百朗律师事务所
您当前的位置 : 首页  >  研究成果  >  理论文章
理论文章
法律时评

从滴滴事件看消费者的被遗忘权

3月25日,美国《外国公司问责法案》通过,对外国公司在美上市提出额外的信息披露要求。一批在美国上市的中国公司选择从美股退市,在A股或者港股重新上市,这其中包括京东、网易、百度等知名互联网企业。
6月10日,《中华人民共和国数据安全法》发布,并将于9月1日施行。
6月11日,Boss直聘在美国纳斯达克上市,融资8.7亿美元。
6月22日,拥有“运满满”和“货车帮”的满帮集团在美国纽交所上市,融资15亿美元。
6月30日,滴滴在美国纽交所上市,融资43亿美元。
7月2日,网络安全审查办公室发布公告,对“滴滴出行”实施网络安全审查,审查期间停止新用户注册。
7月4日,国家互联网信息办公室发布通报,“滴滴出行”App因存在严重违法违规收集使用个人信息问题下架。
7月5日,网络安全审查办公室发布公告,对“运满满”“货车帮”“Boss直聘”实施网络安全审查,审查期间停止新用户注册。
7月9日,国家互联网信息办公室通报,“滴滴企业版”等25款App因存在严重违法违规收集使用个人信息问题下架。


滴滴、Boss直聘、满帮在美国《外国公司问责法案》出台后仍怀揣着海量敏感数据(用户数据与道路数据、就业数据、货运数据)赶在国家《数据安全法》施行前低调赴美上市,不但危及用户信息安全,甚至威胁到国家安全。
为何滴滴等要逆势而行,铤而走险?——答案只能是“利”字当头+侥幸心理。但是,国家虽然忙于建党百年大庆,也没有放任滴滴等暗度陈仓。
此次滴滴下架、Boss直聘等被查事件将对数据安全问题的讨论推向了新的高潮,个人信息保护问题再一次刺激着广大消费者的神经。
在大数据背景下,我们的个人信息,甚至隐私信息已无处遁形。在互联网时代,记忆成为常态,遗忘成了例外。
消费者如何行走于江湖、相忘于江湖?——“被遗忘权”不可或缺。
什么是“被遗忘权”?

一、国际上关于“被遗忘权"的概念
“被遗忘权”(right to be forgotten),是数据时代产生的新型权利,即数据主体有要求数据控制者删除关于其个人数据的权利,控制者有责任在特定情况下及时删除个人数据。也就是说如果一个人想被世界遗忘,相关主体应该删除有关此人在网上的个人信息,“被遗忘权”也是个人信息数据被不当获取或使用时的救济制度。
《欧盟数据保护指令》在1995年规定了“删除权”,后在2012年修订《数据保护指令》时首次提出“被遗忘权”。2018年5月25日生效的《欧盟数据保护通用条例》以欧盟法律的形式正式确立了被遗忘权,规定了被遗忘权的行使要件及限制条件。

二、“被遗忘权”在我国是法定权利吗?
目前我国尚未有明确的“被遗忘权”立法,但在如下法律法规中有类似法律意义的规定:
2012年《全国人大常委员会关于加强网络信息保护的决定》第8条:公民发现泄露个人身份、散布个人隐私等侵害其合法权益的网络信息,或者受到商业性电子信息侵扰的,有权要求网络服务提供者删除有关信息或者采取其他必要措施予以制止。
2013年9月《电信和互联网用户个人信息保护规定》第9条:电信业务经营者、互联网信息服务提供者在用户终止使用电信服务或者互联网信息服务后,应当停止对用户个人信息的收集和使用,并为用户提供注销号码或者账号的服务
2017年6月《网络安全法》第43条:个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的,有权要求网络运营者删除其个人信息;发现网络运营者收集、存储的其个人信息有错误的,有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正
2021年1月《民法典》第1037条第2款:“自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的,有权请求信息处理者及时删除
以上“删除权”“更正权”“账户注销权”都是“被遗忘权”的表现,这些权利虽然不是独立的权利类型,至少是一种合法权益,为个人信息保护提供了切实的法律依据。
哪些个人信息有权被遗忘?
“个人信息”是指一切可以识别本人的信息的总和,如身份信息、身体特征、经济与财产状况、家庭与社会关系、教育经历、职业经历、健康状况等,个人信息涵盖内容非常广泛。
在当前信息社会,每个人的一言一行、每时每刻都在生产信息,如果所有信息都应该被遗忘,就如同不曾来过这个世界一样,那么人的社会属性将不复存在,现代社会发展也寸步难行。
我国首例“被遗忘权”案是任某诉百度案,任某因在百度中搜索自己的名字,发现工作履历中有和陶氏教育相关的信息记录。任某认为陶氏教育在业界名声不好,遂主张“被遗忘权”,要求百度删除其关于陶氏教育的相关搜索。法院认为我国现行法中并无“被遗忘权”的权利类型,原告所主张的一般人格利益,只有在满足正当和必要的前提下方可支持。任某主张的应“被遗忘”(删除)信息的利益不具有正当性和受法律保护的必要性,遂驳回任某的诉讼请求。
本文对于教育经历、工作履历等具有社会属性的个人信息是否有“被遗忘权”,以及明星、公众人物的“被遗忘权”是否应当受到限制不做过多讨论。只讨论与社会属性不相关的诸如出行记录、交易记录、身份信息、健康状况等纯属私人内容的数据信息。
“被遗忘权”如何行使?
 一、将信息采集主导权、选择权交给消费者
在欧洲,以德国为代表的大陆法系国家,将个人信息视作公民人格和人权的一部分,认为个人信息是自然人人格的载体,故沿着一般人格权的保护思路,在个人信息保护中引入“信息自决权”。也就是我的信息我做主。
具有行业垄断地位的互联网企业经常在APP软件中设置“默认勾选”或者不给“一揽子授权”就不能使用APP,以此种方式使个人信息主体同意其收集个人信息,从而表面符合了法律所要求的网络运营者的信息收集方式之“按照双方的约定”,但实际变相剥夺了消费者的“信息自决权”。
来看看滴滴的个人信息保护及隐私政策,看看滴滴要收集多少个人信息: 

00asda.png

这种方式貌似给了消费者选择权,但并不是允许收集信息与禁止收集信息的选择权,而是是否使用APP的选择权。
消费者可以选择不用,如果用,就必须“授权”,实则是强迫消费者同意其收集个人信息,要求消费者既然选择享受信息化所带来的生活的便捷,就要以在大数据时代才具有价值的个人信息作为对价。
而消费者在没有其他选择的情况下,只能被迫屈从,毕竟个人信息对于个人而言并没有能够产生直接利益的价值。
但是提供个人信息却能够随时将自己变成刀俎下的鱼肉,人身权、财产权、人格权、名誉权都有可能因为信息被泄露或不当使用而受到侵害。
2019年5月国家互联网信息办公室发布的《数据安全管理办法(征求意见稿)》(至今尚未生效实施)第十一条规定:网络运营者不得以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由,以默认授权、功能捆绑等形式强迫、误导个人信息主体同意其收集个人信息。个人信息主体同意收集保证网络产品核心业务功能运行的个人信息后,网络运营者应当向个人信息主体提供核心业务功能服务,不得因个人信息主体拒绝或者撤销同意收集上述信息以外的其他信息,而拒绝提供核心业务功能服务。
互联网企业的发展必然具有垄断性,利用垄断地位的威逼授权实际上就是消费者没有选择权。中国社会科学院信息化研究中心秘书长姜奇平认为,把信息采集主导权、选择权交给消费者,是信息服务的原则性问题。为了收集信息采取胁迫或者误导行为,都是坚决不能被允许的。

二、赋予消费者撤回权
如果消费者因为误操作而授权网络运营商收集自己的个人信息,或者后悔同意网络运营商为特定目的收集、处理其个人信息的,有权撤回同意,即赋予消费者“反悔权”,尤其是针对一些敏感信息,如身份证信息、电话号码、银行卡号、个人指纹、声纹等生物识别信息、邮箱地址、网页浏览记录、精准定位信息等。
个人数据的收集应当有具体的、清晰的和正当的目的(而现在互联网企业的信息收集目的普遍是笼统的、模糊的),对个人数据的处理不应当违反初始目的。如果保存个人数据对于实现当初被收集、处理的目的已经不再必要,数据主体自然有权要求删除个人数据。比如消费者在购物网站完成交易后,或者账号注销后,数据控制者继续占有、处理用户个人信息就已失去了正当目的,数据主体有权要求删除相关信息。
撤回权背后的逻辑是既然收集、处理这些数据需要以消费者同意为前提,那么消费者自然有权撤回同意,从而要求数据控制者删除这些数据。

三、消费者有权附条件地同意信息收集
不可否认大数据对于社会发展的促进作用,比如,生产者具有自身的价值,而消费者则是价值的意义所在。消费者如果不认同,就卖不出去,价值就实现不了;消费者如果认同,就卖得出去,价值就得以体现。大数据可以帮助我们从消费者这里分析意义所在,从而帮助生产者实现更多的价值。大数据的价值本质上体现为“提供了一种人类认识复杂系统的新思维和新手段”。
如果消费者愿意为大数据分析提供数据样本,但又不想个人信息被获取,消费者可以选择附条件地同意信息收集,即消除个人信息中的可识别信息,就类似于填写了一份匿名调查问卷,涉及可识别性信息时予以隐匿,或者以一定的代码来代替。网络运营商可通过这样的数据分析某一行业的消费者习惯,但不能对某个消费者进行个体分析、精准投放。

四、消费者对违法收集、使用的个人信息有权要求删除
网络运营商违法收集、使用消费者的个人信息,往往涉及对人格权(如姓名权、肖像权、名誉权、隐私权)的侵犯,依据侵权责任的承担方式主张权利,也能起到与行使“被遗忘权”同样的效果。
被遗忘权的主要功能在于有效避免保存在网络上的“不当的、不相关的、过时的”个人信息继续侵扰信息主体当前的生活状态,其主要是通过删除从而实现被遗忘的目标。

综上,大数据时代,个人信息的保护变得比以往任何历史时期都有必要。大数据时代,我们可以自主选择是被记住,还是被遗忘。