Google LLC违法转发被遗忘权删除请求至第三方Lumen Project案（西班牙AEPD，2022年5月）

【案件背景】
2022年5月，西班牙数据保护局（AEPD）对Google LLC处以1000万欧元罚款，原因是Google在处理用户被遗忘权（Right to be Forgotten / Right to Erasure）请求时存在系统性违法行为。该案源于2018年的一起投诉：一名西班牙公民在行使GDPR第17条规定的删除权时，发现Google将其删除请求的内容和身份信息自动转发给美国哈佛大学伯克曼克莱因互联网与社会中心的"Lumen Project"——一个旨在收集和研究全球网络内容删除请求的学术数据库项目。该用户从未被告知、更从未同意其删除请求被转发给第三方。

【违法事实】
AEPD调查发现：第一，Google在处理被遗忘权请求时，未经数据主体任何形式的通知或同意，自动将删除请求的详细内容（包括申请人姓名、请求删除的URL、删除理由等）发送给美国Lumen Project数据库，违反了GDPR第5条第1款(a)项"合法、公正、透明"的处理原则；第二，Google未将这一数据转发行为告知数据主体，违反了GDPR第13条、第14条关于信息告知义务的规定；第三，Google将敏感的个人权利行使行为暴露给学术研究第三方，使申请人的身份与"试图删除特定信息"这一行为产生关联——在搜索引擎语境下，这本身就构成了对数据主体的"二次曝光"。这并非Google首次在被遗忘权问题上受罚——早在2014年欧盟法院"Google Spain案"（C-131/12）就已确立了搜索引擎的被遗忘权义务。

【处罚决定】
AEPD对Google LLC处以1000万欧元罚款，并责令其立即停止向Lumen Project自动转发用户删除请求的行为，要求Google在处理被遗忘权请求时：必须明确告知用户其请求数据是否会转发给第三方、转发目的及接收方身份；获取用户对此类转发的单独同意；为用户提供不参与Lumen Project数据收集的选项。Google需在3个月内完成整改。

【典型意义】
本案的核心争议在于：数据主体行使权利的行为本身是否产生新的个人数据，以及这些"权利行使数据"应受何种保护？AEPD的裁决给出了明确答案——用户行使被遗忘权的请求本身包含高度敏感的个人信息（身份+希望删除的内容），将其用于学术研究不能以牺牲用户隐私为代价。"为学术目的"不是自动豁免GDPR义务的万能挡箭牌，必须经过充分告知和同意。该案也警示所有设立了用户权利响应机制的企业：收到的DSAR请求本身就是一个需要被妥善保护的数据集。