太安动态

摘要：本文从我国《民法典》和《个人信息保护法》的背景出发，沿着个人信息删除权的历史渊源追溯其前世今生，并考察删除权本土化的必然性。相较于欧盟《通用数据保护条例》规定的删除权和遗忘权，我国《个人信息保护法》虽仅规定删除权，但已将被遗忘权权能包含在内。删除权作为个人信息项下的民事权益，受私法和公法共同保护。它虽不具有权利独立性，但其保护的法益与其他人格权法益相区别，不能被其他权益所覆盖。删除权的行使不是无限制的，法定情形下个人不得行使删除权，社交平台公开IP属地的行为便属于法定的例外情形。平台以维护公共利益、优化服务为目的，在隐私政策中提前告知用户读取、分析行为的存在，未侵害用户的个人信息。

关键词：个人信息删除权；被遗忘权；民法典；个人信息保护法；GDPR

        一、引言

       近日，我国各大网络社交平台显示用户IP属地引发热议，个人信息删除权被用于对抗IP属地的公开而进入大众视野。个人信息删除权，简称为删除权，是指在符合法律规定或者当事人约定的情形下，信息主体可以请求信息处理者及时删除相关个人信息的权利。大数据时代下技术高速发展，信息成为社会构成的基础元素，人们的生活离不开信息网络，与之伴随的是数字设备端不断生产、储存个人信息，并经网络平台自动化抓取、采集、传播和利用，使信息被永久留存。“遗忘已经变成了例外，而记忆却变成了常态”，遗忘能力的丧失改变了现代社会的记忆机制，催生出个人信息删除权的需求。删除权作为我国一项新的法律概念，在《网络信息保护法》、《未成年人保护法》等单行法中已有相关条款，《民法典》在人格权编中加入个人信息，明确了个人信息删除权，《个人信息保护法》又进一步对适用情形作出细化规定，为维护个人信息权益提供了充分保障。本文拟对删除权的渊源、必要性以及性质进行探讨，并针对社会热点分析删除IP属地信息的可行性。

        二、个人信息删除权的渊源

       个人信息删除权最早起源于20世纪80年代法国法和意大利法上刑满释放人员请求官方不得公开其过去犯罪记录的遗忘权（droit a l’oubli）。随着社会变革，删除权的含义也发生了变化，适用领域不再限于刑法范围。1995年的欧盟《数据保护指令》第12条出现信息删除权的简单规定：“当不完整或者不准确的数据不符合本指令规定时，欧盟成员国应当保障当事人要求纠正、删除或者阻断数据的权利。”95指令本身没有法律效力，需各成员国将其加入本国立法方能产生效力。

    2012年，欧盟议会和理事会发布《Proposal for a“REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL”on the protection of individuals with regard to the processing of personal data and on the free movement of such data》，对95指令进行修订。2014年欧盟法院对谷歌诉冈萨雷斯案（Google Spain SL， Google Inc. v. AEPD， Mario Costeja González，C-131/12，13May2014）作出判决，“被遗忘权”因此进入公众视野，各国开始重视信息删除权的立法规范。2010年2月，西班牙公民冈萨雷斯发现在谷歌搜索引擎输入他名字会出现1998年《先锋报》（La Vanguardia）关于其因无力偿还债务而遭拍卖房产的公告。但冈萨雷斯认为其债务已还清，该信息已不再具有相关性，遂将报社和谷歌公司申诉至西班牙数据保护局，要求报社删除、修改或屏蔽与之有关的个人信息。该案经过西班牙数据保护局裁决、西班牙高等法院审理，因西班牙高等法院认为该案涉及95指令有关条款的理解使用，于是决定中止诉讼程序，请求欧盟法院对法律的适用做出初步裁决。欧盟法院于2014年5月13日作出最终裁决，认为原告应享有被遗忘权，被告谷歌公司提供的检索结果属于“不当的、无关的、过时的”信息，原告有权要求被告删除该信息。

       2018年5月25日，欧盟《通用数据保护条例》（GDPR）的实施进一步完善了删除权和被遗忘权的制度规定，为欧洲的个人信息处理方式设立统一标准，其中第17条详细规定了信息删除权，明确了行使删除权的法定情形、信息处理者的删除义务以及限制情形。

      同时期在我国，删除权并非明确的法律概念。2015年2月，任甲玉发现在百度公司的网站上搜索其姓名，将出现其与陶氏教育关联的词条和链接。由于陶氏教育在外界颇受争议，任甲玉要求百度删除相关信息无果后，将百度公司起诉至北京市海淀区人民法院，主张姓名权和名誉权以及“被遗忘权”侵权，请求百度删除相关信息。一审和二审法院均认为被遗忘权是国外有关法律及判例中确立的概念，我国学术界虽有对被遗忘权本土化的讨论，但我国法律并无被遗忘权的法律规定。同时，由于任甲玉仍在企业管理教育行业工作，涉诉工作经历是其履历真实组成部分，具有相关性和时效性，对客户及学生是判断选择教师的重要信息依据，故任甲玉不能依据被遗忘权请求获得法律保护。该判决说明彼时我国尚未形成删除权的法律制度。

       三、我国设立个人信息删除权的必要性

     （一）大数据时代信息主体掌控个人信息的需求

       当社会的信息化程度加深，多元信息在网络上汇集，数据的获取愈发便利，个人信息的滥用将泄露个人隐私、影响个人形象、侵害个人利益，个人信息已成为法律所必须保护的客体，而个人信息删除权是保护个人信息的重要权利。删除权包含着两个面向，积极面向为“个人可以掌控自己的信息”，消极面向为“避免个人被过去的经历捆绑”。一方面，删除权是个人信息自决权的体现。信息自决权是指“个人依照法律控制自己的个人信息并决定是否被收集和利用的权利”，其内核是自由的自主决定。数据处理行为是主体自我表现、发展自我人格的核心手段，唯有数据主体自己才能够最为准确地掌握自我的利益所在，任何违反当事人意志的信息收集、处理或者利用的行为都侵犯了当事人的自决权，从而侵犯了信息自决权所承载的人格价值和财产价值。另一方面，回归到被遗忘权的初衷，过时的、不再相关的个人历史信息尤其是不良历史信息，需要获得社会谅解。个人信息在网络上的痕迹是个人在网络上的真实投射，大数据将个人的信息碎片加以收集、拼凑，便构成一种网络虚拟人格。信息的价值是动态变化的，虚拟人格与现实人格会因变化产生差异，从而给数据主体带来损害。为避免虚拟人格为个人造成不准确的负面影响，有必要赋予数据主体删除不适格信息的权利。

     （二）法律体系的缺失

       在个人信息保护法出台前，对于个人信息删除权的规定仅仅是模糊且零散的，删除权在我国过去法制上是缺位状态，亟待补全。2010年实施的《侵权责任法》主要着眼于网络侵权的处理，规定的“通知删除规则”与个人信息删除权系不同性质权利。2012年的《全国人大常委会关于加强网络信息保护的决定》、2013年的《信息安全技术、公共及商用服务信息系统个人信息保护指南》均为指导性文件，缺乏法律效力。2013年发布的《征信业管理条例》规定了不良信息的保存期限，征信机构对逾期信息应予删除，是个人信息删除权在征信行业的体现。2017年实施的《中华人民共和国网络安全法》在法律层面上规定了个人信息删除权，但是未明确规定权利主体、义务主体、客体、行使条件、限制条件等权利要件，操作性不强。2018年《电子商务法》进一步明确了删除条件、方式和程序，但删除义务主体限于电子商务经营者。上述规定仅形成删除权制度的雏形，需民法典和个人信息保护法出台统一明确的普适性规定，构建删除权的法律保障体系。

       四、删除权的性质

     （一）删除权与被遗忘权的辨析

      从删除权的渊源中可以看出，删除权与被遗忘权有着千丝万缕的联系，所谓被遗忘权，是指如果权利人不希望其个人数据继续被数据控制者进行处理或存储，并且维持此种状态不存在任何正当理由，则该数据不应当允许公众随意查询。对于二者的关系，学界有四种不同的看法。

      1．相同说：被遗忘权实质就是删除权，两者之内涵与外延几乎是完全重合的，被遗忘权与删除权在本质上是“新瓶装旧酒”。通过梳理欧盟《一般数据保护条例》的制定过程，可以看出制定者有意弱化被遗忘权与删除权之间的区别。2012年的GDPR草案第17条将权利命名为“right to be forgotten and to erasure”，将被遗忘和删除权能并列。在GDPR草案修订中，欧盟执行委员会提出被遗忘权本质是“请求信息控制者删除的权利”。2014年3月，经欧洲议会表决，第17条标题由“被遗忘和删除的权利”更改为“删除权”(right to erasure)。2016年4月，欧盟通过了《一般数据保护条例》，其中第17条最终表述为“删除权‘被遗忘权’” (right to erasure‘right to be forgotten’)。在立法措辞层面上，欧盟将“删除权”与“被遗忘权”并行，并将“被遗忘权”置于引号中，类似语法中别名的用法，有将删除权与被遗忘权视为同一概念的内在意思。

       2．相异说：被遗忘权与删除权系两种独立的权利，二者在条款内容、功能、适用信息范围和可克减性上有所区别。第17条中的被遗忘权的引号应被认为是删除权的内容补充。第一款规定的“该个人信息根据其被收集和处理的目的已经不再有必要”的目的性限制情形系由谷歌诉冈萨雷斯案发展而来，该案具有先例拘束力，体现的是被遗忘权的价值，不能与删除权等同。2017年全国人大代表邵志清在第十二届全国人民代表大会第五次会议上提出的《中华人民共和国个人信息保护法(草案)》议案中，第二章“个人信息权”第18条和第19条分别规定了删除权和被遗忘权。

       3．包含说：删除权与被遗忘权的逻辑关系是包容关系，二者具有从属性。一部分学者认为删除权是被遗忘权的一部分，删除权是实现被遗忘权的手段。传统删除权系个人信息主体在法定情形要求个人信息处理者删除个人信息，而被遗忘权拓宽了个人信息主体的权利范围。信息主体通过行使被遗忘权要求信息处理者进一步删除传播中的个人信息，阻断信息的扩散。另一部分学者认为被遗忘权仅是删除权的一部分，属于删除权的某种特殊情形。删除权规定在符合特定条件下可以删除个人信息，保障个人信息自决权，而被遗忘权包含在删除权规定的范围内，二者具有种属的逻辑关系。

       4．竞合说：删除权与被遗忘权是不同的概念，但相互关联。GDPR第17条由两部分组成，第1款以传统删除权为核心，要求数据控制者在法定情形删除个人数据，而第2款规定了公开传播的信息在特定情况下的删除，体现了“被遗忘”的精神。GDPR体现了二者既有相同又有区别的关系。

      笔者认同上述包含说观点：GDPR中的被遗忘权是删除权的一部分，第17条第一款的目的性原则与其他法定情形并列，均属于删除权的范围，被遗忘权是信息时代发展下删除权的新内涵。然而，上述观点大部分出现于我国《民法典》和《个人信息保护法》制定前，对删除权与遗忘权的关系围绕GDPR展开，本文讨论的我国个人信息删除权不同于GDPR删除权的性质。随着上述两部法律的出台，我国个人信息删除权内容得到完善，从个人信息保护法草案中分设被遗忘权和删除权到最终统一为删除权，已将被遗忘权吸收。从目的角度而言，我国删除权和GDPR被遗忘权均是为实现个人对其个人信息的控制，确保个人信息的自主性。从内容角度而言，我国《个人信息保护法》第47条规定的五种情形足以涵盖被遗忘权的适用情形，即使二者的构成要件存在区别，但不影响删除权发挥被遗忘权的权能。从立法角度而言，再增设被遗忘权将导致两种权利重合，不利于权利的行使和司法实践上的认定；相反，我国制定的删除权将GDPR删除权和被遗忘权覆盖，避免了二者的争议。从例外情形而言，相较于《个人信息保护法》GDPR规定了五种例外情形，《个人信息保护法》第47条虽仅规定了“法律、行政法规规定的保存期限未届满”、“删除个人信息从技术上难以实现”两种不得删除的情形，但结合民法典第1036条相关规定，足以列明删除权的限制条件。

      （二）个人信息删除权的法律属性

        1．删除权属于私法权益。

        周汉华教授将个人信息权认定为“完全独立的一项新型公法权利”，但笔者认为个人信息属于私权，民法典在人格编中第五章“隐私权和个人信息保护”规定的个人信息删除权亦确认了其民事属性。首先，删除权所保护的个人信息自决权属于私人利益，个人信息涉及自然人的人格尊严和人身财产权益，其性质决定了个人信息删除权的私法属性。其次，删除权的权利义务关系属于平等主体间的民事关系，无论是非国家机关的民事主体，还是行政机关、司法机关等国家机关，处理个人信息均负有不得侵害自然人民事权益的义务。“在私法权利保护的问题上，不存在公权力机关比非公权力机关处于更优越地位”，否则就完全违背了法治国家的原则。在删除权的行使上，国家机关和非国家机关处于同等地位。最后，删除权的规定中虽不乏公法规范，如国家机关和工作人员的职责，但民事权益本就在行政法、刑法等公法保护范围内。不能因此一概否认其私权的属性，而应综合考虑其法律性质。在删除权规定中加入公法条款是为了扩大个人信息的保护范围，更好地保护私法权益。

       2．删除权属于人格权益

       因个人信息具有财产利益和人格权益的双重属性，关于删除权是单一人格权还是人格与财产复合权益是学界不断讨论的问题。持复合权观点的学者认为，个人信息的商业价值在大数据时代发展中不断增强，法律赋予个人信息主体相应的信息财产权利于信息主体向第三人主张信息的财产收益。诚然，个人信息的财产价值不能否认，但数据才是财产权的客体，信息与数据并不相同，二者之间是内容与形式的关系，数据是表现信息的载体。尽管在数字技术的背景下，信息和数据缺少绝对的区分，但国际标准化组织（ISO）还是对信息和数据作出了相对的定义：“数据是信息的一种形式化方式的体现，该种体现背后的含义可被再展示出来，且该种体现适于沟通、展示含义或处理。因此，信息和数据是在内容和形式两个层面上对同一个对象的描述。”《民法典》亦对此加以区分：个人信息规定于《民法典》人格权部分，明确人格权的法律地位；数据则与与虚拟财产并列，明确财产权的法律地位。故个人信息是人格权的客体，个人信息删除权围绕个人信息保护展开，必然属于人格权范围。

       从本质而言，删除权所保护的信息自决权是维护个人信息主体的自主权，初衷仍在于让信息主体不受过去不恰当的信息的影响，保护的是信息主体的人格权益，而非财产权。况且，人格权性质的认定亦不影响财产损失的主张。王泽鉴教授指出，人格权上对财产利益的肯定，非谓将人格权本身加以财产化，而是肯定个人的一定特征具有财产价值。

       3．删除权作为个人信息项下权能所保护的法益具有独立性

       卡尔·拉伦茨认为权能包含于权利中，系尚不能独立的权利的功能。如物权所有权中的用益权可独立转让故具有权利属性，债权中的抵消、让与和出质等权能不能与债权分离故不构成独立权利。个人信息权益是由知情权、查阅权、更正权、删除权等权能组成的权益，其中删除权是个人信息所包含的尚不能独立的功能，不构成独立的具体人格权。删除权的行使依附于个人信息的人格特征展开，对于一般的公众信息，则不具备删除权的行使条件。故删除权作为个人信息的效力表现，不具有独立转让性，无法脱离个人信息而单独存在。尽管《个人信息保护法》第四章“个人在个人信息处理活动中的权利”对个人信息权能采取了权利表述，但该标题是为对应第五章“个人信息处理者的义务”，无法表明删除权具备权利的独立转让性。

       个人信息各项权能分别发挥着不同的特定作用，其中删除权承担着在个人信息处理活动中保障信息主体个人信息的完整、自决等功能。有学者认为“删除先前公开的相关个人信息或者从搜索引擎以及其他信息收录、索引和处理的方式中的权利只不过就是其他权利簇中积极权能的集合。它们可能分属不同的权利”，但笔者认为删除权的功能并非单纯的权能集合，其拥有相对独立的权利内容，所保护利益的核心内容是可以确定的，即信息主体对自我信息的控制权益。退一步讲，在维护权益的路径选择上，即使删除权可以被其他具体人格权所覆盖，但删除权所反映的利益并不能被其他人格权吸收。过去的删除权能分散在其他人格权范围内，对信息控制权益的保护并不明确，缺少针对性。在大数据时代下个人对其信息的强势支配地位受到威胁，为保障技术发展中个人人格不受到侵害而统一确立删除权是时代所需。

        五、删除权与公开IP属地

       2021年10月26日，国家网信办发布的《互联网用户账号名称信息管理规定（征求意见稿）》建议公示账号IP属地。第十二条规定：“联网用户账号服务平台应当以显著方式，在互联网用户账号信息页面展示账号IP地址属地信息。境内互联网用户账号IP地址属地信息需标注到省（区、市），境外账号IP地址属地信息需标注到国家（地区）”。该征求意见稿至今未正式出台，但多家社交平台已上线公开账号IP属地的功能，引发公众对个人信息保护的热议，不少网络用户在功能上线后要求删除个人IP属地。平台以打击网络不良行为、肃清网络风气为由公开用户的IP地址属地，是否属于行使删除权的例外情形，尚需探讨。

       分析上述问题，首先应判断IP地址属地是否属于个人信息。根据个人信息的法律定义，个人信息的主要特征是已识别或有可识别性。而IP地址属地在法律上并无定性，其不同于具有唯一性的IP地址，并不会精准定位到用户所在位置，部分人据此认为IP属地不具有可识别性从而不属于个人信息。但程啸教授在《平台公开IP地址属地信息的问答》中肯定了IP地址属地的个人信息性质：“在我国，由于社交平台按照规定要采取实名制或进行实名认证。故此，对于社交平台而言，网络用户是已经识别的自然人，故此网络用户的IP地址以及IP地址属地信息也就都属于个人信息。”北京互联网法院在（2019）京0491民初6694号案件中认定IP属地由手机定位获得，“因为手机号码具有识别性，在获得了手机号码的情况下，微播公司收集的位置信息是凌文君在活动中产生的信息，能够起到识别个人特征的作用，属于个人信息”。上述观点的逻辑系以IP属地所联系的载体具有可识别性，从而认定IP属地具有可识别性，显然过于牵强。诚然，对社交平台上的IP属地不能孤立看待，IP属地与用户的社交账号绑定，平台所公开的实际是“IP属地信息+社交账号名称+用户活动记录”相结合的数据集，但该数据集的虚拟性、变动性强，依旧不具有现实个体上的可识别性。

       事实上，北京互联网法院进一步说明，即使微播公司通过IP地址获得模糊的位置信息，但IP地址具有唯一性即可识别性，属于个人信息，微播公司在用户同意隐私条款前便读取用户IP地址，进行分析获得IP属地并公示，构成对个人信息的不当使用和处理。在其未征得原告凌文君同意的情况下，该行为侵犯了凌文君的合法权益。同理，社交平台公布IP属地需要提前分析用户的IP地址，而IP地址作为个人信息受到法律保护。公开IP属地的行为本身并不侵犯个人信息，但未经用户同意使用IP地址进行分析的行为则构成侵权。然而，不同于微播公司擅自处理信息的行为，目前各大社交平台在隐私政策中已声明为“保障服务的安全运行”、维护产品运行而收集、分析IP地址，征得用户同意后，进一步获取了用户IP属地并公布，并未侵犯用户的个人信息权益。

       退一步讲，即使IP属地属于个人信息，平台未经用户同意公开，属于《民法典》第1036条“为维护公共利益或者该自然人合法权益，合理实施的其他行为”的免责条款。国内平台公开IP属地信息是一种互联网内容治理的新措施，有利于压缩谣言、网暴生存空间，保障理性、文明、真实的网络传播秩序，符合公共利益。同时，面对公众的热议和担忧，社交平台也应及时回应问题，加倍重视个人信息保护，并对公开IP功能不断进行优化和完善，避免出现技术错误。

       六、结语

       自欧盟被遗忘权第一案以来，国内对被遗忘权本土化与构建的讨论从未休止，直至民法典、个人信息保护法的出台后，我国才确立个人信息删除权的法律概念。目前我国删除权的法律制度框架已经搭起，但其中原则性和抽象性的规定居多，需要未来有相应的法规规章以及标准等加以细化，亦需要行业内部特别是网络平台的统一准则加以配合，从而使之具有可操作性。学者统计表明，自2014年5月的谷歌诉西班牙数据保护局案之后，仅截止到当年年末，谷歌就收到了将近50万条删除检索链接的投诉，其中只有不到四成被成功删除。这意味着细化制度的缺失将增加网络企业的运营成本，仅靠人工审核，将消解我国信息产业发展的后发优势。此外，个人信息删除权的实践还存在着较多障碍，执行难的问题十分突出，就当前的网络技术无法实现将个人信息在网络空间中彻底删除。删除权作为一项新型权益，其制度建设仍然任重道远。但随着《个人信息保护法》的施行，删除权所引发的相关纠纷将积累更多司法经验、推动法律制度的完善，互联网和数字化技术的进步也将提供有力的删除技术支撑、构建起个人信息保护屏障。

 说明：相关案例、文件内容与引文出处已作删除，不详细列明。