论《个人信息保护法》中的删除权

论《个人信息保护法》中的删除权
所谓删除权(right to erasure),是指在符合规定条件时，作为信息主体的个人所享有的请求个人信息处理者删除所处理的其个人信息的权利。

从比较法来看，不少国家或地区的个人信息保护法或个人数据保护法都明确规定了个人享有删除权。

在《个人信息保护法》颁布之前，我国法律上也已规定了信息主体即个人针对处理者的删除权。

《网络安全法》第43条中第1句规定：“个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息。

”《民法典》第1037条第2款规定：“自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。

”
《未成年人保护法》第72条第2款规定：“未成年人、父母或者其他监护人要求信息处理者更正、删除未成年人个人信息的，信息处理者应当及时采取措施予以更正、删除，但法律、行政法规另有规定的除外。

”不仅如此，一些法规和规章还规定了处理者主动删除个人信息的义务。

例如，国务院颁布的《征信业管理条例》第16条第1款
规定，征信机构对个人不良信息的保存期限，自不良行为或者事件终止之日起为5年；超过5年的，应当予以删除。

国家网信办颁布的《儿童个人信息网络保护规定》第20条规定：”儿童或者其监护人要求网络运营者删除其收集、存储、使用、披露的儿童个人信息的，网络运营者应当及时采取措施予以删除，包括但不限于以下情形：
（一）网络运营者违反法律、行政法规的规定或者双方的约定收集、存储、使用、转移、披露儿童个人信息的；（二）超出目的范围或者必要期限收集、存储、使用、转移、披露儿童个人信息的；（三）儿童监护人撤回同意的；（四）儿童或者其监护人通过注销等方式终止使用产品或者服务的。

”在总结上述法律法规的规定并借鉴比较法立法经验的基础上，为充分满足我国个人信息权益保护的需要，《个人信息保护法》第47条对信息主体的删除权作出规定，该条共分两款，其中第1款规定：”有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服
务，或者保存期限已届满；（三）个人撤回同意；
（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形。

”第2款规定：“法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。

”我国《个人信息保护法》在规定个人享有删除权的同时施加给个人信息处理者以删除义务, 这具有重要的意义：一方面，删除权更好地保障了个人对其个人信息处理活动享有的决定权；另
删除权也是对个人信息处理活动的两项
基本原则即合法原则与目的限制原则的贯彻落实。

为了理论界与实务界更好地理解并正确适用《个
人信息保护法》关于删除权的规定，本文将围绕
《个人信息保护法》第47条并结合在该条起草过程中的争论，对于删除权进行较为全面系统的研究，主要研究的问题包括：删除权与被遗忘权的关系；删除权与同意的撤回及网络侵权责任中的通知删除规则的区别；删除权适用的情形与要件; 如何实现删除的效果；删除权被侵害的法律责任等。

一、删除权与相关权利的关系
(-)删除权与被遗忘权
被遗忘权(right to be forgotten)的概念最早是由2014年欧盟法院在针对西班牙的“冈萨雷斯诉谷歌案"(Google-Gonz α lez )所作出的判决中提出的。

在该判决中，欧盟法院认为，作为数据控制者的谷歌公司对于其处理的第三方发布的带有个人数据的网页信息负有责任，有义务将其删除。

如果数据的使用超出收集或处理数据的目的，或者数据不完全、不正确、不相关，或者超出储存时间，或者存在强制性合法理由时，数据主体就享有“被遗忘权”，这种权利的享有不要求数据对数据主体造成伤害。

该判决由此确立了欧盟法上的“被遗忘权”概念。

2018年的欧盟《一般数据保护条例》第17条明确规定了被遗忘权。

依据该条第2款规定，如果控制者将符合该条第1款条件的个人数据进行了公开传播，则其应采取所有合理的方式予以删除(包括采取可用的技术手段和投入合理成本)，控制者有责任通知处理此数据的其他数据控制者删除关于数据主体所主张的个人数据链接和复制件。

这就是说, 控制者并非仅仅是删除自己所控制的数据，还要
对其公开传播的数据负有通知其他第三方停止利用、删除的义务。

2015年，在我国发生了第一起被遗忘权纠纷案件，即北京市第一中级人民法院终审的“任甲玉与北京百度网讯科技有限公司名誉权纠纷案”，该案引发了我国理论界与实务界对被遗忘权的关注和讨论。

在该案中，原告曾经与无锡陶氏生物科技有限公司有过合作，网上存在不少关于该合作关系的信息。

原告认为，其与陶氏公司的合作已经结束，且因该公司在业界口碑不好，经常有学生退钱，故如果有学生及合作伙伴搜索其名字，从百度页面看到搜索结果会误以为其与该公司还有合作，该不良搜索结果会影响其就业、工作交流及日常生活，这样的搜索信息应当“被遗忘”，所以原告要求百度公司删除这些信息。

法院终审判决认为，我国现行法中并无法定称谓为“被遗忘权”的权利类型，同时，由于“涉诉工作经历信息是任甲玉最近发生的情况，其目前仍在企业管理教育行业工作，该信息正是其行业经历的组成部分，与其目前的个人行业资信具有直接的相关性及时效性；任甲玉希望通过自己良好的业界声誉在今后吸引客户或招收学生，但是包括任甲
玉工作经历在内的个人资历信息正是客户或学生藉以判断的重要信息依据，也是作为教师诚实信用的体现，这些信息的保留对于包括任甲玉所谓潜在客户或学生在内的公众知悉任甲玉的相关情况具有客观的必要性。

任甲玉在与陶氏相关企业从事教育业务合作时并非未成年人或限制行为能力人、无行为能力人，其并不存在法律上对特殊人群予以特殊保护的法理基础”。

故此，任甲玉在本案中主张的应“被遗忘”（删除）信息的利益也不具有正当性和受法律保护的必要性，不应成为侵权保护的正当法益，其主张该利益受到一般人格权中所谓“被遗忘权”保护的诉讼主张，法院不予支持。

在我国《个人信息保护法》的起草过程中，学界就是否需要规定被遗忘权存在不同的看法。

一种观点认为，被遗忘权是现代信息社会中个人要求清除其负面历史信息并消除因此对自身声誉的不利影响的必然需求，有利于保障人格尊严。

在数字化与信息化时代，合理的遗忘机制已经被打破，”记忆已经成了常态，而遗忘反而成了例外”，“完整的数字化记忆代表了一种更为严酷的数字圆形监狱。

由于我们所说与所做的许多事
情都被储存在数字化记忆中，并且可以通过存储器进行访问，因此，我们的言行可能不仅会被我们同时代的人们所评判，而且还会受到所有未来人的评判”。

“上帝宽恕和忘记我们的错误，但互联网从来不会，这就是为什么被遗忘权对于我们如此重要。

随着越来越多的私人数据在网络上浮动，尤其是在社交网络上，人们应当拥有将他们的数据完全加以删除的权利。

”所以，应当通过确立被遗忘权而确立数字时代中新的遗忘机制，避免个人受困于历史记忆，从而对抗信息与数字技术给个人打上的“永恒烙印”。

《个人信息保护法》所保护的不仅是信息隐私和信息主体的可识别性，同时表明越来越有必要关注个人信息作为评断信息主体的功能，被遗忘权有助于信息主体更新其数字人格。

遗忘过去是谅解个体的陈年劣迹的重要因素，有助于社会和解和个人自省，也可以抚慰逝者亲属的内心。

反对被遗忘权的学者认为，被遗忘权希望实现的目标是删除个人遗留在信息网络当中的各种有关个人的数字痕迹，从而使其被其他人“忘记”，但这些数字痕迹往往是个人在之前产生的不光彩或不愿意让别人“知晓”的信息。

如果承认被遗
忘权，就意味着个人可以不断重写历史、改头换面，将虚假的个人历史信息呈现于世人面前，这种做法构成了对公众的欺骗，损害了公众的知情
权与公共利益，不利于舆论监督。

网络上涉及的个人信息并不一定仅是个人的信息，还会涉及其他人，因此承认被遗忘权会严重损害言论自由与信息的自由流动，同时也无端增加了企业的负担。

至于网络与信息时代的数字化记忆可能会对个人
产生的负应当通过社会规范与社会声誉
机制来调整，而非简单的赋予个体以被遗忘权。

此外，被国内学者热议的欧盟《一般数据保护条例》所规定的被遗忘权，其核心仍然是传统的删除权，无非是在该权利的基础上进行了扩展，即要求数据控制者在已进行传播的情形下，应当告知第三方予以删除。

不少学者混淆了删除权与被遗忘权的内涵，将我国尚未建立的删除权也打上被遗忘权的标签，对我国个人信息保护立法而言, 更为迫切的需求是建立包括删除权在内的最基本制度。

笔者认为，所谓被遗忘权的实质就是删除权, 即赋予个人对于其个人信息处理的决定权，有权在一定情形下要求个人信息处理者删除所处理的
其个人信息，我国《个人信息保护法》第47条已 经对删除权作出了明确规定，且在《民法典》对 网络侵权责任中的通知删除规则也作了详细规定 的情形下，已经足以满足网络信息社会中个人删 除其负面历史信息及消除对人格尊严和人格自由 的不利影响的正当要求。

具体阐述如下：首先,
诚如学者所指出的，被遗忘权的实质就是删除权,
权更贴合权利实质。

无论是被遗忘权还是删除权， 都是要实现个人对其个人信息在某种程度上的控 制，即对其个人信息处理活动的决定权，对此我 国法律一直采取的是肯定态度，故此，从《网络 安全法》到《民法典》，再到《个人信息保护法》， 都在不断丰富和完善个人的删除权等在内的个人 信息权益的内容或权能。

我国《个人信息保护法》 第47条规定了在五种情形下，个人信息处理者应 当承担主动删除个人信息的义务或者个人享有要 求个人信息处理者删除个人信息的权利。

该条规 定的删除权的适用情形相当广泛，足以将被遗忘 权需要保护的情形涵盖进去。

此时，再规定所谓 的被遗忘权，显然是叠床架屋。

从欧盟《一般数 据保护条例》第17条的规定来看，重点也是在第
而在于删除，删除
被遗忘权的 点不在于遗忘,
1款对于删除或被遗忘的情形的具体规定，这些规定和我国《个人信息保护法》第47条的规定基本相同。

其次，如果网络上发布的信息侵害了自然人的名誉权、隐私权等人格权益时，自然人基于名誉权、隐私权等人格权当然有权针对侵权人行使停止侵害、排除妨碍等人格权请求权，要求发布相关信息的网络用户删除该等信息。

对此，《民法典》第995条有明确规定：“人格权受到侵害的，受害人有权依照本法和其他法律的规定请求行为人承担民事责任。

受害人的停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉请求权，不适用诉讼时效的规定。

”如果网络用户利用网络服务实施侵害自然人人格权的侵权行为，除了该网络用户应当承担侵权责任外，依据《民法典》第1195条规定，被侵权人还有权要求网络服务提供者采取删除、屏蔽、断开链接等必要措施，网络服务提供者接到通知后，应当及时将该通知转送相关网络用户，并根据构成侵权的初步证据和服务类型采取必要措施；未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。

该规定就足以保证那些侵害人格
权的信息从网络上被删除。

再次，如果网络上的信息是完全合法公开的个人信息，即便如西班牙谷歌案那样，将搜索引擎服务提供者提供的搜索服务也视为个人信息的处理活动，那么依据《个人信息保护法》第27条以及《民法典》第1036条，个人信息处理者也可以在合理的范围内处理这些合法公开的个人信息, 除非个人明确拒绝。

个人信息处理者处理公开的个人信息，对于个人权益有重大影响的，应当依照《个人信息保护法》的规定征得个人同意。

从此角度来说，如果有人可以证明其已经合法公开的个人信息若被搜索引擎服务提供者搜索出来也会对其个人权益产生重大影响，则可以依据《个人信息保护法》第27条以及《民法典》第1036 条的规定，并结合《个人信息保护法》第47条第4项的规定，向个人信息处理者行使删除权。

换言之，这种处理合法公开的个人信息对个人权益有重大影响，因其并未取得个人的同意，同时也没有《个人信息保护法》第13条第1款第2—7 项规定的其他合法根据，故此，包括搜索引擎服务提供者在内的个人信息处理者属于违反法律处
理个人信息，个人有权请求其删除（对搜索引擎
服务而言即断开链接）。

应当说，除上述情形之外，自然人已无正当的利益要求使网络服务提供者或个人信息处理者删除相关个人信息。

凡是不符合前述情形而需要被删除的个人信息，无论是以何种方式在网络上呈现或流动，都是合法的，个人无权要求删除。

倘若在自然人没有任何正当性理由的情况下可以通过被遗忘权去删除个人信息，势必损害言论自由和公众的知情权，不利于维护公共利益。

诚如学者所言，由于欧盟法院在西班牙谷歌案中没有认识到网络搜索引擎是如何承载了让如今的民主公众舆论形成事实上的交往空间的功能，故此，该案判决已经产生了巨大的负面作用，严重损害了言论自由，制造了新时代的网络审查制度。

据统计，自2014年6月以来，西班牙谷歌案已经促使谷歌处理了至少703910件请求，这些请求要求谷歌从搜索引擎中删除1948737个链接（URL）, 谷歌也在以姓名为关键词的搜索结果中删除了这些链接中的至少43. 2%o在过去数年中，被遗忘权曾被一名乡村牧师所主张，他曾在村民指控他裸身站在住宅窗边咒骂孩童后辞职；被一名医生所主张，他曾试图在他怀孕情妇的饮料中下药致
使儿子流产而被定罪；被一名屠夫所主张，他曾威胁要将与他不和的妻子参与集体性爱行为的录像寄给他富有的岳父母进行敲诈勒索而被定罪。

甚至有人主张被遗忘权来对抗关于被遗忘权的文章。

正因如此，欧盟《一般数据保护条例》第17 条第2款虽然规定了被遗忘权，但是在第3款对被遗忘权的适用进行了严格限制，即在以下情形之一时，不能行使删除权，也不能行使被遗忘权：
（1）行使表达和信息自由的权利；（2 ）为了公共健康领域的公共利益；（3）根据控制者所应遵守的欧盟或成员国法律规定的处理的法定义务，或为执行符合公共利益的任务，或在行使控制者被授予的官方任务时；（4）为了公共卫生领域的公共利益；（5）为了公共利益、科学、历史研究或数据统计目的，如果删除个人信息则导致该目的不可能实现或严重损害该目标的实现；（6）为法定请求权的确立、行使和抗辩。

（二）删除权与撤回同意
依据《个人信息保护法》第15条，当处理者是基于个人同意而处理个人信息时，个人有权撤回同意。

而一旦个人撤回了同意，那么个人信息
处理者就丧失了处理个人信息的合法性根据，除
非依据法律、行政法规的规定可以继续处理个人
信息，否则应当停止处理个人信息。

此时就涉及
撤回同意与删除权的关系问题。

一方
的适用关系来看，撤回同意可能会导致处理者必须删除个人信息，但并非必然如此。

因为在个人撤回同意后，如果处理者符合法律、行政法规规定的处理个人信息的情形，如《个人信息保护法》第13条第1款第2—7项规定的不需要取得个人同意即可处理个人信息的情形，那么即便个人撤回同意，也并不必定导致个人信息处理者要删除所处理的个人信息。

此外，个人只有针对那些基于个人同意而处理个人信息的情形才能撤回同意, 如果本身就不是基于个人同意而处理个人信息的，个人无法撤回。

此时，如果存在处理目的已经实现、无法实现等法律规定的应当删除的情形，则个人只要行使删除权即可，无法也没有必要撤回个人同意。

而且，在处理者完全就是非法处理个人信息时，如通过窃取、非法买卖等方式取得个人信息的，处理者处理个人信息完全就是非法的，个人显然不需要通过撤回同意来阻止处理者处理个人信息，而只需要通过行使删除权要求个人信
息处理者予以删除。

另一方面，从两者的法律效果来看，在个人信息处理者非法处理个人信息而侵害个人信息权益并造成损害时，自然人不仅有权要求处理者删除其违法处理的个人信息，还有权要求处理者承担赔偿损失等侵权责任。

但是，在撤回同意的情形下，个人撤回同意这一行为本身并不影响撤回前基于个人同意已进行的个人信息处理活动的效力，故此，个人不可能在撤回同意后，要求处理者就此前的处理行为承担民事责任。

（三）删除权与网络侵权责任中的删除
我国《民法典》侵权责任编对网络侵权责任作出了详细的规定，其中一项重要的规则就是“通知删除规则”。

依据《民法典》第1195、1196条规定，当权利人发现网络用户利用网络服务提供者提供的网络服务对其实施侵权行为时，有权通知网络服务提供者采取删除等措施，网络服务提供者在接到权利人的有效通知后应当及时采取该等措施，否则需就扩大的损害与实施侵权行为的网络用户一起向权利人承担连带责任。

由此可见，在网络侵权纠纷中，网络服务提供者在特定条件下也负有删除义务。

虽然都用了“删除” 一词，
但是这两类删除是不同的，它们存在以下区别：首先，适用的范围不同。

《个人信息保护法》规定的删除权适用于个人信息处理活动中，是个人针对个人信息处理者所主张的权利，无论处理者是否为国家机关，也无论处理个人信息是否通过网络，均可以适用。

但是，《个人信息保护法》中的删除权不适用于自然人因个人或者家庭事务处理个人信息的情形。

《民法典》关于网络侵权责任中规定的删除属于法律施加给网络服务提供者预防和制止网络侵权行为的一项义务，其仅适用于网络服务提供者，而不适用于其他主体，至于该网络服务提供者是否属于个人信息处理者，在所不问。

也就是说，无论网络侵权行为侵害的是否属于个人信息权益，都可以适用《民法典》网络侵权责任中规定的删除。

其次，适用条件不同。

《个人信息保护法》所规定的删除，既包括个人信息处理者主动删除, 也包括个人请求处理者加以删除。

但是，《民法典》网络侵权责任中网络服务提供者采取删除这一措施的情形有两种：一是，网络服务提供者不知道并且不应当知道网络用户利用其网络服务侵害他人民事权益，此时需要权利人发出符合法律
要求的通知，网络服务提供者收到该通知后有义务删除；二是，网络服务提供者知道或者应当知道有人利用其网络服务实施侵权行为的，那么无论网络用户是否通知，网络服务提供者都必须采取删除等措施。

再次，法律后果不同。

个人信息处理者侵害个人删除权时，个人有权提起诉讼，请求法院判决处理者履行删除义务。

在网络侵权责任中，如果网络服务提供者在接到权利人的通知后没有及时采取删除等必要措施，或者该提供者知道或者应当知道网络用户利用其网络服务侵害他人民事权益而未采取删除等必要措施，则网络服务提供者与侵权人承担连带责任。

二、删除权的适用情形
所谓删除的适用范围，是指在何种情形下，个人信息处理者应当删除其处理的个人信息，且个人有权请求处理者予以删除。

从立法上来看，一般都是既规定能够适用删除权的情形，也规定不能适用删除权的情形。

例如，欧盟《一般数据保护条例》第17条第1款规定的是能够适用删除权即被遗忘权的具体情形，而第3款则规定了不能要求删除的情形。

我国《个人信息保护法》第
47条也采取了这一模式，具体阐述如下。

（-）个人有权请求删除其个人信息的情形依据《个人信息保护法》第47条第1款，以下五种情形中，个人信息处理者应当删除其处理的个人信息，若未删除的，个人有权请求删除：
1.处理目的已实现、无法实现或者为实现处理目的不再必要。

这一删除的情形与目的限制原则密切相关。

目的限制原则要求处理者处理个人信息应当具有明确、合理的目的，并且应当与处理目的直接相关，采取对个人权益影响最小的方式（《个人信息保护法》第6条）。

目的限制原则构成了删除权适用的最核心场景，这也就意味着只有处理目的是明确、具体的，才可能出现处理者目的已实现、无法实现或为实现处理目的而不再必要的可能。

例如，A公司有三个空缺岗位对外进行招聘，收到了100名应聘者投递的简历，经过删选，最终有10名应聘者进入面试环节。

这种情形下，没有进入面试环节的90名应聘者的个人信息对于处理者A公司实现其处理目的（招聘新员工）而言，就不再必要了，应当删除。

一旦
10名面试者中最终录取了3人，此次招聘完成, 则剩余7人的个人信息也应当删除，因为A公司。