在一片争议声中，「被遗忘权」在欧盟确立和实施

　　欧盟委员会 (European Commission) 近几年积极推动「被遗忘权」 (the right to be forgotten) 立法，但欧盟内部有截然不同的意见，并受到来自美国的大力反对。直到最近两年，由于欧盟法院 (Court of Justice of the European Union)和欧洲议会 (European Parliament)分别表态支持「被遗忘权」，这项权利的保障最终在欧盟得到确认，但相关的争议仍未停止。本文阐述「被遗忘权」在欧盟确立的经过和所引起的争议，并解释「被遗忘权」与「删除权」和「不再显示个人资料权」的异同。

「被遗忘权」为何受到关注？

　　欧盟委员会于2010年提出大幅修订欧盟沿用多年的Data Protection Directive (以下简称《1995年指令》）以应付数码年代和全球化带来的新挑战，当中包括将「被遗忘权」纳入保障范围。《1995年指令》规定，处理他人的个人资料（内地称为个人信息）需要有正当理由，而「处理」是指不论是否采用自动方式收集、使用、储存等。欧盟委员会认为，推动「被遗忘权」立法能够加强个人资料的保护，因为这项权利的核心内容是：一旦正当理由不复存在，人们有权要求别人不再处理并删除该些个人资料。

　　「被遗忘权」虽看似简单和直接，却引起很大争议，而且支持和反对的阵营各有一定理据，旗鼓相当。支持者认为，在数码时代很有必要推动「被遗忘权」成为欧盟法规，因为大量个人资料轻易落入别人手中甚至公众领域，并长久存放在网上，只需使用搜索引擎就轻易找出来。因此，法律必须加强对个人资料的保障，让每个人都可以说「不」，并透过行使「被遗忘权」，自主控制个人资料，阻止一些个人资料继续曝光。其实，「被遗忘权」并非一项崭新的权利。在欧洲，它可追溯至法国法律传统上赋予人民的the right to oblivion (遗忘权)，即是随着时间的消逝，一些不利于个人的往事不再被提及，用以维护个人自主和尊严，并让触犯轻微罪行的人有机会改过自新。

　　然而，反对者认为 the right to oblivion本身很含糊，而现代的the right to be forgotten也不见得清晰，后者的界限和内涵难以确定。他们更害怕「被遗忘权」一旦成为法律，可用于隐瞒一些人不光彩的过去，甚至有助窜改和否认重要历史事实，这会剥夺公众知情权、损害公众利益。这种担忧在曾经历二次大战的欧洲尤其具说服力。至于美国，一贯强调网络自由，对个人资料的保护向来不及欧盟严格，因此对欧盟推动「被遗忘权」立法很有保留，担心会增加美国企业的营运成本。互联网龙头企业谷歌更极力反对「被遗忘权」，怕不利搜索引擎业务。由此可见，欧盟就「被遗忘权」立法，兹事体大，其影响广泛而深远，亦不只限于欧盟成员国。

欧盟就「被遗忘权」立法

　　2016年4月初，欧洲议会通过General Data Protection Regulation (以下简称《2016年规例》)，取代《1995年指令》。除少数成员国外，《2016年规例》将于两年后直接适用于欧盟各国，毋需再经过本地立法才实施。

　　《2016年规例》第十七条的标题为Right to erasure  (right to be forgotten)。这个标题经过多番修改，「被遗忘权」最终用括号放在「删除权」后面，以表明「被遗忘权」并非全新事物，而是建基于《1995年指令》既有的「删除权」。不过，《1995年指令》只简略提及「删除权」，人们很难依据有关条文要求删除个人资料。

　　相比之下，《2016年规例》第十七条详尽得多。首先，第一款规定「资料当事人」 (data subject) 可根据条文列明的任何一个理由，要求「资料控制者」(data controller)及时删除当事人的个人资料，而「资料控制者」亦有责任及时删除；而一项新增的理由是：当「资料当事人」撤回同意，不许「资料控制者」继续处理资料，而「资料控制者」又没有其他合法理由，便必须删除有关资料。

　　第二款还规定，假若该「资料控制者」早已公开该些个人资料，则要视乎当时的科技和实施成本而采取合理步骤，包括一些技术措施，将「资料当事人」断开连结和移除已复制个人资料的要求，告之正在处理该些个人资料的其他「资料控制者」。

　　第三款则规定在五种情况下，上述第一和二款并不适用，包括处理个人资料是为了行使表达自由和资讯自由的权利、为公众利益的理由而存档、科学或历史研究、统计等。换言之，第十七条详细保障「删除权」，以体现「被遗忘权」，也顾及反对者的忧虑，尽量减少「被遗忘权」对言论自由和资讯自由带来的负面影响。

西班牙谷歌案(Google Spain)

　　然而，有个别人士不愿坐待欧盟立法和《2016年规例》的实施，希望能尽快行使「被遗忘权」。早于2010年，西班牙公民冈萨雷斯便以《1995年指令》为依据，向当地保护个人资料的规管机构AEPD投诉。冈萨雷斯曾因欠债而被政府下令拍卖资产，两项有关公告于1998年刊登在一份报章上。十多年后，在搜索引擎输入他的名字，仍能轻易找到该些资料。

　　冈萨雷斯表示，他早就清还债项，但报社拒绝移除该些个人资料，他再联络谷歌要求移除相关搜索结果，亦不得要领。冈萨雷斯于是向AEPD投诉，要求下令：1) 报社移除或更改相关网页，不再显示他的个人资料，或使用搜索引擎工具屏蔽网页；以及2)要求谷歌移除或屏蔽该些个人资料，不再显示于搜索结果或连结到该份报章。

　　AEPD裁定，该报章受政府部门委托合法刊登公告，因此不需移除相关网页。至于谷歌，它的搜索引擎业务被归类为处理个人资料的活动，受到《1995年指令》规管。AEPD表示，如搜寻得到或散播某些个人资料，有损该名人士的尊严和保护个人资料的权利，AEPD有权要求搜索引擎营运商不再提供该些个人资料。谷歌不服并上诉。西班牙法庭认为，有必要向欧盟法院寻求指示，厘清多个关键问题才正式审理案件。

　　这些问题包括：1)谷歌算不算在欧盟营运？2) a)搜索引擎业务算不算处理个人资料的活动？b)根据《1995年指令》，谷歌是否被归类为「资料控制者」？c) AEPD可否以《1995年指令》保障「反对权」(right to object)和「删除权」(right to erasure)为理由，要求谷歌在检索中移除第三者发布的个人资料？d) 假若第三者合法发布个人资料，而该些资料仍放在网上，搜索引擎可否毋需移除该些个人资料？3) 从「被遗忘权」的角度考虑「反对权」和「删除权」的适用范围—《1995年指令》的「反对权」和「删除权」条文，可否扩展为第三者虽合法发表个人资料，但当「资料当事人」认为这对他不利或他想遗忘时，便有权要求搜索引擎不就该些个人资料进行检索，使其他网络用户无法找到。

欧盟法院的判决

　　欧盟法院于2014年5月下达判决，详细回答上述各项问题，并得出以下的结论：谷歌在欧盟营运，被归类为「资料控制者」，它的搜索引擎业务属处理个人资料的活动，受到《1995年指令》规管。AEPD有权下令谷歌移除第三者发布的个人资料，就算该些资料是合法发布，且仍放在网上，因为《1995年指令》里的「反对权」和「删除权」可延伸为「被遗忘权」。

　　欧盟法院认为，根据《欧盟基本权利宪章》(EU Charter of Fundamental Rights)，「资料当事人」享有隐私权和保护个人资料的权利。一般而言，这两项权利都高于搜索引擎营运者的经济利益以及公众透过输入「资料当事人」名字从搜索引擎得到该些资料的利益。因此，冈萨雷斯有权要求谷歌移除或屏蔽该些敏感的个人资料，使网民日后在搜索引擎输入冈萨雷斯的全名，也无法找到他曾欠债的公告。换言之，欧盟法院这个判决令到冈萨雷斯作为「资料当事人」，可享有  the right to delisting (现时有不同的译名，包括「去表列权」和「除名权」，本文使用「不再显示个人资料权」)。

　　然而，「不再显示个人资料权」不是绝对的。「资料当事人」能否行使这项权利，要视乎每宗个案的具体情况，并须权衡各项相互竞争的权益，一方是关乎「资料当事人」，包括资料性质、是否涉及私生活以及敏感程度等，另方面是关乎大众获取资料的权益，这会因应当事人是否担任公职而有所变化。欧盟法院指出，一旦认定公众获取资料的权益较为重要，便有理由干预当事人的基本权利。

「删除权」、「被遗忘权」、「不再显示个人资料权」

　　综上，「删除权」、「被遗忘权」、「不再显示个人资料权」这三项权利，尽管性质近似，但具体内容不尽相同。首先，「删除权」早已写在《1995年指令》，但由于条文太简略，未足以在数码时代保护个人资料。2016年初，欧盟终于成功为「被遗忘权」立法，加强「资料当事人」对个人资料的自主控制，包括一旦撤回同意，「资料控制者」一般要删除该些个人资料，除非例外情况适用。两年后，当《2016年规例》正式实施，绝大部分欧盟成员国的人们将可行使「被遗忘权」。这项权利不单可用于网络世界，也可以用于现实生活中。

　　另一边厢，欧盟法院于2014年初抢先一步，引入「不再显示个人资料权」，「资料当事人」有权要求搜索引擎营运商移除或屏蔽个人资料，使别人不能再透过关键词找到，即使该些资料是合法发布并将继续放在网上，而搜索引擎营运商收到请求后，要具体审视个案的情况，权衡不同的利益，决定是否按当事人的请求屏蔽或移除相关搜索结果。

谷歌两年来执行「不再显示个人资料权」的情况

　　根据欧盟法院的裁决，谷歌有责任审视所有行使「不再显示个人资料权」的请求，并决定是否移除或屏蔽相关的个人资料。为此，谷歌邀请一批专家研究如何落实判决和具体审视「资料当事人」提出的请求。另方面，《1995年指令》下设的专家小组亦发出相关指引。根据谷歌公布的数字，截至2016年5月，一共收到四十三万多个请求，涉及一百五十多万个网址(URL)，而最多的请求依次分别来自法国、德国和英国，而社交网站Facebook 则是最受影响的网站，被谷歌移除的网址为数最多。

　　谷歌这项新增的审视和移除责任，引起广泛关注，有意见认为谷歌可能变成欧盟境内的首席内容审查官，亦有人担心谷歌怕麻烦和避免打官司而尽量依照「资料当事人」的请求行事。不过，直到目前，谷歌公布的数字显示，移除的网址只占请求总数百分之四十三。

　　另一方面，就如何删除资料，谷歌与英、法两国的保护个人资料规管机构出现一些分歧。当中，较严重的是谷歌起初只愿意应请求移除欧洲域名的个人资料，例如Google.co.uk和Google.fr，但拒绝移除Google.com上的相关资料，法国和英国规管当局都认为这并不彻底。2016年1月，谷歌作出让步，改以IP地址作为主要方法核实网络用户的位置，如果用户身处欧盟境内，便无法搜索到已被移除的个人资料。这个安排得到英国规管当局接纳，但法国仍坚持谷歌须作全球移除，并于2016年3月处罚谷歌十万欧元。谷歌决定上诉，估计这个争端将持续一段日子。

　　值得留意是，自欧盟法院就Google Spain 案下达判决后，陆续有人在欧盟个别成员国打官司，希望争取更全面的「不再显示个人资料权」。在比利时，法院应一名公民的要求，并依据该国宪法，判决搜索引擎不能再显示该名公民牵涉一宗车祸的报道，亦下令报章移除相关的新闻档案。该报业集团在终极上诉失败后，批评法院判决形同改写历史。