1. 问题的提出
2014年，欧盟法院在“冈萨雷斯诉谷歌”案中明确了信息主体享有被遗忘权后1，有关被遗忘权的确立与否以及本土化改造等讨论在我国学术界得到了热烈的讨论，其中不少学者主张在我国的《个人信息保护法》中引入被遗忘权。但2021年正式施行的《个人信息保护法》中并没有明确这一权利，但是确认了与之相似的个人信息删除权。尽管两者在表述上存在差异，但不少学者对删除权寄予了同“被遗忘权”一样的期望。从内容构造来看，个人信息删除权与欧盟被遗忘权高度相似，被遗忘权和删除权在网络信息时代背景下本质上属于不同范畴 [1] 。
而不论是欧盟法院的西班牙的“冈萨雷斯诉谷歌案”(见脚注1)，还是国内被遗忘权第一案——任甲玉诉百度案2，被遗忘权纠纷指向的都是搜索引擎。这也让我们自觉或不自觉地在想到被遗忘权时就会关联到搜索引擎。但我国的个人信息删除权是否可以适用于搜索引擎存在一定争议。支持者认为，搜索引擎也大多是信息处理者，可适用个人信息保护法有关删除权的规则 [2] 。反对者认为在个人信息处理活动中，信息处理者能够自主决定个人信息的处理目的与处理方式，而搜索引擎本身不从事信息生产与加工活动，主要作为第三方汇聚信息，无法自主决定个人信息的处理目的与处理方式，无法成为删除权的义务主体 [3] 。两者之间的争议主要认为搜索引擎自身的独特属性并不是纯粹意义上的个人信息处理者，而是个人信息的汇聚者，并认为如果将搜索引擎也涵盖在删除权的适用对象上会阻碍个人信息的高效利用和自由流通。因此，在删除权与被遗忘权关系的争论并未得到有效解决的前提下，删除权是否可以适用于搜索引擎也成为了争议焦点。因此，本文希望通过一个既有的司法案例来探讨对搜索引擎运营者主张删除权的可能性。
2. 基本案情及争议焦点
2.1. 基本案情
原告孙长宝为一名普通网络用户，曾为“Chinaren校友录”网站的注册用户(“Chinaren校友录”网站为一家校园社区网站，在被控侵权行为发生期间，该网站的管理单位为第三人搜狐信息公司)。2011年左右，出于联络其同学的目的，原告在其注册的校友录账户中上传了个人证件照作为用户头像。2018年10月，原告在百度网站搜索“孙长宝”关键词，发现百度网站非法收录并置顶了原告在“Chinaren校友录”网站上传的个人账户头像。
原告经咨询搜狐信息公司得知，“Chinaren校友录”网站的服务器已于2013年关闭，照片为百度网站收录的图片快照。2018年10月23日，原告通过百度网站下部的线上反馈渠道发送通知，要求百度网站删除证件照，但该系统未进行任何处理。原告认为，涉案图片为其本人肖像，涉案图片以及其与原告姓名的关联关系涉及个人隐私、个人信息。在“Chinaren校友录”网站图片源地址已关闭的情况下，被告非法收录、存储涉及原告个人信息和个人隐私的图片，在收到通知的情况下仍不删除，构成侵权，遂向法院提起人格权纠纷诉讼。
最终法院依据《侵权责任法》第36条规定的“避风港”规则裁定认为，百度公司在收到原告的删除通知后，在其有能力采取相匹配必要措施的情况下，未给予任何回复，其怠于采取措施的行为，导致涉案侵权损失的进一步扩大，构成对原告个人信息权益的侵害3。
2.2. 争议焦点
尽管本案最终判决原告胜诉并支持了原告的诉讼请求，但是本案是发生在《民法典》以及《个人信息保护法》正式颁布施行之前，所以法院在援引裁判时依据的主要是《民法总则》《侵权责任法》等。而在《个人信息保护法》已经出台的背景之下，本案中涉及到的请求删除人脸信息照片的问题、个人信息与个人隐私的区分问题、公开个人信息的认定问题等都具有深入研究探讨的意义。故此，本文择取本案中最核心之问题——请求被告删除人脸信息照片的问题作简要分析和探讨。
本案法院在最终裁定被告构成对原告个人信息权益的侵害，但是在裁判思路上认为被告属于中立的技术服务提供者，根据侵权责任法第36条第2款的规定，应当适用“避风港”等规则，故此认为被告构成侵权。但在《个人信息保护法》视域下重新思考本案的“删除”问题，或许会有不一样的思路和看法。
一方面，《侵权责任法》第36条第2款的规定，网络用户利用网络服务实施侵权行为的，被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。也就是说在“通知–删除”规则中网络服务提供者承担侵权责任的前提是未对其他网络用户的侵权行为采取必要措施。换言之，此处的“删除”属于法律施加给网络服务提供者预防和制止网络侵权行为的一项义务 [4] ，网络服务提供者的连带侵权责任是不作为导致的，而非由于网络服务提供者自身的侵权行为直接产生的。在本案中，并不存在其他用户对原告实施侵权行为，而是百度网站在提供搜索引擎服务的过程中爬取到校友录网站的涉案信息所导致的，因此并不符合《侵权责任法》的适用情形。
另一方面，我国《个人信息保护法》第47条直接规定了个人信息删除权。在信息主体通过行使删除权保护其个人信息时，既可通过请求和诉讼的方式直接行使该项权利，也可以在个人信息处理者拒绝删除时，依法主张侵权损害赔偿责任 [2] 。在本案当中，原告认为被告爬取自己仅在部分熟知人群范围内公开展示的人脸信息照片，且校友录网站已经关闭的情况下，可以请求被告百度网站删除个人信息。
但值得思考的问题在于，我国《个人信息保护法》第47条规定的删除个人信息的适用情形包括：处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人撤回同意；个人信息处理者违反法律、行政法规或者违反约定处理个人信息；法律、行政法规规定的其他情形。而作为搜索引擎服务的百度网站其是否是第47条规范中“个人信息处理者”的涵摄范围，是否可以对搜索引擎运营者主张适用删除权存在一定争议。
3. 删除权与被遗忘权的关系辨析
我国《民法典》第1037条第2款规定了个人信息权利主体的删除权；第1029条规定了民事主体请求对信用评价进行删除的权利。《个人信息保护法》第47条明确地规定了应当删除或可以请求删除个人信息的具体情形。从《民法典》到《个人信息保护法》的一系列规范可以看出个人信息删除权在我国法律体系中已经构建起来了。而所谓被遗忘权，是指如果权利人不希望其个人数据继续被数据控制者进行处理或存储，并且维持此种状态不存在任何正当理由，则该数据不应当允许公众随意查询 [5] 。2018年生效的欧盟《一般数据保护条例》也正式确认了被遗忘权。第17条规定当具有如下情形之一时，控制者有责任及时擦除个人信息：① 个人信息对于实现其被收集或处理的相关目的不再必要；② 处理是根据第6(1)条(a)点，或者第9(2)条(a)点而进行的，并且没有处理的其他法律根据，信息主体撤回在此类处理中的同意；③ 信息主体反对根据第21(1)条进行的处理，并且控制者没有压倒性的正当理由可以进行处理，或者信息主体反对根据第21(2)条进行的处理；④ 已经存在非法的个人信息处理；⑤ 为了履行欧盟或成员国法律为控制者所设定的法律责任，个人信息需要被擦除；⑥ 已经收集了第8(1)条所规定的和提供信息社会服务相关的个人数据4。并且根据第17条，数据主体不仅有权要求数据控制者及时删除其个人数据，还有权就公开数据要求数据控制者采取合理措施，通知正在处理该数据的第三方删除该数据的链接、副本与复制件。
围绕《个人信息保护法》是否规定了欧盟被遗忘权，目前主要存在两种学说：第一种为包容说，认为《个人信息保护法》第47条对删除权适用范围的列举足以涵盖被遗忘权，不需要再规定被遗忘权 [4] ；第二种为相异说，认为《个人信息保护法》第47条仅规定了删除权，并未包含被遗忘权，二者在功能价值、行使对象、适用条件等方面存在着区别 [6] 。另外也有学者认为，被遗忘权是基础性权利，而删除权是工具性权利，删除权只是实现被遗忘权的手段。删除权需要建立在基础权利之上，只有当基础权利受侵犯或者受到妨害的情况下才有行使的必要性 [7] 。
按照我国当前的通说观点，我国《个人信息保护法》中的删除权与欧盟法院确认的被遗忘权存在差异，这种差异存在多个方面。第一，在适用条件上，我国个人信息删除权既可以是个人请求删除，也可以是个人信息处理者主动删除。而被遗忘权不仅要有法律规定的情形出现，还需要信息主体有行使被遗忘权的意愿并向信息处理者提出擦除其个人信息的要求 [2] 。第二，在适用对象上，删除权既可以指向公开的个人信息，也可以指向非公开的个人信息。而被遗忘权仅指向公开的个人数据，是公开个人数据的删除制度。第三，在行使对象上，我国《个人信息保护法》中的“删除权”是对提出请求的个人信息处理者，且该个人信息处理者并不负有通知其他处理者进行删除的义务，而对被遗忘权来说，个人信息处理者不仅要自己删除相关的个人信息，还要通知其他处理者一同删除。
4. 对搜索引擎运营者主张删除权的可能性探析
4.1. 搜索引擎运营者是个人信息处理者
2014年，欧盟法院在“冈萨雷斯诉谷歌案(Google-Gonzalez)”中确立了被遗忘权的概念，在该案判决中，欧盟法院认为，作为数据控制者的谷歌公司对于其处理的第三方发布的带有个人数据的网页信息负有责任，有义务将其删除5。由此可见，欧盟法院裁决认为，谷歌等搜索引擎也属于删除权的请求对象。
按照《个人信息保护法》第47条的规定可知，无论是主动删除，还是请求删除，删除个人信息的义务主体都是个人信息处理者。而根据《个人信息保护法》第4条第2款的规定，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。只要相关主体从事了上述任何一种行为，都应当属于信息处理者。而搜索引擎是自动搜索、组织网络信息资源，并提供检索服务的信息服务系统 [8] 。因此，从语义解释上来说搜索引擎属于个人信息处理者的范畴。另外有学者从信息存档和信息获取角度指出，被遗忘权的两大权能是信息的内容删除权和索引(链接)删除权，这两种权能在私法上对应两大义务主体，即网络服务运营商和搜索引擎运营商。因此，个人信息处理者既包括网络服务运营商，也包括搜索引擎运营商 [9] 。从义务主体角度来说，搜索引擎被认定为个人信息处理者是得到普遍认同的，搜索引擎是《个人信息保护法》第47条的删除权适用范围内的个人信息处理者。
另一方面，从个人信息删除权的适用情形来说，包括着四项具体的情形和一项兜底情形，并没有限制个人信息的具体类型。也就是说，删除权中应当删除或请求删除的个人信息既包括已公开的个人信息，也包括未公开的个人信息。而“被遗忘权”的核心在于数据的删除，主要针对已被他人公开的数据 [10] 。从这个意义上来说，删除权的适用范围要比被遗忘权的适用范围更为广泛，既可以针对特定的个人信息处理者请求删除个人信息，也可以请求其他个人信息处理者删除已被广泛公开的个人信息。而被遗忘权通过不再允许数据主体以外的第三人获取已公开的个人数据的方式，实质上是将公开的个人数据回归私密状态，从公开数据转向私人数据 [11] 。而对于已公开的个人信息而言，往往可以通过搜索引擎爬取到特定的个人信息或是跳转到源网站查询个人信息。如果搜索引擎违反源网站的ROBOTS协议避开或突破了网站的技术壁垒而获取了禁止爬取或隐藏的个人信息，则其行为可能构成非法侵入计算机信息系统罪、侵犯公民个人信息罪等，自然属于违法犯罪的行为。因此，在讨论搜索引擎是否可以成为删除权的权利主张对象时主要考虑的是已公开的个人信息。
4.2. 搜索引擎运营者的随从义务
与未公开个人信息不同的是，已公开个人信息的处理享有《个人信息保护法》的法定豁免。《个人信息保护法》第13条第(6)项规定，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。这一规定为已公开个人信息的处理活动突破了“知情同意”规则的约束，他人可以合理地处理已公开个人信息。同时《个人信息保护法》第27条更加具体地规定了已公开个人信息的处理规则，个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。也就是说，个人信息处理者在处理已公开个人信息时需要受到三层限制：第一，处理者应当在合理的范围内处理已公开的个人信息；第二，信息主体享有对处理者处理已公开个人信息行为的拒绝和限制的权利；第三，当处理者处理的已公开个人信息对信息主体的个人权益有重大影响的，信息主体享有知情和决定权，处理者的处理行为应征得信息主体的同意。《个人信息保护法》第13条和第27条共同为已公开个人信息的处理平衡了个人信息保护与利用的微妙关系。
在主张删除已公开个人信息的情形下，应当同时满足《个人信息保护法》第27条和第47条的规范要求。在个人信息处理者违反了第27条规定的三层限制时，信息主体当然可以请求个人信息处理者删除已公开个人信息。具体而言：个人信息处理者超出合理范围处理已公开个人信息；在信息主体明确表示拒绝时依然处理已公开个人信息；个人信息处理者在对个人权益有重大影响的处理活动中未征得信息主体再次同意的。在这三种情形下明显属于《个人信息保护法》第47条第4项规定的“个人信息处理者违反法律、行政法规或者违反约定处理个人信息”的情形，可以向个人信息处理者主张删除已公开个人信息。
对于搜索引擎运营者来说，网络服务运营商和搜索引擎运营商是相依相伴的共同体，在当今的网络时代无法将二者割裂看待，如果只将其中一种类别作为义务主体，不仅民法的平等原则无法得到实现，而且会令被遗忘权的相关制度成为一纸空文，无法实现遗忘权的目的 [9] 。也就是说，如果信息主体已经向个人信息处理者主张了删除已公开个人信息的权利，并且请求删除的情形符合规范要求时，搜索引擎运营者应当负有跟随个人信息处理者一并删除已公开个人信息的义务。
在孙长宝校友录网站案中，第三方搜狐公司运营下的“Chinaren校友录”网站已经关闭的情况下，百度公司依然可以通过爬取技术抓取到原告的人脸信息照片，个人信息的删除或保存并未达到理想的状态。尽管“Chinaren校友录”网站在前端已经无法为普通网络用户搜索并浏览，但是百度公司抓取后端的服务器信息，并未跟随“Chinaren校友录”网站的关闭状况，及时断开爬取个人信息的链接，导致原告人脸信息照片在更大公开范围内得到传播和扩散。因此，搜索引擎运营者应当负有随从义务，当源网站的个人信息处理者删除个人信息或源网站关闭等情况下，也应当一并删除个人信息或断开链接。在互联网时代下，搜索引擎是网络用户在搜索和查询信息时必然会借助和使用的中介平台，搜索引擎与源网站之间具有共生性的特征。单一地追求让个人信息处理者删除个人信息，而放纵搜索引擎依然可以收集和使用该个人信息，只会导致个人信息删除权成为虚无的空话。互联网时代下，如果我们只享有一些不能实施的权利的话，那我们就没有任何实际的优势 [12] 。因此，搜索引擎运营者应当跟随源网站的个人信息处理者一并删除，当搜索引擎运营者未及时删除时，个人同样可以依据《个人信息保护法》第47条的规定请求搜索引擎运营者删除个人信息。
参考文献
NOTES
1参见Google Spain SL v. Agencia Espa1ola de Protección de Datos (May 13, 2014), Info Curia-Case-Law of the Court of Justice, http://curia.europa.eu/juris/document/document.jsf?text=&docid=152065&doclang=EN。
2参见北京市第一中级人民法院(2015)一中民终字第09558号民事判决书。
3参见北京互联网法院(2019)京0491民初10989号民事判决书。
4The EU General Data Protection Regulation (2018), Art. 17.
5Case C-131/12, Google Spain SL v. Agencia Espan ola de Proteccion de Datos and Mario Costeja Gonzalez.