删除信息请求:前广告主提出“全部抹除”时,你到底该怎么办

那条要求“全部删除”的消息

迟早会收到这样一条消息:曾在你的目录网站上发布过资料的人,有时是好几年前发布的,要求把个人资料、照片、账号,以及在谷歌搜索其旧工作名时仍会跳出来的那条搜索结果,统统删掉。有些消息语气平静,有些读起来像法律威胁。但大多数只是疲惫:这个人已经离开这个行业,换了职业,或者只是想让网上的痕迹少一点,不想解释原因。

本能的反应是把这当成一键操作:找到那条资料,删掉,把工单关掉。这种本能在两个方向上都会出错。它可能让你承诺一件你根本做不到的事,因为从自己数据库里删掉的资料,仍可能留在搜索引擎的索引里,或留在几个月前某个爬虫抓取下来的副本里。它也可能让你删掉另一部法律要求你必须保留的记录,把一个合理的个人请求,变成你自己制造出来的合规问题。

这和未经本人同意发布照片的情况不同,那类情况已经由一部特定的联邦法律按固定时限强制网站撤下。而这里提出请求的人,往往正是最初创建那条资料的人,他想要的是结束自己一手建立起来的东西,而不是撤掉别人对他做的事。

这种请求会不断出现,这正是为什么值得建立一套固定流程,而不是每次工单进来都重新拍板。靠临场判断的运营方,最终往往落入两种糟糕局面中的一种:反应太慢,错过法定期限;或者反应太快,没注意到要删的记录里有一项本来就不是可以自行决定留不留的。

法律到底要求什么,又允许你保留什么

如果提出请求的人在欧盟或英国,GDPR的删除权就会适用,但前提是该条例本身管得到你的业务,这取决于你是否有欧盟用户,或是否在向他们做市场推广,另有文章对此做了更详细的说明。一旦适用,时限就和该条例下任何数据主体请求一样:在不无故拖延的前提下回复,无论如何不得超过收到请求后的一个月,如果请求复杂或数量庞大,可以再延长两个月,但必须在第一个月内告知当事人延长的事实和理由。

如果请求人是加州居民,而你的业务达到了CCPA在营收或处理个人信息量上设定的门槛,那么对经核实的删除请求,回复时限是45个日历日,在合理必要时可以再延长一次,最多45天,同样要在第一个期限内发出延长通知。流量很少涉及加州用户的小型运营方,可能根本不会落入这些门槛之内,但对所有请求统一套用同一套内部时限,比每次都去判断对方属于哪个司法辖区要简单得多。

这两套制度都不允许你凭未经核实的说法行事。无论GDPR还是CCPA,都不允许企业仅凭一封自称是账号所有者的邮件,就去删除数据,或拒绝删除数据:两部法律都要求企业有一套合理的方式去核实对方身份,核实力度要与数据的敏感程度相匹配。这一步核实并不是走形式,它正是真实请求和另一个人代替别人做出“让这条资料消失”的决定之间的分界线。

两套制度也都给企业独立负有的留存义务留了例外。按照针对成人内容的联邦记录保存规定保留的年龄核实记录,不会因为照片中的人后来要求撤下资料就变得可以删除。支付机构或税务机关要求你保留的记录同样如此,企业出于合理识别和应对欺诈需要留存的内容也是如此。删除请求能触及的,是对外展示的资料页面和与该广告主使用网站相关的个人数据;触及不到的,是另一部法律另外要求你保留、且要求保留多久就必须保留多久的那份文件。

实际做法是不要再把资料页面和合规文件当成同一件东西。它们存在于不同的系统里,受不同的时限约束,也应该用不同的方式处理:对外的资料页面要全部撤下,而另一部法律要求保留的后台记录则原样留在那里,附上一条简短说明,标明它具体属于哪项留存义务。正是这条说明,能让你在几个月后如果被人追问,拿出证据说明你拒绝删除的,只是法律确实允许你拒绝的那一部分。

撤下资料触及不到的地方

从自己网站和数据库里删掉一份资料,触及不到搜索引擎早已抓取并收录的那个副本。搜索引擎按自己的节奏重新抓取页面,不是按你的节奏,在重新抓取发生之前,一个已经不存在于你服务器上的页面,仍可能带着一段已经过时的缓存摘要出现在搜索结果里。

谷歌那个用于刷新过期内容的工具,正是为填补这个空档而存在,但它只在你这边的改动已经真正发生之后才起作用:页面必须已经消失,或者确实发生了实质变化,工具才能去告诉谷歌更新它的记录。它不是那种能把一个仍在线、内容未变的页面硬生生从搜索结果里拿掉的杠杆;针对一个你实际上根本没撤下的页面提交的请求,只会被直接拒绝。

另有一个独立的工具,可以让本人请求谷歌,由谷歌自行决定,从搜索结果中去掉某些个人信息,比如联系方式或证件号码,即便原页面仍在线上。它的设计本就很窄:不受理删除某人个人资料或简介这类笼统请求,对政府、新闻或教育类网站的页面通常会被拒绝,即便申请成功,改变的也只是谷歌显示的内容,而不是原页面本身仍然包含的内容,也不会影响任何其他搜索引擎的收录。

资料撤下之前,第三方已经复制走的东西,无论是爬虫留下的镜像、保存下来的点评,还是某个独立档案网站存下的页面,完全不在你的掌控范围之内。要触及这些内容,需要向那个具体网站单独提出请求,不存在一个动作就能让它在所有地方同时消失的办法,其中有些网站根本不会回应撤下请求。把这一点坦白告诉前广告主,而不是去承诺一个干净的互联网,才是你实际能做到的那个诚实版本。

身份问题:提出请求的真的是本人吗

一条删除请求不需要真的来自广告主本人,也能看起来像是他本人发的。前任伴侣、竞争对手,或者心怀不满的人,都可以写一封邮件,自称是账号所有者,要求撤下某条资料;而一个仅凭未经核实的说法就删除资料的目录网站,等于把抹掉别人生意的能力,直接交给了一个陌生人。

入驻环节里本来就已经做过的身份核实,正好可以在这里当作天然的判断依据。目录网站在资料上线前所做身份核实中已经留存的信息,通常就足以确认这条删除请求,是通过同一个账号凭证或同一套联系方式、来自同一个人提出的,而不是凭空冒出来的一个未经核实的新说法。

当请求对不上任何已留存的信息时,诚实的做法是先要求对方提供更多证明,再决定是否行动,而不是各打五十大板,比如只删一部分资料,或者悄悄把账号暂停。暂停操作在真正的广告主眼里,看起来跟账号被盗完全一样,而一次没有说明的暂停,又会引来它自己的那张工单。

核实太慢,代价是错过法定期限。而凭未经核实的说法行动太快,代价是让另一个人丢掉自己的资料,一旦陌生人的请求已经走完流程,想要恢复就没有任何期限可言。这两种失误里,只有一种是那位生意刚刚凭空消失的广告主能看得到的,这恰恰是它应该和期限本身一样被认真对待的原因。

把流程建一次,而不是每次都重新决定

给删除请求留一个单一、明确的入口,一张表单或一个专门的支持邮箱,而不是任由它们分散地出现在邮件、聊天工具,以及前广告主随便还记得的任何联系方式里。正是这种分散的接收方式,才会让一条请求在无人回应中躺上三周,直到有人才想起期限其实是从收到那天就开始算的。

从收到请求那天起就开始计时,而不是从有人抽空读到它那天起算,并对照真正适用于那个人的期限去跟踪,较短的欧盟期限,或较长的美国期限。一份只记日期和到期日的简单台账,就能在忙碌的一周里拦住一条差点漏过期限的请求。

每次都走同一套简短流程:对照已有记录核实身份;身份确认后,把对外的资料和照片彻底撤下;给需要留存的后台合规记录打上标记,按照已有的留存计划处理,而不是直接删除;最后才提交请求,让搜索引擎刷新那条已经撤下页面的记录。

明明白白地告诉对方,他请求里的每一部分各自发生了什么:资料和照片已经从网站上撤下,搜索结果会按搜索引擎自己的节奏慢慢更新,而某一类具体命名的记录,出于某个具体且可以说清楚的法律原因被保留下来,而不是出于图方便。这样的回复,是诚实地把事情了结,也是日后同一个人,或者监管机构,再次询问时依然站得住脚的回复。