摘要：在互联网时代， 个人信息保护成为一项难题， 网络的永久记忆能力使得人们的信息难以被遗忘， 为日后生活带来不便。为此， 欧盟法提出被遗忘权制度。中国有着设立被遗忘权的制度土壤和讨论空间。应当在利益衡量后， 有条件地引入被遗忘权制度， 经由渐进式、折中式的立法， 区分不同的权利主体、信息发布主体设置不同规则， 使得该制度与知情权、言论自由、商业效率等利益之间达成平衡， 最终完成被遗忘权的本土化。
关键词：个人信息保护； 被遗忘权； 网络法； 个人数据保护；
1 被遗忘权制度的勃兴
1.1 网络永久记忆能力对个人信息保护的挑战
近年来， 社交网络、电子商务和移动互联网迅速发展， 人类社会已经进入了网络时代。截至2017年12月， 我国网民数量已达7.72亿。伴随着互联网的高普及率， 人类社会的数据量剧增， 大数据时代已经到来。网络具备海量信息储存能力， 而搜索引擎强大的定位能力也使得获取特定个体的信息更加容易。网络因此拥有了强大的“记忆”能力。与容易遗忘的人脑不同， 在网络世界里， 信息被记住成为常态。网络的记忆功能为我们提供了备忘和记录的工具， 但同时也对个人信息保护提出诸多新挑战。
一方面， 某些信息如果永远不能遗忘， 将会影响个人的正常生活。正如古代的“刺配”一般， 即使犯人未来努力回归社会， 他脸上的刺字依然会记录着他不堪的曾经， 给生活造成不便。而网络的记忆在某些情形下无异于“刺配”, 给信息主体带来长期的舆论压力。例如， 综艺节目中嘉宾不得体的言行举止被制作成表情包在网上广为流传， 损害其形象， 影响其未来发展。如今， 人们都喜欢在社交平台上以“晒”、“炫”的方式记录日常 （甚至包括某些“黑历史”） , 然而随着时间流逝， 这些信息可能会被信息发布主体遗忘， 却能够被网络永远记住， 成为无法摆脱的印记。
另一方面， 网络的记忆功能可能导致对信息的语境化理解， 部分信息时过境迁或被片面截取， 可能引发歧义。例如， 许多人只知“吾生也有涯， 而知也无涯”, 误认为庄子是在鼓励人们畅游无涯学海， 却不知完整的表述是“以有涯随无涯， 殆已！”人们往往只截取名言的一部分广为传诵， 并没有真正理解原作者的表达含义。倘若个人信息也被这样断章取义， 往往容易造成人们对信息主体的不当评价或是错误认知。
1.2 被遗忘权制度的国际发展
互联网时代对个人信息保护提出的前述难题也是世界性的， 对此， 国际上发展出了被遗忘权制度以期解决该问题。被遗忘权制度肇始于欧盟。欧盟一贯注重人格保护和个人信息安全， 早在1995年就出台了《个人数据保护指令》， 其中规定的目的限制原则、数据主体同意规则、删除权、反对权等制度被学者称为“弱化版的被遗忘权条款”.
2010年发生的谷歌西班牙案是世界范围内适用“被遗忘权”的第一案。2010年， 西班牙公民冈萨雷斯向该国信息保护机构控诉《先锋报》， 理由是：他在谷歌搜索引擎上， 以自己的姓名作为关键词进行检索时， 会显示多年前《先锋报》对他进行的报道。报道内容是他曾因税务问题而进入房屋拍卖程序的事实。他要求《先锋报》移除或修改相关报道， 并以这些报道已过时并不相关为由， 要求谷歌删除与此事件有关的检索结果， 最终格斯蒂亚的主张得到认可。
在谷歌西班牙案之后， 被遗忘权制度开始成为舆论的焦点， 引发了诸多争议。2016年， 欧盟出台了《一般数据保护法案》 （GDPR） , 对个人信息进行了更加全面和细致的保护， 对“个人数据”、“处理”、“控制者”等进行了较为详尽的定义。其中， 第17条第1款正式规定了被遗忘权 （“擦除权”） , 该条规定， 在个人数据对于实现其被处理时的目的不再必要、数据主体撤回同意、反对处理、非法处理、数据控制者履行法律责任等情形时， 数据主体可以行使被遗忘权， 即“要求控制者擦除关于其个人数据的权利”.该条第2款和第3款还规定的被遗忘权的行使方式与排除情形。
2 被遗忘权本土化的法律基础
2.1 立法基础
目前， 我国已经对个人信息保护进行了一系列立法。《民法总则》第111条对自然人的个人信息保护作出了总括性规定， 但表述过于笼统， 可操作性不强， 对“个人信息”、“非法收集、使用、加工、传输”、“非法买卖、提供或者公开”等关键术语上仍需进一步解释定义。此外， 《网络安全法》第四章“网络信息安全”也对个人信息保护进行了专门规定。《刑法》第253条之一将侵犯公民个人信息的行为规定为犯罪， 最高可判处七年有期徒刑并处罚金。《消费者权益保护法》第14条、第29条、第50条都对消费者的个人信息保护进行了明确规定， 其中第29条还对经营者收集、使用消费者个人信息的行为进行了专门规范。
尽管我国立法对个人信息保护已经作出了一系列规定， 但我国尚无对被遗忘权制度的明确立法。不过， 在中国法上也存在着若干“弱化版的被遗忘权”.依笔者之检索所得， 主要可分为两类。
第一类是一般个人信息主体因侵权、违约、违法等情形所享有的“删除权”.例如《侵权责任法》第36条即规定， “网络用户利用网络服务实施侵权行为的， 被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。”《全国人民代表大会常务委员会关于加强网络信息保护的决定》第8条亦规定， “公民发现泄露个人身份、散布个人隐私等侵害其合法权益的网络信息， 或者受到商业性电子信息侵扰的， 有权要求网络服务提供者删除有关信息或者采取其他必要措施予以制止。”《网络安全法》第43条规定了个人信息主体在网络运营者违法或违约收集、使用其个人信息或个人信息有错误情形下的删除权。我国2012年《信息安全技术、公共及商用服务信息系统个人信息保护指南》与2017年《信息安全技术个人信息安全规范》中也对个人信息控制者的删除义务进行了较为详尽的规定， 主要适用情形包括：违法、违约、超出信息留存期限、个人信息使用目的达到等。与欧盟GDPR相比， 我国的“删除权”主要还是以违约、违法、侵权等作为前提， 并不能一般性地进行适用。
第二类是未成年人犯罪场合的“犯罪记录封存权”、“不得公开报道权”.例如， 《刑事诉讼法》第275条规定：“犯罪的时候不满十八周岁， 被判处五年有期徒刑以下刑罚的， 应当对相关犯罪记录予以封存。”“犯罪记录被封存的， 不得向任何单位和个人提供， 但司法机关为办案需要或者有关单位根据国家规定进行查询的除外。依法进行查询的单位， 应当对被封存的犯罪记录的情况予以保密。”《未成年人保护法》第58条规定：“对未成年人犯罪案件， 新闻报道、影视节目、公开出版物、网络等不得披露该未成年人的姓名、住所、照片、图像以及可能推断出该未成年人的资料。”这一类权利的特点是， 从保护未成年人身心健康出发， 考虑到青少年犯罪人回归社会的可能性， 使得他们的犯罪记录“被遗忘”, 以帮助他们积极改造、重新做人。
目前， 中国对被遗忘权的立法， 原则上只有违约、违法、侵权场合才需删除， 例外场合是青少年犯罪记录封存。前述2012年与2017年的制度规定与欧盟类似， 较为接近“被遗忘权”的国际定义， 但它们都是推荐性标准， 不具备强制性效力。
2.2 司法基础
2015年， 北京市第一中级人民法院对“中国被遗忘权第一案”作出终审判决。在该案中， 原告任甲玉于2014年7月1日起在无锡陶氏生物科技有限公司从事过相关的教育工作， 2014年11月26日由该公司解除劳动关系。但在百度搜索其姓名时， 搜索结果中会出现“陶氏任甲玉”、“陶氏超能学习法”等关联词。原告遂起诉至法院， 要求被告百度公司立即停止侵权 （即在搜索结果中删除前述关联词） 并支付精神损害抚慰金等。
对此， 一审法院、二审法院均对原告的诉讼请求不予支持。首先， 法院认为， 涉诉“相关搜索”显示词条系个性化算法， 没有受到人为干预。其次， 法院认为， 百度公司“相关搜索”技术模式及相应服务模式并未侵犯任甲玉姓名权、名誉权及一般人格权中的所谓“被遗忘权”.对于“被遗忘权”, 法院认为， 我国并无相关规定， 不能涵盖到既有类型化权利之中， 但如果其具有利益的正当性和保护的必要性， 则可通过一般人格权加以保护。但本案情形不具备保护基础， 理由是：原告的诉求蕴含了其两项具体的意向， 而这两项意向均不值得保护。对于第一项意向， 即确认“陶氏教育”不具有良好商誉， 法院认为并不值得保护， 因为法律禁止诋毁商誉， 而且商誉评价是客观的， 不宜抽象评价。对于第二项意向， 即试图向后续的学生及教育合作客户至少在网络上隐瞒其曾经的工作经历， 法院也认为不具正当性， 因为原告仍在这一行业工作， 该信息与其目前的个人行业资信具有直接的相关性及时效性， 这些信息的保留对于包括任甲玉所谓潜在客户或学生在内的公众知悉任甲玉的相关情况具有客观的必要性。因此， 法院没有支持原告的请求。
但是， 法院驳回本案中原告的诉讼请求， 并不意味着彻底封死了“被遗忘权”在我国的口子。因为中国的“被遗忘权第一案”与欧盟的“谷歌西班牙案”存有诸多不同。首先， 两案要求删除的对象不同， 谷歌西班牙案是要求相关平台删除搜索结果中的网页链接， 而任甲玉案则是要求百度删除搜索时出现的相关关键词。其次， 两案的判决背景不同， 欧盟早在1995年就出台了《个人数据保护指令》， 对人格保护和个人信息安全保护都具有一系列较为全面的规定， 而中国目前对于个人信息保护的专门法律不够细化， 缺乏具有针对性的详细规定。最后， 两案中个人信息的时效性不同， 谷歌西班牙案中的个人信息已经过去了十几年， 而任甲玉案中的个人信息至今仍对教育培训行业的消费者购买服务有着重要参考价值。
中国的“被遗忘权第一案”并没有僵化地否定我国立法中未予明确承认的被遗忘权， 而是进行了利益正当性、保护必要性上的论证， 对此项个人信息是否应当被遗忘进行了个案上的价值判断。我们不能认为， 司法对被遗忘权一概否决， 而是要进行具体的利益衡量。
3 被遗忘权的本土化：从利益衡量到制度建议
如前所述， 网络世界中， 被遗忘权的确立有其现实意义。但是被遗忘权涉及诸多与其他正当权益的冲突， 需要审慎考虑方可进行立法。笔者在下文将分析几种典型的冲突情形， 进行利益衡量， 并据此提出制度建议。
3.1 兼顾知情权， 根据信息主体确定权利内容
被遗忘权与知情权之间可能存在冲突。公民对涉及公共利益或与其自身利益相关的信息享有知情权。而这些信息中也可能包括其他公民的个人信息。例如， 网民通过在网络论坛上披露政府官员的生活事件等个人信息， 使得纪检机关能够发现其贪污腐败的行为。倘若法律规定贪腐官员可以行使被遗忘权进而要求删帖或断开链接， 可能不利于打击犯罪。
对此， 笔者建议， 在立法时， 应当区分不同的个人信息主体设置不同程度的被遗忘权。倘若权利主体的个人信息大多带有公共属性， 就不应随意行使被遗忘权， 应当对其设置较高程度的容忍义务。例如政治领袖、娱乐明星等公众人物， 要么其日常工作与公共利益有密切关系， 要么能够从公众的关注中牟利， 其工作性质已经表明需要将个人信息控制权部分让渡给公众。
3.2 兼顾言论自由， 根据发布主体确定适用前提
被遗忘权与言论自由之间可能存在冲突。我国《宪法》第35条规定， 公民享有言论自由。言论自由也是构建民主社会的重要基石。但是， 被遗忘权的行使可能导致他人对个人信息主体的描述性发言被删除或被断开链接。例如， A在个人博客中写下一篇日志， 其中记录了B的一件生活琐事， 这件生活琐事即构成B的个人信息， 倘若B要求行使被遗忘权， 就可能会侵犯A的言论自由。
对此， 笔者建议， 立法时要区分信息的发布者设置不同程度的被遗忘权。对于个人信息主体发布的关于其自身的信息， 原则上应当允许其行使被遗忘权， 正如我们有权删除自己的博客、朋友圈一样。但是对于他人发布的、转载的与个人信息主体有关的信息， 应当持谨慎态度， 以保护言论自由。
3.3 兼顾商业效率， 采取渐进式、折中式立法
被遗忘权与商业效率之间也可能存在冲突。从2014年5月西班牙谷歌案之后至该年年末， 谷歌在全世界范围内收到了公民行使被遗忘权而发出的对498737条链接的投诉， 并成功移除了其中41.8%.可以看出， 被遗忘权的行使需要企业负担较高的成本， 影响商业效率。当前， 我国电子商务产业方兴未艾， 既存在阿里、腾讯等本土互联网产业巨头， 也存在各种小型网络服务提供者。倘若设置严格的被遗忘权制度， 可能会对电商产业的运行效率带来较大打击。
笔者建议， 我国的被遗忘权立法不可一蹴而就， 应当在增强调研的基础上， 了解企业与个人信息主体的真实需求， 以期平衡效率与个人信息保护。一方面， 采取渐进式立法， 以有能力承担相应成本的大型企业为试点， 及时总结经验再上升为立法， 推广到全国。另一方面， 采取折中式立法， 未必以删除内容、断开链接作为个人信息保护的“遗忘”手段， 也可以以匿名化处理等方式加强对个人信息主体的保护。
4 结论
随着互联网的普及， 网络的“超凡记忆能力”对个人信息保护提出了挑战。为了应对这项挑战， 欧盟法上发展出了被遗忘权制度。近年来， 随着我国个人信息保护领域的立法不断充实， “被遗忘权第一案”的审理进入大众视野， 这项制度在中国已经有了立法、司法和学术讨论的基础。要想实现被遗忘权制度的本土化， 需要在立法前进行审慎的利益衡量。笔者建议， 在制度设计上要区分不同的权利主体、信息发布主体设置不同的权利行使规则， 同时采取渐进式、折中式的立法， 以期使个人信息保护与知情权、言论自由、商业效率等正当权益之间达成平衡。
参考文献
[1] 中国互联网络信息中心。第41次中国互联网络发展状况统计报告[EB/OL].http://www.cnnic.net.cn/hlwfzyj/hlwxzbg/.2018-5-13.
[2] 郑志峰。网络社会的被遗忘权研究[J].法商研究， 2015, （6）
[3] 范为。由Google Spain案论“被遗忘权”的法律适用---以欧盟数据保护指令 （95/46/EC） 为中心[J].网络法律评论， 2013, （2） .
[4] 一般数据保护条例 （上） [EB/OL].https://mp.weixin.qq.com/s/uE4PUdw-uZhMUbcBoQfK_A.
[5] Global Data Hub Google Spain and the right to be forgotten[EB/OL].http://unitedkingdom.taylorwessing.com/globaldatahub/article_2014_google_spain.html.