互聯網的「被遺忘權」*

歐洲法院的裁決

歐洲法院2014年5月13日有關「被遺忘權」的裁決1,在過去數月成為了國際保障私隱業界其中一個熱門話題。

長話短說,有關案件源自於1998年有報章刊登一名西班牙國民因無力償還債務而遭拍賣物業的公告,其後公眾仍可不斷透過Google搜尋到該項資訊。該公告在當時是準確及合法刊載的。但當事人債務還清後,該資訊便變得不相干及誤導。據此,歐洲法院裁定該名西班牙國民(即投訴人)勝訴,並要求Google刪除或隱藏該項資訊,即使用其名字進行「搜尋」,再也不會出現在搜尋結果中。

歐盟的資料保障改革

具體來說,「被遺忘權」是歐盟資料保障改革建議的其中一部分,以確保大眾可以更有效地控制其個人資料,並且方便企業在歐盟市場中營運及進行創新。有關建議於2014年3月12日已獲歐洲國會核准,但尚待部長理事會正式採納。

縱使並未正式成為國家法律,但今次歐洲法院的裁決對「被遺忘權」予以某程度的肯定。而「被遺忘權」的背後理據是賦予公民權利,讓他們可在網上控制其個人的身份。如果某人不希望其個人資料被「資料控制者」(歐盟所用的詞--,等同香港《個人資料(私隱)條例》(下稱《私隱條例》)中的「資料使用者」)處理或儲存,而「資料控制者」也沒有合理理由以作保留,便應從系統中刪除該資料。

反對「被遺忘權」

確切地說,歐洲法院的裁決引用這項權利,是考慮到該個人資料與收集或處理時的原來目的,以及距離當初資料刊發時間久遠的因素,因而得出「不足夠、不相干或不再相干、或超乎適度」的結論。法院判決確認搜尋器鋪天蓋地提供這些具爭議性的資訊,是對私隱有不成比例的負面影響。這判決旋即引起許多爭議。

Google對這項法院判決表示「失望」。自歐洲法院頒發這判決以來,Google已接獲超過190,000宗要求從其搜尋器中移除有關個人資料連結的申請。一如所料,不少提倡資訊自由者表明反對這項裁決。部分人士擔心「被遺忘權」意味着「網絡自由」的終結,亦有人憂慮行使「被遺忘權」將會妨礙言論自由或獲取公開資訊的權利。這些反應有點言過其實。

歷史不會被消除

首先,「被遺忘權」的可行使範圍是有限的。它只限於移除以人名(如「John Smith」)進行搜尋的結果。倘若以其他字詞(例如「倫敦車禍」,而車禍的肇事人是John Smith)進行搜尋,則包含事主名稱的資訊是不會被移除的。

「被遺忘權」只是一個便利的標籤,用詞可能不盡恰當,因為行使這項權利並不會令已發布的資料被刪除。「被遺忘權」可為個人「充權」,即個人可以控制其個人資料在網上的發布,而所移除的僅是網上搜尋的結果而已。原來的資訊會繼續存在於源頭,並可以在網上供人直接查閱,或以其他字眼搜尋查閱。無論是否從搜尋器網頁移除有關連結,曾在報章公開的紀錄將繼續在網上流傳。因此,有指行使「被遺忘權」會把過去的事件抹去或把歷史改寫,確有誤導之虞。

沒有絕對的「被遺忘權」

其次,「被遺忘權」並非凌駕於言論自由或新聞自由之上,亦沒有絕對的權力可移除任何連結。每個移除連結的要求都必須按其情況作出判斷。

一個由歐盟資料保障機關組成的工作小組,於2014年11月底公佈了一套如何在歐洲實施「被遺忘權」的指引(下稱「指引」)。他們確認有需要在個人權利和其他權利及利益之間作出平衡,最終結果可能取決於相關個人資料的性質和敏感程度,以及獲取該特定資料是否涉及公眾利益。

該指引闡述了決定是否接納移除資訊連結時須予考慮的13項判斷準則2,當中包括:

  • 當事人是否公眾人物(例如政界人士、高級公職人員、[受規管]的專業人士),以及公眾獲取有關資訊能否保障他們免受當事人公職或專業行為失當所造成的風險(例如針對醫生失職的訴訟、政界人士或商人的不誠實行為的資訊連結都不太可能被移除);
  • 資訊是否涉及公眾人物執行公務,而非純屬私人的資料,例如個人健康或家庭成員等資料(若資訊實屬涉及公務,移除資訊連結會受質疑);及
  • 資訊是否敏感(例如關於個人健康、性徵或宗教信仰等資訊),而對資料當事人的私生活影響很大。(若資訊實屬敏感,移除資訊連結的請求受理的機會則提升。)

依據這些準則,「被遺忘權」明顯與很多反對者所言的有落差。「被遺忘權」既不會容許公眾人物「撇清」他們不光彩的個人點滴,也不會讓對公眾負有責任的專業人士或公職人員掩飾其過去的不當行為。

歐洲法院的裁決可否適用於香港?

歐洲法院的裁決當然對香港的法院沒有約束力。乍看起來,並不可引用香港的 《私隱條例》行使該權利。正如東周刊案3中,上訴法庭裁定時指出「⋯⋯在收集個人資料的行為中,資料使用者必須藉該行為匯集已識辨其身分的人士,或設法或欲識辨其身分的人士的資料,有關行為才屬收集個人資料」。故此,Google並不算是資料使用者,因為它沒有收集個人資料的行為。它只是擔當中介角色,只提供一個平台,方便網上用戶在各個不同的網站中搜羅資訊。

再者,Google只處理由歐盟國家及四個非歐盟國家(冰島、列支敦士登、挪威及瑞士)的國民所提出的刪除連結要求。

刪除連結的地域效力

到目前為止,Google在處理值得刪除連結的個案中,只局限於所有其相關的歐洲網站,並沒有同樣地於google.com網站刪除有關的連結。因此,任何人如使用google.com版本的搜尋器,將能繞過歐洲法院的裁決,閱覽完整的搜尋結果。

歐盟資料保障機關已就這異常現象在指引中述明,搜尋器在落實執行刪除連結時,必須確保資料當事人的權利受有效及完整的保護。事實上,這意味著刪除連結不應局限於歐盟網域,而是適用於所有相關的網域,包括.com。

具啟發性的事實與數據

一些有關Google落實處理要求刪除連結的數據甚具啟發性,例如在處理刪除連結的申請個案中,Google只移取了百分之四十的有關連結,但拒絕移取餘下的百分之六十。這顯示Google力求謹慎,並未如很多反對「被遺忘權」人士般推測,會有求必應地處理刪除連結的申請。

再者,百分之九十的申請幾乎不假思索就能決定是否接納。只有餘下的百分之十個案需小心平衡私隱權和公眾知情權,其中部分個案亦各自向相關的歐盟資料保障機關,就Google的判決提出上訴,但為數甚小。例如英國資訊專員公署收到約130宗上訴申請;這微不足道的數量,遠遠未如預言者所憂慮的網絡大災難般嚴重。

話分兩頭,一些要求移除連結的個案當事人確實受到很明顯且不成比例的傷害,而捍衛私隱是義不容辭的,例如:

  • 一名曾遭受暴力對待的受害者,想把有關提及該次襲擊事件的資訊移除;
  • 一名強姦案的受害者要求移除連結至一篇有關該宗罪案的報章報道;
  • 一名女子要求移除連結至她前男朋友所拍攝的親密暴露照片;
  • 一名女士要求移除一篇數十年前關於其丈夫謀殺案的文章,文中曾提及她的名字;及
  • 一名於數十年前發生的罪案受害人要求移除連結至討論有關該案件的文章。

大多數的移除要求都與社交媒體上的素材有關,例如Facebook、Profile Engine、Google Groups/+、Badoo和YouTube等平台。縱然它們不是「具新聞價值」的刊物,亦無涉及公眾利益,但它們確實影響到一般人的私生活,移除搜尋結果的確可以減輕對涉事者的傷害。

另一邊廂,拒絕要求的個案明確地彰顯公眾知情權比個人私隱權更為重要,例如:

  • 一名性罪犯想移除連結至最近有關他的定罪資訊;
  • 某人曾多次提出要求移除二十條連結,這些連結是接連至近期有關他因利用專業職能干犯金融罪行而被捕的文章;及
  • 一名公職人員要求移除連結至一封要求罷免其職務的學生組織請願信。

展望

「被遺忘權」仍是一個在演變中的新概念,預料在不久的將來會有迅速的發展。

首先,儘管歐洲法院的裁決對歐盟以外的法院不具約束力,但涉及行使類似權利的個案,最近已在歐盟以外的地方進行審理,其結果會對是否可全球化地行使「被遺忘權」有一定的啟示。

第二,除Google外,其他搜尋器均已着手處理或即將開始處理所收到的移除連結申請。各搜尋器會如何應對由歐盟資料保障機關的工作小組所發布的指引,尤其是當中有關移除搜尋結果適用於全球而非只限於歐盟網域所羅列的搜尋結果的要求,我們將拭目以待。

第三,歐盟資料保障機關一旦就搜尋器案件判決的上訴作出裁定,便會成為重要的先例。

最後,Google已任命了一個委員會(成員包括私隱專家和提倡資訊自由者)就如何落實歐洲法院的判決提出建議。他們亦將會發表一份檢討報告。

此同時,我呼籲反對「被遺忘權」的人士保持開放態度,從正確的角度重新檢視這個議題。我認為言論自由及私隱權都是基本人權,兩者既不是絕對也無分高低,在任何情況下都應取其平衡,這是至關重要的。  

 


* 本文是個人資料私隱專員分別於2014年6月26日及2014年12月30日於網上(http://www.pcpd.org.hk)刊登的兩篇網誌刪節修改而成的

1Google Spain SL, Google Inc v Agencia Espanola de Proteccion de Datos, Maria Costeja Gonzalez (Court of Justice of the European Union, Case C-131/12, decision 13 May 2014. English text at http://tinyurl.com/qggvndl

2附加在指引最後部分的13項準則:http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp225_en.pdf (英文版)

3Eastweek Publisher Limited & Another v Privacy Commissioner for Personal Data [2000] 2 HKLRD 83