EUの「忘れられる権利」とGoogle Spain判決・GDPRの関係

一度インターネット上に掲載された情報が、時間経過にかかわらず掲載され続けている、という問題は、日本では「デジタルタトゥー」といったキーワードで語られることが多いですが、ヨーロッパ圏では、「忘れられる権利」（Right to be forgotten）の問題、と整理されています。

そして、「忘れられる権利」の法的枠組みは、「デリスティング」（検索結果からの削除）と「コンテンツの消去」（投稿それ自体の削除）という二つの権利から構成されています。これは、日本でも「投稿記事それ自体の削除」と「検索結果からの除外」が別の概念と整理されていることと同様です。

そのうちのデリスティングは、2014年の欧州司法裁判所（CJEU）によるGoogle Spain判決（C-131/12）によって確立された法理です。同判決は、検索エンジン事業者を「データ管理者」（data controller）と認定し、一定の要件が満たされる場合、該当するURLを検索結果リストから非表示にする義務を課しました。この措置は、元のウェブページ上のコンテンツ自体には影響を及ぼしません。

一方、コンテンツの消去は、2018年5月に施行された一般データ保護規則（GDPR）にて、その第17条に「消去の権利」（Right to Erasure）として明文化されました。この権利は、データ管理者が保有する個人データ（ソーシャルメディアの投稿やウェブサイト上の記事など）の根本的な削除を求めるものです。

日本の最高裁判例も、EUと同様の二元的アプローチを採用しています。2017年のGoogle検索結果削除事件では、ここでいう「デリスティング」に関する厳しい判断基準が示され、他方、2022年のTwitter（現X）投稿削除事件では、投稿それ自体の消去がより緩やかな基準で認められました。

本記事では、EUの「忘れられる権利」について、日本の裁判所の提示してきた法理との比較を交えながら、解説します。

Google Spain判決（C-131/12）

EUにおいて「忘れられる権利」の概念が法的実体を持つに至った最初の画期的な判決が、2014年に欧州司法裁判所（CJEU）が行ったGoogle Spain判決です。この事案は、スペイン人男性が1998年に社会保障費の滞納を理由に自宅が競売にかけられたことを報じる新聞記事が、Googleで自身の氏名を検索すると表示され続けるとして、そのリンクの削除を求めたものです。

欧州司法裁判所（CJEU）の役割と位置付け

この判例の位置付けを理解する上で、まず、欧州司法裁判所（CJEU）の役割と位置付けを理解することが必要です。

CJEUは、EU法の統一的な解釈と適用を確保するEUの最高裁判所であり、加盟国の司法制度とは異なる独自の機能を持っています。最も重要な機能の一つが「付託手続（Preliminary Ruling）」です。加盟国の裁判所は、EU法の解釈や有効性について疑問が生じた場合、CJEUに判断を求めることができます。CJEUが下した判断は、その付託元の裁判所だけでなく、EU全域の全ての加盟国裁判所を法的に拘束します。

この付託手続は、日本の判例法主義とは異なり、単一の判決がEU全域に法的効力を及ぼす「トップダウン」の構造を生み出します。これにより、EUの「忘れられる権利」は、日本よりも迅速かつ統一的に法的基盤を築くことが可能になりました。Google Spain事件は、まさにこの付託手続を通じてCJEUが判断を下した事案であり、その判決の法的拘束力はスペイン国内にとどまらず、他の全てのEU加盟国に及びます。この構造が、Google Spain判決のEU全体への影響力を決定づけました。

Google Spain判決の示した法理

この判決は、複数の画期的な法理を確立しました。まず、欧州司法裁判所（CJEU）は、検索エンジン事業者が第三者のウェブページから個人データを自動的に収集、索引付け、整理、保存する行為が、旧データ保護指令（Directive 95/46/EC）が定める「データ処理」に該当すると認定しました。これにより、検索エンジン事業者は、個人データの処理に関する法的義務を負う「データ管理者」（data controller）であると位置づけられました。この認定は、従来の考え方を覆し、検索エンジンが単なる技術的仲介者ではなく、データ保護法上の責任主体であることを明確にした点で、極めて重要です。

次に、判決は、新聞記事自体の削除ではなく、検索結果リストから該当するURLを非表示にする「デリスティング」（de-listing）を命じました。これは、元のコンテンツがウェブ上に残存し、他の手段（例えば、元の新聞社のウェブサイトに直接アクセスすることや、他の検索エンジンを利用すること）でアクセス可能であるという点で、コンテンツの完全な「消去」とは明確に区別されます。

さらに、この判決は、検索結果のデリスティングの可否を判断する際に、個人のプライバシー保護の利益と、検索結果を一般に提供し続ける公益（特に情報へのアクセス権）を「比較衡量」すべき基準を提示しました。この比較衡量テストでは、情報の性質、その公共性、時間の経過、そしてデータ主体の公的役割といった諸要素が考慮されます。

GDPRの「消去の権利」（第17条）による成文化

Google Spain判決によって確立された「忘れられる権利」は、2018年5月に施行された一般データ保護規則（GDPR）によって、より強固な法的基盤を得ました。GDPR第17条には、判例で示されたデリスティングの概念に加え、より広範な「消去の権利」（Right to Erasure）が明文化されました。

GDPR第17条は、特定の条件が満たされた場合に、データ主体がデータ管理者に対して個人データの消去を要求できることを定めています。これらの条件には、データが当初の収集目的に照らして不要になった場合、データ主体が同意を撤回した場合、データが違法に処理された場合、または法的義務を遵守するために消去が必要な場合などが含まれます。

特に重要なのが、GDPR第17条2項に定められた、データ管理者の新たな義務です。データ管理者が個人データを公開した場合、そのデータが共有・拡散された他の管理者（他のウェブサイト運営者やプラットフォームなど）に対し、該当する個人データへのリンク、コピー、複製を消去するよう通知するための「合理的な措置」を講じなければならないと規定されています。これにより、オリジナルコンテンツを保有する管理者は、そのコンテンツの拡散に対して一定の責任を負うことになりました。

関連記事：GDPR第17条「消去の権利」とウェブ上のコンテンツの削除請求権

EUにおける「デリスティング」と「コンテンツの消去」

デリスティングの適用範囲と限界

デリスティングは、その性質上、いくつかの重要な限界を持ちます。

まず、2019年9月24日のGoogle v. CNIL判決により、デリスティングの適用は原則としてEU域内に限定されることが明確にされました。CJEUは、EUのデータ保護法が域外に適用されることはなく、世界中の検索結果に一律に適用される義務はないと判断しました。すなわち、EU内で「デリスティング」の判決が行われた場合であっても、EU域外のユーザーは、デリスティングされたURLを非表示にされることなく閲覧できます。

細かく言えば、EU域内でのデリスティングに関する判決は、EU域内のドメイン（例：google.fr）に限らず、全てのドメインに対して及びますが、あくまでEU域内で検索行為を行った場合に関するものであり、EU域外での検索行為には及びません。つまり、Googleなどの検索事業主は、「利用者の地理的位置」に応じて一定の制限を加える、いわゆる「ジオブロッキング」などの対応を行う必要があります。

また、言うまでもなく、デリスティングはあくまで検索結果の「非表示化」であり、元のウェブサイトからコンテンツが削除されるわけではありません。コンテンツは引き続き元のURLでアクセス可能であり、他の検索エンジンや直接リンクを通じて閲覧できるため、完全な「忘れられる」状態を保証するものではありません。

コンテンツの消去

これに対し、GDPR第17条に基づく「消去の権利」は、検索エンジンだけでなく、ソーシャルメディアプラットフォーム、ブログ運営者、ニュースサイトなど、個人データを「管理」するすべての事業体に、コンテンツの根本的な削除義務を課すものです。

特に、第17条2項に定められた「責任の連鎖」は、オリジナルの投稿者やプラットフォーム事業者に、そのデータが共有・拡散された他の場所からも削除されるよう努める責任を負わせるという点で、デリスティングよりも広範な影響を及ぼします。

日本の法制度における情報削除の議論

日本には、欧州のGDPRのように「忘れられる権利」を直接定めた法律は存在しません。しかし、インターネット上のプライバシー侵害については、民法上の人格権侵害や、情報流通プラットフォーム対処法（旧プロバイダ責任制限法）に基づく削除請求として、これまで裁判で争われてきました。

まず、2017年のGoogle検索結果削除事件では、最高裁判所は、検索結果の表示が持つ社会的意義を重視し、プライバシー保護の利益が情報流通の利益に「明らかに優越する」場合に限って削除を認めるという厳格な基準を示しました。一方、2022年のTwitter投稿削除事件では、最高裁判所は、時間の経過や情報の性質を考慮し、より緩やかな「優越」基準を適用して削除を認めました。

この二つの判決は、日本の裁判所が、検索結果からの削除と、個別の投稿そのものの削除を異なるものとして扱い、それぞれの性質に応じて判断基準を変化させていることを示していると言われています。

EUと日本の法理の相違点

日本と欧州の法制度は、インターネット上の情報削除に関する法的課題に対し、共通の「比較衡量」アプローチを取りながらも、その法的根拠や基準の厳格性において相違点が見られます。

単純化して言えば、欧州がデータ保護を基本権として捉え、GDPRという包括的な法律で対応するのに対し、日本は個別の判例を通じて、事案の性質に応じた判断基準を形成していると言えます。

まとめ

EUにおける「忘れられる権利」は、デリスティング（検索結果からの非表示化）と消去（コンテンツの根本的な削除）という、法的根拠と適用範囲が異なる二つの権利として確立されています。「投稿それ自体の削除」は、GDPR第17条に基づく「消去の権利」に該当し、検索結果の非表示化とは法的に異なる手続きと責任を伴います。一方、日本の法理も、2017年のGoogle検索結果削除事件と2022年のTwitter投稿削除事件という二つの最高裁判例の発展を通じて、同様の二元的アプローチを形成しつつあります。

日本と欧州の法制度の進展は、一見異なる道を歩んでいるように見えますが、根底には「デジタル空間における個人の尊厳と社会全体の利益のバランスをいかに取るか」という共通の課題があります。今後のAIや新技術の発展は、日本と欧州のどちらの法的枠組みにとっても、現行の「比較衡量」基準を再考させる契機となるかもしれません。最終的に、各国・各地域の司法機関が、技術的現実と、自国の法文化が培ってきた基本的価値観との間で、いかに調和の取れた解を見出していくかが問われることになります。

関連取扱分野：国際法務・海外事業