论大数据背景下个人数据删除权落实中数据控制者的法律责任

饶雪平

（信阳师范学院，河南 信阳464000）

一、问题的提出

从古老的原始社会到现代文明的发展过程中，人们一直渴望降低遗忘，增强记忆。为此，人类不断尝试创造发明记忆工具，使记忆得以永存。然而，在数字媒体的发展和互联网全球化趋势的影响下，遗忘与记忆之间的天平开始渐渐失衡——遗忘变成例外，而记忆却成了常态。迅猛发展的数字技术这一记忆载体为用户带来的不仅体现在便利生活、丰富认知方面，而且还带来了许多新的问题。无论是合法公开还是非法泄露，互联网永久记忆的属性使大量的个人信息、个人隐私可以被用户轻易地检索到，数据主体很难为数字时代下网络中快速传播的个人信息争取到法律的支持和保护，要求数据控制者删除相关信息的诉求更是难以实现。因此，作为数据主体的个人普遍失去了在互联网世界中控制自己信息数据的权利。[1]当大多数数据主体普遍有确立个人数据删除权的现实要求时，数据控制者的相关方又应该作出如何的回应？数据控制者在个人数据删除权实施过程中是否应该主动承担责任呢？

二、个人数据删除权的主体

一直以来，各国对个人数据如何实行规范化保护的问题争议颇多，各国对其称法也存在差异。西方一些国家将其称为“被遗忘权”“个人信息权”“删除权”等等，笔者基于文章讨论的方向，将其表述为“个人数据删除权”。

2016年欧盟《一般数据保护条例》第17条中明确给出了个人数据删除权的界定：数据主体有权要求数据控制者无不当延误地删除有关其个人数据。同时存在包含有没必要收集数据、数据主体自身不同意处理其数据、非法取得或使用以及未成年人的信息这四种条件情况下，数据控制者负有绝对义务回应权利主体的利益诉求。关于对个人数据删除权的定义，各国在对包括本文所指个人数据删除权的讨论过程中存在着众多不同论述，但无一例外都突出了该权利最核心的内容，即数据主体对未经同意而私自被收集的，或者虽为合法获得但已没必要存在于互联网中的信息，有要求数据控制者予以删除的权利。

三、个人数据删除权落实中数据控制者的法律责任分析

浩瀚的互联网世界中存在着无数的信息资源，数据主体主张数据控制者删除其无必要保留在互联网中的信息，义务人面临需要承担责任和免责两种情形。无论哪种，删除的前提必须是互联网中存在着这些真实合法的信息，否则存在互联网中的虚假信息一经发现查实必然会被删除，比如学术造假的信息等。

（一）数据控制者需要承担义务的情形

“权利人的权利就是义务人的义务”，也就是说，个人数据删除权的权利人本身所享有的权利就是义务人必须要承担的义务。作为义务主体，数据控制者的义务主要包括审查义务、通知义务、删除义务和告知义务等。

1.审查义务。数据主体主张自身的个人数据删除权后，义务主体需要对其删除申请开展全方位的审查，以此决定其删除请求是否应被通过。落实好此义务，数据控制者需要成立相关机构，制定完整的审查体系，无疑对企业也是个巨大的挑战。

2.通知义务。如果信息主体行使个人数据删除权所涉及的信息发生扩散的情况下，数据控制者应该主动通知相关第三方，采取应急措施控制好原有的副本以及备份。数据扩散后，原始控制者的删除权限受到限制，此时相关第三方也应共同承担删除义务。

3.删除义务。这是数据控制者最应履行的基础性义务。网络用户无法再次检索见到个人数据，数据控制者即履行了删除义务。我国2016年通过的《中华人民共和国网络安全法》第43条①分两种情况规定了个人信息删除的行使方式，为权利主体和义务主体提供了可行的法律操作。

4.告知义务。数据控制者在对上述三种义务采取了合理完善的处理措施后，信息主体应及时知悉处理的相关过程及结果，包括审查、删除、通知等各方面，信息控制者的告知义务才得以履行。

个人数据删除权在数字时代背景下，数据控制者都有维护信息主体的个人信息安全的义务。近些年，我国对个人数据删除权的理论探索和司法实践也逐渐增多，这都意味着在个人数据删除权的发展进程中的参与主体之一数据控制者对信息控制必然承担着不可推卸的责任。随着相关规则制度的健全，他们也越来越需要主动履行四方面的义务，主动实践为信息主体作出承诺，完善相应的救济措施。

（二）数据控制者除外责任

当然，数据主体主张个人数据删除权时，认为控制者未履行好相应义务。在满足以下情形时，信息控制者可将其作为主张抗辩的正当事由：[2]

1.出于保护言论自由的需要。比如新闻媒体这一承担宣传核心价值观主渠道作用的特殊媒介，在尊重新闻本身客观事实且对其不当行为的批评保持合理限度的前提下，合理曝光信息主体不符合法律规定的不当行为时所进行的相关行为，数据主体主张个人数据删除权，控制者拒不履行，前者主张其侵权时，以保护言论自由、承担必要的社会责任为由都可作为主张免责的正当事由。

2.为了维护公共利益的需要。公共利益是社会不特定多数人的利益，出于维护公共利益，不得违背社会公序良俗需要而拒绝履行相关义务是抗辩的正当事由之一。

3.出于历史、统计和科学研究的目的。对于一些密切关系到人类社会的发展进步，具有特殊历史价值或科研价值的信息，同样属于适用行使个人数据删除权的例外情形，信息控制者可依此事由不承担相应义务。

4.有关数据主体的犯罪记录。数据主体的犯罪记录正常地向全社会予以公开是维护公民安全、社会稳定秩序的一项必要举措，属于个人数据删除权的例外，可以作为信息控制者进行抗辩的事由。

四、域外相关法律实践对我国的启示

（一）域外法律实践及我国的先行尝试

域外法律实践中存在许多判例，尤以西班牙的“冈萨雷斯诉谷歌案”②最为经典，此案的判决结果成为此后维护主张个人数据删除权利的重要依据。同样在我国，百度公司率先采取的一系列应对措施为国内个人信息保护问题提供了可行性思路。③

大数据发展至今天，个人信息公开的广泛化与网络无法遗忘之间的矛盾对确立个人数据删除权的要求呼之欲出，同时百度公司的做法也反映我国目前有些网络服务提供者的做法已对个人数据删除权作出回应，这在一定程度上也反映出个人数据删除权中国本土化的进程正在一步步实现。

（二）对于加强个人数据删除权中数据控制者落实的建议

若想加强对数据控制者这一市场主体落实个人数据删除权的监管力度，无疑应从国家层面入手，在大方向上增强规制，促使商业机构自行改革实践。我国现行法律中，并没有专门规定“个人数据删除权”这一权利，存在着立法模糊和司法解释含糊的现实情形。参考世界各国对个人数据删除权的规定，笔者认为我国对个人数据删除权的践行，可以适当借鉴域外相关权利的制度构建，辅之参考欧盟、美国等相关司法判例，从以下三方面进行初步探索：

1.设置监督管理机构

数据控制者担责基本的审查义务就要求数据控制者具有完备的审查机构和审查体系，借鉴西方国家出台的设立数据专责机构等举措，为保障删除权更好施行，设置一个专门的监督管理机构在我国也已十分必要。当前我国仍缺乏专门的个人信息保护法，在其出台之前，设置专门的监督管理机构主要可以承担监督数据控制者行为、保障权利救济的职责，以应对和促进数据保护工作的开展。

2.设置数据保存期限

除信息主体自行发现，信息控制者主动审查，履行删除义务外，在数据上传前通过设置数据保存期限人为控制数据生命周期，使得信息在网络上无法永久的保存，这对个人数据删除权的落实很有帮助。

3.加强数据相关技术研发

现实来看，在技术层面个人数据一旦进入公共领域，传播速度和范围就会无限扩展，延伸的义务主体数量也在无限增加，仅仅简单操作删除是不可能实现的。互联网背景下大数据相关技术不断更新进步，一方面可以鞭策互联网信息企业加强自身技术研发，促进和保障个人数据删除权的发展，另一方面也可以一定程度上推动立法和司法上的进步。

五、结语

当今我们处在一个全新的数字化经济时代，数字信息量纷杂繁多。出于保护个人信息主体的隐私以及保障网络用户能够快速准确检索到为个人所用信息资源的需要，在我国确立个人数据删除权是必然之举。作为其中一方主体的互联网企业，在这种大环境下，更应更多地主动承担起相关责任，完善自身相应举措，为个人用户提供更为舒适的使用体验。

注释

①《中华人民共和国网络安全法》第43条中规定，个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。

②西班牙“冈萨雷斯诉谷歌案”——《先锋报》曾于1998 年刊登了一条关于冈萨雷斯的财产被强制拍卖的公告，这条新闻的网上链接被谷歌公司所收录。时隔15年，该链接依然有效并能够通过“冈萨雷斯”关键词搜索得到。冈萨雷斯认为该信息早已经失去了时效性，与现实状况不符，且该信息的存在有损其个人名誉，故要求谷歌公司删除相关链接。欧盟法院于2014年5月13日对该案作出终审判决，冈萨雷斯胜诉，判决要求谷歌公司作为数据的实际控制者应承担起删除一些不合时宜的个人信息的责任。“冈萨雷斯案”后，谷歌公司便在欧洲开通了个人数据删除权维权在线通道，并成为其他网络巨头效仿的对象。

③百度作为我国实力最强的搜索引擎公司，率先开通了“快照删除与更新”和“隐私问题反馈”两项专门服务。这两项服务用于线上受理用户因个人信息被不良网站使用而遭受损害和威胁的投诉，并通过专门机构对投诉信息进行人工审核。一旦所投诉的侵害行为被证实存在，百度将接受用户提出的请求，在一个工作日内对相关数据链接执行屏蔽或删除操作。