欧盟个人数据保护“被遗忘权”概念探析

张 婧

西安培华学院，陕西 西安 710065

一、引言

被遗忘权的立法起源于欧盟于1995年颁布的《关于保护个人数据和此类数据的自由流动的指令(95/46/EC)》(以下简称《数据保护指令》)。2012年欧洲议会和欧盟理事会公布了《关于涉及个人数据处理的个人保护以及此类数据自由流动的第2012/72、73号草案》，其中包含了被遗忘权。2016年由欧洲议会和欧盟理事会通过的《一般数据保护条例》(以下简称《条例》)首次在立法层面明确规定了被遗忘权。目前，有关被遗忘权的讨论也基本围绕《条例》展开。

二、被遗忘权独立性的争议(“被遗忘权”与“删除权”的关系辨析)

1995年欧盟颁布了《数据保护指令》，该指令虽未明文规定“被遗忘权”内容，但有关“目的限制”原则、删除权的内容已体现出被遗忘权的基本原理。2012年欧洲议会和欧盟理事会公布了《关于涉及个人数据处理的个人保护以及此类数据自由流动的第2012/72、73号草案》中包含了被遗忘权。2016年4月欧洲议会和欧盟理事会通过《条例》，首次立法确立被遗忘权。《条例》共11章，有关被遗忘权的内容规定在第3章“数据主体的权利”中“更正与删除”部分(第16条-第20条)，其中第17条规定了“被遗忘权”，标题是“删除权(‘被遗忘权’)”，因此学界有关被遗忘权与删除权是否是相互独立的两项权利，或是内容相互重合的同一权利的争议广泛存在。

(一)二者内容重合

针对《条例》第17条规定，有学者认为：文本中被遗忘权与删除权虽以括号内和括号外的形式出现，但二者实则内容并无本质差别，具有高度重合性，“被遗忘权”表示权利行使的目的，而“删除权”则是权利行使的手段。刘文杰教授《被遗忘权：传统元素、新语境与利益衡量》一文，从立法背景入手，通过比较1995年欧盟《个人数据保护指令》中“删除权”与《条例》第17条“删除权(‘被遗忘权’)”，指出《条例》中“被遗忘权”只是从内容上扩张了原有删除权的适用范围，二者内容并没有实质区别。然而，这一理论未考虑《条例》第17条中第1项(a)：在信息合法应用时，数据控制者不再具有数据采集和处理的必要性，处理行为违反“目的限制”原则，此时数据已脱离主体控制范围，已不再属于删除权适用的范畴。

(二)二者相互独立

《条例》第17条第1项规定了六种数据主体有权要求控制者删除数据的理由，可以依据《条例》第5条、第6条确定的个人数据处理的“合法性、合理性”原则，将其分为两类。

第一类理由是基于数据处理的合法性原则，数据主体依个人信息自主权要求控制者删除数据。《条例》第17条第1项(b)(f)的规定是在数据主体或监护人撤回同意后，数据控制者即失去了处理此类数据的合法性来源，及违反了数据处理的“合法性”原则，控制应当删除相关数据。属于典型的删除权。《条例》第17条第1项(c)：数据主体反对根据第21(1)条进行的处理，并且没有压倒性的正当理由可以进行处理。或者数据主体反对根据第21(2)条进行的处理。《条例》第21(1)条是数据主体反对控制者基于公共利益、自身利益、第三方正当利益而获得数据处理权且处理无压倒性正当理由；第21(2)条是数据主体反对处理。此类规定是数据主体行使反对权阻却数据控制者处理行为的合法性。《条例》第17条第1项(d)：控制者非法处理个人数据以及第17条第1项(e)：控制者为履行欧盟或成员国法律义务而删除数据。此类规定是典型地控制者处理数据不再具有合法性基础。综合分析，数据主体撤回同意、行使反对权或违反法律规定都源自控制者违反了数据处理的“合法性”原则。同意权、反对权都是数据主体数据自主权的体现，个人可以通过主动行使权利，即可删除数据达到消灭数据的效果，此为“删除权”。

第二类理由是基于数据处理的合理性原则，数据主体依数据采集、处理违反“目的限制”原则要求控制者删除数据。《条例》第17条第1项(a)：个人数据对于实现其被收集或处理的相关目的不再必要。本条规定来源于《条例》第5条(b)：个人数据的收集应当具有具体的、清晰的和正当的目的，对个人数据的处理不应当违反初始目的。(“目的限制”原则)也就是说，如果控制者处理个人数据不再具有“具体的、清晰的、正当的”的理由，即应当及时删除个人数据。比较发现，与(b)(c)(d)(e)(f)的规定不同，本条规定的基础源于控制者已合法地获得数据处理权且合法性基础仍然存在，但由于时间、形势等因素变化，导致此时控制者处理数据已不具备最初的目的，且处理会对数据主体利益造成伤害时，赋予数据主体删除数据的权利。这种权利是数据已脱离主体的控制、支配，主体处于极为被动的状况时，法律为保护其利益，做出的制度安排。此项权利为“被遗忘权”。

比较发现，“被遗忘权”不同于“删除权”。“删除权”是个人数据自决权的体现，主体对数据掌控力更强。“被遗忘权”是个人失去对数据的控制，主体状态相对被动。从权利行使效果来看，“删除权”目的在于根本地消灭数据，数据彻底消失。“被遗忘权”更注重数据与主体之间的脱离，从而减少数据对主体利益的影响。被遗忘权是区别于删除权的一项独立民事权利。

三、被遗忘权的性质(与相关权利的比较)

(一)被遗忘权与个人信息权

(1)个人信息权的价值基础是“信息自决”，信息自决的核心在于个人对信息的支配和控制。部分学者认为：信息主体被认为享有知悉个人信息被处理，个人信息正确和完整及信息使用符合特定目的等利益。此外，信息主体不仅可以公开自己的信息，还可以参与信息公开之后的维护，在公开的信息被不当使用或超出特定目的使用时，信息主体可以要求使用人承担侵权责任等。这样的个人信息权具有了所有权特性，具有对世性。但实践中，个人信息往往与公共领域相互交织，个人信息权与公众知情权，个人利益与公共利益难以人为分割。因此，过分强调个人信息权，过度扩张个人信息权的外延，难以实现个体与公众双方利益平衡。这一点也体现在《条例》第三章标题为“数据主体的权利”而非“个人数据权”。(2)被遗忘权是在数据已脱离主体控制、支配后，主体为维护自身“人格特性”而自主采用的权利形式。此时客观上，数据已不受主体控制，显然已不再是个人信息权的范畴，否则就有过度扩张个人信息权之嫌。因此，笔者认为被遗忘权是独立于个人信息权的一项民事权利。

(二)被遗忘权与隐私权

被遗忘权常常与隐私权联系在一起，早些年司法实践中，法院也常用隐私权来保护个人数据。因此，过去学者们普遍认为被遗忘权与个人信息权同属于隐私权范围。但比较发现二者之间的区分还是很明显的。依据我国现行法律规定，隐私权的客体为“未公开的私密信息”。而被遗忘权的客体还包括已公开的或已被采集和处理的信息，如：消费记录、借贷信息等。因此，被遗忘权不能等同于隐私权。

(三)被遗忘权与名誉权

大数据时代，公众可以通过采集某个人的基本信息、消费记录、行动路线等数据，还原该主体的“人格特性”。因此，数据的准确度、全面性会直接影响该主体的社会评价。这也是被遗忘权与名誉权相联系的原因。但依据现行法律规范及司法解释规定，名誉权的核心在于因虚假、捏造的信息损害主体利益。而被遗忘权的对象不仅仅是虚假信息，还包括真实的信息，只是随着时间形势推移，该信息已无法客观反映主体的真实“人格特性”。因此，被遗忘权不能等同于名誉权。