大数据需要橡皮擦吗？——“被遗忘权”初探

互联网时代，数据即信息，每天海量信息不知疲倦、数以亿计的涌现着。在方便生活工作的同时，cookie等带来的个人信息泄露和被滥用的隐忧也困扰着许多人。近日，借贷宝事件充斥媒体，《南方都市报》记者亦曝光仅需700元就能买到同事行踪，包括乘机、开房、上网等11项纪录，定位甚至可以精确到经纬度，京东12G用户数据泄露等等，无不显示出互联网和大数据的破坏力。每一个个体在这样的庞然大物面前都显得渺小不堪，那么究竟是否有途径使我们免于个人信息和隐私安全造侵犯的恐惧呢？正是大数据的迅速膨胀和带来的种种负面影响，催生了“被遗忘权”。
“被遗忘权”是从英文‘right to be forgotten’翻译而来，对象是互联网络上的种种信息，这种权利究竟从何而来又是否会在中国落地生根呢？本文试着进行一些浅显分析和介绍。
一、“被遗忘权”源起
伴随着个人信息和隐私安全出现问题的频率增高，“被遗忘权”这一舶来概念进入中国学者和媒体的视野。“被遗忘权”究竟从哪里来呢？
从立法角度看，欧盟是世界范围内最早从立法上对公民的被遗忘权进行保护的。
自1995年开始，欧盟议会与理事会陆续通过了关于个人数据处理与保护的一系列指令。
2012年1月25日，欧盟委员会公布了《关于涉及个人数据处理的个人保护以及此类数据自由流动的第2012/72、73号草案》（即《一般数据保护条例》草案，Draft of General Data Protection Regulation，以下简称GDPR草案）。GDPR草案在第17条分9款首次对被遗忘权进行了明确规定。
从司法实践角度看，2014年谷歌与西班牙公民冈萨雷斯的纠纷案件则提供了一个行使“被遗忘权”的公开范本。
2010年2月，冈萨雷斯联系谷歌西班牙分部，请求他们删除一则披露其财产被强制拍卖和个人信息公告的链接，谷歌西班牙分部将该请求转交给了位于美国加州的谷歌总部。冈萨雷斯又向西班牙数据保护局（APED）投诉，要求刊载公告的《先锋报》删除相关信息、谷歌西班牙分部或谷歌公司必须删除相关数据链接。2010年7月30日，西班牙数据保护局驳回了他针对报纸提交的诉求，但支持他对谷歌西班牙分部和谷歌公司的诉求。谷歌西班牙分部和谷歌公司随后分别向西班牙国立高等法院提起诉讼，该法院在将两个诉讼合并后，提交给欧盟法院审理，欧盟法院判决认为谷歌作为搜索引擎运营商，应被视为GDPR草案中的数据控制者，对其处理的第三方发布的带有个人数据的网页信息负有责任，并有义务将其消除。这也是第一例通过法院判决确认对被遗忘权进行保护的案例，确立了个人可以通过被遗忘权得到对个人信息和数据的保护，甚至要求数据控制者删除互联网上某些数据。
除欧盟外，包括巴西、阿根廷、美国、韩国等世界上许多国家都确立了与被遗忘权有关的立法，或者产生了相关判例。然而，关于什么是被遗忘权，仍然没有统一的定义。然而可以明确的是，被遗忘权是指在特定条件下，信息的主体拥有的可以请求信息控制者对其所控制的属于该信息主题的个人信息进行删除，以确保第三人无法再获知或者利用上述信息的权利。
二、“被遗忘权”在中国
1. 司法实践——“国内被遗忘权第一案”？
2016年5月，北京市第一中级人民法院审结的一起与“被遗忘权”相关的案例，法院及相关媒体均以“国内被遗忘权第一案”进行宣传和报道。
因为前任东家“名声不好”，任某将某网络服务公司告上法庭，要求删除与前任东家相关的搜索关键词和链接，认为某网络服务公司在搜索页面中公开其与某氏教育有关的个人信息侵犯了其名誉权、姓名权及作为一般人格权的“被遗忘权”，并要求赔礼道歉，赔偿经济损失。
法院经审理认为，相关搜索词系由过去一定时期内使用频率较高且与当前搜索词相关联的词条统计而由搜索引擎自动生成的，并非由某网络服务公司人为干预形成。某网络服务公司在“相关搜索”中推荐涉诉词条的行为，明显不存在对任某进行侮辱、诽谤等侵权行为。任某在本案中主张的“被遗忘”（删除）信息的利益与任某具有直接的利益相关性，但是其对这部分网络上个人信息的利益指向并不能归入我国现有类型化的人格权保护范畴，只能从“一般人格权”的角度寻求保护，但是由于任某主张的该利益不具有正当性和受法律保护的必要性，不应成为侵权保护的正当法益，故判决驳回了任某的全部诉讼请求。
从案件判决中可以看出，虽然名为“国内被遗忘权第一案”，然却有些名不副实。一是当事人关于被遗忘权的请求没有得到法院支持，对于被遗忘权的构成要件、保护标准、具体含义也没有做出明确的界定；二是法官最终审理的落脚点在“人格权”，“被遗忘权”显然难以归入人格权的范畴。
2. 立法实践
2016年11月17日，全国人大常委会表决通过了《网络安全法》，并将于明年起正式实行。该法第四章“网络信息安全”中第四十三条规定，个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。
从法条字面含义来看，前述规定已经初具“被遗忘权”保护的雏形，也有学者认为借由此法，我国已经确立了对被遗忘权的保护。但如果在词条规定的框架下思考前述冈萨雷斯的案例，我们会发现，尽管强制拍卖活动早都已经结束，但《先锋报》刊载的信息是真实的、应当向社会公众公开的，没有违反法律、行政法规的规定，冈萨雷斯的主张很难得到中国法院支持。因而，《网络安全法》的第四十三条仅仅是我国立法机构为了解决现实中网络运营者非法利用网络工具获取公民个人隐私信息并以营利为目的使用等问题而出台的对策，距离“被遗忘权”的确立和保护还有一定的距离。
在《网络安全法》颁布之前，我国现行法律法规体系中，与被遗忘权相近的就是《侵权责任法》第36条中有关“通知-删除”的规定，网络用户利用网络服务实施侵权行为的，被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。网络服务提供者接到通知后未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。
这条规定的“通知删除”是针对网络用户利用网络服务实施侵权行为的情形，而被遗忘权在行使的过程中，不一定存在侵权行为，只是在现在的时间点，信息权利人针对过去某一时间点公开的真实的、但现在已经失效的信息，有权要求媒体或者搜索引擎予以删除，免于为第三人所知。二者的相似之处仅在于“通知”——“删除”这两个动作，在权利基础等方面则迥然不同，不能混为一谈。
自从欧盟法院作出谷歌与西班牙公民冈萨雷斯案件的判决后，欧洲用户可以向谷歌申请，隐藏搜索结果中的不当内容。判决生效后，仅2014年5月30日，谷歌就收到了超过12000份要求其从搜索引擎中删除个人申请的请求，截至2016 年2月11日共收到近38.6万个要求。不难想象，如果“国内被遗忘权第一案”中法院支持了任某的请求，要求网络服务公司删除相关链接，那么国内的网络服务公司亦将被删除请求所淹没。
无论是被遗忘权，还是我国新颁布的《网络安全法》的相关规定，其目的之一都是在大数据时代对个人信息和隐私安全进行保护，然而权利的边界和保护的方式都需要慎重考虑和确定，对个人信息和隐私安全的过度保护很有可能侵犯言论自由和减损互联网带来的益处。被遗忘权就像大数据时代的橡皮擦，可以抹掉过去的错误痕迹，然而是否有必要使用这样的橡皮擦或者怎样使用的更好，都需要在立法和司法实践中继续探索。