被遗忘权与永恒权之争：GDPR 与不可篡改账本的正面冲突，以及应对之道

两条法则，不可能都对

一封无从回复的来信

设想一家把服务建在区块链上的公司，某个普通的早晨。收件箱里躺着一封用户来信。文字简短而客气：“请删除我的个人数据。依据是 GDPR 第 17 条。”

接下来发生的事，信那头的人看不到。

法务看日历：按第 12(3) 条，答复期限是一个月，如果请求复杂，还可以再延长两个月，合计最多三个月。工程师看架构，然后说出一句话——邮件往来通常在这句话之后停顿：删不掉。不是“难”，不是“贵”，也不是“得排一个迭代”。是不可能——因为这条记录早已扩散到公司并不拥有的网络节点上，而这张网络的全部价值恰恰在于：记录从那里拿不走。不可篡改不是副作用，它正是花钱买来的东西。

值得在这里停一下，因为最有意思的部分才刚刚开始。

这不是一场“怎样才算对”的争论

人们通常把这类情形描述为技术与监管的冲突：法律落后于工程，等一等，它自会追上来。这个框架很方便，但并不成立。

实际相撞的，是两条此刻都在生效的规则。

第一条是《通用数据保护条例》（GDPR）第 17 条，其正式名称为 “Right to erasure ('right to be forgotten')”。请留意那对引号：“被遗忘权”并不是一项独立的权利，而是非正式的同义说法。法律术语是删除权。该条例自 2018 年 5 月 25 日起施行，在所有欧盟成员国直接适用。第 17(1) 条给出六项删除理由，且清单是封闭的：数据对于收集目的已不再必要；同意已被撤回且无其他依据；数据主体对处理提出反对，而数据控制者没有压倒性的正当理由；处理本身违法；法律要求删除；数据是在提供在线服务时从儿童处收集的。

第二条规则不是法律，而是分布式系统的物理特性，但它同样不容商量。写入区块链的数据被复制到大量独立节点上。谁手里都没有一个能撤销记录的按钮：形式上链是可以改的，但那需要所有节点更新或删除各自的副本并就改动达成一致，而实际上总会有一部分副本保持原样。这个性质与“打碎的鸡蛋拼不回去”属于同一量级。

形式上，法律当然胜过物理：一条法律规范不会因为难以执行而失效。但也正因如此，这场冲突不会自行化解——规范必须执行，而执行的办法并不存在。

两个监管机构，两种不同的回答

耐人寻味的是，连欧盟的监管机构对这个问题的回答也不一致——而且随着时间推移，回答越来越强硬。

法国的数据保护机构 CNIL 早在 2018 年就发布了关于区块链与 GDPR 的报告，并直言：当数据已经写入链上，满足删除请求在技术上不可能。随后 CNIL 提出了一条绕行路径——链上放的不是数据本身，而是证明其存在的密码学证据，原始数据和密钥保存在链外，可依请求销毁。用 CNIL 的表述，这样能够接近删除的效果。但同一份文件里也有一句诚实的补充：除个别密码学方案之外，严格说来这些做法并不是删除——数据依旧留在区块链上。还有一个很少被引用的结论：CNIL 承认这些方案的价值，但怀疑它们能否做到完全符合 GDPR。

泛欧机构——欧洲数据保护委员会（EDPB）——在《关于通过区块链处理个人数据的指南》（最终版于 2026 年 7 月 7 日通过）中的措辞明显更硬。关键一句是：技术上的不可能，不能成为不遵守 GDPR 要求的正当理由。逻辑简单而不讨喜：数据保护应当在设计阶段就被纳入，因此，选择一种什么都删不掉的架构，是你事先做出的决定，而不是不可抗力。

由此便有了 EDPB 的总体建议：个人数据总体上不应存放在区块链上，交易内容里也不该有它们的位置。文件另外说明，明文、加密数据和哈希数据同样都不建议写入链中——加密并不能让数据脱离 GDPR 的管辖。

2018 年与 2026 年这两种立场之间的差别，就是“我们理解你做不到”与“你做不到，是你自己选择的结果”之间的差别。

为什么这不只与区块链有关

很容易得出一个结论：问题很窄——不在区块链上搭建，冲突自然不存在。但断层线延伸得更宽。

它穿过任何把长期保存当作自觉目标、而非副产品的系统。穿过档案库。穿过备份——从执法实践的综述来看，许多公司干脆默认把备份排除在删除之外，连理由都懒得给。穿过密码学擦除——一种流行的工程手法：不销毁数据，而销毁密钥，密文照旧躺在原处。穿过任何用匿名化替代删除的尝试。

还有一点：GDPR 本身从未界定什么是 “erasure”。无论第 17 条还是序言部分，都没有给出定义。欧洲议会研究服务局 EPRS 为欧洲议会准备的研究报告（PE 634.445，2019 年 7 月）直接指出了这一点，并补充说：有理由认为并不要求物理销毁——在谷歌西班牙案（Google Spain）中，从搜索结果里删除链接就被视为足够，而不必删除出版物本身。报纸还在。链接消失了。

也就是说，争论的并不是谁的技术更好。争论的是“删除”这个词究竟意味着什么——而你的架构是否合法，取决于这个问题的答案。

本文接下来讲什么

接下来，我会把这场冲突拆开来看，不试图把它归结为一个漂亮的结论。

第 17 条实际要求什么——全部六项理由、全部五项例外、真实的期限。欧盟法院在 2014 年谷歌西班牙案（Google Spain）中作出了怎样的裁决，以及为什么它关于信息随时间过时的逻辑，对永久存储的打击比看上去更重。在 2019 年谷歌诉 CNIL 案（Google v. CNIL）的判决之后，被遗忘权的地域边界划在哪里——以及为什么流传甚广的“欧盟法院禁止全球删除”并不准确。

然后是技术这一面：按 NIST 标准，密码学擦除是什么，为什么标准把它归入 “purge” 而非 “destroy” 层级，以及在什么条件下它会失效。另外单独讨论：为什么 EDPB 把密文和哈希都视为个人数据，以及在 CNIL 与 EDPB 看来，唯一能让一条记录脱离 GDPR 管辖的是哪一种构造。

最后是代价。违反第 17 条落入第 83(5) 条规定的高档罚则：最高 2000 万欧元；如果违规者是企业，则最高为其上一财政年度全球年营业额的 4%，并且取两者中较高的一个。

结尾不会有现成的答案——CNIL 没有，EDPB 没有，欧盟法院也没有。会有的是一张地图：哪里是坚实的地面，哪里有争议，哪里是断崖。

被遗忘权：它从何而来

一则拍卖公告的故事

2010年3月，西班牙人马里奥·科斯特哈·冈萨雷斯（Mario Costeja González）向本国的数据保护机构提出申诉。起因平淡得近乎令人尴尬：在Google里搜索他的名字，结果中会出现《先锋报》（La Vanguardia）两个页面的链接。那是1998年1月19日和3月9日的两则报道——为清偿社会保险欠款而拍卖不动产的公告。

那桩追偿程序早在多年前就已全部了结。但每一次有人搜索——可能是潜在的雇主、合作伙伴、邻居——这个人的名字都会重新与那两个页面粘在一起。申诉人在申诉书中写道，这条信息已经完全失去了相关性。

西班牙监管机构AEPD在2010年7月30日作出的决定，很能说明这项权利的构造。针对报社的申诉被驳回：那次刊登是合法的，是依劳工部的指令作出的，目的是让拍卖获得最大限度的公开。而针对Google的申诉，则被支持。

这里的区别不是技术性的，而是意义上的。报社在1998年做的，正是它当时该做的事。搜索引擎做的却是另一件事：它把一个人零散的痕迹汇集成一份清单，并在十二年之后仍然随时备着。

欧盟法院说了什么

2014年5月13日，欧盟法院大审判庭就C-131/12号案件——Google Spain SL and Google Inc. v AEPD and Mario Costeja González——作出判决。当时GDPR尚不存在：法院适用的是95/46/EC指令以及《欧盟基本权利宪章》第7条和第8条。

法院认定了四件事，而每一件在当时都并非不言自明。

第一：搜索引擎的运作属于个人数据处理，其运营者是数据控制者。它不是一根中立的管道，而是要对处理负责的主体。

第二：欧盟的管辖权经由Google在西班牙那家销售广告的子公司而及于它。销售广告位就足以构成连结点。

第三，也是最重要的一点。即使被链接的网页本身原封不动，甚至在某些情形下，即使该网页上的发布本身合法，运营者仍有义务把该链接从以某人姓名为关键词的搜索结果中删除。搜索引擎的责任独立于发布者的责任。报纸留下，链接消失。

第四：利益衡量的检验。需要审查的是，当事人是否有权要求相关信息“在当下这一时点”不再与他的姓名相关联。而且，按判决的原话，认定这项权利并不要求把该链接列入结果给数据主体造成了损害。无须证明损害。

为什么偏偏是搜索引擎

法院的说理比任何转述都更能说明其中的逻辑。判决第80段指出：搜索引擎使任何用户都能获得关于某人信息的结构化概览，从而拼出一份或详或略的个人画像。而搜索引擎让信息无处不在，这一效果因此被进一步放大。

第93段是整个构造的教义核心。即使起初合法、且数据本身准确的处理，也可能随着时间推移变得与指令本身不相容——只要这些数据对于当初收集的目的已不再必要。特别是当考虑到已经流逝的时间之后，这些数据显得不适当、不相关或已不再相关，抑或过度的时候。

这在法律中是一种少见的想法：关于一个人的真相不会变质，但它的适切性会变质。1998年的那则公告并没有变成谎言。它只是不再能说明2014年的科斯特哈究竟是个什么样的人。在第98段中，法院直接援引了首次发布发生在十六年之前这一点。

与此同时，法院并没有向所有人发放赦免状。按判决的表述，当事人的权利“通常”既压过搜索引擎运营者的经济利益，也压过公众获取信息的利益。但并非总是如此：如果出于特殊原因——例如由于该人在公共生活中的角色——对其权利的干预因社会的优先利益而正当，结论就会相反。

它如何变成了法律条文

将近两年之后，2016年4月27日，GDPR——第(EU) 2016/679号条例——获得通过，自2018年5月25日起适用。Google Spain案的逻辑在其中拿到了专门的一条。

第17条的标题是“Right to erasure ('right to be forgotten')”——“删除权（‘被遗忘权’）”。请注意标题内部的那对引号：“被遗忘权”是非正式的同义说法，是给报纸标题准备的漂亮名字。法律术语是删除权。

理由正好六项，且是封闭式清单：

• (a) 数据对于当初收集的目的已不再必要；
• (b) 当事人撤回了同意——且不存在其他法律依据；
• (c) 当事人反对处理，而不存在压倒性的正当理由（对直接营销的反对则无条件生效）；
• (d) 处理本身违法；
• (e) 欧盟法或成员国法要求删除；
• (f) 数据是在提供在线服务时从儿童处收集的。

第17条第2款是科斯特哈一案的直接遗产。如果数据控制者已将数据公开，它有义务采取合理措施通知其他数据控制者：当事人要求删除指向该数据的链接、副本和复制件。附带一句诚实的限定：“考虑到可获得的技术和实施成本”。这不是结果义务。

期限并不规定在第17条，而在第12条第3款：不得无正当理由拖延，无论如何应在一个月内完成，并可再延长两个月——合计至多三个月。

仍然敞开的五扇门

例外列在第17条第3款，它们的措辞很关键：这些例外仅在处理属于必要的“限度内”适用。例外不会杀死整个请求，它只从中切走一部分。

在处理属于必要的下列情形，没有删除义务：

• (a) 为行使表达自由和信息自由——新闻业即属此列；
• (b) 为履行法律义务、完成符合公共利益的任务或行使官方职权；
• (c) 出于公共健康领域的公共利益原因；
• (d) 为公共利益之存档、科学或历史研究、统计之目的——但仅限于删除会使这些目的无法实现或严重受阻的情形；
• (e) 为提出、行使或抗辩法律主张。

另外还应单独提到第85条：成员国有义务通过立法，使数据保护与表达自由相协调，其中包括为新闻、学术、艺术和文学目的进行的处理。被遗忘权并不是为清洗历史而设计的工具——关于存档的(d)项正是把这一点明确固定了下来。

这对人们有什么用

答案比看上去简单。在互联网出现之前，遗忘是默认设置：报纸泛黄，合订本进了地下室，人搬去另一座城市，从头开始。没有人把这项权利写下来——它自己就产生了，产生于记忆的不完美。

搜索取消了这种不完美。如今的默认设置是永久的回想，而且是有选择的回想：不是一份传记，而是其中最糟糕的五分钟，被抬到搜索结果的第一行。九十年代还清的债。法院撤销的指控。十九岁时犯下的错。

第17条是一次尝试：用法律手段把从前由自然给予的东西还回来。它也诚实地承认，这里的权利彼此冲突：一个人对未来的权利，对抗其余所有人知晓过去的权利。GDPR并没有一劳永逸地化解这一冲突。它只是要求去权衡——每一次都从头权衡，同时顾及已经过去了多少时间，以及站在面前的是谁：是私人，还是那种其公共生活中的角色社会有权记住的人。

不可篡改：区块链为何不会遗忘

普通数据库的设计前提是记录可以修改。有一行数据，就有"更新"命令，就有"删除"按钮。而区块链的设计者恰恰把这一点视为漏洞：如果一条记录能被悄悄改动，那么迟早会有人为了自己的利益去改它。

哈希：无法伪造的指纹

一切的基础是哈希函数。它像一台数学绞肉机：输入端可以塞进任何东西（一串字符、一个文件、一整本书），输出端得到的永远是一串长度固定的短字符串。它有三个重要特性：

• 相同的输入永远得到相同的输出；
• 输入里改动一个字符，输出就会整个变样——不是"变一点点"，而是面目全非；
• 无法由输出反推出输入。

哈希是数据的指纹。它本身不保存数据，却能唯一地为数据背书：手里有文件和它的哈希值，几分之一秒就能验证文件有没有被掉包。

链：为什么改动一条记录会毁掉全部

接下来是一个简单的把戏，整座建筑就架在它上面。每一个记录区块都包含前一个区块的哈希值。第二块引用第一块，第三块引用第二块，依此类推。

设想一本账簿，每一页的顶端都写着上一页的指纹。有人涂改了第 40 页上的金额——这一页的指纹随之改变——它便和第 41 页上写着的那个对不上了。要掩盖这处篡改，就得重写第 41 页。可这样一来，第 42 页又会"错位"。如此一路推到最后一页。

正因如此，区块链里的单条记录是改不动的。能做的只有把它之后的一切全部重写，并且让持有链副本的那些人认可这个新版本。欧洲议会研究服务局（European Parliamentary Research Service）2019 年发布的一份研究报告里，"不可篡改性"这个词本身被称为具有误导性：参与者串通起来是可以改动数据的——代价极其沉重、极其昂贵，但并非不可能。这个区别是根本性的：不可篡改不是物理定律，而是一把非常昂贵的锁。

"在自己这边删掉"什么也说明不了

答案的另一半藏在"分布式"这个词里。区块组成的链并不躺在一台服务器上，而是分散在全世界许多台彼此独立的机器上，其中不少机器保存着整条链的完整副本。

由此得出一个让法律人不快的结论：即便数据控制者真心想删掉某条记录，他在物理上也够不着别人的副本。自己那份他能抹掉——剩下的还在。别人那份他可以去请求——对方没有义务听他的。EDPB 对此的描述很平实：技术上修改是可能的，但需要所有节点都更新或删除自己那份链副本，并且对此达成一致；实际操作中，改动传不到全部副本，原始数据依然可以获取。而这恰恰就是整套构造的用意所在。

法国监管机构 CNIL 早在 2018 年就确认过这一点：当数据已经写入区块链，删除请求在技术上无法满足。欧洲数据保护委员会（EDPB）在第 02/2025 号指南中——最终版于 2026 年 7 月 7 日通过——走得更远：原则上不建议把个人数据存放在区块链上，更不应把它们放进交易内容里。还有单独一句，把口子堵死：不得以技术上不可能为由不遵守 GDPR。

变通路径两家监管机构都描述过，轮廓是共同的：写进链里的不是数据本身，而是数据存在的证明——一个指针、一项密码学承诺（commitment），或者带密钥的哈希值——而验证这项证明所需的一切，都保存在链外。CNIL 排出了优先次序：首选承诺（commitment），其次是带密钥的哈希，再次是密文。EDPB 更严格：它把明文、密文和哈希放在同一档，不建议以其中任何一种形式把个人数据写入链中——它们的位置在链外。加密后的个人数据仍然是个人数据；而且即便是实现得无可挑剔的现代加密，只要链无限期保存下去，也终将被时间攻破。

两家监管机构唯一都认可数据已不再是个人数据的情形，是完美隐藏承诺（perfectly hiding commitment）：如果原始值和辅助秘密值都被删除，链上留下的那个承诺就毫无用处，凭它既无法还原原始数据，也无法识别出原始数据。至于其余一切，CNIL 说的正是引用时通常被略去的那句：严格说来，这类方案并不导致数据被删除，因为数据依然存在于区块链之中——并且补充道，它对这些方案能否实现对 GDPR 的完全遵守持保留态度。

Arweave：永恒不是副产品

比特币以及类似的网络是顺带具备不可篡改性的——它们的任务是记账，不是保存档案。Arweave 从一开始就是为存储而建的：文件上传一次，付费一次，此后它就一直躺在那里。

经济模型是这样的。付款一分为二：一部分立即支付给矿工，主要的一部分进入共同基金，用它在往后许多年里持续支付给存储者。这套算法的依据是存储会越来越便宜：根据 Arweave 黄皮书的数据，过去半个世纪里，每 GB 小时的成本平均每年下降略高于 30%，而项目文档称，要让基金无限期维持下去，每年 0.5% 就已足够。上传时收取的费用按当前价格计算，相当于为二十份副本存放两百年所付的价钱。

这里必须说一些广告式介绍里没有的话。两百年是一个定价参数，不是承诺；"永久"建立在两个假设之上：存储会继续变便宜，以及代币价格不会崩盘。协议的作者们自己写得很直白：他们并不指望这个网络以现在的形态永远出块——在最后一个区块之后，保存数据的经济激励将让位于社会性激励，而数据本身，按他们的设想，会由某个继任系统接手。协议也并不要求节点把所有内容都存在自己这里：存什么由各自决定，数据的留存是以概率方式、在整个网络的层面上得到保障的。

还需要第二点说明。我读过的欧洲监管机构文件，没有一份单独讨论过 Arweave——它没有，IPFS 没有，其他永久存储方案也没有。从监管口径上能对它们说的一切，都是把关于区块链的论证按类比推演过去。这个类比看上去很牢固：同样的不可篡改，同样的分布式，同样没有一个统一的"删除"按钮。但它终究是类比，而不是监管机构的立场。

还有第三点，略去它是不诚实的：我们自己的项目，正是把记忆写进 Arweave。这并不使上面写的内容失真，但你有权知道，本文作者在这件事上不是局外的旁观者。

结论很简单。关于被遗忘权与永久记忆的争论，不是在争谁懒得去按那个按钮。按钮根本不存在。它没有被写进架构里，而且是故意如此。

冲突究竟发生在哪里

「被遗忘权对抗不可篡改性」这个说法听上去很抽象，除非把它拆成具体的着力点。这样的着力点有四个：数据在法律上会发生什么、由谁对它负责、犯错的代价有多大，以及个人数据究竟是怎么进到公开的链上去的。

第一处：数据一旦写入，就永远留在那里

GDPR 第 17 条的结构很简单。它列出六项封闭的理由，数据主体据此有权要求删除：数据对于收集目的已不再必要；同意被撤回且没有其他法律依据；数据主体对处理提出反对，而数据控制者没有更具压倒性的正当理由（针对直接营销的反对则无条件成立）；处理本身违法；法律要求删除；数据是在向儿童提供信息社会服务时收集的。六项中任何一项成立，数据控制者就必须 "without undue delay"（不得无故拖延地）删除。第 12 条第 3 款把这句话换算成日历：一个月，必要时可以再延长两个月。

现在设想这些数据被写进了区块链。一个月过去了，却没有什么可删——这种架构里根本不存在删除，只存在追加。

CNIL——法国的监管机构，在 2018 年 9 月的一份报告中专门梳理过这个题目——说得很直白：当数据已经写入区块链，技术上无法满足删除请求。接着 CNIL 描述了一条绕行的路径：如果链上存放的不是文本本身，而是密码学承诺、带密钥的哈希或者密文，那么销毁链下的原始数据和验证要素之后，就可以「接近于删除的效果」。它随即又补了一句——除个别 commitment 方案之外，严格来说这些做法并不是删除，因为数据仍然存在于链上。CNIL 对自己这条建议的评价是：承认这些方案有价值，但怀疑它们能否实现对 GDPR 的完全合规。

将近八年之后，EDPB——欧盟层面的数据保护委员会——的措辞更硬。Guidelines 02/2025 的最终版（2026 年 7 月 7 日通过）里有一句话，堵死了这个行业的主要防线：技术上的不可能不能成为不遵守 GDPR 要求的借口。其逻辑是：第 25 条要求数据保护 "by design"（从设计着手），也就是在选择处理手段的阶段就必须考虑到。你选择了不可篡改的存储，这是你的选择，不是不可抗力。

由此得出 EDPB 的总体建议：原则上不应把个人数据存放在区块链上，也不应把它放进交易的内容里。第 104 段走得更远，把三种形式并排放在一起——明文、加密数据和哈希：以其中任何一种形式在链上登记个人数据都不被推荐，它们的位置在链下。

最后这一点最让工程师意外。「我已经加密了」不是理由：EDPB 提醒，加密后的个人数据仍然是个人数据。它还补充了一点在设计时很少有人想到的事：如果链被无限期保存下去，即便是实现得无可挑剔的现代加密，也终将败给时间。

第二处：谁是这里的数据控制者

GDPR 建立在一个假定之上：每一份个人数据至少有一个数据控制者——数据主体知道该向谁提出要求。一份为欧洲议会科学和技术未来小组准备的研究（EPRS, PE 634.445，2019 年 7 月；作者米歇尔·芬克 Michèle Finck）把这称作两个根本冲突中的第一个：区块链用众多参与者取代了单一的行为者，而在如何认定控制者身份上又缺乏共识，责任因此无法分配。

CNIL 试着分配过。被认定为数据控制者的，是那些拥有写入权限、并决定把数据送去验证的参与者：自然人——如果处理与职业或商业活动相关；法人——如果它把个人数据登记到链上。矿工不被认定为控制者：他们只是验证交易，并不决定处理的目的和手段。为自己买入比特币的个人也不是控制者，这里适用个人活动的例外。

但这套构造在下一步就断了。按 CNIL 的说法，矿工有可能构成数据处理者。而依据 GDPR 第 28 条，数据处理者是在与控制者签订合同的基础上开展工作的。公链里的匿名矿工连自己打包的是谁的交易都不知道，怎么和他签合同？CNIL 承认了这个实践难题，并且坦率地回答说，它正在就此进行「深入的思考」。报告里没有给出现成的构造。

第二个陷阱：如果多个参与者出于共同目的进行处理，所有人都有可能成为第 26 条意义上的共同控制者。CNIL 建议事先指定其中一个，或者成立一个法人。这两条都预设了参与者的范围事先已知，并且有人能代表他们出面。

值得记住的是：在谷歌西班牙案（Google Spain, C-131/12，大审判庭，2014 年 5 月 13 日）中，欧盟法院把搜索引擎运营者认定为数据控制者——那不过是索引别人页面的一方，与最初的发布毫无关系。而且搜索引擎的责任被认定为独立的：即便原始页面上的发布本身合法，它也必须删除链接。法院寻找的不是谁承担责任更方便，而是谁决定了处理的目的和手段。同样的逻辑用在分布式账本上，给不出一个好答案。它给出的是许多个坏答案。

第三处：犯错的代价

侵犯删除权落在两档罚款中较高的那一档。第 83 条第 5 款 (b) 项覆盖第 12 至 22 条规定的数据主体权利——第 17 条整条都在其中。上限：20 000 000 欧元，或上一财政年度全球年度总营业额的 4%。

有三个细节通常会被讲歪。公式是 "whichever is higher"（以较高者为准）：取两者中较大的那个，而不是较小的。百分比按营业额算，不是按利润；按全球算，不是按欧洲。百分比这一档适用于「企业」；对非企业主体，只适用绝对金额。

也有从轻的机制。第 83 条第 3 款：在相互关联的处理操作中发生多项违规时，总额不超过最严重那一项违规所对应的数额——罚款不叠加。第 83 条第 2 款给出一份封闭清单，列明十一项必须考量的因素；其中包括违规的性质与持续时间、故意还是过失、为减轻损害所采取的措施、结合第 25 条和第 32 条判断的责任程度、既往违规、与监管机构的配合、涉及的数据类别、由此获得的利益。这里的上限是权衡的上边界，不是价目表。

实际数额的量级可以看 Google v CNIL 案（C-507/17）：CNIL 对谷歌处以 100 000 欧元罚款——理由是拒绝执行在所有域名后缀上删除链接的指令。2019 年 9 月 24 日，欧盟法院裁定谷歌没有义务在全球范围内删除——覆盖所有成员国对应的版本即可，并辅以能够有效阻止、或至少严重妨碍从欧盟境内检索时访问该内容的措施。但同一份判决的第 72 段里有一条常被忽略的保留：欧盟法也并不禁止全球范围的删除——成员国的监管机构或司法机关有权依据本国的基本权利保护标准作出这样的命令。

第四处：数据是怎么进去的

这里必须谨慎。已研读的监管文件并没有给出涉及具体网络和日期的事件清单——它们描述的是机制，而不是编年史。所以我要讲的是机制。

第一个，也是最被低估的：参与者的标识符。CNIL 认为公钥属于本质上无法最小化的数据，而它们的保存期限等于这条链本身存在的期限。也就是说，哪怕一条链里没有一个字节的「实质性」个人数据，它也已经在保存个人数据了——而且是永远保存。

第二个：哈希作为个人数据。工程师的直觉会说「哈希不可逆，所以是匿名的」。WP29 在 Opinion 05/2014 中的回答——EPRS 的研究是这样引用它的——是：简单地施加一个哈希函数并不会自动把个人数据变成匿名数据；哈希更多产生的是假名化数据，而不是匿名数据——它是有用的安全措施，但不是匿名化的方法。原因是算术上的：如果可能的输入集合已知且有限——比如说，所有现存的电子邮件地址——那么按同一份研究所引用的爱德华·费尔滕（Edward Felten）的说法，机器穷举一遍花的时间比泡一杯咖啡还短。加盐的哈希救不了局面；带密钥的哈希能给出更强的保证。EDPB 予以确认：哈希将被视为个人数据，正如任何其他现有的标识符一样——只有一点保留：如果算法未被攻破，而密钥或盐已被删除且没有泄露，那么就不应该再能把哈希与原始数据关联起来。

第三个：更正权反过来伤害了数据主体。按 CNIL 的说法，更正是通过用新的区块写入更新后的数据来实现的——但第一笔错误的交易仍然留在链上。形式上，权利已经履行。实际上，关于这个人的错误数据被永久保存，就挨着正确的数据。

两家监管机构都承认可以作为出路的架构只有一种——基于 perfectly hiding（完美隐藏）方案的密码学承诺。CNIL 在脚注里指出：在删除 witness 和被承诺的值本身之后，commitment 变得足够匿名，以至于不再能被视为个人数据。EDPB 在第 53 段表示同意：留在链上的 commitment 毫无用处——原始数据既无法恢复，也无法识别。这是一扇窄门，但它确实存在。

监管机构怎么说

关于能否把人写进永久存储，争论并不只发生在工程师之间。在欧洲，有三份文件是这场争论中通常会被援引的：法国监管机构 CNIL 的报告、欧洲议会研究服务部门为议会准备的一份研究，以及欧洲数据保护委员会（EDPB）的指南。它们的地位并不相同——两份出自监管机构，一份是专家研究——但连着读下来很有价值：可以看到近八年里，立场是收紧了，而不是放松了。

CNIL，2018年：“技术上不可能”——以及该怎么办

不妨从法国监管机构说起。2018年9月，CNIL 发布了报告《Blockchain and the GDPR: Solutions for a responsible use of the blockchain in the context of personal data》——这是一份由监管机构完成的详细分析，讨论 GDPR 如何适用于不可篡改的账本。

其中被引用得最多的是那句核心表述：CNIL 确认，当数据已经写入区块链时，在技术上不可能满足删除请求。引用通常到此为止——于是得出一个方便的结论：“监管机构承认删不掉，那就可以不删。”

但 CNIL 后面还有一些被引用得少得多的内容。它描述了一条绕行路径：如果放上链的不是文本本身，而是密码学承诺、带密钥的哈希或密文，那么在链外销毁原始数据和验证要素之后，数据控制者就可以“接近删除的效果”。它随即补充：除个别承诺方案之外，这些做法严格来说并不构成删除，因为数据仍然存在于区块链中。最终评价是：CNIL 承认这类方案有价值，但怀疑它们能否实现对 GDPR 的完全合规。

也就是说，早在2018年，监管机构说的就不是“可以”，而是“我们看到了你们的迂回操作，但不确定它算数”。

报告的实操部分倒是相当具体。CNIL 按优先程度由高到低排出了上链的记录形式：首选密码学承诺，其次是带密钥的哈希，再次是密文。明文或不带密钥的哈希——只在例外情形下使用。数据本身放在链外，链上只放数据曾经存在的证明。CNIL 还单独承认，与公链矿工按第28条签订数据处理者协议在实践中很困难，并表示正在就此进行深入思考。

为欧洲议会所做的研究，2019年：法律不必动，需要的是解释

一年之后，出现了研究《Blockchain and the General Data Protection Regulation》（PE 634.445，2019年7月，作者 Michèle Finck），由欧洲议会研究服务部门为科学与技术前瞻小组准备。这是受邀专家的工作成果，而不是议会作为机构的立场——但正是它把这场冲突归结为 GDPR 中内置的两项假定。

第一项：每一块个人数据背后都至少有一个数据控制者，可以向其提出主张。区块链把单一责任人换成了众多参与者——而对于其中谁是数据控制者缺乏共识，责任因此难以分配。

第二项：数据可以修改或删除。区块链的设计恰恰是要让单方面的修改尽可能困难——这正是这项技术的全部意义所在。

研究的结论却很温和：GDPR 不需要修改。该条例在起草时就保持技术中立，建立在原则之上，而不是对具体系统的描述。需要的不是修法，而是监管机构的解释——EDPB 的专门指南、行为准则、认证机制。

其中还有一项观察值得记住：GDPR 第17条根本没有界定什么叫“删除”。条文和序言里都没有定义。而在 Google Spain 案中，从搜索结果里移除链接被认定为已经足够——尽管报纸页面本身仍然留在原处（不过申请人要求的也不过如此）。这可以作为一项论据，说明作为物理行为的销毁并不是这项权利的必要内容。不过司法实践并不一致：在 Nowak 案中，欧盟法院谈到删除时，指的正是销毁。

EDPB，2026年：“技术上不可能”不再是理由

2019年那份研究所呼吁的解释，将近六年之后才出现。《Guidelines 02/2025》，关于通过区块链技术处理个人数据：1.1版于2025年4月8日通过，最终的2.0版于2026年7月7日在公众咨询之后通过。

语气变了，而且是根本性的变化。关键的一句（第50段）：

“The EDPB emphasises that technical impossibility cannot be invoked to justify non-compliance with GDPR requirements”

技术上不可能，不能成为不合规的理由。逻辑简单而难以反驳：设计即数据保护（data protection by design，第25条第1款）适用于选择处理方式的阶段。如果你选择了一种无法删除的架构，那么这种不可能是你自己造成的，它是你的问题，而不是减轻责任的情由。

总体导向更为严厉（第48段）：总的来说不建议在区块链中存储个人数据，交易内容里也不应出现个人数据。第104段把明文、密文和哈希放在同一位置：不建议以其中任何一种形式在链上登记个人数据——它们的位置在链外。建议11把这一思路推到底：如果没有能够保证在保存期限届满时删除或匿名化的技术方案，那么根本就不应把个人数据放上链。

CNIL 2018 与 EDPB 2026 之间的差别是原则性的。CNIL 描述的是如何与区块链共处。EDPB 的回答是：多数情况下——没法共处；如果你并不需要链的严格完整性这一特性，那就换个工具。

哈希算不算个人数据

在这里，工程师和法律人的直觉分歧最大。工程师看到的是不可逆的单向变换：从哈希里取不出原始字符串。监管机构的着眼点不同——它关心的不是函数可不可逆，而是这条记录能否与某个人关联起来。

EDPB 的立场（第52段）很直接：哈希将被视为个人数据，与其中出现的任何其他标识符一样。那里也有保留条件：在删除密钥或盐之后，哈希不应再能与原始数据相关联——但这只在算法未被攻破、密钥和盐未被泄露的前提下成立。关于加密，说法同样明确（第51段）：加密后的个人数据仍然是个人数据，加密并不免除 GDPR 项下的义务。还补充了一个关于时间的判断：即便是实现得完美无缺的现代加密，只要区块链无限期保存下去，也终将被攻破。

这并不是什么新立场。早在2014年，第29条工作组在 Opinion 05/2014 中就把哈希归入假名化，而不是匿名化：它是有用的安全措施——但不是匿名化的方法。加盐的哈希同样不能带来匿名性。这些表述之所以广为人知，主要是因为 EPRS 那份研究的引用，而该研究正是以工作组的意见为依据；研究本身的说法也一样：仅仅施加一次哈希函数，并不能把个人数据变成匿名数据。

为什么——举个例子就清楚了。哈希不必“解密”，可以猜：只要可能的输入集合有限，把它们全部哈希一遍再作比对就够了。世界上的电子邮件地址大约有五十亿个——对计算机来说这算不上难题。电话号码或出生日期的哈希，用穷举轻易就能试出来，因为取值空间太小。函数的不可逆性在这里什么也保护不了。

唯一一种两家监管机构说法一致、且都持肯定态度的构造，是密码学承诺（commitment）。CNIL 在报告的脚注中写道：在完全隐藏（perfectly hiding）的方案下，删除见证值（witness）和被承诺的值本身，会使承诺匿名到不再能被视为个人数据的程度。EDPB（第53段）也是同样的说法：在原始数据和 witness 被删除之后，留在区块链里的承诺已经毫无用处——原始数据既无法恢复，也无法获知。

监管机构没有答案的地方

有些事得直说。

没有“删除”的定义。 第17条没有给出定义。为欧洲议会准备的那份研究也承认这一点。整套“销毁了密钥就算删除”的构造，依托的不是某条规范，而是规范的缺位。

没有任何一份法律文件承认加密擦除构成对第17条的履行。 有工程标准（NIST SP 800-88r2 把 cryptographic erase 归入 purge 级别的技术，而不是 destroy）。有 CNIL 谨慎的“接近这一效果”。有欧盟法院在 SRB 案中的判决，从各方的法律分析看，其中出现了向语境判断的转向。但并不存在一份具有约束力的文件写明“销毁密钥＝删除”。更进一步，全欧范围内关于第17条执法情况的调查——EDPB CEF 2025 报告，共访问了764家数据控制者——一次也没有提到加密擦除。与此同时，监管机构在报告中直接批评了用匿名化偷换删除的做法：数据控制者采用基础的假名化或部分掩码，再把这当作删除，这种常见做法并不符合 GDPR 的要求。

没有关于永久存储的答案。 这些文件中没有任何一份把 Arweave、IPFS 及类似系统与区块链分开单独讨论。关于它们的任何结论都是外推，而不是监管机构的立场。

矿工问题没有解决方案。 CNIL 承认，与公链验证者签订数据处理者协议在实践中很困难，并表示正在思考这个问题；报告里没有现成的答案。

结论并不令人愉快，但很诚实：监管机构对不能做什么的描述，远比对可以怎么做的描述详尽得多。两家都明确认可的架构只有一种——数据留在链外，链上只放它们曾经存在的证明。其余的一切，要么没有立场，要么归结为一句“我们怀疑这算不算数”。

行不通的解决方案

人第一次撞上区块链与删除权（删除权，right to erasure）之间的矛盾时，很快就会冒出一个看似能解围的想法。通常无非是六种之一。没有一种经得起完整推敲：有的被监管机构直接否掉，有的败在自身的构造上。下面逐一来看，因为弄清一条绕行路为什么走不通，比再列一份禁止清单更有用。

“我们只把哈希写进链”

最流行的方案，也是流传最广的误解。逻辑是这样的：哈希是单向函数，无法从中还原原始数据，那么链上存的就已经不是个人数据，而是一串没有意义的字符。

监管机构的说法不同。EDPB 在《指南 02/2025》(Guidelines 02/2025) 中写得很直白：哈希同样会被认定为个人数据——与可能并存的任何其他标识符一样。第29条工作组早在2014年（《关于匿名化技术的第05/2014号意见》，Opinion 05/2014 on Anonymisation Techniques, WP 216）就把哈希函数称为一项有用的安全措施，而不是匿名化方法——这一点我是依据一份为欧洲议会准备的研究报告转述的，该报告引用了这份意见；原始文献我本人没有查阅。这份研究本身（PE 634.445，Michèle Finck，2019年7月）也补充了同样的判断：哈希多半得到的是假名化数据而非匿名数据，对个人数据施加哈希函数并不会自动把它变成匿名数据。

技术上的原因简单而讨厌。哈希的单向性防的是从任意输入还原，而不是在已知集合内穷举。如果你哈希的是电子邮箱地址、电话号码或出生日期，可能输入的集合是有限的，而且完全在可以枚举的范围内。同一份研究引用的 Edward Felten 曾说：在已知的输入集合上跑一遍穷举，计算机花的时间比泡一杯咖啡还短。按该研究同样引用的第29条工作组的立场，加盐的哈希也给不了匿名性——盐让大规模攻击变难，却不能让数据变成匿名。带密钥的哈希（“加胡椒”）提供更强的保证，但只要密钥还存在，它同样只是一个假名。

CNIL 2018年给出的实务结论是：如果非要往链上写点什么，按优先顺序应当是——密码学承诺（commitment），其次是带密钥的哈希，再次是密文。EDPB 的指南只保留了这份清单的上半截：链上可以放指针、承诺或带密钥的哈希，而密文在第104段被归到与明文同一档——不建议以这种形式记录个人数据。至于公链上不带密钥的裸哈希，EDPB 认为在一般情况下并不充分。

“我们加密——然后销毁密钥”

这是一项有名字、也有标准的技术：密码学擦除（cryptographic erase）。NIST SP 800-88r2（2025年9月）把它定义为对密钥的清除，使得恢复出解密后的数据变得不切实际。从工程角度讲，这套说法是诚实的。

但请注意它的分级：NIST 把密码学擦除归入 purge（清除）级别，而不是 destroy（销毁）。这不是物理销毁，标准本身也没有掩饰这一点——密文仍然留在介质上。

法律层面上，EDPB 的回答更加直接：加密后的个人数据仍然是个人数据，加密并不免除遵守 GDPR 的义务。它还补上了一句对永久存储而言致命的话：只要链被无限期保存下去，哪怕实现得无可挑剔的现代加密，也终将被时间攻破。

这里值得在“标准线”本身上停一停。可识别性衡量的不是绝对值：问题在于能否“通过合理可能被使用的手段”把一条记录与某个人联系起来——EDPB 在关于删除权的章节里正是这样描述这项检验的。而“合理可能”是一个与时间绑定的量：今天需要动用国家级资源才能做到的事，明天可能落进一个好奇者的预算里。要躺上一百年的数据，只能按这个时间跨度来评估，而不是按周一早上的强度来评估。

除此之外，还要加上标准本身那些很接地气的但书。如果敏感数据哪怕有一次以明文形式落在介质上，密码学擦除就不适用。如果介质做过备份，或者密钥曾被托管，那就不该信任它——除非组织确切知道这些密钥当初以何种方式、存放在何处、由谁管理。展开后的密钥可能残留在内存和加密引擎的寄存器中。而在该标准此前那一版（现已撤回）里还点出了另一件麻烦事：结果无法验证——擦除之后，介质上的内容已无从比对。

也有反方论据，我如实摆出来。欧盟法院在 C-413/23 P 号案件（EDPS 诉 SRB，2025年9月4日）中的判决确立了相对性方法：同一批假名化数据，对持有密钥的一方可能是个人数据，对无法重新识别它们的接收方则可能不是个人数据。这是目前支持密码学擦除的最有力论据。但它讲的是数据在没有密钥的接收方手里如何定性，而不是说销毁了密钥的数据控制者，就此对自己手上剩下的密文履行了第17条。另外说明一句：这份判决的文本我没有核对原始文献。

“我们用的是私有网络，外人进不来”

私有链或联盟链确实卸掉了一部分问题：参与者范围明确，流程更容易协商，也没有公开访问。EDPB 明确写道，只有当公开访问对至少一项处理目的而言是必要的，才应当采用公有链——依据是 GDPR 第25(2)条，即个人数据默认不得为不特定多数人所访问。

但网络的私有性解决的是访问问题，而不是不可篡改的问题。如果一条记录无法从链上移除，那么无论看得见这条链的是一万人还是十个人，它都同样移不掉。删除权不会因为受众变窄，就变成限制访问权。

第二点：私有网络也取消不了“谁是数据控制者”这个问题。按 CNIL 的逻辑，拥有写入权限的参与者就是数据控制者——把个人数据登记上链的法人，毫无疑问就是数据控制者。如果几个参与者出于共同目的进行处理，事先又没有确定由谁负责，那么所有人都可能落成 GDPR 第26条意义上的共同控制者。在联盟里，这不是减轻情节，而是对典型情形的描述。

“我们分叉链，把那条记录清掉”

想法很激进：既然记录删不掉，那就从需要的那个区块起把历史整个重写一遍，再请全网切换到新版本。

技术上这是可行的——但恰恰因此，它作为法律机制并不成立。分叉需要网络的同意。这就意味着，某个具体的人能否实现自己的权利，要取决于一大批彼此独立、对他不负任何义务的参与者的善意。而 GDPR 给数据主体的，是向数据控制者提出请求并“不得有不当延迟”地拿到结果的权利——依第12(3)条，期限为一个月，最多再延长两个月。一种需要为每一次个人请求都协调全网的机制，既赶不上这个期限，本质上也无法扩展：它是为罕见的紧急事件设计的，而删除请求是日常。

再有，分叉恰恰破坏了当初选择区块链所看重的那个特性。如果历史可以按要求重写，链的证据价值就消失了。结果是一个不再提供不可篡改保证、却依然背着分布式共识全部成本的系统。

“数据已匿名化”与“干脆就不删”

最后两种做法值得放在一起看，因为在实践中，后者常常藏在前者背后。

EDPB 关于删除权执法情况的报告（调查了764家数据控制者）把这记录为一种普遍做法：数据控制者把匿名化当作彻底删除的替代品。报告并且指出，在一些情形下所做的只是基础的假名化或部分遮蔽——而这样的处理并不满足 GDPR 对删除的要求。同一份报告还提到，许多机构默认把备份排除在删除之外，却不说明为什么。

“已匿名化”不是可以自我认证的。这项检验是实质性的：如果数据仍然可以“通过合理可能被使用的手段”与某个人联系起来——EDPB 在关于删除权的章节里正是这样划定这条线的——那么匿名化就没有发生，无论内部文档里把它叫作什么。

“不删，然后指望没事”这一路数，直到不久前还依托着 CNIL 2018年的表述：当数据已写入区块链时，技术上不可能满足删除请求。由此推出的结论是——既然不可能，那就不负有义务。

EDPB 把这根支柱撤走了。《指南 02/2025》（最终版 2.0 于2026年7月7日通过）中写得很直白：技术上的不可能不能充当不遵守 GDPR 要求的借口。依据是第25(1)条——数据保护“设计先行”（by design）在你确定处理手段的那个阶段就已经开始适用。也就是说，一个让守法变得不可能的架构决定，是你自己的选择，而不是不可抗力。

代价并不抽象。侵犯第12—22条项下数据主体权利的行为，落在第83(5)条的上限档：最高 20 000 000 欧元；如果违规者是企业，则为其上一财政年度全球年营业额的4%，whichever is higher（以较高者为准），也就是取两者中较大的一个。

这六种做法有一个共同的分母：每一种都改变了数据的可获取性，但没有一种回答“这些数据本身该怎么办”。监管机构认可的、唯一能使个人数据身份终止的架构，是完美隐藏承诺（perfectly hiding commitment）：在删除原始数据和 witness 之后，留在链上的承诺按 EDPB 的表述已经毫无用处——原始数据既无法还原，也无法辨认。但这已经不是绕开问题，而是另一种设计方式，它要在写下第一个区块之前就定下来，而不是之后。

加密擦除

想象一只被浇筑在混凝土里的保险柜。取不出来，炸不开，也搬不走。但你可以把唯一的钥匙熔掉。里面的东西会永远留在那里——只是再没有什么能打开它。

这就是加密擦除，又称 crypto-shredding。思路简单得近乎不讲道理：数据从一开始就以密文形式存放，等到需要“删除”的时候，被销毁的不是数据，而是密钥。

标准怎么说

这个方法有一个权威定义——NIST SP 800-88r2《介质净化指南》（Guidelines for Media Sanitization，2025 年 9 月）。原文照录：

“cryptographic erase (CE): A purge sanitization technique in which key sanitization is applied to one or more keys providing confidentiality protections for the encrypted target data, making recovery of the decrypted target data infeasible.”

（加密擦除（CE）：一种“清除”级净化技术，对为加密目标数据提供机密性保护的一个或多个密钥实施密钥净化，使解密后的目标数据无法恢复。）

请注意 purge 这个词。NIST 的分级里还有 Destroy 一级——物理销毁介质，磁盘最后只剩下碎屑。加密擦除进不了那一级。它属于“清除”级，而且 NIST 老老实实地写明：“The encryption itself acts to sanitize the data”——加密本身起到擦除的作用，但前提是满足文件中列出的各项条件。密文在物理上仍然留在介质上。

还有一件事值得单独知道：该标准的上一版——2014 年的 SP 800-88r1，如今十篇谈 crypto-shredding 的文章和博客里有九篇仍在引用它——已于 2025 年 9 月 26 日撤回，并由 r2 完全取代。如果有人把 r1 的链接当作现行标准拿给你看，说明那份文件他是很久以前读的。

它在什么条件下才成立

NIST 并没有说“销毁密钥，然后安心睡觉”。标准 §3.2 列出了一串硬性前提条件，其中每一条都是潜在的失效点。

密码强度。 参照 ISO/IEC 27040：算法与工作模式的强度不低于 128 位，随机数生成器的熵不小于密钥长度。ECB 模式被明确禁止。

数据从未以明文形式存在过。 如果敏感信息哪怕只有一次以未加密的形式写入过介质，加密擦除也删不掉它——它清掉的只是密钥，而不是数据本身。

密钥的所有副本都已销毁。 不是一份，而是全部——包括层级中位于下层的密钥。推荐的技术是按 ISO/IEC 19790 做归零处理。

内存中不能留下密钥。 一个通常被忽略的细节：如果被封装的密钥曾经被解封并放进内存或加密引擎的寄存器，这些痕迹同样必须清除。NIST 承认，为此可能需要对设备做硬复位，或者断电搁置一段时间。

弱点——照实说

方法很优雅，但它有一些漏洞，标准里讲得很坦白，而市场宣传材料通常只字不提。

密码算法可能撑不住。 这不是杞人忧天，而是 NIST 的直接保留意见：如果将来发现算法的密码学弱点，或者算力（例如量子计算）让恢复密钥成为现实，数据就会重新变得可读——在这类情况下，“CE may not be an acceptable sanitization technique”（加密擦除可能不是一种可接受的净化技术）。

由此引出一件麻烦事：“harvest now, decrypt later”（先收割，后解密）攻击。在密钥销毁之前拷走的那份密文可以永远存活，静静等待时机。针对物理销毁介质，这种攻击毫无意义。针对加密擦除，它是一套完全可行的策略。

EDPB（欧洲数据保护委员会）把同样的意思用到了区块链上：即便是最先进的加密、实现得再完美，只要链被无限期保存下去，它终究会输给时间。对于一块普通的企业磁盘——过几年就送去报废——强度余量绰绰有余。对于一条按世纪来计的记录，同样的余量什么都不算。

密钥的备份。 最平淡无奇、也最常见的麻烦。NIST 的说法是：对于做过密钥备份或密钥托管的介质，如果组织无法高度确信这些密钥在介质之外是如何、在何处被保存和管理的，就不能信任加密擦除。

翻成人话。密钥放在 KMS 里。KMS 复制到三个区域。KMS 有夜间备份。还有一份托管副本在第二位管理员手里，以防第一位离职。还有一台虚拟机的快照，正好拍在密钥已解封于内存中的那一刻。你按下了“销毁密钥”——而它还在另外五个地方。擦除的效果等于零，可关于用户请求已执行的报告已经发出去了。

结果无法复核。 这大概是最被低估的问题。已撤回的 r1 版把它说得毫不含糊：加密擦除之后，介质上留着的是密文，其内容不得而知，也没有东西可以与之比对；而如果组织无法验证 CE 是否奏效，就应当改用另一种可验证的方法。

现行的 r2 要求按十个必备条目记录整个流程，但紧接着又补了一句让人清醒的话：“CE's effectiveness as a purge sanitization technique does not depend on documentation”（加密擦除作为清除级净化技术的有效性并不取决于文档）。有效性不取决于文书。文书关乎的是可追溯性，而不是事实本身。

还要单独说说外部密钥管理器：介质根本看不见 KMS 内部对密钥做了什么。它发出了一条命令。之后发生了什么，是对别人系统的信任问题。

不可逆本身就是风险。 密钥销毁无法回滚。操作员的一次失误、脚本的一次故障、一次恶意行为——数据就此永久丢失，没有任何恢复的可能。而如果架构规定每个用户一把独立的密钥，那么在一百万用户的规模下，你要管理一百万把密钥，每一把都得在某处妥善保管，并在该销毁的时候按时销毁。

为什么它被认作擦除——以及是否真被认可

这里要把两件事分开：工程上的认可和法律上的认可。

工程这一侧没有问题。加密擦除写在 NIST SP 800-88r2 里，依托 ISO/IEC 27040、ISO/IEC 19790 和 ISO/IEC 24759，相邻的技术则被放进了 IEEE 2883-2022。这是一种公认的净化方法，适用条件也很清晰。

法律这一侧要浑浊得多，这一点值得直说。首先，GDPR 第 17 条里的“erasure”（擦除）这个术语本身就没有定义——条文里没有，条例的鉴于条款里也没有。实践中的参差由此而来：第 29 条工作组（Article 29 Working Party）在关于云计算的意见中允许销毁设备；奥地利监管机构在 2018 年 12 月 5 日的决定中认定去标识化是履行删除权的一种方式；英国监管机构长期采用“putting beyond use”（置于不可用状态）的概念——数据没有被物理删除，但已被逐出流转。各成员国之间始终没有形成共同的理解。

不过，上述任何一种路径都与密码学无关。欧洲法律中没有对加密擦除的单独认可，而 EDPB 提醒的一点，方向恰恰相反：加密后的个人数据仍然是个人数据，加密并不解除 GDPR 规定的义务。

有一个细节很说明问题：在欧洲规模最大的一份删除权执法综述中——覆盖 764 家数据控制者——讨论了备份与去标识化，而加密擦除并没有作为一个单独的类别出现。工程师们写了那么多的这个方法，对监管机构来说目前干脆就不存在。

“技术上可靠”与“法律上算数”之间的鸿沟在这里是真实存在的，而目前还没有什么能把它填上。

我们是怎么做的

接下来谈工程。我会说明 CODE 里的记忆存储与删除是如何构建的，为什么选了这条路，备选方案是什么，以及哪些妥协依然摆在那里。我不会声称我们解决了监管机构至今仍视为无解的问题。

基本规则：明文不进入永久存储

用户与助手的对话活在三层里。即时层——当前会话的上下文。语义层——数据库中支持向量检索的嵌入向量。永久层——Arweave。

关键的分岔就在第三层的边界上。凡是进入永久存储的内容，都在发送之前完成加密：AES-256-GCM，客户端侧加密，进入网络的只有密文。密钥保存在两个地方：用户手里，以及受管的密钥管理服务（KMS）。链上不存姓名，不存文本，不存任何脱离密钥就能读懂的东西。

为什么要这样做，而不是"干脆别把个人数据放进区块链"？因为那样就没有产品了。永久记忆的意义在于：档案要比服务、比公司、比我本人活得更久。只把它放在自己的服务器上，等于让永恒取决于我们在 2040 年还付不付得起主机费用。

删除 = 销毁密钥

我们这里的删除请求并不试图从 Arweave 抹掉数据。那在物理上不可能，而装作可能就是欺骗。

取而代之的是销毁密钥：用户手中的副本和 KMS 中的副本，包括派生密钥，以及我们能够触及的全部备份。此后留在链上的是一段密文，任何人——包括我们自己——都读不出来。我们的内部登记簿里保留一条事实记录：某物曾经存在，某时写入，某时删除。没有内容。

这项技术叫加密擦除（cryptographic erasure）。它有标准可依——NIST SP 800-88（现行版本为 r2，2025 年 9 月；上一版 r1 已于 2025 年 9 月 26 日正式撤销，而谈论加密擦除的文章和博客里，十有八九至今仍在引用它）。其中的定义是：对保护加密目标数据的密钥进行净化，使解密后数据的恢复变得不可行。

一个通常被略过的重要细节：NIST 把这项技术归入 Purge（清除）级别，而不是 Destroy（销毁）级别。它不是物理销毁。标准也没有给它总体背书：它规定了这项技术究竟在什么前提下才允许使用，并单独列举了不能依赖它的那些情形。

备选方案是什么

我们考虑过又否决了三个方案。

完全不写入永久存储。 严格说来，这正是 EDPB 的立场：一般情况下不建议在区块链上存储个人数据，放进交易内容里就更不建议。这个立场有其道理。但它等同于放弃项目本身的构想。我们选择的不是放弃，而是诚实地把风险讲清楚。

存哈希而不是密文。 看上去更干净，却没有解决问题。EDPB 说得很直接：哈希同样会被认定为个人数据——和它旁边的任何其他标识符一样。它也留了余地：在销毁秘密密钥或盐值之后，应当已经无法把哈希与原始数据关联起来——前提是算法没有被攻破，密钥和盐没有遭到破坏、没有外泄、并且选取得当。这些条件很强。早在 2014 年，数据保护工作组就把哈希称作一项有用的安全措施，而不是匿名化方法——欧洲议会的一份研究是这样转述其立场的。原因是算术上的：在已知的输入集合上做穷举（全世界所有的电子邮件地址，约 50 亿个），机器花掉的时间比泡一杯咖啡还短。这个说法出自爱德华·费尔滕（Edward Felten）。

密码学承诺（commitment）。 这是监管机构明确点名、能够让数据走出个人数据身份的唯一方案。CNIL 在其报告的脚注里、EDPB 在第 53 段里，说的是同一件事：在 perfectly hiding（完美隐藏）方案下，销毁 witness 与原始值之后，链上留下的是一道无用的痕迹，据此既无法恢复也无法得知原始数据。技术上这是最好的选择，而且在 CNIL 的优先顺序里，它排在带密钥的哈希和密文之上。

我们没有采用它——暂时没有。原因很平常：承诺适合证明存在，却不适合恢复档案。用户需要的不是"你的通信曾经存在"这个事实，而是通信本身。密文可以取回，承诺不行。这是一次用隐私换实用性的自觉取舍，我更愿意把它说出口，而不是藏在"创新"这个词后面。

妥协留在哪里

一共四处，没有一处我认为已经了结。

密文永远留存。 数据不会消失，改变的只是可读性。由此产生"现在收集，以后解密"的情景：在密钥被销毁之前拷走的副本，可以永远活下去。NIST 自己也把这一点写明了：一旦发现算法弱点，或者量子计算出现，数据可能重新变得可恢复——那时加密擦除可能成为不可接受的净化技术。EDPB 的措辞更硬：如果链被无限期保存下去，即便是完美实现的现代加密也会败给时间。

密钥副本是盲区。 标准要求销毁目标密钥及其层级之下所有密钥的全部副本，包括在内存和寄存器中展开的副本。它还单独提醒：凡是对密钥做过备份或托管（escrow）的地方，就不应依赖加密擦除——除非该组织能以很高的确定性知道这些密钥曾如何保存、保存在何处、又是如何被管理的。在我们自己的边界之内，这一点我们可以保证。对于把密钥自行留存下来的用户，则不能。

结果无法验证。 加密擦除之后，介质上的内容是未知的，也没有可供比对的对象——通常的擦除验证对它并不适用。已撤销的那一版标准正是这样描述的，并规定遇到这种情况应改用可验证的方法。而对于永久存储，我们没有可验证的方法。

法律地位未获确认。 这是我能说出的最诚实的一句话。加密后的个人数据仍然是个人数据——这是 EDPB 的原话。2026 年 2 月发布的删除权执法综述（受访的数据控制者 764 家）一次都没有提到加密擦除——既没有把它列为认可的做法，也没有列为被禁止的做法。倒是在同一份综述里，监管机构批评了用匿名化偷换删除的做法。EDPB 还单独强调：技术上不可能，不能成为不遵守要求的借口。

也就是说，我们的架构没有任何一份解释性文件为它背书。为它背书的只有一点：它做到了技术上能做到的极限，并且没有对自己没做到的事撒谎。

由此得出的实际结论

我们的设计目标，是不要落到"数据还在，却拿它没办法"的境地。对用户，我们讲的正是实际发生的事：删除会销毁密钥，密文留下，无法读取，而在几十年的时间尺度上谁也给不出保证——我们不能，NIST 不能，EDPB 也不能。

这里的工程结论只有一条，而且很无聊：在设计阶段就为匿名化留出可能，而不是等第一份删除请求到来之后再去寻找它。EDPB 要求的正是这一点。其余的一切，都关乎"已经做到了力所能及"与"承诺了超出能力的事"之间那条界线画在哪里。前者是工程。后者是营销，本文里不会有它。

同一项权利，不同的国家

删除数据的权利并非只有一份。在不同法域，它是不同的权利：依据不同，例外不同，出错的代价也不同。一家同时拥有柏林、洛杉矶、深圳和圣保罗用户的服务，面对的不是一套要求，而是四套，而且它们彼此并不重合。

先把话说在前面：我核查得最深的是欧盟法——条文原文、两份法院判决、罚款幅度。对加利福尼亚、中国和巴西，我核对的是删除条款本身：条号、名称、权利的构造。至于那几个法域的答复期限、地域范围和处罚力度，我没有按一手文本核查过。下文我只依据核实过的内容；没有核实的地方，我会直说，而不是用一句漂亮的表述把空缺填上。

已经确知的部分：欧盟

在 GDPR 里，它是 Article 17 —— “Right to erasure ('right to be forgotten')”。请留意标题内部自带的那对引号：“被遗忘权”是非正式的同义说法，法律术语是删除权。

依据恰好六项，而且是封闭式清单：数据对于收集时的目的已不再必要；同意被撤回且没有其他依据；依据第 21(1) 条提出了反对，而数据控制者没有压倒性的正当理由（依据第 21(2) 条针对直接营销提出的反对则无条件生效）；处理本身违法；法律要求删除；数据是在提供在线服务时从儿童处收集的。

答复期限并不写在第 17 条里，而在第 12(3) 条：“without undue delay and in any event within one month of receipt of the request”，请求复杂时可再延长两个月。也就是一个月，最多三个月。

例外同样有五项，措辞精确得像手术刀：“shall not apply to the extent that processing is necessary”。不是“请求被驳回”，而是“在……的限度内”。表达与信息自由。履行法定义务和行使公共职权。公共健康。为公共利益进行的存档、科学与历史研究、统计——但仅限于删除会使这些目的无法实现或严重受阻的情形。以及法律主张的确立与维护。

侵犯数据主体权利的罚款适用第 83(5) 条的高档：最高 20 000 000 欧元；如果违规者是企业，则最高为其上一财政年度全球年营业额的 4 %，whichever is higher，即取两者中较高的一个。不是按利润算，是按营业额算。

权利的边界：卢森堡给出的答案

欧盟法院的两份判决，把这项权利的轮廓勾勒得比条例文本本身还清楚。第一份判决依据的还是第 95/46 号指令——GDPR 的前身——但正是它确定了后来撰写第 17 条时所在的框架。

Google Spain（C-131/12，2014 年 5 月 13 日）。 西班牙人马里奥·科斯特哈·冈萨雷斯（Mario Costeja González）发现，用他的名字搜索会返回 La Vanguardia 报 1998 年 1 月和 3 月两个页面的链接——那是因社会保险欠款而拍卖其房产的公告。这笔债务早在多年前就已全部了结。西班牙监管机构驳回了针对报社的申诉（该公告依主管部门的命令刊登，本身合法），却支持了针对 Google 的申诉。

法院作出的裁定至今仍让很多人意外：链接必须删除，“even, as the case may be, when its publication in itself on those pages is lawful”。报纸留着，链接消失。搜索引擎的责任独立于出版者的责任。而且申请人无需证明自己受到了损害。在第 93 段，法院提出了“过时”的法理：即便一开始合法、数据也准确的处理，“in the course of time”（随着时间推移）也可能变得“incompatible with the directive”——与当时那部指令不相容——因为数据会变成“inadequate, irrelevant or no longer relevant, or excessive”。

同一份判决里还有一处被直接点明的限制：数据主体的权利“as a rule”（作为一般规则）占上风，但这一平衡取决于信息的性质、敏感程度，以及“the role played by the data subject in public life”。公众人物受到的保护更弱。

Google v CNIL（C-507/17，2019 年 9 月 24 日）。 法国监管机构要求在搜索引擎全球所有域名下删除链接，并对 Google 处以 100 000 欧元罚款。法院的结论是：并不存在全球删除的义务，但必须在对应全体欧盟成员国的各个版本上删除，并且要采取能够“effectively prevent or, at the very least, seriously discourage”从欧盟境内访问的措施。

还有一个在转述中经常被丢掉的细节。第 72 段：欧盟法不要求全球删除，但“it also does not prohibit such a practice”——成员国的监管机关或司法机关有权依据本国标准作出这样的要求。所以“欧盟法院禁止了全球删除”这句话是错的。

各法域对比

在这里我必须把核查过什么说准确。关于加利福尼亚、中国和巴西，我核对的是条款本身：条号、名称、权利的构造、例外清单。答复期限、地域范围和处罚则没有核对，表格里的这些格子就空着。

这些法律里有两行值得单独拎出来，因为它们直接关系到本文的主题。PIPL 第 47 条第二款：法定保存期限尚未届满，或者删除在技术上难以实现的，个人信息处理者应当停止除存储和采取必要安全保护措施之外的一切处理。而在巴西的 LGPD 里，技术上的局限被写进了义务本身：第 16 条要求在处理结束后删除数据，“no âmbito e nos limites técnicos das atividades”——即在活动的范围和技术限度之内。这两处保留条款，在 GDPR 第 17 条里都没有直接的对应物。欧洲的文本根本没有给“我们做不到”这个回答留位置。

这张表我不会再凭记忆往下补。条号写错、期限写错，不是文风上的瑕疵，而是可能被人拿去支撑一个真实决定的东西。

同时在各地运营的服务该怎么做

所幸，实际结论对这张表是否完整的依赖，比看上去要小。

按最严格的制度来设计。 如果架构能扛住 GDPR 第 17 条——一个月的期限、就副本和链接通知其他数据控制者的义务、对企业按全球营业额计算的罚款——那它大概率也扛得住要求更松的制度。反过来则不成立：一个照着宽松制度搭起来的服务，要改造到符合 GDPR，通常意味着把存储层重写一遍。

不要指望“技术上做不到”。 EDPB 在 Guidelines 02/2025（2026 年 7 月 7 日的 2.0 最终版）中说得毫不含糊：“technical impossibility cannot be invoked to justify non-compliance with GDPR requirements”。并援引第 25(1) 条——data protection by design 适用于你挑选处理手段的那个阶段，而不是之后。

把加密过的数据也算作个人数据。 EDPB 的又一句直接引文：“encrypted personal data is still personal data and encryption does not remove the need for GDPR compliance”。同一份文件里还有一句值得贴在架构白板上方的警告：即便是实现得无可挑剔的现代加密，“will be overtaken by time if the blockchain is retained indefinitely”。哈希值同样被 EDPB 归入个人数据——“the hash will also be considered personal data”——但附有一个前提：只有当密钥或盐值已被销毁、算法未被攻破、且密钥与盐值都没有外泄时，哈希与原始数据之间的联系才算切断。欧洲议会 2019 年的一份研究报告援引第 29 条工作组的 Opinion 05/2014，把哈希称为“a useful security measure but not a method of anonymisation”：得到的是假名化数据，不是匿名数据。

区分“不可访问”和“已删除”。 CNIL 早在 2018 年就描述过这件事。销毁密钥和链下数据，可以“move closer to the effects of data erasure”——接近删除的效果。但紧接着的一句是：“Excluding the specific case of some commitment schemes, these solutions do not, strictly speaking, result in an erasure of the data, insofar as the data would still exist in the blockchain”。那个例外很重要，也常被人丢掉：在 perfectly hiding commitment 的情形下，如果 witness 和被承诺的值本身都已销毁，CNIL 承认该条记录不再是个人数据。其余所有情形下，接近并不等于做到，而 CNIL 自己也“questions their ability to ensure a full compliance with the GDPR”。

一套统一制度，而不是一张制度矩阵。 诱惑很好理解：对欧洲人真删，对其他人宽松些。落到实践上，这意味着要维护好几条删除路径，每条都有自己的 bug，还要不停判断眼前这个用户到底算谁的——按注册国家？按 IP？按国籍？对所有人只走一条严格路径，既更便宜也更可靠。顺带还消掉了 C-507/17 里的那个问题：如果你到处都删，地域范围之争对你就不存在。

还有另一面，值得老实说出来。统一的严格制度意味着放弃一部分数据——在某些法域，保留这些数据既合法又有用。有人会觉得这是多余的开销。支持它的理由是：这笔开销是可预测的，在设计阶段一次付清；而罚款是营业额的百分之几，并且来得突然。

如果你要构建这样的系统，该怎么做

最关键的决定只做一次——在纸面上，在写下第一行代码之前。GDPR 第 25(1) 条要求，早在确定处理方式的阶段就落实"经由设计的数据保护"（data protection by design）；EDPB 在 02/2025 号指南（2.0 版，2026 年 7 月 7 日）中直接堵死了唯一的漏洞：「technical impossibility cannot be invoked to justify non-compliance with GDPR requirements」（第 50 段）。对监管机构说"我们删不掉，我们用的是区块链"，这不是理由，而是承认架构从一开始就设计错了。

哪些东西绝不放进不可变存储

EDPB 的立场（第 48 段）：「in general, it is not advisable to store personal data on the blockchain, and it should not be stored in the content of transactions」。第 104 段进一步说明，并把三种形式并列：明文、加密后的数据和哈希后的数据——三者都不建议写入链上，三者都应放在链下。

恰恰是在这一点上，工程直觉最容易出错。加密并不能让数据脱离监管：「encrypted personal data is still personal data」（第 51 段）。EDPB 同样把哈希归入个人数据（第 52 段），只附带一项保留：在删除密钥或盐值之后，只要算法未被攻破、密钥和盐值未曾泄露，哈希与原始数据之间的关联便不复存在。这一判断并不新鲜：早在 2014 年，第 29 条工作组（Article 29 Working Party）在 Opinion 05/2014 中就把哈希函数称为「a useful security measure but not a method of anonymisation」——此处依据 EPRS 研究报告的引述；加盐哈希不提供匿名性，带密钥的哈希能给出更强的保证，但同样不能把数据变成匿名数据。

对于公有链，EDPB（第 49 段）只在公开访问对至少一项处理目的确有必要时才予以认可，并援引第 25(2) 条关于个人数据默认不得向不特定范围的人开放的要求。

哪些东西可以上链

第 54 段给出的目标架构：链上只保留用作存在性证明的形式（指针、密码学承诺、带密钥的哈希）；用于验证该证明的数据放在链下，并保持高度的保密级别。CNIL 早在 2018 年就给出了优先顺序：commitment（承诺）→ 带密钥的哈希 → 密文。

两家监管机构都认为数据不再属于个人数据的唯一情形，是 perfectly hiding commitment（完美隐藏承诺）。在删除 witness（见证值）和被承诺的原值之后，链上留下的那个承诺，用 EDPB 的表述（第 53 段）来说，「neither possible to recover nor to recognise the original personal data」。其余一切做法都只是接近删除的效果，而不是删除。

密钥

加密擦除是一项获得认可的工程技术（NIST SP 800-88r2），但它被归类为 purge（清除），而不是 destroy（销毁）。标准设定的条件很容易失守：

• 敏感数据一次都不能以明文形式写入——否则就无从擦除；
• 强度不低于 128 位，禁止使用 ECB 模式；
• 必须将所有密钥副本以及层级中位于其下的全部密钥清零；内存和寄存器中已展开的密钥可能需要通过硬件复位来清除；
• 如果密钥曾经进入备份或托管（escrow），那么只有在高度确信这些副本存放于何处、如何管理的前提下，才可以信赖加密擦除；
• 外部 KMS 是一个盲区：存储介质看不到密钥是否真的被清零。

还有一件单独的麻烦事，早在标准已被撤回的第一版（r1，§4.7.2）中就有详细说明：加密擦除的结果无从验证——擦除之后，介质上的内容是未知的，没有可供比对的对象。

由此形成的实践：一个数据主体对应一把密钥；建立带标识符的密钥登记册；设立单独的清零流程并留有确认；不在任何你无法控制的存储中留下密钥副本。EDPB 的第 11 项建议把这条逻辑闭合：如果没有机制能保证在保存期限届满后删除或去标识化数据，那么「then no personal data should be stored on the chain」。

隐私政策

有三件事必须在其中被直接写明。

第一是数据控制者。CNIL 建议事先确定：设立一个法人实体，或指定某一参与方。否则所有参与方都有可能被认定为第 26 条意义上的共同数据控制者。

第二是如实说明哪些内容会进入不可变存储，以及为什么这是不可逆的。不是一句"我们会应您的要求删除您的数据"，而是究竟删除什么、保留什么、以何种形式保留。

第三是合法性基础。EDPB 第 9 项建议：如果架构不提供删除数据的途径，就不应把同意作为合法性基础。

对删除请求的答复

期限不是由第 17 条规定的，而是第 12(3) 条：自收到请求起一个月；在请求复杂或数量较多时，可再延长两个月。

处理顺序：核查基础（第 17(1) 条的列举是封闭式的，正好六项）；真正删除链下部分，包括备份——在 EDPB 2025 年的执法情况综述中，监管机构专门指出，许多数据控制者默认把备份排除在删除范围之外，且不给出任何理由；将密钥或 witness 清零；核对第 17(3) 条的例外情形——「to the extent that」这一措辞意味着例外仅在处理确有必要的范围内成立，并不能整体阻断请求。如果数据已被公开，第 17(2) 条要求采取合理措施，通知其他数据控制者删除相关链接、副本和复制件。

然后，把还剩下什么如实告知申请人。同一份 EDPB 综述直接批评了以去标识化冒充删除的做法：「in some cases, they only apply basic pseudonymisation or partial masking」。

日志

标准要求对每一次加密擦除都做记录：§3.2.5 列出了十个项目——同一处也坦率地说明，这项技术本身的有效性并不取决于文档。取决于文档的是你的抗辩能力。在 NIST 这份清单之上，再为删除请求保留一套够用的最小记录：收到请求和作出答复的日期、依据、删除了什么以及删除自何处、密钥标识符和清零事实、由谁授权、DPIA 的结果。第 83(2) 条明确把减轻损害的措施以及与监管机构的配合列为考量因素——而侵犯第 12–22 条项下权利的行为落入最高一档罚则：最高 2000 万欧元，对于企业则为上一财政年度全球年营业额的 4%，两者取其高。

被遗忘的权利与被保存的权利

前面我们把这两项权利分开来谈，仿佛它们是一场争论的两方，必有一方要赢。可它们其实同根同源，这一点值得挑明。

两项权利说的是同一件事：一个人对自己留下的痕迹的支配。要求删除的权利和要求保存的权利并非对立面，而是同一种支配自身历史的能力，只是朝向不同。真正与它们对立的，不是彼此，而是由第三方来决定的局面：平台、继承人、排序算法、别人隐私政策里的保存期限。

同一个人，不同的年份

马里奥·科斯特哈·冈萨雷斯（Mario Costeja González）的故事，说的是一个人的房产被拍卖以抵偿社会保险欠款。相关公告刊登在《先锋报》（La Vanguardia）1998年1月19日和3月9日两期上。按他后来在申诉中所说，这笔追缴多年前就已了结。可在谷歌上搜索他的名字，这些页面依然会出现；欧盟法院（CJEU）在2014年5月13日的判决中指出：距离刊登已经过去十六年。

十六年是个关键数字，不是装饰。法院提出的这个论断撑起了整座结构：即便最初合法、内容属实的数据处理，也可能随时间推移而变得与指令不符——当时适用的是95/46号指令（Directive 95/46），GDPR还没写出来——只要这些数据不再必要：它们会变得不充分、不相关或过度，“就已流逝的时间而言”。

不是“数据不实”，也不是“刊登违法”：针对报社的申诉，早在2010年7月就被西班牙监管机构驳回了——公告是依主管部门的指令刊出的，为的是让拍卖尽可能广为人知。法院是从另一头切入的：从搜索结果中删除链接，与来源无关——“甚至在相应情形下，即便这些页面上的刊登本身是合法的”。

变的是人。更准确地说，变的是人与自己过去之间的距离。

请求从搜索结果里拿掉一条链接的人，几乎总还有请求的另一半——希望某些东西留下来。照片。信件。对孩子说过的话。请求删掉一个页面，不等于请求把自己整个抹去。那是在请求：别让这一个页面成为别人认识你的第一件事。

这才是要害。想要消失和想要留下，不是两类不同的人。是同一个人，对自己生平的不同片段抱着不同的关系。而这些关系是会变的：今天觉得羞耻的事，二十年后可能只是一个事实；今天看来微不足道的东西，日后也许就是至亲留下的唯一一样。

为什么不该由系统替人做决定

欧盟法院在同一份判决里做了一件重要的事：它没有要求证明损害。删除权成立，“无需为确立该权利而证明将相关信息列入结果列表已对数据主体造成损害”。

一个人不必解释自己为什么想从搜索中消失，也不必出示什么“痛苦证明”。他想要，这就够了——接下来是利益衡量，而按一般规则，他的权利既压过搜索引擎的商业利益，也压过公众获取信息的兴趣。除非存在特殊理由——比如此人在公共生活中的角色。

这一构造——推定偏向人，而不是偏向系统——比任何技术细节都重要。它意味着：默认由他来决定。

反面同理。如果一个人希望自己的通信、自己的声音、自己的思考方式在身后留存下来，他同样不必向存储架构论证这一点。他不必证明自己的一生足够重要、值得保存。

但麻烦正是从这里开始的。

选择不能只给一半

只有当两个选项在技术上都行得通时，选择权才真正存在。而诚实的讨论恰恰在这里撞上了墙。

欧洲数据保护委员会（EDPB）在其区块链指南（2.0版，2026年7月7日通过）中说得很硬：技术上做不到，不能成为不遵守GDPR要求的借口。接着是直白的建议：一般情况下不建议把个人数据存入区块链；如果缺少能保证在保存期届满后删除或匿名化的技术方案——那么个人数据根本就不该存放在链上。

法国国家信息与自由委员会（CNIL）早在2018年就把同样的话说得温和一些：当数据已写入区块链，技术上无法满足删除请求。可以逼近删除的效果——销毁链外的密钥或见证值——但除个别密码学承诺（commitment）方案外，“严格说来，这并不导致数据被擦除，因为数据仍然存在于区块链中”。

这在实践上意味着什么？一个承诺永恒、却什么都忘不掉的系统，并没有给出选择。它只给一个选项，然后管它叫自由。一个按时间表把一切删掉的系统，同样没有给出选择——它只是替你选了另一样。

真正的选择需要这样一种架构：关于某份数据命运的决定，在写入之前做出，而不是写入之后。这对工程师来说是个坏消息：不能先把一切堆到一个地方，回头再慢慢理。但只有这样，“忘掉我”和“保存我”才都还是真实的选项，而不是市场宣传里的承诺。

值得带走的东西

删除和保存遵循着不同的物理规律。能删掉的，是处在某人控制之下的东西；能保存下来的，是已经脱离任何单个参与者控制的东西。这两种性质无法共处于同一个存储之中——所以决定只能提前做出，在数据还没有写入任何地方的阶段。

所以问题不是“遗忘和永恒谁会赢”。问题是：人有没有来得及在架构替他做出选择之前，自己先做出选择。

没有一个对所有人都适用的答案。监管者也不是在法律条文里找它：早在2019年为欧洲议会准备的一份研究就得出结论，GDPR不需要修改——条例本身写得技术中立——需要的是解释说明。解释来了：EDPB在2025年4月发布了区块链指南，2026年7月发布了最终版本。而它们并不是妥协，而是要求：如果一种架构既不允许删除数据，也不允许将其匿名化，那么个人数据就不该待在里面。

但有一件事可以说得很肯定。每当系统替一个人做决定——忘掉他，还是记住他——它夺走的，正是这两项权利真正所指的东西。不是记忆，也不是遗忘。而是一个人对自身故事的作者身份。