国ＤＰＡｓ（数据保护机构）受理数据主体申诉的标准，包括：
第一：数据主体提出主张应当以其"姓名"为基础。只有当以"姓名"为搜索关键词时，如果出现符合条件的不相关个人信息链接，可以请求搜索引擎在搜索结果中删除。
第二、搜索引擎不负责删除原始网页，而是不再显示在搜索结果中（de-listing）。若原始网页以"姓名"以外的关键词仍然可以搜到，则不在搜索引擎协助删除的范围之内。
第三、搜索引擎在受理数据主体的"被遗忘权"主张时，在判断是否予以删除链接时可以考虑如下因素[4]：
1）数据主体是否在公共领域具有重要角色或具有公众形象，以及公众是否具有取得前述数据的权利。
2）数据是否具有正确性。
3）数据是否具有相关性且不过分
4）根据数据保护指令第８条，该数据是否具有敏感性信息如个人健康状况、性取向或宗教信仰。
5）该数据是否已过时，或对于数据处理目的来说，其存在已为冗赘。
6）该数据是否已具有对数据主体的偏见，并且对其隐私具有不对等的负面影响。
7）搜寻结果与数据链接是否已造成数据主体暴露于危险威胁，例如窃取身份或受到跟踪。
8）原有信息的发布是否具有新闻目的。
9）该数据是否涉及刑事犯罪。
综上，参考欧洲法院判例及第29条工作组执行指南，欧盟居民提出"被遗忘权"，在具体个案中是否予以支持，首先要判断其所主张的个人信息是否"不恰当，不相关、过时且多余"，并在个人权利和公共利益之间作出平衡。第29条工作组所列的具体考虑因素充分体现了这种平衡要求。有些因素是考虑个人权利的加权项，例如是信息是否敏感，准确，而另外一些因素则是公共利益考量的加权项，例如数据主体是否是公众人物，是否是有新闻目的等。
结合我国"任某诉百度"案，在该案中，任某主张删除的个人信息为自己职业经历的一部分，是客观存在的真实经历，且该经历就发生在其主张权利的一年前，并不符合"不恰当""过时多余"的标准。并且对于从事教育、管理这样的专业职业来说，其客户受众通过搜索引擎了解其职业经历，这一活动具有正当性，也并不构成对任某个人权利的损害。
（二）适用欧洲条例确立的"被遗忘权"规则
刚刚通过的欧盟数据保护一般条例（General Data Protection Regulation，GDPR）第17条删除权（"被遗忘权"）共计三款。其中第1款的核心仍然是传统个人信息保护法中已经确立的删除权：当用户依法撤回同意或者数据数据控制者不再有合法理由继续处理数据时，用户有权要求删除数据。
关于"被遗忘"的精神更多体现在第17条第2款：如果数据控制者将符合第1 款条件的个人数据进行了公开传播，他应该采取所有合理的方式予以删除（包括采取可用的技术手段和投入合理成本），数据控制者有责任通知处理此数据的其他数据控制者，删除关于数据主体所主张的个人数据链接、复制件。
也就是说数据控制者不仅要删除自己所控制的数据，还要求数据控制者负责对其公开传播的数据，要通知其他第三方停止利用、删除。这是对传统"删除权"的扩张。
但是，GDPR同样对"被遗忘权"作出了重要的限制，第17条第3款规定了并不适用"被遗忘权"例外情形：
1）基于言论表达自由；
2）依据欧盟或成员国法律的要求，数据控制者应当履行的法定义务要求其处理数据或者基于公共利益、政府机构的要求处理数据
3）数据处理依法基于公共健康等公共利益；
4）基于历史、统计和科学研究的目的；
5）出于建立、实施和保护合法权利的需要；
简言之，"被遗忘权"虽然与公民个人权利直接挂钩，但它与包括言论自由，信息的自由流动、公众的知情权在内的其他公共价值追求有着尖锐的冲突，即便在将个信息保护作为基本人权的欧盟，其也在立法上对"被遗忘权"作出必要的限制。上述第17条第3款主要功能就在于此。
因此，若将欧盟GDPR适用于"任某诉百度案"，我们会发现：任某若想适用第17条第1、2款，首先需要排除第3款的例外情形，而第三款中关于保护合法权利的例外足以否定任某的主张。
四、对本案的延伸看法
在欧盟提出被遗忘权之后，我国学界给与了很大关注，很多学者认为"被遗忘权"是网络时代保护公民个人信息的绝佳机制，"在网络信息不断膨胀的今天，信息主体对于清除负面信息并消除其对自身声誉的影响的需求，是广泛而迫切的"。并建议"我国作为世界上网络用户最多的国家，应当借鉴欧美法的经验，将被遗忘权本土化，使之成为我国公民人格权的组成部分。"[5]
对此，笔者认为，在当下中国，对"被遗忘权"的借鉴应当是审慎的，理由是：
第一、"删除权"是被遗忘权的基础，在我国现行立法还未建立"删除权"的背景下，引入"被遗忘权"过于超前，甚至是无本之末。"被遗忘权"之所以形成于欧盟，一个重要原因在于欧盟已经为其建立了坚实的理论和立法基础。1995年数据保护指令以及更早期的欧盟立法早已确立了"删除权"，在此基础上，"被遗忘权"的诞生顺利成章。
依据欧盟个人数据保护原则，个人数据应当被公平、合法的处理，出于特定、明确的目的进行收集。当个人数据不再与其被收集时所确立的目的相关，个人有权要求数据控制者予以删除。被国内学者热议的欧盟GDPR中的"被遗忘权"，其核心仍然是欧盟传统的删除权。其扩展部分也是在删除权基础上，规定如果数据控制者进行了传播，则应当告知第三方予以删除。
而目前国内相当一部分学者所提建议混淆了"删除权"与"被遗忘权"的内涵，将我国尚未建立的"删除权"也打上"被遗忘权"的标签。由于"被遗忘权"极富争议性，这种混同的理解并不有利于立法建设。毕竟，在国内个人信息保护立法薄弱的背景下，更为迫切的需求是建立包括删除权在内的最基本制度。
第二、相比于欧洲立法GDPR所确立的"被遗忘权"（第17条），欧洲法院判例引入的"被遗忘权"规则有更大争议。不消说美国首先质疑其合理性，即使在欧盟内部，该判决很大程度上也在意料之外。谷歌在建立线上"被遗忘权"申诉平台后，曾接到大量申请要求删除相关新闻报道，这被观察者认为是一种新形式的网络审查。
不容否认，"被遗忘权"对增强用户个人权利非常有效，但它对其他公共价值的张力也是巨大的。如上述，欧盟不论是判例，还是在立法中都对"被遗忘权"作出了诸多限制。
"被遗忘权"看上去很美，但远比想象中复杂……
参考文献及说明：
[1]北京市第一中级人民法院 民 事 判 决 书（2015）一中民终字第09558号
[2] InfoCuria - Case-law of the Court of Justice，JUDGMENT OF THE COURT (Grand Chamber),13 May 2014 (*),Google SpainSL,Google Inc.VS Agencia Española de Protección de Datos (AEPD),Mario CostejaGonzález
[3] article 29 data protection working party，14/en，wp 225，guidelines on the implementation of the court of justice of theeuropean nion judgment on"google spain and inc v. agencia española de protecciónde datos (aepd) and mario costeja gonzález" c-131/12
[4]具体标准中原文有13项，鉴于与本文讨论主题的相关性，本文摘取了其中部分项
[5] 杨立新，韩煦：被遗忘权的中国本土化及法律适用，《法律适用》, 2015(2):24-34
来源：知乎 www.zhihu.com
作者：王融
【知乎日报】千万用户的选择，做朋友圈里的新鲜事分享大牛。 点击下载
没有评论:
发表评论