返回上一页 文章阅读 登录

王利明:论个人信息删除权

更新时间:2022-06-24 09:21:27
作者: 王利明 (进入专栏)  
而不包括人格利益,而个人信息属于人格利益,似乎无法适用人格权请求权。但笔者认为,可以通过扩张解释,将个人信息认定为人格权请求权的适用对象。此外,民法典第1167条也一般性地规定了侵权行为危及他人人身、财产安全的,权利人可以行使停止侵害、排除妨碍和消除危险请求权。这意味着个人信息权益也可以获得绝对权请求权的保护。故此,删除权依附于人格权益,以人格权益为基础而产生。删除权作为一项防御性权利,其适用对象不限于个人信息,在名誉信用等权益中,民法典也明确规定了删除权。〔13 〕

  

   第二,从功能上看,删除权以恢复个人对其个人信息的完满支配为目的,与人格权请求权的功能具有内在契合性。人格权请求权作为一类权利,在不同的人格权保护中可能体现为不同的形态。例如,在名誉权的侵害中,其可能体现为请求相对人在一定范围内作出说明或道歉,以恢复名誉;在以盗用方式侵害名称权的情形中,其可能体现为请求相对人停止使用某一特定的名称并公开进行说明,以避免公众混淆。这些人格权请求权的具体形态因为其所保护的人格权益不同而有不同的形式。因此,不能因为删除权仅仅发生在个人信息权益的保护中而否认其人格权请求权的性质。而在个人信息保护中,删除权的行使目的在于实现个人信息权益人的自决并维护个人信息的完整和有效支配,这就与停止侵害、排除妨碍、消除影响等人格权请求权一样,最终目的在于实现对人格利益的完整支配。

  

   第三,删除权与人格权请求权具有相同的适用要件。与其他人格权请求权一样,删除权的行使也不以信息处理者有过错为要件。从个人信息保护法第47条规定来看,其所列举的删除权发生的情形中,前三项均不以个人信息处理者的过错为要件。例如,只要个人信息权益人撤回了同意,无论处理者是否有过错,个人信息权益人均可要求删除其个人信息,以实现其个人信息的自决。

  

   总之,删除权作为个人信息的一项权能,其本身具有多重的功能,发挥着维护个人信息的完整、准确,保障个人对其个人信息支配的重要功能。

  

   二、删除权的行使

  

   (一)删除权行使的目的和行使条件

  

   删除权虽然是个人信息的一项权能,但这并不意味着,在个人信息产生之后,个人就当然享有删除权。而只有在符合一定条件下,当事人才依法享有删除权。在该权利产生之后,还需要权利人积极行使,才能达到维护信息自决的目的。删除权作为一种防御权,其行使的主要目的在于维护信息的完整、准确和个人信息的自决。具体而言,一是维护个人信息的完整、准确。如果信息处理者违反法律、行政法规规定或者当事人约定,导致其处理的信息不准确,甚至发生错误,信息主体有权行使更正、删除等权利。二是维护个人信息的自决。早在20世纪六七十年代,美国学者艾伦·威斯汀(Alan Westin)率先提出个人具有决定自身个人信息的权利, 〔14 〕后来德国学者克里斯托夫·马尔曼(Christoph Mallmann)明确提出了“个人信息自决权”,认为个人信息的本质就是个人对其个人信息的自主决定,是个人自我表现及与社会环境交流的媒介。因此,基于自决权,权利人应当享有对个人信息的知情同意等权利。〔15 〕该理论已经被两大法系所认可。个人信息从本质而言是一种信息自决权,法律保护个人信息,目的在于保护个人对其个人信息享有一种平等的、自主决定、自主支配的权利。我国个人信息保护法第47条所规定的删除权的行使情形,主要是围绕上述目的而展开的,而行使删除权的目的就在于实现上述两个目的。

  

   基于上述目的,民法典第1037条第2款规定了删除权行使的条件,但该规定仍然显得过于简略和概括,个人信息保护法第47条在民法典规定基础上,作了更加细化的规定。根据个人信息保护法第47条的规定,在符合下列情形时,信息处理者负有删除义务,同时信息主体也相应地享有请求删除的权利:

  

   一是處理目的已实现、无法实现或者为实现处理目的不再必要。此种情形主要适用于合法收集个人信息的情形。〔16 〕个人信息的处理必须遵循目的限制原则,依据这一原则,信息处理者处理个人信息需要明确、合理的目的,并且只能在实现处理目的的最小范围内处理个人信息(个人信息保护法第6条)。根据民法典第1035条第1款的规定,对个人信息的处理应当遵循合法、正当、必要的原则。一旦处理目的已经实现或者无法实现,或者为实现处理目的不再必要,那么该信息处理者继续处理个人信息就不再符合“目的限制原则”的要求。因此,为了维护对其信息的有效支配,个人有权依法请求信息处理者及时删除相关个人信息。例如,在购物时,商家要求消费者提供相关的个人信息。在购物完成后,收集消费者个人信息的目的不存在时,消费者应当有权请求商家及时删除其相关个人信息。

  

   二是个人信息处理者停止提供产品或者服务,或者保存期限已届满。在实践中,信息处理者常常与信息主体之间具有某种提供产品或者服务的合同,依据该合同,信息处理者在向信息主体提供产品或者服务的过程中,基于信息主体的同意而处理其个人信息。个人为了接受相关的产品或者服务,同意信息处理者在一定期限内处理其个人信息,也是个人信息自决的重要体现。〔17 〕而在个人信息处理者停止提供产品或者服务,或者相关个人信息的保存期限已经届满的情形下,信息处理者处理其个人信息的目的已经不存在,此时,为了保护个人的信息自决,信息处理者应当删除相关的个人信息,个人也有权依法请求信息处理者删除其个人信息。

  

   三是个人撤回同意,或者信息处理者保存个人信息的期限已经届满的情况。根据个人信息保护法第13条第1款的规定,对个人信息的处理是建立在告知同意原则基础上的,并且第15条赋予信息主体随时撤回同意的权利。一旦信息主体撤回同意,信息处理者基于同意而对个人信息的处理也丧失了合法性基础。如果是基于合同产生的处理信息的权利,则撤回意味着解除合同。同样,如果信息处理者保存个人信息的期限已经届满,这就说明该信息处理者基于信息主体的同意处理个人信息的期限已经届满;超越该期限继续处理个人信息的,也丧失了信息主体的同意,因此具有违法性。

  

   四是违反法律、行政法规或当事人的约定处理个人信息。一方面,违反法律、行政法规的规定。依据个人信息保护法第47条第1款第4项,个人信息处理者违反法律、行政法规或者违反约定处理个人信息,以及存在法律、行政法规规定的其他情形。如果超出法律、行政法规规定的职责范围处理他人个人信息,或者违反法律、行政法规规定的个人信息保护期限继续保存相关个人信息,既属于违法处理个人信息的行为,也属于未经个人同意处理其个人信息的行为,该行为即便没有影响个人信息的准确、完整,也应当构成对个人信息自决的侵害。另一方面,违反合同约定。删除权在有些情况下是以合同的存在为前提的,例如民法典第1037条第2款规定,删除权是基于违反合同产生的。在基于个人同意处理个人信息的情形,如果信息处理者违反约定处理个人信息,个人也有权依法请求信息处理者删除其个人信息。同时,按照私法自治原则,当事人也可以约定删除权的行使期限、行使方式等内容,从而实现删除权的具体化。当然,在基于个人同意处理其个人信息的情形,即便当事人没有约定删除权,在符合法定条件时,个人也有权依法行使删除权。

  

   在上述法定情形下,个人信息处理者应当主动删除个人信息。如果个人信息处理者未主动删除,信息主体则有权要求个人信息处理者删除其个人信息。个人信息处理者主动删除是其所负有的法定义务,而删除权是个人信息主体所享有的权利。如果个人信息处理者在信息主体提出请求前,已经发现了存在应予删除的情形,个人信息处理者应当主动地删除。此时并不涉及个人信息主体的删除权,而仅涉及个人信息处理者的主动删除义务。但是,当存在应予删除的情形,而个人信息处理者未主动删除时,个人信息主体有权请求删除,此时个人信息处理者也应当予以删除。所以,个人信息处理者的主动删除义务和个人信息主体的删除权既相互区分,又相互联系。

  

   需要指出的是,民法典第1037条没有规定适用删除权的兜底条款,而个人信息保护法第47条第1款第5项规定的“法律、行政法规规定的其他情形”也可以删除。这就保持了一定的开放性,可以适应未来发展的新情形。当然,从我国个人信息保护法第47条的规定来看,对删除权的限制与欧盟通用数据保护条例(以下简称GDPR)相比较,还存在某些不足。这尤其表现在,由于行使删除权的情形较为复杂,是否违反法律、行政法规的规定或者是否违反合同约定,需要依据具体的场景来判断,但该条没有确认法官在相关纠纷中进行利益衡量的参考因素。GDPR第17条第3款列举了各种情形,其实质在于赋予法官或者行政机关以一定程度的自由裁量权,考虑具体场景判断是否允许信息主体的删除权, 〔18 〕此种经验值得借鉴。

  

   (二)删除权的行使方式

  

   人格权请求权既可直接向信息处理者本人主张,也可以诉讼的方式行使。如果信息主体行使删除权,而个人信息处理者拒不删除的,依据个人信息保护法第50条第2款的规定:“个人可以依法向人民法院提起诉讼。”这实际上就是通过公权力的救济以确保删除权的实现。在信息主体针对信息处理者通过提出请求行使删除权时,应当将删除请求告知信息处理者。之所以要求删除权人告知信息处理者,是因为在信息处理的过程中,由于信息处理者可能并不知悉已经发生了应当删除的事由,因此,删除权必须以请求的方式行使。在此需要明确删除权与民法典第1196条“通知—删除”规则的关系。依据民法典第1196条的规定,网络服务提供者在接到用户通知后,如果认为不存在侵权行为,网络服务提供者应当进行反通知。那么在删除权行使的过程中,如果信息处理者认为个人信息不应删除时,是否也应当作出反通知呢?事实上,民法典第1196条所规定的反通知是针对网络侵权中的网络服务提供者,而非直接侵权人。而删除权中,删除权人请求删除时,信息处理者并非扮演网络服务提供者的角色,此时信息处理者应当进行删除,而不存在反通知规则适用的余地。有观点认为,由于对诸如侵害人格权益的信息的删除可能涉及第三人,因此有适用反通知规则的余地。笔者认为,此时应当考察网络服务提供者是否同时构成信息处理者,在第三人提供信息的场合,信息处理者是该第三人,网络平台并非信息处理者,此时,信息主体无权依据个人信息保护法请求网络平台删除其个人信息。当然,信息主体应当有权依据侵权责任编的“通知—删除”规则向网络平台提出请求,在此情形下,即便网络服務提供者可能同时进行信息处理,其适用反通知规则,也是依据民法典第1196条而非个人信息保护法删除权的规定所产生的效果。

  

在信息主体行使删除权之后,要达到何种效果?笔者认为,在信息控制者删除信息后,应当使被删除的信息处于不被检索、不被访问和浏览的状态;如果仍然可以被检索、访问,则并没有完成删除行为。此外,依据个人信息保护法第47条第2款,法律、行政法规规定的保存期限未届满,或者删除个人信息从技术上难以实现的,个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。在出现上述两种不能删除的情形下,(点击此处阅读下一页)


爱思想关键词小程序
本文责编:陈冬冬
发信站:爱思想(http://m.aisixiang.com)
本文链接:http://m.aisixiang.com/data/134881.html
文章来源:东方法学 2022年1期
收藏