周辉  国家行政学院博士后研究人员，北京大学法学博士

在网络时代的今天，提供搜索服务的网络服务提供者发挥者愈来愈重要的作用。在网民中有着这样的共识：“内事不决问百度，外事不决问谷歌。”作为重要的信息处理平台，搜索引擎可以为网民在巨量的网络信息中的检索提供极大便利。使用搜索引擎已经成为网民网络生活难以分割的一部分。

2014年，欧盟法院（Court of Justice of the European Union）的一则判决（Google Spain SL & Google Inc v Agencia Española de Protección de Datos (AEPD) & Costeja González）打破了搜索引擎与网络用户之间的“和谐”局面。该案件被称为被遗忘权第一案。下文对该案判决的主要内容进行介绍

一、案件当事人

该案的一方当事人是谷歌公司（Google Inc.）和谷歌西班牙公司（Google Spain），另一方当事人是西班牙资料保护局（Spain Data Protection Agency，以下简称“SDPA”）和西班牙公民Mr. Costeja Gonzalez（以下简称“冈萨雷斯”）。

二、案件背景

1998年有报章刊登了西班牙公民冈萨雷斯因无力偿还债务而遭拍卖物业的公告。冈萨雷斯发现，如果在谷歌搜索引擎输入他的名字，会出现两个链接指向《先锋报》（La Vanguardia）的两个网页。这两个网页分别包含了1998年1月19日和3月9日的报道，涉及他将房产拍卖偿还社保债务的信息。当其债务还清后，冈萨雷斯认为这些信息已经过去多年，不再有相关性，希望删除这些可能具有误导性的负面信息不再为公众通过谷歌搜寻到。

于是，他在2010年3月5日向SDPA提出申请，请求SDPA：1.命令《先锋报》移除或更改这些网页信息；2.命令谷歌公司和谷歌西班牙公司移除或者隐藏指向《先锋报》的相关链接。

SDPA于2010年7月30日作出决定，批准了冈萨雷斯针对谷歌公司和谷歌西班牙公司的申请，但驳回了其针对《先锋报》的申请。

谷歌公司和谷歌西班牙公司针对SDPA的决定分别向西班牙全国高级法院（National High Court）提起诉讼。

西班牙全国高级法院认为搜索引擎服务出现于《欧洲议会和欧盟理事会1995年10月24日关于对与个人资料处理有关的个人进行保护以及资料自由流动的95/46/EC号指令》（以下简称《指令》）颁布之后，需要明确搜索引擎运营商保护个人资料的义务，涉及《指令》有关条款的理解适用，于是决定中止案件的审理，请求欧盟法院对法律的适用做出初步裁决。

三、相关法律

本案中涉及的主要法律是《指令》（以下简称《指令》）和《欧洲联盟基本权利宪章》（以下简称《宪章》）。

四、主要的法律问题

西班牙全国高级法院提请欧盟法院主要解释以下几个问题：

1.是否存在连接点使得《指令》和西班牙资料保护立法能够在本案中适用。

2.搜索引擎服务和搜索引擎运营商的法律性质和法律责任（以外）。具体包括：2.1搜索引擎服务是否构成对个人资料的处理行为；2.2谷歌公司和谷歌西班牙公司是否属于《指令》规定的资料控制者；2.3对于第三方发布的信息，在没有获取相关网页所有人同意的情况下，谷歌公司和谷歌西班牙公司是否应当承担将有关信息从搜索结果索引中撤回的责任；2.4如果有关信息是第三方合法公布的且仍在第三方网页上保留，谷歌公司和谷歌西班牙公司是否可以豁免有关断链的义务。

3.如果资料当事人认为有关信息对自己有损害或者想被其他网络用户遗忘，那么删除权（right to erasure）和拒绝权（right to object）是否可以做扩大解释，以赋予其请求搜索引擎断开与相关信息链接的权利。

五、法院的分析和结论

（一）欧盟法院在判决中首先回答了问题2.1和问题2.2，认为：

1.搜索引擎运营商按照自己设定的索引程序（Indexing Programmes）自动、不间断和系统地收集（Collect）、检索（Retrieve）、记录（Record）、整理（Organise）已经公开的信息，将之存储（Store）到服务器上，使之作为用户的检索结果呈现。在这一过程中，有关信息已经在其他网页上公开，而且搜索引擎并没有对之进行改动。但是，信息是否已经公开、是否被更改，并不对个人资料处理的界定有法律意义。搜索引擎对有关资料的运算（Operation）属于《指令》第2条（b）款所规定的处理（Process）行为。

2.首先，搜索引擎运营商对搜索引擎的上述资料处理行为有着决定性的影响力，决定着有关个人资料处理的目的和方式。尽管搜索引擎运营商只是对其他网站既有资料的再次呈现，但是搜索引擎的存在，却使得这些资料得以扩大传播的同时，也让其用户可以更容易地找到这些资料。其次，更进一步地看，为了让其用户能够更加便利地获取所需要的信息，搜索引擎对已经公开的个人资料进行整理和集聚（Aggregation）。此种情况下，如果在搜索引擎上键入某个人的姓名，就可以搜到与此人有关的一系列信息，可以或多或少地勾勒出这些资料的主体的轮廓。这一情形显然对个人的隐私安全构成严重的挑战。再者，尽管网站可以通过Robots协议告知搜索引擎不能抓取其中的部分或全部资料，但是这也不影响搜索引擎运营商应当免除个人资料处理过程中的保护责任。换而言之，网站运营者承担网站的个人资料保护责任，搜索引擎运营商承担搜索引擎的个人资料保护责任，二者可以同时存在，并不互相排斥，更不能成为另一方的责任抗辩事由。

因此，搜索引擎的个人资料运算行为构成《指令》的个人资料处理行为，其运营商也应视为《指令》中的个人资料控制者。

（二）接下来，欧盟法院在判决中针对问题1做了回应：

谷歌搜索通过其网站（www.google.com）向全球提供搜索引擎服务。谷歌搜索由美国企业谷歌公司运营，谷歌公司是谷歌集团（Google Group）的控股公司。谷歌西班牙公司是谷歌集团的子公司，有独立的法人地位，于2003年9月3日在西班牙马德里注册设立。其作为谷歌集团的代理人，主要从事在线广告业务，针对西班牙企业销售谷歌搜索页面上的广告位。

谷歌搜索并不是仅仅向用户提供信息检索，而是以用户检索时输入的关键词为工具，向希望销售与之有关的货物或提供与之相关的服务的企业提供广告服务。这种广告服务所获取的收益是谷歌搜索能够长期、持续运行的重要物质基础。

虽然谷歌西班牙公司不直接涉及谷歌搜索的个人资料处理，但是其主营的在线广告业务对于谷歌搜索的搜索引擎服务有着重要支撑作用。另一方面，谷歌搜索也是本案中谷歌西班牙公司在线广告业务开展必不可少的工具和载体。可见，谷歌公司设立在西班牙的子公司谷歌西班牙公司，并从事了与个人资料处理业务有密切关联的业务。

从严格保护个人隐私这一基本人权的角度出发，应当从宽解释《指令》的适用，扩大欧盟及其成员国这一领域的管辖范围。因此，不应将《指令》第4条第1款第（a）项的规定（the processing is carried out in context of the activities of an establishment of the controller on the territory of the Member State）严格理解为设立在欧盟成员的子公司必须直接从事个人资料处理行为。本案中的谷歌公司的子公司谷歌西班牙公司从事的业务与个人资料处理行为（搜索引擎服务）密切关联，应当视为《指令》所规定的“设立于欧盟成员国的子公司”。

因此，根据《指令》第4条第1款第（a）项的规定，依据《指令》所制定的西班牙资料保护立法在本案中可以适用。

（三）欧盟法院再次回应第2个问题，认为：

《欧洲联盟基本权利宪章》将隐私权视为重要的基本人权。《指令》有关个人资料处理规制条款的适用，应当从基本人权保护的角度进行判断。

《欧洲联盟基本权利宪章》第7条确认了私生活受到尊重的权利，第8条宣告了个人资料受到保护的权利。第8条第2款、第3款特别规定：资料处理必须建立在当事人同意或法律规定的基础上；资料处理的目的要与当事人同意的或法律规定的目的相一致；每个人都有权利查阅自己被收集过的资料；如果资料有误当事人还有更正的权利；并且，这些规则应当由独立的机构确保得到遵行。这些在《指令》第6条、第7条、第12条、第14条中也有规定。

《指令》第12条规定，当资料不完整或者不准确的情况下，欧盟成员国应当保障资料当事人有权更正（rectification）资料、删除（erasure）资料或者阻断（blocking）资料的传输。

资料控制者在遵守《指令》第6条规定的资料质量原则和第7条规定的合法性原则的前提下可以处理个人的资料。但是这种资料处理不能侵犯资料当事人的基本权利和自由，尤其是资料当事人的隐私权。保障资料当事人的隐私权是《指令》的首要目的之一。

第7条（f）项的规定涉及了“拒绝权”和其他相关利益的平衡。在平衡过程中，应当特别考虑《欧洲联盟基本权利宪章》第7条（尊重个人和家庭生活）和第8条（保护个人资料）所规定的资料当事人的基本权利。

《指令》第12条（b）项规定，对于未按《指令》处理的资料，尤其是资料不完整或不准确的情形下，资料当事人有权要求资料控制者更正、删除资料或者阻断资料的传输。《指令》第14条（a）项规定，当出现第7条（e）、（f）项规定的有关情形时，除非法律有相反规定，成员国应当保障资料当事人拒绝资料处理的权利。资料当事人的这种拒绝权可以在任何时候行使。一旦资料当事人行使拒绝权，资料控制者就不能再对其资料实施处理。基于这些条款的规定，上述利益平衡需要更具体地考虑与资料当事人特定情形相关的所有因素。如果存在合理的拒绝事由，资料控制者就不能再处理这些资料。

基于《指令》第12条（b）项和《指令》第14条（a）项的规定，资料当事人可以直接向资料控制者提出要求。资料控制者必须充分地审查与资料当事人利益相关的因素。如果资料控制者不接受这种要求，资料当事人就可以向监管机构或者司法机关提出请求，由其进行必要的审查并要求资料控制者采取相应的具体措施。

根据《指令》第28条第（3）、（4）项，资料监管机构应当受理任何在资料处理过程中有关保障个人权利和自由的申请，有权进行相应的调查，且采取有效的干预措施阻断、消除或者销毁有关资料，或者针对这种资料处理行为发布暂时或最终的禁令。

搜索引擎服务，使得任何网络用户均可以通过键入检索对象的姓名进行搜索，进而在搜索引擎所呈现的结果列表基础上，获取有关检索对象信息的结构性概览。这些信息中可能涉及检索对象私人生活的方方面面。因此，搜索引擎运营商所实施的资料处理行为，存在着损害作为基本权利的隐私权和个人资料权的可能性。如果没有搜索引擎，某一主体的零散信息不会关联在一起呈现，至少很难一起呈现；检索对象的轮廓细节，也就不会或多或少地被勾勒出来。相反，在现代社会，互联网和搜索引擎扮演着重要角色，使得散落在本来难以寻觅的各个角落的信息，可以围绕一定的关键词（如姓名）集中作为搜索结果呈现。所以，与一般的资料处理相比，搜索引擎服务中的资料处理，会对当事人的隐私权产生更加显著的影响。

搜索引擎运营商在资料处理中的经济利益不能作为对抗资料当事人隐私权的理由。利益平衡只存在于资料当事人的基本权利（隐私权）与其他网络用户获取有关信息的合法权益之间。一般情况下，前者要优于后者。但是，这种平衡也要考虑一些具体的因素。一方面，要考虑有关信息的敏感性；另一方面，要考虑当事人在公共生活中的身份，即公众知晓有关信息的重要性。

如上文所指出的那样，就资料处理而言，搜索引擎本身独立于载有搜索结果资料的网页。搜索引擎的资料处理行为应当遵守《指令》的有关要求。即便搜索引擎的搜索结果所链向的有关网页发布了真实的信息，发布行为本身也不存在违法情形，也不能成为搜索引擎拒绝移除其搜索结果的理由。

此外，考虑到网上发布的信息易于复制传播，且有关责任主体未必一定属于欧盟法律的规制对象，从对资料当事人充分有效保护的角度出发，当事人申请移除搜索引擎搜索结果中与其相关的信息，不需要以搜索结果链接的网页事先或者同步移除该信息为前提。

《指令》第9条针对只为新闻目的的资料处理，规定可以减免有关资料保护的义务。网页信息的发布者可以援引该条款，但是对搜索引擎运营商并不适用。在分析有关网页信息的发布者与搜索引擎运营商的资料处理行为时，要注意两点不同：第一，资料处理的合法性基础可能是不同的，前者可能来自新闻自由，后者则可能来自当事人的同意；第二，对资料当事人的私生活所造成的影响肯能是不同的，尤其考虑到搜索引擎的扩散效应，后者可能会对当事人的隐私权造成更显著的影响。

综上可见，搜索引擎运营商应尊重资料当事人的更正权（《指令》第12条b项）和拒绝权（《指令》第14条a项），在《指令》设定条件满足的情况下，删除以当事人姓名为关键词检索到的结果列表。由于搜索引擎自身不直接提供具体资料，这种删除事实上要求提供有关资料的网页链接不再与当事人的姓名相关联，在技术上，也就意味着移除指向有关网页的链接。搜索引擎运营商履行的删除义务是独立的，与有关网页所载信息是否合法、真实无关，也不以该网页事前或同时删除有关资料为条件。

（四）在分析了搜索引擎运营商承担的删除当事人资料的独立责任之后，欧盟法院接下来回应了有关资料权利的保护范围的问题。

在本案中，西班牙全国法院提出，《指令》第12条b项和第14条第一段能否做这样的理解：当事人可以依据这些条款认为，以其姓名为关键词在谷歌搜索引擎上进行检索后所得出的结果列表，即便其指向的网页合法发布了有关其本人的真实信息，但仍可以以该信息会让其他人对其产生偏见性认识为理由，或以希望这些信息能够在一定时间内被遗忘掉为理由，要求搜索引擎运营商移除有关搜索结果。

对此，谷歌公司、谷歌西班牙公司、希腊政府、奥地利政府、波兰政府和欧盟委员会认为，答案应该是否定的。谷歌公司、谷歌西班牙公司、波兰政府和欧盟委员会提出，条例的上述条款仅赋予资料当事人在资料处理与《指令》不符的情况下，或者基于与其特定情形相关的法定事由，当事人才能提出有关主张；仅仅因为资料处理可能让他人对当事人产生偏见性认识，或者仅仅因为希望资料被遗忘，当事人不能提出有关主张。希腊和奥地利政府认为，资料当事人应当通过发布有关信息的网页解决有关问题。

冈萨雷斯和西班牙、意大利政府则认为，由于搜索引擎的扩散效应会对资料主体产生偏见性影响，当事人可以对与其有关的资料搜索结果列表提出反对；当事人的个人资料和隐私应当受到保护，这属于基本权利，优越于搜索引擎运营商的合法利益和有关信息公开的公共利益。

欧盟法院认为，条例第12条b项的适用以条例的违反为条件。具体来说，这不仅包括资料的不准确性，也包括资料的不全面性、不相关性、超出资料处理原始目的、未能及时更新或者资料的保存不再必要——除非资料处理是基于历史、统计或科学目的而进行的。即便处理最初涉及的资料是准确的，但是随着时间的演变，从搜集或处理的目的出发，资料可能不再必要。在这种情况下，有关信息及其链接就应当被删除掉。因此，欧盟法院强调，在实施资料处理时，应当自始至终遵守条例第7条所规定的资料处理合法性的标准。

欧盟法院认为，在评估要求拒绝类似本案中的资料处理时，应当特别分析资料当事人是否拥有如下权利：要求将与其相关的信息不再与其姓名相关联，即在以其姓名为关键词进行检索所获得的结果列表中，删除有关信息。但是，这种权利是否存在，并不以结果列表中包含的相关信息会对当事人造成偏见性影响为必要。当事人的这种权利源自《宪章》第7条、第8条有关“尊重个人和家庭生活”和“保护个人资料”的基本权利。如前面已经指出的那样，这些权利不仅优越于搜索引擎运营商的经济利益，也比通过搜索当事人姓名获取有关信息的公共利益更为重要。这也存在例外的特殊情形，比如当资料当事人在公共生活中具有一定角色时，公众对于有关信息的知情权就会优位于当事人的前述基本权利。

在本案中，当事人的有关资料——即《先锋报》的网络版中有关当事人的新闻报道，涉及了当事人的个人生活，具有敏感性（sensitivity）；有关报道的内容发生在16年前，当事人提出有关内容不应再包含在以其姓名为关键词得出的搜索结果中；案件中不存在使得公共利益优越于当事人基本权利的情形。因此，欧盟法院认为，当事人在本案中有权要求搜索引擎，在搜索结果中，移除指向包含相关信息的网页链接。

（五）判决结果

1. 《指令》第2条b项、d项应当做如下理解：第一，搜索引擎的行为由如下环节构成：查找已经公开的或由第三方在网上转载的信息，自动进行索引化处理，临时存储，最终使得互联网用户根据特定的偏好规则检索到有关信息。如果涉及到的信息是个人资料，搜索引擎的此种行为，就应当被视为《条例》第2条b项所规定的“个人资料处理”。第二，相应地，搜索引擎的运营商应当被视为《条例》第2条d项所规定的“控制者”。

2. 《指令》第4条（1）a项应当做如下理解：当搜索引擎运营商在成员国设立的分支机构或者子公司，以该成员国内的居民为对象，推广和销售搜索引擎的在线广告时，应当适用本条款有关“在成员国境内设立的控制者实施个人资料处理”的规定。

3. 《指令》第12条b项和第14条a项应当做如下理解：为了保护这些条款确认的权利，在有关条款规定的条件已经成就的情况下，搜索引擎运营商有义务，在以某人的姓名为基础进行检索所得到的结果列表中，移除链向第三方网页——第三方在该网页上发布了与当事人相关的信息——的检索结果。当相关网页未能事前或同时删除当事人的姓名或信息时，搜索引擎运营商此种情况下的移除义务也不受到影响。即便第三方在网页上的信息发布是合法的，搜索引擎运营商的移除义务仍然成立。

4. 《指令》第12条b项和第14条a项应当做如下理解：当评估这些条款的适用条件时，尤其要审查资料主体是否拥有这样的权利，即与当事人个人相关的信息，目前不应再与其姓名，通过以其姓名为基础进行检索获得检索结果列表的方式，关联在一起。上述检索结果是否会对当事人造成偏见性影响，不构成资料主体是否拥有这一权利的前提条件。基于《宪章》第7条、第8条规定的基本权利，资料当事人可以要求相关信息不再为公众所知晓，即要求相关信息不再列入述检索结果列表。一般情况下，这些基本权利不仅优位于搜索引擎运营商的经济利益，也优位于公众以资料当事人姓名为基础进行检索获取有关信息的知情权。但是，这也存在例外的特殊情形，比如当资料当事人在公共生活中具有一定角色时，公众对于有关信息的知情权就会优位于当事人的前述基本权利。