评析
本案是近年来欧洲法院审理的涉及搜索引擎运营商的重要案件之一。关于本案的背景，本案总法律顾问斯普拉纳尔（Szpunar）在其就本案出具的法律意见中作出了精辟的归纳，即在互联网时代对隐私权、个人数据保护权以及知情权、言论自由权进行协调是我们这个时代面临的主要挑战之一。因此，近年来，诸多提出相关法律问题的案件被提交至欧洲法院就令人毫不意外。一旦一个问题被处理和解决，新的问题又出现了。该现象造成了更多的问题，因为相关法律框架经常是在未考虑互联网时代的情况下制定的，本案即为典型案例。1995年制定的《95/46指令》规定的有关个人数据保护的义务，如何以及在何种程度上适用于搜索引擎，例如1998年创立的谷歌公司。在其2014年5月13日就“谷歌西班牙公司、谷歌公司诉西班牙数据管理局、马里奥·科里哈·冈萨雷斯案”（以下简称谷歌案）所作判决中，欧洲法院认定，根据《95/46指令》第12条（b）项以及第14条第1款（a）项的规定，自然人享有“被遗忘权”，该权利导致搜索引擎运营商需承担删除与该自然人相关链接的义务。本案是该判决的延续。事实上，在该判决之后，大量的新问题已经产生，特别是与所谓的敏感个人数据（该数据与种族或民族出身、政治观点、宗教或哲学信仰有关）的处理相关的新问题。[3]正是基于这一背景，欧洲法院在本案中，对被遗忘权如何适用于敏感个人数据这一问题进行了分析，并明确了以下原则。
第一，本案明确了《95/46指令》规定的禁止或限制敏感个人数据处理的情形亦适用于搜索引擎运营商所进行的数据处理。根据《95/46指令》以及《一般数据保护条例》的规定，对下列特殊种类个人数据，即敏感个人数据的处理应予禁止：对显示种族或民族出身、政治观点、宗教或哲学信仰、工会会员资格的个人数据进行的处理；为识别特定自然人而对基因数据、生物识别数据进行的处理；对健康有关数据或者对特定自然人的性生活或性取向的数据进行的处理。此外，依照《95/46指令》以及《一般数据保护条例》有关数据处理合法性的规定，对有关刑事定罪和犯罪或者有关安全措施的数据等敏感个人数据进行的处理，仅能在政府机关的控制下进行或者经由欧盟或者欧盟成员国法律授权。欧盟或者欧盟成员国法律应提供适当措施以保障数据主体的权利和自由。任何对刑事定罪的综合性登记均应在政府机关的控制下进行。
尽管《95/46指令》以及《一般数据保护条例》的上述规定适用于数据控制者所进行的数据处理，但考虑到《95/46指令》制定于1995年，该指令在制定时，无法将互联网搜索引擎的当前形态考虑在内，[4]相应地，也就无法就上述规定是否适用于搜索引擎运营商予以明确；同时考虑到《一般数据保护条例》虽制定于2016年，但其亦未就上述规定是否适用于搜索引擎运营商予以明确，故对于《95/46指令》以及《一般数据保护条例》的上述规定是否适用于如同谷歌公司这样的搜索引擎运营商所进行的数据处理不无疑问。本案中，欧洲法院明确，《95/46指令》以及《一般数据保护条例》的上述规定适用于搜索引擎运营商所进行的数据处理，理由是：①根据《95/46指令》以及《一般数据保护条例》上述规定的文义，这些规定所载明的禁止和限制情形适用于所有控制者进行的敏感个人数据处理，包括搜索引擎运营商进行的敏感个人数据处理。②《95/46指令》和《一般数据保护条例》的其他条款均未规定上述禁止和限制情形不适用于搜索引擎运营商进行的敏感个人数据处理。相反，从《95/46指令》和《一般数据保护条例》的体系可以看出，搜索引擎运营商必须与其他控制者一样，在其责任、权力和能力的框架内，确保其进行的敏感个人数据处理遵守《95/46指令》或者《一般数据保护条例》的相应要求。③将《95/46指令》或《一般数据保护条例》的上述规定解释为，这些规定所载明的禁止和限制情形不适用于搜索引擎运营商进行的敏感个人数据处理将与这些规定的目的，即确保加强对敏感个人数据处理的保护相悖。
同时，考虑到搜索引擎运营商进行的数据处理的特征，即搜索引擎运营商通常是在互联网用户进行相关搜索之后，在提交给该用户的搜索结果列表中展示含有敏感个人数据的网页的链接，欧洲法院还明确了前述禁止和限制情形适用于搜索引擎运营商的前提条件。
一是前述禁止和限制情形的适用限于搜索引擎运营商的责任、权力和能力的框架之内。具体而言，对相关网页（该网页系作为搜索结果而引用）的事先控制不在搜索引擎运营商的责任或能力之内。搜索引擎运营商的任务是通过令相关信息能够以最有效的方式被找出的算法，搜索、寻找、指出和提供相关网页。搜索引擎运营商无法监控（事实上是审查）相关网页。前述禁止和限制情形不能像该搜索引擎运营商自身导致敏感个人数据出现在被引用的网页上那样适用于该搜索引擎运营商。搜索引擎运营商仅能在敏感个人数据被置于网络上之后介入，其数据处理由此在性质上是第二位的。[5]
二是前述禁止和限制情形的适用受限于《95/46指令》和《一般数据保护条例》规定的例外情形，这些例外情形包括：①数据主体对以一个或数个特定目的对上述个人数据进行处理给予了明示同意，但欧盟或者欧盟成员国法律规定前述禁止情形不得被数据主体免除的除外。②数据处理是控制者或数据主体在劳动、社会保障以及社会保障法的范畴内履行其义务或者行使其权利所必需，且该数据处理符合下列条件：依据欧盟、欧盟成员国法律或者依据欧盟成员国法律制定的集体合同进行；上述法律或者集体合同规定了保护数据主体基本权利和利益的适当措施。③数据处理为保护数据主体或另一自然人的重大利益所必需，且数据主体身体上或法律上无法给予相关同意。④数据处理是由政治、哲学、宗教、工会性质的协会、组织或其他非营利性组织在其有适当安全保障的合法活动中实施的，且该数据处理满足如下要求：处理仅与该组织的成员、前成员或与该组织依其组织宗旨而经常联系的个人相关；相关个人数据未经个人同意不得向组织外的人披露。⑤数据处理与已经由数据主体明显公开的个人数据相关。⑥数据处理为法律请求的提出、行使或抗辩所必需，或者数据处理是法院依据其司法权力而作出。⑦数据处理依据欧盟或欧盟成员国法律为实现重大公共利益所必需，但欧盟或者欧盟成员国法律应与其欲实现的目标成比例，应尊重数据保护权的本质，且应为保护数据主体的基本权利和利益提供适当的和具体的措施。⑧数据处理依据欧盟、欧盟成员国法律或者与医疗执业人员间的合同，为实现预防医学或者职业医学目的、对员工的工作能力进行评估、医疗诊断、提供医疗服务或者社会关怀、治疗、健康或者社会关怀系统管理或服务等所必需。⑨数据处理依据欧盟或者欧盟成员国法律，为实现在公共健康领域的公共利益所必需。⑩数据处理系为公共利益进行档案管理、科学研究或历史研究目的、统计目的所必需，且需以欧盟或者欧盟成员国法律为依据。
三是前述禁止和限制情形，在搜索引擎运营商基于数据主体的解除引用请求而在适格国家机关监督下进行相关核查之际方可适用，即前述禁止和限制情形不能事前适用于搜索引擎运营商，这些情形仅在搜索引擎运营商对含有数据主体敏感个人数据的网页进行了引用，相关数据主体为此向该运营商提出了解除引用请求，该运营商在适格国家机关的监督下，并进行了相关核查才可适用于该运营商。
第二，本案明确了搜索引擎运营商在数据主体就含有其敏感个人数据的网页提出解除引用请求的情况下应秉持的处理原则。首先，对于数据主体就含有其敏感个人数据的网页提出的解除引用请求，搜索引擎运营商原则上应予以同意，除非该引用符合《95/46指令》和《一般数据保护条例》规定的前述例外情形。
其次，在相关引用已获得数据主体的明示同意，或者与已经由数据主体公开的敏感个人数据相关，且该引用符合《95/46指令》和《一般数据保护条例》规定的其他条件，例如合法性、公平性和透明性、目的限制、数据最小化、准确性、存储限制、完整性和保密性、问责制等的情况下，搜索引擎运营商原则上可以拒绝数据主体就含有其敏感个人数据的网页提出的解除引用请求，但该引用系为执行公共利益领域的任务所必需、为行使控制者被赋予的公务职权所必需，或者系为实现控制者、第三方所追求的合法利益所必需，而数据主体有权基于与其所处特定情形有关的令人信服的合法理由，对该引用予以拒绝的除外。(https://www.daowen.com)
再次，在搜索引擎运营商收到数据主体就含有其敏感个人数据的网页提出的解除引用请求的情况下，该运营商必须基于特定案件的所有相关因素，并在考虑数据主体隐私权和个人数据保护权所受干预的严重性，以及斟酌《95/46指令》或《一般数据保护条例》规定的重大公共利益的基础上，依照《95/46指令》或《一般数据保护条例》规定的条件认定，将相关网页的链接包含在根据数据主体的姓名进行搜索而展示的搜索列表之中，是否互联网用户（该用户对通过此搜索访问相关网页具有潜在利益）行使《宪章》第11条所保护的信息自由权所必需。
最后，对于数据主体就含有以下敏感个人数据，即针对其提起的刑事程序的相关数据而提出的解除引用请求，欧洲法院还明确了以下处理原则，即若上述数据与系争刑事程序的早先阶段相关，并且考虑到该刑事程序的进展，该数据已经与现状不符，则搜索引擎运营商应同意就展示该数据的网页链接提出的解除引用请求，条件是在审查《95/46指令》规定的重大公共利益后可以认定，根据案件的全部情况，数据主体的基本权利优先于对该信息具有潜在利益的互联网用户的权利。此外，即使搜索引擎运营商认定，数据主体无权提出解除引用的请求，该运营商最迟应在解除引用请求提出之时，采用将包含当前法律状况相关信息的网页链接置顶的方式，对搜索结果列表予以调整。
【注释】
[1]本案欧洲法院对四位原告的姓名进行了保密处理。
[2]http：//curia.europa.eu/juris/document/document.jsf？text=&docid=218106&page Index=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=2013814.
[3]Opinion of Advocate General Szpunar，delivered on 10 January 2019.
[4]Opinion of Advocate General Szpunar，delivered on 10 January 2019.
[5]Opinion of Advocate General Szpunar，delivered on 10 January 2019.