「忘れられる権利」でネットの過去は全部消せる？EUの削除権と検索結果の違い

削除権には条件があり、検索結果と元記事は別に扱う

何年も前に書いたSNSの投稿や、検索すると見つかる古い記事を消したい。そこで「欧州には忘れられる権利があるから、申し出ればネット上の情報はすべて消える」と聞いたら、どこまで期待してよいのだろうか。EUの一般データ保護規則（GDPR）には、自分の個人データの削除を管理者へ求める権利がある。しかし万能の消去ボタンではない。削除を求める根拠があるか、どの事業者が何のデータを扱っているか、表現の自由や法定の保存義務と衝突しないかを個別に判断する。さらに、検索結果からリンクを表示しなくすることと、記事の掲載元から本文を消すことは別の作業だ。

この違いを理解すれば、「検索には出なくなったのにページは見られる」「アカウントを閉じたのに契約記録は残っている」といった出来事を、すぐに違法や嘘と決めつけずに確かめられる。この記事はEUのGDPRと欧州委員会、欧州データ保護会議（EDPB）の公式資料を中心に説明する。日本国内のすべてのサイトにGDPRと同じ権利が当然に及ぶ、という説明ではない。自分の状況でどの法律が適用されるかは別に確認する必要がある。［1］［2］

まず、誰に何を消してほしいのか

削除請求では、最初に対象を整理する必要がある。SNS運営企業にプロフィールや投稿を消してほしいのか、通販会社の会員情報を消してほしいのか、検索エンジンに氏名検索で特定の結果を表示しないでほしいのか。それぞれ相手も処理するデータも異なる。検索エンジンが持つのは、検索索引と結果の表示に関する仕組みであり、新聞社のサーバー上の元記事の所有者とは通常同じではない。検索で見つけにくくなったことは、インターネットから原文のすべての複製が消えたことを証明しない。

GDPR第17条は、一定の事由がある場合に、データ主体が管理者に個人データの削除を遅滞なく求められる仕組みを定める。個人データとは、識別された、または識別可能な人に関する情報を広く含む。氏名だけでなく、他の情報と組み合わせることで個人が特定される情報にも関わる。一方で、本人の希望するあらゆる事実の記録や、公共的な歴史そのものを消去する一般的な権限とは違う。誰の個人データか、誰が何の目的で処理しているかを切り分けることが出発点となる。

欧州委員会の解説は、GDPR上の権利として、情報提供を受ける権利、アクセスする権利、訂正する権利、削除を求める権利、処理を制限する権利、データの移転を求める権利などを区別している。もし住所が間違っているだけなら訂正を求める方が目的に合う場合がある。記録を残したまま広告利用だけを止めたいなら、異議を申し立てる権利や処理制限との関係も考える必要がある。「プライバシーの問題なら何でも削除」という一つの選択肢に閉じないことが、必要な対応を見極める助けになる。［1］［2］

削除を請求できる典型的な理由

GDPR第17条第1項には、削除の根拠が複数示されている。たとえば、集めた目的に照らしてデータがもはや必要でなくなった場合、同意に基づく処理について同意を撤回し、ほかに適切な法的根拠がない場合、一定の異議申立てが認められる場合、処理が違法だった場合、法令に基づいて消す必要がある場合などである。何年経過したかだけで、すべてのデータが同じ日に消去の対象になるわけではない。取得目的、法的根拠、保存期間の判断が必要だ。

欧州委員会は、SNSへの参加をやめる人が自分の個人データの削除を求める事例を説明している。目的に使わなくなったプロフィールやアカウント情報について削除を求めることは典型的な場面だ。しかし、利用者が一度「同意する」と押したデータであっても、会社がほかの法律に従って保存すべき取引記録まで必ずすぐに消せるとは限らない。請求した人にとって不快かどうかだけではなく、データごとの保有理由を問うのがこの制度である。

また、同意の撤回と削除の請求を混同しないことも重要だ。そもそも同意以外の法的根拠に基づいて行われている処理もある。企業が契約履行や法律上の義務に必要な情報を扱っている場合、「同意を撤回した」と述べても、直ちにすべての記録が消えるとは限らない。他方、会社が別の根拠を唱えるだけで必ず正当になるわけでもない。どの目的にどの根拠が必要かを企業が具体的に説明できるかという問題である。［1］［2］

消えない場合がある理由――表現の自由と保存義務

削除権が無制限でないことはGDPR第17条第3項に明記されている。表現と情報の自由の行使に必要な処理、法律が要求する義務の履行、公共の利益に関わる一定の目的、法的請求の確立・行使・防御に必要な場合など、例外がある。つまり、本人が望まない情報というだけで、報道記事や公的な記録の削除を自動的に命じるわけではない。元記事が公共的な意味を持つか、内容が正確か、時間の経過によって事情が変わったかなど、個別の衡量が必要な場面がある。

欧州委員会は具体例として、口座を閉じた銀行に個人情報の削除を求めても、銀行が法律で一定期間の取引情報を保存しなければならない場合には即時削除できないことを示している。ここで「削除できない」と言われたら、次に考えられるのは処理の制限である。保存することと、別の営業目的のために使い続けることは違うからだ。必要な範囲の記録を保持しても、その記録を新しい広告に流用できるとは限らない。データが残る理由と、利用できる範囲を分けて確認したい。

反対に、会社の都合で保存しているからというだけで、無期限にすべてのデータを使えるとも限らない。何の目的で集めたか、保存する法的な理由が残るか、別の用途へ広げていないかを確かめる必要がある。プライバシーポリシーの「保存期間」という項目には、年数が明示されていることもあれば、期間を判断する基準が書かれていることもある。曖昧な説明を見た場合に、どのデータが対象で、どの目的に使うかを具体的に尋ねることは、削除請求前の合理的な準備になる。［1］［2］

検索結果のリンクを外すことと元記事の削除

「昔の出来事を検索すると自分の氏名が出る」という悩みでは、削除先の区別がとりわけ重要になる。検索結果の特定のリンクを外しても、新聞社やブログの元記事が自動的に消えるとは限らない。検索エンジンは、その記事を参照できる場所へ人を案内しているのであって、元のサイトと常に同じ管理者ではない。EUの制度では、検索エンジンに対するいわゆる忘れられる権利が独立した判断の対象となる。EDPBは検索エンジンに関する判断基準を2020年の指針5/2019として整理した。

欧州委員会が示す例は、過去の債務に関する古い報道が名前の検索で表示されるケースである。問題がすでに解決し、事情が古くなり、一般の人がその情報にアクセスする公共の利益より本人の利益が重い場合には、検索結果からのリンクの除去が求められることがある。これは「古い記事はすべて削除」「一般人なら何でも削除」ではない。現在の公的な役割、情報の性質、正確性、検索の文脈などによって判断は変わりうる。判断の根拠を確認せずに、検索結果から消えたことを情報自体の誤りの認定と結びつけるのも避けたい。

また、同じ単語で検索しても結果が変わることがあり、検索事業者ごとの結果処理や検索の対象地域によって見え方は異なりうる。「名前で探すと表示されない」ことは「URLを直接入力しても見られない」ことと同義ではない。求めているのが氏名検索による可視性の低減なのか、元データそのものの削除なのかをはっきりさせれば、依頼先と期待する結果が一致しやすい。

削除請求には、情報がすでにほかの管理者によって複製・参照されている場合の難しさもある。GDPR第17条第2項と欧州委員会の説明は、個人データを公開した管理者が削除の義務を負う場合、技術や実施費用も踏まえた合理的な措置を取り、リンクや複製などを処理する別の管理者へ請求を伝える考え方を示している。これは「最初の会社へ一通送れば、世界のすべてのサイトの複製が必ず消える」と保証する仕組みではない。削除を依頼した管理者自身の対応と、ほかの事業者が独立して管理するデータを区別する必要がある。たとえば元の投稿を削除できても、他人が転載した情報や、検索結果の索引がどう扱われるかは別途確認を要する。反対に、ほかへデータが広まっているというだけで、最初の管理者の責任が無条件に消えるわけでもない。［1］［2］［3］

企業へ請求するときの手順

EUのルールが適用される場面で削除を求めるなら、まずデータを扱う会社・団体、つまり管理者を特定する。ウェブサイトのプライバシー情報や問い合わせ窓口に、責任を持つ会社やデータ保護担当者（DPO）が示されている場合がある。次に、削除してほしいデータの種類、アカウントや該当ページ、収集目的が終わった理由など、問題を特定できる情報を整理する。むやみに必要以上の身分証コピーや私的な情報を最初から送り付けることは、追加のプライバシーリスクにもなる。本人確認が必要な場合は、事業者の正規の方法を見極めたい。

欧州委員会によれば、企業は権利行使の請求に対して、原則として遅滞なく、遅くとも1か月以内に応答する必要がある。これはすべての削除請求に「1か月以内の無条件の削除完了」が保証される、という意味ではない。複雑な請求や多数の請求では、必要に応じてさらに2か月延長できるが、管理者は受領から1か月以内に延長と理由を知らせる。対応しない場合も、遅くとも1か月以内に理由と監督機関への苦情・司法救済の可能性を知らせる必要がある。メールを送った瞬間に違法になるわけではなく、何を請求し、いつ受け付けたか、どの返答があったかを記録することが役立つ。

異議が解消しない場合には、欧州委員会が案内する各国のデータ保護監督機関への苦情申立てや法的手続きが考えられる。監督機関には管轄があるため、自分と事業者の所在、データ処理の状況を確認する必要がある。日本から利用するサービスでもEU内の人にサービスを提供するなどの事情でGDPRが問題になりうる一方、「欧州の会社名が見えるから日本在住者のあらゆる投稿にも必ず同じ請求権が及ぶ」と決めるのは誤りだ。適用範囲の判断は、GDPR第3条と具体的なサービスの活動に基づく。［1］［2］

削除・訂正・利用停止をどう選ぶか

たとえば、通販サイトに誤った住所が登録され、配送トラブルが起きている場合、まず望ましいのは住所の訂正かもしれない。既存の誤記録を全部消すだけでは、配達先の情報を正しくしてほしいという目的が果たせない。SNSの退会で今後の投稿表示を止めたい場合には、アカウントと公開範囲の整理に加えて、自分の個人データの削除を求める意味がある。広告メールが不要な場合には、マーケティング目的の処理への異議申立てや配信停止が問題となる。目的が違えば適した権利も違う。

さらに、自分に関する事実を掲載した記事が「誤っている」のか、「事実だが古い」のかでも検討は変わる。前者なら訂正、後者なら時間の経過や公共的関心を含めた検索結果の扱いの検討が中心となる場合がある。情報が事実だというだけで永遠に検索上で同じ扱いが正当になるとも、不快だというだけで即座に削除が認められるともいえない。管理者の目的、本人への影響、第三者の情報を知る利益などの複数の事情を一つの請求に落とし込む必要がある。［1］［2］

架空の三例で誤解を減らす

例A。欧州の対象となるサービスに会員登録していた人が退会し、今後使わないプロフィール情報を消してほしいと申し出る。サービスはデータが目的に必要なくなっているかを確認し、削除の根拠があれば対応する。ただし支払いの記録などに別の保存義務があれば、プロフィールと同じ日付で全部削除とはならない。この差は「削除権が嘘」という証拠ではなく、データと保存理由が異なる結果である。

例B。過去の事件について氏名検索で古い記事が出る人が、検索エンジンにリンク除去を請求する。対象情報の公共性と個人への影響などを踏まえて審査される。仮に検索結果からリンクが外れても、記事の掲載元や別の検索の仕組みまで同時に消えたとは限らない。原記事からの削除を希望するなら、別の管理者と法的根拠が問題になる。これは一回のクリックでネット全体が変わる話ではない。

例C。会員が古い銀行口座の情報を消すよう求めたが、銀行が保存を求める法律を説明した。保存に正当な義務があるなら、すぐに完全削除できないことがある。それでも目的外の使用が許されるわけではなく、処理の制限が可能か検討する余地がある。これらは特定の企業の行為を評価するものではない架空の例であり、実際の法的結論は適用法と個別の記録に左右される。［1］［2］［3］

結論｜権利の名前より、対象と根拠を確かめる

EUの「忘れられる権利」は、本人が求めさえすればウェブ上の過去を消し去れる権利ではない。GDPRは個人データの削除を求める条件と例外を定め、検索結果のリンクと元記事の処理も区別する。現実的な出発点は、何を、どの管理者に、どの理由で削除してほしいのかを具体化することだ。不要になった会員データ、保存義務のある取引記録、報道の元記事、氏名検索のリンクは、それぞれ違う判断を要する。

検索から消えたことと記録の消滅、削除が認められないことと無制限の利用許可、問い合わせへの応答期限と削除完了の保証を混同しない。そうした違いが分かれば、自分の情報を守りたいときも、他人の削除請求をめぐるニュースを読むときも、「全部消えるか、何もできないか」の二択ではなく、問題に合った対応を考えやすくなる。［1］［2］