大数据时代被遗忘权的域外法律构建及启示
一、被遗忘权初探
“我点击了自己的名字, 页面上出现了一张熟悉的照片———是我穿着一件蓝色衬衫的照片, 旁边配有我的基本履历资料……我的一举一动已经被Life Linear网的系统给记录了下来”。这是出自美国物理学会院士艾伯特- 拉斯洛·巴拉巴西的新书《爆发: 大数据时代预见未来的新思维》中的片段, 虽然由作者杜撰而成的行踪记录系统“Life Linear”并非真实存在, 但作者认为, 当前海量数据时刻飞速增长, 信息分享在全世界范围内越来越广, 个人隐私无处遁形。大数据不仅仅是数据采集、存储、管理方式的革命, 更是人类生活方式的革命。民众在享受网络带来种种便利的同时, 社交言论、搜索习惯记录、购物记录等数据时刻被采集、存储和分析———确保数据安全和保护人们隐私的任务愈发艰难, 个人隐私权作为一种独处权利的阵线也就不断后退。
公民网络隐私权是传统隐私权在网络传播领域内的延伸, 被遗忘权 ( right to be forgotten) 也被称为删除权 ( right to Erasure) , 是指信息控制者对信息加以收集、存储和利用, 当在出现法定或约定理由时, 信息主体请求信息控制者删除其个人相关信息并停止传播的权利。这种权利源于隐私权, 又脱胎于隐私权。它代表着信息的自我决定和以控制为基础的隐私定义。被遗忘权的诞生是为应对网络时代个人信息收集、存储和应用过程中涉及的隐私保护问题, 进一步说, 赋予信息主体被遗忘权是个人隐私权在大数据时代延伸出的新权利类种, 表达了大数据穹幕下民众要求部分信息被删除从而使其部分形象被遗忘的权利主张, 也是法律意义上再次平衡各方信息配比的尝试。
谷歌法律顾问Peter Fleischer分析被遗忘权涵盖了三个不同层面: 一是若信息主体将其个人信息发布在网络, 发布者是否有权利将信息删除; 二是若该个人信息被他人转载, 发布者是否有权要求转载人或相关网络平台对其删除; 三是若第三人在互联网发布了某个人信息, 该信息主体是否有权要求发布者将其删除。显然, 这三种分层有助于建立民众对于被遗忘权的情景化认识, 也是被遗忘权学术研究的一个方便化起点。
二、被遗忘权的基本要素解读
作为个人信息保护研究的热点之一, 被遗忘权从其诞生起就不断被中外研究者所关注。为了保障和有效实施被遗忘权, 需要明确被遗忘权的范围和边界, 并协调好被遗忘权与言论自由、基本经济自由等权利的关系。
( 一) 主体及客体
虽然信息社会对隐私权的保护越来越强调个人对其信息的控制和管理———即个人有权决定怎样使用、公开、修正以及删除个人信息, 然而被遗忘权从隐私权中脱离并作为一项独立的权利自有其特殊原因: 在大数据互联网环境中, 对于信息泄露源与诉讼对象的认定并非易事, 被遗忘权的提出弥补了这一缺陷。
涉及到人格发展与人身自由, 被遗忘权的权利主体仅限自然人, 不含法人及其他组织机构类型。被遗忘权的义务主体是信息控制者, 除信息主体以外的自然人、法人、政府以及其他机构及组织, 除以制裁犯罪为目的收集公民的个人数据行为以外; 被遗忘权的权利客体是指被掌握的与欧盟成员国公民相关的一切个人数据, 但因国家安全或侦查起诉等司法活动需要而从事的必要行动所需要的数据不在GDPR修正案保护范围内。
( 二) 适用条件及例外
在不危害公共利益和成员国法律的情况下, 为防止用户滥用被遗忘权的局面出现, GDPR修正案第17 条给出了包括数据收集或者处理的目的已经不存在等情况的具体适用条件。已经公开信息的控制者需采取一切包括技术性手段在内的合理措施, 通知正在处理该数据的第三方删除相关链接、副本或复制。例外情况包含: 行使自由表达权, 为医疗领域的公共利益, 为实现历史、统计及科学研究的目的, 遵从成员国法律的留存数据义务。欧盟立法赋予个人广泛选择权为了公共利益而使用、为了科学研究目的或为了履行联盟或成员国的法定义务而持有他人数据的情况下数据必须被保留, 信息控制者有权拒绝删除。不过, 因维护公共权利不能行使被遗忘权时怎样弥补个人损失, 在GDPR修正案中并未体现。
三、被遗忘权的的法律保护模式选择
( 一) 美国模式
作为美式民主的立国之本, 美国宪法第一修正案对隐私权进行了反向规定: 国会不得制定关于剥夺言论自由或出版自由的法律。可见在美国, 要求网络服务提供者进行言论审查并擦除公民在网络上有关自己新闻报道的行为是违宪的。
( 二) 欧盟模式
欧盟是最早从立法的层面考虑对公民被遗忘权的保护的, 早在1995 年, 欧盟委员会在相关数据保护法律中提出了“被遗忘权”概念, 即任何公民可在其个人数据不再需要时提出删除要求。自1995 年起, 欧盟议会与理事会陆续通过了《关于个人数据处理保护与自由流动指令》 ( 95 /46 /EC) 、《隐私和电子通信指令》 ( 2002 /58 /EC) ( 有关个人数据处理和电子通信领域隐私保护的指令) , 《与第三方国家进行个人数据转移的标准合同条款》 ( 委员会决定decision2004 /915 / EC) , 《欧共体机构与团体实施的数据保护 》欧盟条例 ( 45 /2001) 等立法与规范性文件加强个人数据保护。2009年12 月, 欧盟通过了电信领域的《更好规制指令》与《公民权利指令》, 在个人数据保护方面强调了运营商数据侵权强制通知义务及用户终端存储信息同意原则。2012 年1 月25日, 欧盟委员会公布了《关于涉及个人数据处理的个人保护以及此类数据自由流动的第2012 /72、73 号草案》, 对1995年出台的《关于涉及个人数据处理的个人保护以及此类数据自由流动的第95 /46 /EC号指令》进行修订。《2012 年欧盟草案》中最具争议性的议案是提出数据主体应享有“被遗忘权” ( right to be forgotten) 。
四、欧美相关立法对我国的启示
由美国、欧盟经验可以看出, 被遗忘权有助于个人数据自决权的实现。不可否认, 被遗忘权与言论自由等法价值间存在张力, 法律对被遗忘权的范围设定越大, 个人权利越可能与共同体其他成员的言论自由、共同安全、知情等利益发生冲突, 所以不同法律对这些价值的权衡难免受到路径依赖效应的影响。个体隐私保护和言论自由是欧美这种以社会契约理论建构的国家所高度重视的法律价值。
我国《侵权责任法》第36 条首次明确了针对网络用户利用网络服务实施的侵权行为。尽管尚未直接适用被遗忘权, 但其关于过错责任原则和侵权责任一般条款的规定, 却是保护被遗忘权的有效法律。这也是研究被遗忘权中国本土化的最为直接的法律。
然而, 仅凭有关隐私权保护的法规难以有效迎合对公民信息数据进行全面保护的国际趋势。被遗忘权处于个人信息保护权利体系的高级阶段, 关于被遗忘权的需求也许并不如个人信息安全的需求来的急迫, 单兵突进地引入被遗忘权制度并不现实。
个人认为, 可将被遗忘权制度作为软法、标准或效力层级较低的规范发挥实际作用, 一方面既要完善我国相关法律法规的完善, 在现有模式之下制定统一的《个人信息保护法》, 并出台配套行政规章, 对“被遗忘权”做出类似欧盟《数据保护条例立法提案》的表述, 或者根据法律结构的内生合理性与外部协调性在某地区先行试行该项制度, 根据其社会效果决定是否推广, 同时在进行有关被遗忘权制度的法律移植时需警惕制度的异化问题, 另一方面又需要提高全社会对于个人信息权利的重视水平, “信息权”与“被遗忘权”的创设不能一蹴而就, 如何参考域外相关立法经验并结合我国国情对网络服务提供者的相关义务做出规制从而切实保护公民的信息权利, 是立法者必须思考的问题。
摘要：伴随大数据时代新科技的广泛应用, 互联网滥用个人数据的现象频繁出现。公民网络隐私权是传统隐私权在网络传播领域内的延伸, 作为适用于网络信息领域的一项保护性权利, 被遗忘权为大数据时代的公民网络隐私权提供了法律保护途径。面对信息所承载的诸多利益和引致纠纷的可能性, 探讨域外被遗忘权的争议焦点及法律构建, 对我国个人数据保护法中的删除权有着重要启示。
关键词：被遗忘权,公民网络隐私权
参考文献
[1] [美]艾伯特-拉斯洛·巴拉巴西.爆发:大数据时代预见未来的新思维[M].北京:中国人民大学出版社, 2012.
[2] Don't tell it to the computer, Vance Packard, New York Time Magazine, January, 1967.吴飞.名词定义试拟:被遗忘权 (Right to Be Forgotten) [J].新闻与传播研究, 2014 (07) .
[3] 百度百科“信息安全技术公共及商用服务信息系统个人信息保护指南”[EB/OL].http://baike.baidu.com/view/9995442.htm, 2016-1-11.