被遗忘权的中外法律与合规实践.docx

会员专享推荐 · 你可能也用得上更多

开通会员，畅读全站文档

本篇文档已为你保留

本篇文档价值 ~~¥35.00~~会员免费解锁

全文不限次阅读，剩余内容即刻解锁
高速下载通道，免排队、无等待
专属客服 1 对 1 答疑，优先响应
每日赠送下载券，本篇文档免费送

有 86 篇商业计划书正在上传

下载原文档

被遗忘权的中外法律与合规实践大数据时代，“记忆成了常态，遗忘变成例外”。基于技术手段，个人信息主体发布于互联网的数据可以被永久存储、访问、复制、传播，个人信息主体去世后，这些公开的数据仍旧可以被保存和评判。2020年7月，某“已故”用户微博账号被贩卖，账号发布大量追星帖，而原微博内容被全部删光，随后诸多微博用户发起“拯救”活动，该微博账号的内容又重新被恢复。如何处理去世用户生前发布于互联网的数据信息？个人信息主体、账号平台是否有权对个人去世后的数据做出安排，决定将哪些数据予以保存，将哪些数据完全删除？本文梳理中外立法对被遗忘权(Right to be forgotten)的规定及代表性案例，对被遗忘权相关问题展开研探，并结合各大网络服务平台对已故用户数据处理的规那么对逝者被遗忘权进行分析。欧美法之规定1.欧盟自诞生之日起，被遗忘权就与其他权利交织冲突。被遗忘权在与公众知情权、公共利益等发生冲突时，需要通过价值判断的解决框架来决定是其否应被适用。正因为如此，欧盟关于被遗忘权的立法不仅包括适用场景，还规定有例外情形，被遗忘权的申请也只有在满足特定条件时才可实现。谷歌案的判决书也提到，被遗忘权并非绝对，而需要将其与表达自由、媒体自由等相冲突的其他权利进行衡量。因此,《先锋报》由于表达自由和公众的知情权免除删除义务，而谷歌作为数据控制者需要承当删除义务。谷歌案后，欧盟数据保护工作组公布指导方针[11],罗列个案中被遗忘权的判断标准，包括关联程度、公众人物、未成年人、数据真实性、敏感信息、合理期限、危险程度、公众合理期待、新闻目的、权威性以及是否涉嫌犯罪等。GDPR合规指南也指出，如果组织可以证明个人信息主体的请求缺乏依据或者过度的，那么组织可以请求个人信息主体支付合理的费用或者拒绝个人信息主体的删除请求。而由于文化因素以及第一修正案的深远影响，在被遗忘权与言论自由的博弈中，美国更加偏向于言论自由的保护。根据我国司法实践，删除权的行使亦需受到公共利益的限制。在“任某诉百度”一案中，任某因百度公司的搜索引擎处有“陶氏教育任某”等字样的内容及链接向法院起诉，认为百度侵害了其一般人格权（被遗忘权），请求法院判决百度删除上述关键词。［12］法院并未因被遗忘权不属于法定权利而不予保护，但认为应当优先保护公众的知情权，从而认定任某主张的应“被遗忘”（删除）信息的利益不具有正当性和法律保护的必要性。同样地，在“梁某诉汇法正信”一案中，梁某以汇法正信公司转载涉及其姓名、性别及相关民事纠纷的判决书，进而侵犯其个人信息权益为由向法院起诉，要求删除被告网站上的相关裁判文书。法院认为,涉案裁判文书的公开和再利用是为了保护公众的知情权、监督权等公共利益，并未侵犯原告的个人信息权益，从而未支持原告要求删除案涉文书的主张。：13］逝者被遗忘权对过世用户数据信息的处理可以看作被遗忘权的一种特殊表现形式。总体而言，各国目前缺乏完善的被遗忘权立法，过世用户相关数据被遗忘权的实现实质上由各大网络平台自行“立法”予以规制。谷歌、推特等国外互联网和科技服务公司都对用户去世后账号的处理方式进行明确规定,平台用户一般能够实现删除账号的目的，从而到达被遗忘的效果。特别是谷歌和Facebook都允许用户生前对其账号做出安排，用户既可以选择保存其生前发布的数据，也可以选择将账号删除。根据《个保法》第49条，自然人死亡后，其近亲属出于自身合法、正当利益，可以对死者的相关个人信息行使删除权。然而在实践中，“自身利益”是否合法、正当可能难以判断。实践中，我国大局部互联网平台通常主张用户账号的所有权属于企业，因此并未对过世用户的账号及数据制定特殊政策，仅对长期不使用的账号规定有相应的回收规那么。例如，腾讯、百度等用户协议明确指出，用户账号的所有权属于该公司，而用户仅有使用权。从该等规定来看，平台用户很难对去世后的账号处理做出安排，也就无法真正实现被遗忘权。下表为国内外互联网服务平台或科技公司对过世用户账号处理方式的比照：服务商谷歌处理方式1.用户事先设置〃闲置账号管理员〃安2.用户直系亲属或代表可以针对已故用Facebook Apple 5^-哗哩哗哩腾讯百度阿里巴巴京东1.用户事先设置纪念账号2.用户选择在离世后将账号永久删除3.Facebook自动设置为纪念账号用户事先设置〃委托联系人〃安排账号已故用户家庭成员或经授权的人可请求删已故用户的亲友可申请设置纪念账号，财j腾讯可回收长时间不使用的账号，账号不彳百度可删除长时间不使用的账号支付宝：用户标识和账户不得被继承，财产淘宝：回收不活跃账户，不能再登录任一口沉默账户回收规那么1.国际平台(1)谷歌：事先安排账号或对已故用户账号提出请求谷歌用户可以行使被遗忘权，用户可以事先安排其去世后账号的处理方式，要求谷歌在其去世后将账号删除。[14]用户也可以设置“闲置账号管理员(Inactive AccountManager）",如果用户在一段时间内未使用谷歌账号（用户可选择3个月、6个月、12个月和18个月），谷歌会通过简讯和电子邮件提前与用户联系数次，并采取行动。如果用户设置了闲置账号管理员，那么可在账号闲置一段时间后与某位联系人共享局部账号数据或向其发送通知，将存储、地图、谷歌相册、谷歌商店、谷歌游戏等一项或多项数据提供给闲置账号管理员。如果用户并未清晰说明如何管理其在线账号，用户去世后，谷歌可能会与用户的直系亲属和代表人沟通关闭已故用户账号的事宜，该等人士也可自行提出请求。亲属或代表人可选择的执行操作一共分为三种：（1）注销已故用户账号；（2）针对已故用户账号中的资金提交请求；（3）获取已故用户账号中的数据。（2）Facebook：设置纪念账号或者永久删除账号Facebook用户也享有被遗忘权，用户可以预先设置在去世后永久删除账号。因此，当Facebook得知用户离世后，用户所有的讯息、相片、贴文、留言、心情和资讯都会立即在Facebook永久移除。［15］如果用户未选择永久删除账号，Facebook在得知用户去世后，将会把用户账号设定为纪念账号(memorialized account)o纪念账号中已故人士个人主页的姓名旁边将显示缅怀追思，好友可在纪念账号时间线上提供回忆。如果公共主页唯一管理员的账号变成纪念账号,那么Facebook会在收到有效悼念请求后从Facebook删除此公共主页。用户还可以选择指定委托联系人(legacy contact)管理纪念账号，用户去世后，委托联系人可以在过世用户账号的个人主页上发布置顶帖子(例如：以用户的名义提供最后的消息或提供关于追悼会的信息)，也可接受好友请求、更新已故用户的头像和封面照片。委托联系人还可以代理已故用户行使账号的被遗忘权，向Facebook申请删除已故用户的账号。但是委托联系人不能登录账户、查阅已故用户的信息、对已故用户账号删除或发出任何好友请求。(3)推特：已故用户家庭成员或经授权的人可请求删除账号在处理已故用户的账号方面，推特的政策发生过诸多变化。目前，推特用户过世后，推特将会协助已获得授权代表该用户行事的人员或者经认证的死者的直系亲属停用账号，经授权的人或者直系亲属可以申请删除已故入士的账号。［16_(4)Apple：用户事先设置“委托联系人"(Legacy Contact)安排账号与Facebook相似，Apple允许用户事先指定“委托联系人"(Legacy Contact),以便其可以在用户去世时访问Apple帐户和个人信息。相较而言，Apple赋予委托联系人更多的权限，其可以访问或者删除已故用户的Apple账户以及存储在其中的数据，包括iCloud存储的照片、笔记、电子邮件、联系人、日历、健康数据等。该联系人需要提交死亡证明或其他可能需要的文件，验证成功后Apple将为其创立一个特殊的联系人账户，联系人可以通过该账户关联访问已故用户的账户。［17］2.中国平台(1)哗哩华哩:已故用户的亲友可申请设置纪念账号,财产收益可继承根据哗哩哗哩平台规那么，已故用户的亲友可以在提交相应的证明文件之后，申请将逝者的账号设置为纪念账号,该账号的个人主页将显示啤哩哗哩官方的悼念信息。与Facebook政策不同是的，一旦哗哩啤哩账号被设置为纪念账号，那么无法继续登陆，并且该账号内原有的内容将继续保存。此外，纪念账号在添加标识后，除根本领实有误外，将不会撤销。可见，逝者亲友对于纪念账号的权限较为有限,无法要求哗哩哗哩删除逝者账号或其中的数据，但可以继承逝者的啤哩哗哩账号下剩余财产。［18］(2)腾讯：回收长时间不使用的账号［19］根据《腾讯内容开放平台服务协议》，企鹅号(即QQ号码或微信账号)账号的所有权归腾讯所有，用户完成申请注册手续后，获得企鹅号账号的使用权，该使用权仅属于初始申请注册主体。账号使用权禁止赠与、借用、租用、转让或售卖。《QQ号码规那么》［20］和《腾讯微信软件许可及服务协议》［21］均指出，长期不登录微信账号或者QQ号码，腾讯将回收该账号。两项协议还特别指出非初始申请注册人不得通过受赠、继承方式使用QQ号码［22］或微信账号［23］。(3)百度：删除长时间不使用的账号［24］百度对其用户个人账号的管理颇为“强势”，百度不仅拥有百度账号的所有权，还有权删除账号中的所有相关信息和文件。根据《百度用户协议》，百度可能在无事先通知的情况下关闭长时间不使用百度账号，并将账号内的内容删除。《百度用户协议》规定，百度账号（即百度用户ID）的所有权归百度，用户完成注册申请手续后，获得百度账号的使用权。第4.10条终止服务局部规定，“您同意百度得基于其自行之考虑，因任何理由，包含但不限于长时间（超过一年）未使用……终止您的密码、账号或本服务之使用（或服务之任何局部），并将您在本服务内任何内容加以移除并删除……您成认并同意，百度可立即关闭或删除您的账号及您账号中所有相关信息及文件，及/或禁止继续使用前述文件或本服务。”（4）阿里巴巴:支付宝账户项下仅财产利益可被继承《支付宝服务协议》［25］第（二）使用局部第4项规定,用户标识和账户仅限用户本人使用，不得转让、借用、赠与、继承，但支付宝账户内的相关财产权益可被依法继承。《淘宝平台服务协议》［26］规定，淘宝账号仅限用户本人使用,未经淘宝平台同意，用户直接或间接授权第三方使用其淘宝平台账户或获取账户项下信息的行为无效。淘宝允许用户转让账号，但前提条件是法律明文规定、司法裁定或经淘宝同意，并符合淘宝平台规那么规定的用户账户转让流程。《淘宝平台服务协议》规定了“不活跃账户回收”，如果用户的账户同时符合以下条件，那么淘宝可回收账户，用户的账户将不能再登录任一阿里平台，相应服务同时终止：（一）未绑定通过实名认证的支付宝账户；（二）连续六个月未用于登录任一阿里平台；（三）不存在未到期的有效业务。（5）京东：沉默账户回收规那么与淘宝账号的处理规那么类似，京东实施《沉默账户回收规那么》[27],满足以下情形，视为用户自愿放弃京东账户，京东将收回账户的使用权：（1）用户的注册账户连续十二个月未登录京东任一平台包括但不限于相关网站及客户端等；（2）账户内不存在未到期的优惠券、京豆、礼品卡等相关业务。结语相较于国外互联网服务平台，我国各大平台几乎都掌握了用户账号删除或回收的自主权，且平台政策中很少有关于过世用户账号及账号内信息的相关规定，而仅规定对长时间不使用的账号进行简单处理，账号本身也多不能被1995年的《欧盟数据保护指令（95/46/EC）》被认为是被遗忘权的基础文件，其第12条访问权（right of access）的（b）款规定，如果数据控制者的处理活动不符合该指令的规定，特别是数据不完整或者不准确时，个人信息主体有权要求数据控制者对数据进行修改、删除或屏蔽。同时该指令第14条规定了拒绝权，即个人信息主体有权以正当理由拒绝数据控制者处理与其相关的个人信息。［1］2014年欧洲法院对“谷歌诉西班牙数据保护局和Gonzalez"案（"谷歌案”）［2］作出的判决，引发了被遗忘权的广泛讨论。谷歌案中，法院直接援引《欧盟数据保护指令》的规定，认为搜索引擎的运营者有义务在网页中删除不准确、不充分、不相关或超出最初目的（inaccurate,inadequate,irrelevant or excessive）的信息，包括第三方发布的与个人相关的信息,并明确指出个人信息主体享有被遗忘的权利。自该判决发布后至今，谷歌已收到120余万份删除请求，删除的网址多达490余万个。［3］2018年生效的欧盟《一般数据保护条例》（GDPR）第17条首次明确规定了“删除权（被遗忘权）”，［4］其第1款规定,如果：（1）个人信息对于实现其被收集或处理的相关目的不再必要；（2）撤回同意或授权，且无其他有关数据处理的法律依据；（3）明确反对；（4）个人信息被非法处理；（5）个人继承或交给他人。基于我国目前对于被遗忘权的立法现状,除了前文所述的关于特定条件下行使删除权、近亲属删除权相关规定外，用户很难在互联网服务平台的政策框架内实现被遗忘权。尽管被遗忘权自提出之日起始终伴随争议，平台出于本钱和效益的考虑，确实可以删除或回收长时间不使用的账号。当然，从企业社会责任角度看，我国互联网服务平台宜考虑对过世用户账号的处理提供更大程度的便利。信息控制者履行法定义务；以及⑹个人信息的收集不符合为儿童提供社会服务信息的要求时，个人信息主体有权要求数据控制者删除其个人信息，个人信息控制者有责任及时删除该等数据。该条第2款规定，在满足前款条件的情形下，如果控制者已将个人信息公开，那么应当采取合理措施（考虑现有技术及实施本钱后）通知正在处理个人信息的其他控制者关于个人信息主体请求删除该等个人信息的任何链接或副本的情况。GDPR在同一条款中对被遗忘权和删除权进行规定，尽管从字面上看，两种权利的表述存在一定差异，但其本质并无区别，均为保护互联网中个人信息主体,立法者也无意对两种权利进行区分。总体而言，GDPR下的被遗忘权指的是个人信息主体对已发布在网络上的，有关自身不恰当的、过时的、继续保存会导致其社会评价降低的数据，要求数据控制者予以删除的权利，既包括个人信息主体自己公开发布的信息，也包括第三方公开发布的信息。个人信息主体提出删除与其相关的个人信息的请求并不意味着该等信息一定会被删除，GDPR第17条第3款对被遗忘权规定了五项例外：（1）为了行使表达自由和信息自由的权利；（2）为公共利益执行或者为了执行某项任务，或者履行法定义务；（3）为了实现公共健康领域以及公共利益而进行的处理；（4）如果被遗忘权的行使会严重影响为公共利益存档的目的、科学或历史研究目的或统计目的的实现；或者(5)为了起诉或应诉等法律性主张。GDPR合规指南也指出,由于利益冲突以及互联网的超级连接特性，不能将被遗忘权简单理解为个人要求组织删除其个人信息，而是必须符合适用条件并且明确排除除外条款时，个人信息主体才有可能实现被遗忘权。［5］此外，根据欧洲最高法院在“谷歌诉法国国家信息与自由委员会(CNIL)”案［6］中作出裁定,目前欧洲法律下，搜索引擎的运营者无义务使其所有版本的搜索引擎均遵守被遗忘权的要求，而仅在收到适当的请求后才需要从其在欧洲的搜索结果中删除链接。2.美美国并未形成对被遗忘权的统一立法，而是在被遗忘权与言论自由的博弈中寻求平衡。由于美国宪法第一修正案确立了言论自由、新闻自由至高无上的地位，美国法院在诸多案例中不予支持被遗忘权。2014年"Garcia诉谷歌”案中，女演员Garcia要求谷歌删除Innocence of Muslims这部电影，该电影剪辑了其在Desert Warrior中的表演并重新配音，导致其受到死亡威胁。法院在判决中明确指出，“尽管被遗忘权在欧洲得到成认，但美国并不成认这一权利。”［7］与之相似,2015年“Martin诉Hearst公司”案中，Martin和她的两个儿子因涉嫌毒品犯罪而被逮捕，有关Martin被捕的新闻在线发布。后该州撤回起诉，其被捕记录也因该州《犯罪记录删除条例》（Connecticut’s Criminal Records Erasure Statute）而被删除，Martin由此要求所有网站删除其被捕新闻，但遭到Hearst公司拒绝。Martin遂以诽谤、精神损害以及侵犯隐私等理由起诉Hearst公司。第二巡回法院认为，关于逮捕的历史上准确的新闻报道并不会因《犯罪记录删除条例》而侵权，驳回了Martin的指控。[8]美国个人信息保护相关法规未规定被遗忘权，但在儿童个人信息保护规定中设有类似的删除权利。1999年《儿童在线隐私保护法》（"C0PPA"）规定，如果儿童（不满13周岁的未成年人）向网络或在线服务运营者提供个人信息，那么父母有权随时拒绝该运营者进一步使用或者向儿童在线收集个人信息，并且有权要求该运营者删除儿童个人信息。[9]2013年，美国加州通过的第568号法案（“橡皮擦法案”），所有未成年用户（不满18周岁的人）有权要求网站、在线服务、在线应用或移动应用运营者删除其上传的信息,但不包括第三方上传的与其相关的信息和经匿名化的信息等。[10]中国法之规定1.《个人信息保护法》中的删除权2021年公布并实施的《个人信息保护法》（飞个保法》”）规定了个人信息主体的删除权，其内涵与欧盟GDPR的删除权（被遗忘权）基本一致。（1）删除权的内涵《个保法》第47条规定，存在以下五种情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（1）处理目的已实现、无法实现或者为实现处理目的不再必要；（2）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（3）个人撤回同意；（4）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（5）法律、行政法规规定的其他情形。从上述规定可以看出，基于《个保法》规定的个人信息处理两大原那么，个人信息删除应满足以下两项条件之一：（1）符合目的限制原那么；或⑵具有合法性基础。就处理个人信息的合法性基础而言，依据体系解释，在个人撤回同意的情形下，如果处理者有其他合法性基础(例如，按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需等)，那么无需响应个人的删除请求。(2)删除权的例外如上文所述，GDPR第17条第3款规定了删除权的五种例外情形，如行使言论或信息自由权利等；我国《个保法》第47条第2款亦对删除权的行使作出了限制，在下述两种情形中，个人信息处理者无需删除个人信息，但应当停止除存储和采取必要的平安保护措施之外的处理：第一，法律、行政法规规定的保存期限未届满。对于特定类型的信息,法律、法规可能设有强制留存要求。例如，根据《电子商务法》第31条，商品和服务信息、交易信息保存期限应当自交易完成之日起不少于三年。在该保存期限内，即使出现了《个保法》第47条第1款的删除事由，处理者仍然需要保存个人信息。第二，删除个人信息从技术上难以实现。局部场景中，删除信息可能需要付出高额本钱或存在显著困难。比方，一旦将个人信息添加到区块链中，就很难再修改或删除。区块链的主要原理是创立一个去中心化的分布式数据库，由各成员（节点）通过协商一致的协议（共识机制）来维护和更新，以确保没有人能够自行更改或删除先前的记录。以公有链中常见的共识机制工作量证明（POW）为例，攻击者必须拥有全网51%以上的算力方可实现对区块链的篡改，这样做的难度很大，本钱也十分高昂。（3）删除时限《个保法》未明确规定删除的时限，根据其他相关个人信息保护规范，原那么上个人信息处理者应当在15个工作日内完成个人信息的删除。例如，《App违法违规收集使用个人信息行为认定方法》规定，应当在15个工作日内响应用户的更正、删除个人信息及注销请求；《网络数据平安管理条例（征求意见稿）》第23条规定，收到个人复制、更正、补充、限制处理、删除本人个人信息、撤回授权同意或者注销账号申请的，应当在15个工作日内处理并反应。2.被遗忘权与隐私权、匿名化处理尽管被遗忘权这一名称略显陌生，但其与隐私权具有一定的相关性。我国《民法典》将隐私定义为自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。与之相似的是，被遗忘权所保护的对象也是一种“不愿为他人知晓的信息”，不同的是，该等信息曾经被公开甚至被广泛传播。由此造成的法律问题是，曾被公开的信息是否能够再次被纳入到“隐私”的范畴，从而受到隐私权的保护。根据《个保法》第73条的定义，匿名化是指通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联,且处理后的信息不能被复原的过程，经匿名化处理后的信息不再属于个人信息。由此可见，如果个人信息主体公开的与其相关的信息已经经过匿名化处理，那么该等信息已经无法关联到具体对象，也就没有行使被遗忘权的必要。从这一角度来说，匿名化处理与删除权一样，都可以实现保护个人信息主体的目的，同时，匿名化的信息也在一定程度上防止了删除权造成的减少信息总量、抑制数据经济开展的负面作用。值得注意的是，技术与法律语境中的匿名化存在一定差距，现行匿名化技术总是存在被重新识别的剩余风险。因此，如何在法律意义上实现有效的匿名化，仍有待相关法规或实施细那么进行明确。3.被遗忘权与公共利益之间的冲突。