歐盟個人數據保護

【編者按】與世界上大多數國家和地區一樣，歐盟法院的裁決對於理解歐盟法律規範有著重要的指導意義和預測價值。艾薩博睿（ELZABURU）每年初匯總發布前一年歐盟法院典型案例，並對每一案例進行簡要點評，以期對客戶和合作者理解歐盟知識產權規範有所助益。鑒於中國客戶和合作夥伴的重要性，我們嘗試以每周一案的方式發布典型案例的中文版，方便中國夥伴及時獲知相關最新信息。

【背景】原告曾針對谷歌公司向西班牙數據保護中心提出一項個人數據保護申訴。西班牙數據保護中心簽發了一項皇家敕令決定支持原告訴求。一段時間以後，原告以該份敕令中包含個人信息為由，向法院提起訴訟，要求谷歌公司保證若第三人使用谷歌搜索引擎檢索原告姓名時，其結果中不得顯示該份敕令信息。

一審法院判決駁回原告全部訴訟請求，二審法院判決部分支持原告訴求。隨後該案申訴至西班牙最高法院。

【結論】谷歌西班牙公司（Google Spain）的被告資格問題再次在本案中被提及，由於谷歌總公司（Google Inc.）負責搜索引擎運營，相應地，檢索結果也理應由總公司承擔責任，由此被告主張本案的適格被告應當是谷歌總公司。鑒於搜索引擎顯示檢索結果的過程中包含對個人數據信息的處理，因此有必要確認該信息處理流程的責任主體是西班牙子公司還是其美國總公司？

本案法院參考歐洲法院第C-131/12號案件判決，認為谷歌西班牙公司屬於《歐洲議會和歐盟委員會關於在個人數據處理和自由流轉程序中保護個人權利的指令（第95/46/EC號）》（現已失效，2018年5月24日起被《歐盟第(EU)2016/679號條例》替代）中定義的「公司」。只要爭議公司的「經營活動範圍」包括數據處理，即使並非由其實際實施該數據處理活動，該公司仍應受上述法律規範。

在西班牙使用谷歌搜索，意味著會直接接收到對該領域投放的廣告信息。谷歌西班牙公司是其美國總公司在西班牙的銷售代表，專門負責在西班牙銷售廣告位。因此，在西班牙使用該公司搜索引擎顯示檢索結果過程中發生的數據處理活動，很顯然屬於該西班牙子公司的經營活動範圍。

西班牙最高法院考慮了該法律的立法目的後，作出上述解釋。只有確認該西班牙分公司具備此類訴訟爭議的被訴主體資格，才能有效實現上述規範保護個人數據的目的，也才能實現對個人數據權利人的保護。

接著，法院分析了信息自由權和人格權的利益衝突問題。

國家政府公報公布敕令以及在網路搜索引擎檢索結果中顯示該敕令信息，不違反數據保護法律規定，信息涉及當事人應當承擔可能因此受到的損害。

爭議集中在數據處理程度以及數據質量原則等問題，即經過「合理期限」後，這種數據處理方式——輸入當事人姓名後檢索結果顯示該信息——則不再是合理的。

由於本案中信息被涉及方並非公眾人物，信息本身也沒有歷史價值，因此應當考慮縮短本案相關信息的「合理期限」。另外，考慮到谷歌搜索引擎所具備的傳播力，可能給當事方造成損害的風險更大。因此，判決谷歌公司的數據處理活動違反法律規定。

雖然不能要求搜索引擎對檢索結果進行過濾，公民也無權要求只顯示其期望的網路形象信息。但是法律賦予公民對其個人數據的控制權（ARCO Rights），即有權要求訪問被第三方儲存的其個人數據，有權要求修改或刪除上述儲存的個人信息，有權對儲存的個人數據內容提出異議等。搜索引擎運營方應當配合公民的上述要求。

對於谷歌公司提出的最後一項上訴理由，西班牙最高法院強調，「被遺忘權」並非歐洲法院憑空創造，而是對現行法律的解釋說明。這一法律規定在本案爭議發生時已經生效，因此本案應當適用該法律規定。

【評述】本案判決最引人注目的一點是，法院在回應谷歌公司第三個上訴理由時，明確指出「被遺忘權」並非新創造的權利，而是對歐盟數據保護法律的解釋。賦予公民此項權利的法條出自1995年的歐盟指令，並非上訴人所稱的2014年增設的權利。

西班牙最高法院在本案判決中肯定了歐洲法院的有關解釋，即有限度地允許公民對搜索引擎公司行使個人數據控制權利。

編譯：劉丹，艾薩博睿法律顧問

來源：艾薩博睿（ELZABURU）知識產權

封面圖片來源：必應圖片

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！