在一片争议声中,「被遗忘权」在欧盟确立和实施

2016-06-16

  欧盟委员会 (European Commission) 近几年积极推动「被遗忘权」 (the right to be forgotten) 立法,但欧盟内部有截然不同的意见,并受到来自美国的大力反对。直到最近两年,由于欧盟法院 (Court of Justice of the European Union)和欧洲议会 (European Parliament)分别表态支持「被遗忘权」,这项权利的保障最终在欧盟得到确认,但相关的争议仍未停止。本文阐述「被遗忘权」在欧盟确立的经过和所引起的争议,并解释「被遗忘权」与「删除权」和「不再显示个人资料权」的异同。


「被遗忘权」为何受到关注?

  欧盟委员会于2010年提出大幅修订欧盟沿用多年的Data Protection Directive (以下简称《1995年指令》)以应付数码年代和全球化带来的新挑战,当中包括将「被遗忘权」纳入保障范围。《1995年指令》规定,处理他人的个人资料(内地称为个人信息)需要有正当理由,而「处理」是指不论是否采用自动方式收集、使用、储存等。欧盟委员会认为,推动「被遗忘权」立法能够加强个人资料的保护,因为这项权利的核心内容是:一旦正当理由不复存在,人们有权要求别人不再处理并删除该些个人资料。

  「被遗忘权」虽看似简单和直接,却引起很大争议,而且支持和反对的阵营各有一定理据,旗鼓相当。支持者认为,在数码时代很有必要推动「被遗忘权」成为欧盟法规,因为大量个人资料轻易落入别人手中甚至公众领域,并长久存放在网上,只需使用搜索引擎就轻易找出来。因此,法律必须加强对个人资料的保障,让每个人都可以说「不」,并透过行使「被遗忘权」,自主控制个人资料,阻止一些个人资料继续曝光。其实,「被遗忘权」并非一项崭新的权利。在欧洲,它可追溯至法国法律传统上赋予人民的the right to oblivion (遗忘权),即是随着时间的消逝,一些不利于个人的往事不再被提及,用以维护个人自主和尊严,并让触犯轻微罪行的人有机会改过自新。

  然而,反对者认为 the right to oblivion本身很含糊,而现代的the right to be forgotten也不见得清晰,后者的界限和内涵难以确定。他们更害怕「被遗忘权」一旦成为法律,可用于隐瞒一些人不光彩的过去,甚至有助窜改和否认重要历史事实,这会剥夺公众知情权、损害公众利益。这种担忧在曾经历二次大战的欧洲尤其具说服力。至于美国,一贯强调网络自由,对个人资料的保护向来不及欧盟严格,因此对欧盟推动「被遗忘权」立法很有保留,担心会增加美国企业的营运成本。互联网龙头企业谷歌更极力反对「被遗忘权」,怕不利搜索引擎业务。由此可见,欧盟就「被遗忘权」立法,兹事体大,其影响广泛而深远,亦不只限于欧盟成员国。


欧盟就「被遗忘权」立法

  2016年4月初,欧洲议会通过General Data Protection Regulation (以下简称《2016年规例》),取代《1995年指令》。除少数成员国外,《2016年规例》将于两年后直接适用于欧盟各国,毋需再经过本地立法才实施。

  《2016年规例》第十七条的标题为Right to erasure  (right to be forgotten)。这个标题经过多番修改,「被遗忘权」最终用括号放在「删除权」后面,以表明「被遗忘权」并非全新事物,而是建基于《1995年指令》既有的「删除权」。不过,《1995年指令》只简略提及「删除权」,人们很难依据有关条文要求删除个人资料。

  相比之下,《2016年规例》第十七条详尽得多。首先,第一款规定「资料当事人」 (data subject) 可根据条文列明的任何一个理由,要求「资料控制者」(data controller)及时删除当事人的个人资料,而「资料控制者」亦有责任及时删除;而一项新增的理由是:当「资料当事人」撤回同意,不许「资料控制者」继续处理资料,而「资料控制者」又没有其他合法理由,便必须删除有关资料。

  第二款还规定,假若该「资料控制者」早已公开该些个人资料,则要视乎当时的科技和实施成本而采取合理步骤,包括一些技术措施,将「资料当事人」断开连结和移除已复制个人资料的要求,告之正在处理该些个人资料的其他「资料控制者」。

  第三款则规定在五种情况下,上述第一和二款并不适用,包括处理个人资料是为了行使表达自由和资讯自由的权利、为公众利益的理由而存档、科学或历史研究、统计等。换言之,第十七条详细保障「删除权」,以体现「被遗忘权」,也顾及反对者的忧虑,尽量减少「被遗忘权」对言论自由和资讯自由带来的负面影响。


西班牙谷歌案(Google Spain)

  然而,有个别人士不愿坐待欧盟立法和《2016年规例》的实施,希望能尽快行使「被遗忘权」。早于2010年,西班牙公民冈萨雷斯便以《1995年指令》为依据,向当地保护个人资料的规管机构AEPD投诉。冈萨雷斯曾因欠债而被政府下令拍卖资产,两项有关公告于1998年刊登在一份报章上。十多年后,在搜索引擎输入他的名字,仍能轻易找到该些资料。

  冈萨雷斯表示,他早就清还债项,但报社拒绝移除该些个人资料,他再联络谷歌要求移除相关搜索结果,亦不得要领。冈萨雷斯于是向AEPD投诉,要求下令:1) 报社移除或更改相关网页,不再显示他的个人资料,或使用搜索引擎工具屏蔽网页;以及2)要求谷歌移除或屏蔽该些个人资料,不再显示于搜索结果或连结到该份报章。

  AEPD裁定,该报章受政府部门委托合法刊登公告,因此不需移除相关网页。至于谷歌,它的搜索引擎业务被归类为处理个人资料的活动,受到《1995年指令》规管。AEPD表示,如搜寻得到或散播某些个人资料,有损该名人士的尊严和保护个人资料的权利,AEPD有权要求搜索引擎营运商不再提供该些个人资料。谷歌不服并上诉。西班牙法庭认为,有必要向欧盟法院寻求指示,厘清多个关键问题才正式审理案件。

  这些问题包括:1)谷歌算不算在欧盟营运?2) a)搜索引擎业务算不算处理个人资料的活动?b)根据《1995年指令》,谷歌是否被归类为「资料控制者」?c) AEPD可否以《1995年指令》保障「反对权」(right to object)和「删除权」(right to erasure)为理由,要求谷歌在检索中移除第三者发布的个人资料?d) 假若第三者合法发布个人资料,而该些资料仍放在网上,搜索引擎可否毋需移除该些个人资料?3) 从「被遗忘权」的角度考虑「反对权」和「删除权」的适用范围—《1995年指令》的「反对权」和「删除权」条文,可否扩展为第三者虽合法发表个人资料,但当「资料当事人」认为这对他不利或他想遗忘时,便有权要求搜索引擎不就该些个人资料进行检索,使其他网络用户无法找到。


欧盟法院的判决

  欧盟法院于2014年5月下达判决,详细回答上述各项问题,并得出以下的结论:谷歌在欧盟营运,被归类为「资料控制者」,它的搜索引擎业务属处理个人资料的活动,受到《1995年指令》规管。AEPD有权下令谷歌移除第三者发布的个人资料,就算该些资料是合法发布,且仍放在网上,因为《1995年指令》里的「反对权」和「删除权」可延伸为「被遗忘权」。

  欧盟法院认为,根据《欧盟基本权利宪章》(EU Charter of Fundamental Rights),「资料当事人」享有隐私权和保护个人资料的权利。一般而言,这两项权利都高于搜索引擎营运者的经济利益以及公众透过输入「资料当事人」名字从搜索引擎得到该些资料的利益。因此,冈萨雷斯有权要求谷歌移除或屏蔽该些敏感的个人资料,使网民日后在搜索引擎输入冈萨雷斯的全名,也无法找到他曾欠债的公告。换言之,欧盟法院这个判决令到冈萨雷斯作为「资料当事人」,可享有  the right to delisting (现时有不同的译名,包括「去表列权」和「除名权」,本文使用「不再显示个人资料权」)。

  然而,「不再显示个人资料权」不是绝对的。「资料当事人」能否行使这项权利,要视乎每宗个案的具体情况,并须权衡各项相互竞争的权益,一方是关乎「资料当事人」,包括资料性质、是否涉及私生活以及敏感程度等,另方面是关乎大众获取资料的权益,这会因应当事人是否担任公职而有所变化。欧盟法院指出,一旦认定公众获取资料的权益较为重要,便有理由干预当事人的基本权利。


删除权」、「被遗忘权」、「不再显示个人资料权」

  综上,「删除权」、「被遗忘权」、「不再显示个人资料权」这三项权利,尽管性质近似,但具体内容不尽相同。首先,「删除权」早已写在《1995年指令》,但由于条文太简略,未足以在数码时代保护个人资料。2016年初,欧盟终于成功为「被遗忘权」立法,加强「资料当事人」对个人资料的自主控制,包括一旦撤回同意,「资料控制者」一般要删除该些个人资料,除非例外情况适用。两年后,当《2016年规例》正式实施,绝大部分欧盟成员国的人们将可行使「被遗忘权」。这项权利不单可用于网络世界,也可以用于现实生活中。

  另一边厢,欧盟法院于2014年初抢先一步,引入「不再显示个人资料权」,「资料当事人」有权要求搜索引擎营运商移除或屏蔽个人资料,使别人不能再透过关键词找到,即使该些资料是合法发布并将继续放在网上,而搜索引擎营运商收到请求后,要具体审视个案的情况,权衡不同的利益,决定是否按当事人的请求屏蔽或移除相关搜索结果。


谷歌两年来执行「不再显示个人资料权」的情况

  根据欧盟法院的裁决,谷歌有责任审视所有行使「不再显示个人资料权」的请求,并决定是否移除或屏蔽相关的个人资料。为此,谷歌邀请一批专家研究如何落实判决和具体审视「资料当事人」提出的请求。另方面,《1995年指令》下设的专家小组亦发出相关指引。根据谷歌公布的数字,截至2016年5月,一共收到四十三万多个请求,涉及一百五十多万个网址(URL),而最多的请求依次分别来自法国、德国和英国,而社交网站Facebook 则是最受影响的网站,被谷歌移除的网址为数最多。

  谷歌这项新增的审视和移除责任,引起广泛关注,有意见认为谷歌可能变成欧盟境内的首席内容审查官,亦有人担心谷歌怕麻烦和避免打官司而尽量依照「资料当事人」的请求行事。不过,直到目前,谷歌公布的数字显示,移除的网址只占请求总数百分之四十三。

  另一方面,就如何删除资料,谷歌与英、法两国的保护个人资料规管机构出现一些分歧。当中,较严重的是谷歌起初只愿意应请求移除欧洲域名的个人资料,例如Google.co.uk和Google.fr,但拒绝移除Google.com上的相关资料,法国和英国规管当局都认为这并不彻底。2016年1月,谷歌作出让步,改以IP地址作为主要方法核实网络用户的位置,如果用户身处欧盟境内,便无法搜索到已被移除的个人资料。这个安排得到英国规管当局接纳,但法国仍坚持谷歌须作全球移除,并于2016年3月处罚谷歌十万欧元。谷歌决定上诉,估计这个争端将持续一段日子。

  值得留意是,自欧盟法院就Google Spain 案下达判决后,陆续有人在欧盟个别成员国打官司,希望争取更全面的「不再显示个人资料权」。在比利时,法院应一名公民的要求,并依据该国宪法,判决搜索引擎不能再显示该名公民牵涉一宗车祸的报道,亦下令报章移除相关的新闻档案。该报业集团在终极上诉失败后,批评法院判决形同改写历史。

下载
相关文章 / Related Articles

英国新修诽谤法述评

白净
2013-06-14