大数据与人工智能的不断发展使得大量的个人信息与数据被企业存储与记录，每个人在互联网上留下的痕迹都会存在于“永恒性数据记忆”的情境下。我国《个人信息保护法》在第47条明确规定了个人信息删除权，并且该条已经在司法实践中得到应用，但在适用过程中仍存在利益正当性标准不清晰、义务履行主体不明确、义务履行方式模糊等问题，并且在程序上也存在个人难以举证企业对个人信息存在不当利用情形
的问题，上述问题都将影响法院在类似案件中的裁判，故而应当加以进一步明确。通过梳理国内外的司法判决，对比分析我国“删除权”与以欧盟为代表的“被遗忘权”之间适用的异同，为我国删除权的司法适用提供一些思路与解决方案。一、国内外立法与概念对比
1.欧盟“被遗忘权”的起源：谷歌诉冈萨雷斯被遗忘权案我国的个人信息删除权与欧盟的被遗忘权较为近似，亦有学者认为我国的个人信息删除权包含了被遗忘权的内容。欧盟的被遗
忘权起源于谷歌诉冈萨雷斯被遗忘权案：〔1〕
冈萨雷斯向西班牙数据保护局（AEPD ）投诉，要求《先锋报》删除或更改其网页上的相关信息，要求谷歌删除或更改搜索结果中显示的相关链接结果。最终欧盟法院认为，从《欧盟数据库指令》（EC Directive 95/46/EC ）第12条（b ）款〔2〕中可以推导出一种“被遗忘权”（right to be forgotten ），谷歌或其他数据控制者有责任擦除此案中的链接。同时，欧盟法院认为从《欧盟数据库指
［作者简介］黄宇轩，上海交通大学凯原法学院硕士研究生；王英明，辽宁大学法学院副教授。
摘要：欧盟GDPR 在“谷歌案”后逐步确立了被遗忘权的概念，我国《个人信息保护法》第47条在借鉴GDPR 被遗忘权理论的同时对个人信息删除权进行了较为具体的规定，但其在具体内涵上与欧盟被遗忘权的概念存在分野与辨析空间。在司法实践的应用之中，各法院对第47条的理解与适用存在一定分歧，
需要在解释论上进行统一。在判断处理目的是否实现以及处理目的必要性时，需要通过公众知情权与个人信息删除权的利益平衡进行判断，并结合不同场景划定信息删除义务主体的范围；对于删除权的实现，实质性的物理删除应优先于匿名化的形式，以最大程度消除个人信息之上可能的信息聚合风险。
关键词：个人信息保护法；删除权；被遗忘权中图分类号D92文献标识码A 文章编号1003-6547（2023）06-0072-08
比较法视角下个人信息删除权的法律适用
黄宇轩
王英明
072
2023第6期·总第596期
令》第6条亦可以推导出个人对数据的相关权利优先于搜索引擎的利益和一般的信息自由利益，即企业必须保证个人数据与处理目的相关，并且为保证数据的准确性，数据需要在必要时进行更新。〔3〕
欧盟法院在该案中的判决第一次在法律效力上确立了公民或数据主体的“被遗忘权”或“擦除权”。〔4〕而后欧盟《通用数据保护条例》（GDPR）在第17条规定了被遗忘权，其与我国《个人信息保护法》第47条的表述较为相似。
2.我国“删除权”的立法沿革
我国对于删除权的立法呈现条件逐渐放宽的趋向。《侵权责任法》第36条第2款曾规定：“网络用户利用网络服务实施侵权行为的，被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施……”该规定赋予了个人请求删除个人信息的权利，但这一权利须在网络服务提供者实施侵权行为的情况下方可行使。
2012年《关于加强网络信息保护的决定》第8条以网络侵权“通知—删除”规则为基础，赋予个人请求网络服务提供者删除“泄露个人身份、散布个人隐私等侵害其合法权益的网络信息”的权利。但此时删除信息仅为被侵权人的一种救济方式，并不以权利的积极行使的形式存在。〔5〕
2017年6月实施的《网络安全法》第43条规定：“个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用个人信息的，有权要求网络运营者删除个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或更正。”该条仍未以赋权的形式对删除权予以规定，而依旧以“违反法律规定或约定”作为适用前提。
《民法典》第1037条大体延续了《网络安全法》第43条的规定，但仍有三个方面的变化：第一，采用“信息处理者”代替“网
络运营者”扩展义务主体的范围；第二，强调信息处理者不得无故延误删除个人信息；第三，采用“请求”替代“要求”，实现了从公法话语到私法话语的转换。〔6〕
2021年8月通过的《个人信息保护法》第47条在保留“违反法律、行政法规的规定或双方的约定”基础上进一步扩展了删除权的适用范围，增加了“处理目的已实现、无法实现或者为实现处理目的不再必要”“个人信息处理者停止提供产品或服务，或者保存期限已届满”以及“个人撤回同意”等情形，并以“法律、行政法规规定的其他情形”作为兜底条款。
3.“删除权”与“被遗忘权”的辨析
明确删除权与被遗忘权的异同具有一定的必要性，因其有助于在我国的国情下进行更为客观的法律适用探讨。对于删除权与被遗忘权之间的异同，学界多有讨论。有学者认为删除权的概念可以与被遗忘权等同，二者只是名称有所不同。〔7〕另有学者认为删除权与被遗忘权的逻辑关系是包容关系，被遗忘权的内容已经包含在了删除权之中，我国对删除权的规定即为被遗忘权的本土化。〔8〕此外，还有学者支持“删除权与被遗忘权相似但并不等同”的观点，认为二者在价值取向、义务对象、触发条件以及客体方面皆有不同，并且被遗忘权始终有其较为独立的适用空间。〔9〕
由于本文的重点不在于从理论上对二者的内涵进行分析，故仅在此简要阐明观点：本文认为被遗忘权有其独特的价值取向与适用空间，不能被删除权所涵盖，亦不能等同于删除权。具体而言，欧盟的被遗忘权更倾向于建立在个体主义的基础之上，以《基本权利宪章》中的“尊重表达的社会规范”与“信息自决权”作为理论基础，并且被遗忘权不仅指向不需要保留的数据，亦保护合法但无限制的个人信息传播，在最大程度上保护个人尊严。同时，被遗忘权的效力较之删除权更为广泛，欧盟被遗忘权不仅要求数据
法学论丛073
控制者删除个人数据，还要求数据控制者通知正在处理公开数据的第三方删除该数据的链接、副本或复制件，跳脱出删除权的“一
对一”关系。〔10〕
由于删除权与被遗忘权的制度土壤不同，它们在具体案件的适用中会存有一定的差异，被遗忘权存在独立的适用空间，但二者具有一定相似性亦不可否认，故在大部分语境下可以一并讨论。
二、删除权在司法实践中产生的问题1.删除权指向的利益正当性标准较为模糊这一问题产生于谷歌诉冈萨雷斯被遗忘权案与我国第一起“被遗忘权”案件的对比分析。两案件的共同点为原告诉请搜索引擎删除相关的个人信息，但法院却根据网络用户获得信息权与信息主体权利之间的平衡以及所涉信息利益的正当性作出了相反的判决，且上述两判决均在“被遗忘权”的语境下生成，故可以排除因删除权与被遗忘权的差异而带来的影响，聚焦利益衡量之上的边界与标准问题。
在任甲玉诉北京市百度网讯科技公司侵犯名誉权、姓名权、一般人格权纠纷案〔11〕中，法院裁判认为，百度公司在“相关搜索”中推荐涉诉词条的行为，明显不存在对任甲玉进行侮辱、诽谤等侵权行为。“
任甲玉”这三个字在相关算法的收集与处理过程中就是一串字符组合，并无姓名的指代意义，显然不存在干涉、盗用、假冒本案原告任甲玉姓名的行为，且这部分网络上个人信息的利益指向并不能归入我国现有类型化的人格权保护范畴，只能从一般人格权的角度寻求保护，但是由于任甲玉主张的该利益不具有正当性和受法律保护的必要性，不应成为侵权保护的正当法益，故任甲玉依据一般人格权主张所谓“被遗忘权”的有关诉讼请求应予以驳回。类似案件还有欧盟的“职业信息案”（Artigianato e Agricoltura di
Lecce v Salvatore Manni ）。
〔12〕
在谷歌案中，法院认为当搜索引擎对于个人的数据保护和隐私基本权利存在偏见
时，这些权利优先于搜索引擎的利益和一般的信息自由利益。《欧盟数据保护指令》侧重保护信息主体隐私，即使没有事先要求发布者删除信息，也有权直接要求搜索引擎删除链接，这与发布者发布的信息是否合法没有关系。因此，法院认为谷歌作为数据控制者应删除相关链接。
尽管《个人信息保护法》第47条仍然将信息处理缺乏正当性作为个人信息删除义务的履行前提，但个人信息处理行为的必要性、合目的性以及合理性的边界仍然难以明确界定，如两案中合法但个人仍请求删除的信息能否进行删除就成为司法实践中较难判断的问题，本文认为其本质在于公众知情权与个人信息权益之间的平衡，故应当有较为具体的标准对删除权指向信息的利益正当性进行衡量。
2.删除义务的履行主体范围不尽明确在本文的案例检索中，原告与被告呈现“个人—个人信息处理者”的单一模式，并无要求接受信息共享的第三方（共同处理者、个人信息处理的受托人）履行删除义务的案例。然而，《个人信息保护法》规定的主体除个人信息处理者之外，还有处理个人信息的受托人的独立主体存在。近年来，随着各大平台都出台了相关的隐私政策与用户协议，大部分平台都会将其数据与信息和其他企业共享，并制定共享清单，其中既包含能够独立处理个人信息的共同处理者，也包括处理个人信息的受托人。但在个人行使删除权时，多方信息控制者的删除义务应否履行并不统一，这也将成为司法实践中面临的问题之一。
有学者对有代表性的电子商务平台的隐私政策文本进行了实证分析，其中、抖音、小红书、美团、携程等平台在用户请求删除信息时并不通知第三方予以删除，有的平台虽然规定了向第三方通知删除的义务，但都以“尽可能通知，要求其删除，除非法律法规另有规定或其已获得个人独立授权”
074
2023第6期·总第596期
之类形式呈现，表述较为模糊宽泛，故在信息共享较为普遍的平台经济背景之下，如何针对第三方行使删除权就成为待解决的问题。〔13〕
3.删除义务的履行方式不够清晰
企业完成个人信息删除的标准也是删除权行使的重要环节，故而如何定义“删除”亦成为实践中的问题。目前对于“删除”的界定尚未形成通说，〔14〕《个人信息保护法》没有对此进行明确规定，但在实践领域已经出现不同的观点。《个人信息安全规范》（GB/T35273-2020）第6.1条与第6.4条中也将个人信息控制者的删除义务与匿名化处理等同化，并且在电商平台的隐私政策中，大部分具有代表性的平台都将删除等同于匿名化，在我国司法实践的案例中，各法院的判决亦对删除的形式持有不同的观点。
在於菲和深圳市迅雷网络技术有限公司合同纠纷一案中，〔15〕法院认为双方协议约定的“删除”义务与“断开链接”的效果有所区别，如果网站上不再有已删除网页的链接入口，且公众无法获得该网页准确无误的URL地址将无法访问该网页时，意味着删除义务已经履行完毕，因此，认为被告迅雷的逻辑删除行为已经履行了删除义务。
在罗某诉北京大生知行科技有限公司网络侵权责任纠纷一案中，〔16〕被告表示目前已删除原告全部个人信息，注销原告账户，原告认可其账户已无法登录。并且，法院根据庭审中对CRM系统后台进行勘验的情况显示，输入原告手机号，显示无对应内容，最终认可了被告已经完成信息删除的义务，被告实施的此删除行为更近似于物理删除而不是逻辑删除。郭某与杭州野生动物世界有限公司服务合同纠纷案中，〔17〕动物园对郭某人脸信息与指纹信息的删除亦采取了物理删除的标准。侵害公民个人信息
在郑某愚诉北京某某创科网络技术有限公司名誉权一案中，〔18〕法院认为处理自然人已经公开的信息也应履行相应的告知义务，且在其处理目的实现之后应当尽快删除或者对相关信息进行匿名化处理。故而在本案中法院认为删除与匿名化的效果相一致，这也与众平台将删除等置于匿名化的隐私政策相一致。因此，删除义务的履行方式在我国理论界与实务界都尚未达成一致，各法院之间观点的差异亦亟待解决。
三、删除权在司法实践中的具体适用
1.搜索引擎之下的删除权行使场景：已公开个人信息删除权与公众知情权的边界删除权与言论自由之间的博弈产生于文初提及的谷歌案。在欧盟法院确立被遗忘权之后，谷歌公司努力将言论审查规则化，避免个人恣意删除某些信息，谷歌设立了四个审查要素，以确定是否应当将个人申请的某些信息从其搜索结果中删除：（1）信息所涉及的数据主体在公共生活中的角；（2）信息的性质；（3）信息来源；（4）信息所经历的时间。〔19〕谷歌意图将言论审查规则化的根本原因在于，欧盟将被遗忘权视为一种个人的固有权利，它更近似于一种人格尊严和人格利益保护的延伸，然而这一权利需要有一定的边界，不能够恣意行使，否则将会严重影响企业的正常运营与信息的自由流动，故而谷歌通过审查个人删除信息的申请以尽可能实现利益的平衡。
由于我国删除权是从《侵权责任法》不断发展而来，故而我国的个人信息删除从产生伊始就内含了以侵
权或违法处理为触发条件的特质。《个人信息保护法》第47条虽然在一定程度上扩张了删除权的行使条件，但删除权的行使仍建立在信息处理缺乏正当性的基础之上。然而，条文中“处理目的已实现、无法实现或者为实现处理目的不再必要”的表述为个人积极行使删除权提供了较为弹性的空间，即只要个人能够证明企业的信息处理不再具有必要性，即可请求企业删除其信息。而搜索引擎中的删除权行使涉及个人对已公开个人信息享有的权利、公众知情权以及源网站之间的关系，具有复杂性与
法学论丛075
特殊性，其问题亦在司法实践中显现，因此，应当对搜索引擎中删除权的行使条件进行进一步明确。
搜索引擎具有其特殊性，并不产生新的
信息，而只是为信息流通发挥中介作用。〔20〕
有学者也因此认为搜索引擎不是删除义务的主体，而本文认为搜索引擎能够断开用户与源网站的链接，以此达到删除的效果。但如果个人恣意主张搜索引擎断开其与其他关联网站的链接，将较大地妨碍搜索引擎的应有功能，因此，个人在搜索引擎的语境下行使删除权应有对抗公众知情权以及信息流通的有力依据。
（1）原网页信息源删除
搜索引擎提供的是一种网页跳转的中介服务，因此，其处理个人信息的必要性与个人和信息源之间的关系密切相关，如果个人信息的信息源已经被原网页删除，那么此时网页中的信息就不再属于已公开的个人信息，搜索引擎的信息处理行为亦丧失其正当性基础。此时个人可以通过《个人信息保护法》第47条第四项的规定请求搜索引擎删除个人信息。
（2）导致非公共性角隐私风险显著增强的信息
在主体层面，如果信息所涉主体是具有较强公共性的角，那么此类信息不应删除，其在公众视野中活动，甚至通过公众关注获得一定知名度进而获取经济利益，其与公众知情权相关的信息应当被保留。但如果信息所涉及的主体完全不具有公共性的角，或其仅在特定时期参与社会热点事件之中，其个人信息并不会影响公众对热点的认知与评价，故而此时搜索引擎更应当删除相关信息，防止网络上信息的聚合导致个人隐私风险加大。
（3）已实质丧失原始发布目的的信息欧盟自谷歌案以来，一直采用个案价值衡量的方法进行个人利益与社会公益的比较，在谷歌案中，欧盟法院认为应当同时考察信息的目的与信息存在的时间来探究信息
是否还具有相关性。这一趋向在Manni 案中得到了转变，在Manni 案中，尽管该信息为十年之前的登记信息，但法官认为公司注册信息是个人的职业信息，正当的、客观的职业经历不具有个人隐私性质的敏感性，信息是否应当存续取决于信息收集的目的是否还存在，信息的目的是否已经达成是判断信息
是否应该删除的核心要素。〔21〕
我国在任甲玉一案中亦采取了较为近似的标准，即客观的行业经历是判断个人行业资信最直观的体现，尽管过往的从业经历经过了较长的时间，但该信息发布的目的并未消失，如上述两案原告的信息均需要为潜在客户所知晓，使第三人能够对原告进行较为客观的评价。
综上所述，在我国司法实践中，一方面要坚持个案价值衡量的原则，比较个人信息权益与社会公共利益孰轻孰重；另一方面要着重探究个人信息处理的目的以及必要性是否仍然存在，以及是否会对个人产生显著增强的隐私风险。
2.以信息获取方式划分第三方信息处理者的删除义务
虽然我国目前案例并未涉及第三方个人信息处理者的删除义务，但删除权的内涵已经表明如要彻底擦除相关信息，第三方平台亦要删除，方可实现删除权的有效行使。实践中第三方运营商获取个人信息的方式包括应用程序接口传输（API ）或内嵌软件工具
开发包（SDK ）。〔22〕
针对不同的信息获取方式，个人信息处理者所应承担的义务也应有所不同。
（1）通过API 接口共享个人信息的第三方删除义务
API 接口传输属于数据共享的范畴，可以细分为有委托处理协议的API 接口传输和无委托处理协议的API 接口传输。在有委托协议的API 接口传输的情形下，个人信息处理者与第三方即为委托人与受托人之间的法律关系，二者的关系已于《个人信息保护法》第21条予以规定，但其中“委托合同不生效、无效、被撤销或者终止的，受托人应
076