网络平台个人信息保护责任的法律经济学分析

陈宇照

一、引言

在个人信息日益数据化的数字经济时代，个人信息遭受侵犯的风险明显加剧。根据中国互联网络信息中心(CNNIC)截至2021年12月的统计，2021年下半年，在网民遇到的各类网络安全问题中，遭遇个人信息泄露的网民比例最高，为22.1%。如何更好地保护个人信息，值得重视及思考。

网络领域的个人信息安全，是决定个人信息保护成效的关键。《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)第9条规定：“个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。”该条规定综合考量负责与安全两方面的内容，将其总结提炼为一项具有我国个人信息处理特色的基本原则。这意味着，网络平台作为个人信息处理者须承担个人信息保护责任，但同时网络平台个人信息保护责任的定性和边界问题也亟待明确。否则，有可能出现网络平台“课予责任越重，实施效果越弱”，网络平台与网络平台内产品或服务的提供者(以下简称商家)矛盾不断，相互推诿扯皮，既浪费法律资源又无法实现预期效果的情形。

在现有研究成果中，已有学者注意到网络平台个人信息保护责任的相关问题。张新宝认为，要给予网络平台这一互联网生态“守门人”设置个人信息保护方面的特别义务。吴伟光指出，平台组织内的个人信息保护问题，本质上是网络企业与网络用户在平台组织内的关系问题，并认为直接依赖网络用户的私权利和政府公权力来保护个人信息都很难对抗网络企业，需要将个人信息中的法益视为网络用户对网络企业的信义利益予以应对。武腾提出，履行给付型忠实义务的网络平台在处理个人信息时应遵循最小必要原则。学者们在分析网络平台个人信息保护责任时，多将网络平台进行同质化看待，并以“网络平台—网络用户(消费者)”二者的关系作为分析的基本形态。

上述研究成果仍存在可拓展的研究空间：一方面，从研究内容上看，网络平台并非同质的，而是分层的。网络平台个人信息保护责任所涉社会关系不限于网络平台和网络用户之间的外部关系，网络平台与商家之间的内部关系对网络平台个人信息保护责任的实现和网络用户的个人信息安全同样产生重大影响。另一方面，从研究视角来看，《个人信息保护法》的颁布实施意味着有关个人信息保护的研究迈入“解释论”和“实施论”的新时代。不过，既有的研究多为法教义学意义上的解释，法经济学意义上的阐释并不多，无法完全揭示网络平台个人信息保护责任中不同主体利益变动和影响的过程，致使对网络平台个人信息保护责任制度及其完善路径缺乏客观而充分的理解，影响《个人信息保护法》的实施成效。

与对网络平台和网络用户之间外部关系进行纯粹法教义学意义上的解释相比，兼顾网络平台和商家之间内部关系的法经济学阐释更具有实践价值。鉴于此，结合《个人信息保护法》文本，本文对网络平台个人信息保护责任进行法律经济学分析，力图清晰地界定网络平台和商家的个人信息保护责任边界，指出相应的规范适用，并对网络平台个人信息保护责任制度进行相应的分析和优化。

二、“同意疲劳”与责任区分不明的网络平台个人信息保护现状

(一)约束网络平台及其商家的程序性机制——告知同意机制日益流于形式

当前，作为约束个人信息处理的程序性机制——告知同意机制被世界各国普遍采用。欧盟《一般数据保护条例》第7条较为详细地规定了同意要件，要求应当以一种容易理解的形式、清晰平白的语言来设计，并设计撤回同意机制;第8条则针对儿童设定了较为严格的同意机制。美国《加利福尼亚州消费者隐私法案》(CCPA)对于出售消费者数据、用于财务激励等数据处理的同意机制做了规定。中国在2012年《关于加强网络信息保护的决定》第2条规定了告知同意机制，要求“明示收集、使用信息的目的、方式和范围，并经被收集者同意”，之后的相关法律作了类似规定。《民法典》第1035条规定：“处理个人信息应征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外。”《个人信息保护法》在明确信息主体知情权的基础上，第13条第1款第1项，更是以“取得个人同意”作为个人信息处理正当性的首要合法性基础。同时，第14条明确规定:“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。”尽管我国《个人信息保护法》第13条第1款第(2)至第(6)项规定了告知同意机制的例外情形，但这些情形似乎更多地是为相关公权力部门作为个人信息处理者量身打造的，是否能适用于网络平台尚待观察。因此，告知同意机制仍是我国《个人信息保护法》的基本制度框架，也是约束网络平台及其商家最主要的私法保护机制。

告知同意机制建立在尊重信息主体意愿的基础上，有利于在个人信息处理的实践中贯彻信息主体的意图，一定程度上有效避免了个人信息被滥用。不少网络平台为满足告知同意机制的要求，经常在其网站显著位置公布隐私政策，以便用户知情和同意。据粗略估算，若要用户真正去阅读其访问网站的隐私政策，每年人均将花费约250小时，既耗时又不便。更为重要的是，企业隐私政策冗长且充斥大量的专业术语，用户并没有被充分告知，许多个人信息都是在用户不知不觉之间被企业共享或者出售给第三方主体的；同时，企业隐私政策的性质也并不清晰，发生纠纷时难以约束企业。此外，值得注意的是，《个人信息保护法》第14条第2款规定：“个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。”这意味着，随着场景的不同带来个人信息处理目的、处理方式和处理个人信息种类的不同，需要反复利用告知同意机制，不仅会让用户陷入“同意疲劳”而疲于同意，也会增加网络平台等个人信息处理者的成本费用。总的来说，由于个人和信息收集与处理者之间持续性信息不平等关系，网络平台会利用其自身各方面优势，逐渐掏空告知同意机制，让其流于形式。

(二)网络平台与商家个人信息保护责任区分不明

在我国众多个人信息保护法律规范当中，经常使用“个人信息处理者”这一概念，并未明确区分网络平台和商家的个人信息保护责任。《个人信息保护法》第73条特别解释了“个人信息处理者”的内涵，即在个人信息处理活动中自主决定处理目的、处理方式的组织与个人。该解释指明个人信息处理者的核心特征在于“自主决定”。因此，网络平台和商家都可能成为个人信息处理者。然而，由于网络平台和商家之间的紧密联系，二者在个人信息处理活动中究竟呈现何种关系——商家是《个人信息保护法》第20条规定的“共同个人信息处理者”，还是《个人信息保护法》第21条规定的“委托个人信息处理者”，亦或是《个人信息保护法》第23条规定的“其他个人信息处理者”？如果属于第23条规定的“其他个人信息处理者”，那么二者之间个人信息保护责任如何划分？这些问题没有明确的答案。此外，《个人信息保护法》第58条规定了提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者(以下简称“大型网络平台”)拥有制定平台规则、明确商家个人信息处理规范和个人信息保护义务的特别义务，单纯依靠这种大型网络平台对商家制定规则和明确义务的手段，在网络平台和商家之间形成一定意义上的管理关系过于简单，极易导致以下结果：一是商家会利用特殊手段如行贿等来解决问题，进而产生寻租成本；二是极易导致二者对立倾向，从而增加法律实施成本。

(三)个人信息保护手段的威慑力不足

《个人信息保护法》中高额罚款、信用惩戒、损害赔偿中个人信息处理者过错推定、个人信息保护公益诉讼等制度，较好地提高了我国个人信息保护手段的威慑水平。但是，法律制裁越严厉并非意味着威慑水平效果就最优，因为一方面最优的威慑水平取决于边际威慑水平，即法律制裁严厉度和法律制裁确定性的组合情况，另一方面法律制裁越严厉并不一定意味着违法行为的必然减少，而国家监管资源的成本投入却不断加大，两相比较之下，法律制裁越严厉并非意味着最优的威慑水平。审视我国《个人信息保护法》，可以发现一些制约个人信息保护手段威慑水平的因素。

一是损害赔偿责任数额的确定较为模糊。《个人信息保护法》第66 条的立法方式，是将该法中所有个人信息处理的权利义务关系条款都纳入行政处罚的制裁后果。这本质上并不利于凸显《个人信息保护法》对不同权利义务配置类型的差别度，对处罚机制设定的过度宽泛也将使个人信息处理者缺乏预见性从而承担更大的合规成本。“重罚威慑”的处罚条款也为监管部门留下了较大的执法弹性，在构成要件相对模糊的前提下，裁量幅度的宽泛授权具有两面性。再加上监管主体本身的多元结构，需要警惕未来因为监管职能的冲突而导致企业潜在的合规成本增加的风险。此外，《个人信息保护法》第69条第2款规定：“损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。”该条款确定了侵害个人信息权益损害赔偿额计算方法的第一顺位是“个人受到的损失”或“个人信息处理者获得的利益”，第二顺位则是法院的裁量。究竟选取何种标准将对个人信息保护手段的威慑水平带来直接影响。上述不确定性在一定程度上影响着个人信息保护手段的威慑水平。

二是对个人信息保护公益诉讼提起主体的激励尚待明确和提高。按照《个人信息保护法》第70条，有权提起公益诉讼的主体包括人民检察院、法律规定的消费者组织和由国家网信部门确定的组织。在此，且不说该条规定的简单化、抽象化和模糊化问题，单就公益诉讼制度本身来谈其中的问题。从法律经济学的视角来看，公益诉讼一般是激励私人和特定国家机关诉讼实现公益目的的带有“正外部性”色彩的诉讼类型，其发挥效果的关键在于对原告起诉的激励程度大小。然而，公益诉讼因受原告资格及其发现违法信息、诉讼成本等因素所限，原告提起公益诉讼动力不足，这导致违法者被起诉的概率不高，故降低了违法者承担赔偿责任的概率。另外，即使个别违法行为被提起公益赔偿之诉对违法者具有一定的惩罚作用，但违法者仍可从多次违法中获得好处。相应地，如何进一步优化个人信息保护公益诉讼制度，是确定对网络平台侵犯个人信息行为最优威慑水平的重要议题。

三、防范成本优势与公共物品主导属性对个人信息保护责任配置的影响

(一)科斯定理与网络平台个人信息保护的主要责任承担

按照《个人信息保护法》的相关规定，任何主体只要成为个人信息处理者就需承担个人信息保护责任。与其单纯地从法教义学的角度不断厘清个人信息处理活动及个人信息处理者的内涵与外延以及对网络平台个人信息保护责任进行法律定性，倒不如诉诸科斯定理来厘清网络平台个人信息保护责任的承担机理。科斯指出，一旦考虑到进行市场交易的成本，合法权利的初始界定会对经济制度运行的效率产生影响。在交易费用大于零的现实世界，权利的不同界定会对资源配置产生影响。这意味着，交易成本成为法律制定和适用的重要考虑因素，清晰界定产权边界成为法律的重要功能。进一步推论，在双方采取防范措施可以消除意外事故风险的情况下，理想状态是让能够以最低的成本防范风险发生的一方单独采取防范措施和承担责任，因为这样可以实现社会总成本最小化的社会目标。谁承担责任成本较低，就由谁来承担责任。若以此视角审视，产权(责任)界定不明是网络领域个人信息屡受侵犯的重要原因。按照科斯定理，由防范成本较低的一方即网络平台承担个人信息保护的主要责任，是符合效率的选择。

按照科斯定理的基本精神，尽量将产权赋予使用效率最高的主体。进入数字经济时代，个人信息或数据的价值不再在于所有，而是在于分析和使用。相较于分散的商家，网络平台在个人信息控制规模性、技术发达性、资金充足性等方面占据巨大优势，并且能够实现效用最大化，让网络平台承担个人信息保护的主要责任，符合科斯定理的基本精神，能实现降低交易成本的目标。

(二)个人信息的公共物品主导属性与网络平台个人信息保护的主要责任承担

近些年来，学者们对个人信息价值和保护必要性的认知基本没有争议，但在个人信息是否权利化、权利的具体类型、权利的保护方法与手段等方面存在着分歧，有赋权说与行为主义规制说两种不同观点。前者认为可以通过为个体赋权和丰富权利内容的手段来保护个人信息，其中又分为个人信息人格权说、个人信息财产权说、个人信息综合说等学术观点；后者认为，应避免抽象赋权而要基于具体场景进行行为主义规制。这些争论根源于学者们对个人信息属性的不同认识。在大数据和数字经济时代，过分注重个人信息的个体属性，显然不符合事实和社会经济发展的客观要求，这是因为个人绝对控制自身的个人信息，既不现实，也不合理。相反，个人信息日益具有强烈的公共属性。信息不是由个体独立创造的，信息产生于社会主体的互动。正如有学者指出的那样，个人信息兼具个体属性与社会流通属性。

个人信息不仅具有个体属性，还具有公共物品属性。公共物品是具有非竞争性和非排他性的物品。在个人信息的双重属性之中，公共物品属性无疑占据了主导地位，这也意味着个人信息的处理会产生一定的外部性问题，比如个人信息泄露不仅有损个体的合法权益，还会带来舆情影响、企业发展和产业发展等外部性问题，影响资源配置效率的提高。由于个人信息双重属性中公共物品属性的主导性，商家作为商品买卖和服务提供中的完全私主体，不宜由其承担主要责任，而应由具有明显公共性的私权力主体——网络平台承担主要责任。我国《个人信息保护法》第58条在一定程度上体现了这一要求。进入数字经济时代，包含个人信息在内的数据成为数字经济的关键生产要素。平台借助其数据集合体的地位与数据快速收集、处理的技术优势，通过有效的分析、决策数据的投入利用加之算法等的结合，将分析结果应用于市场经营策略，以取得一定市场影响或优势地位。当平台经营者的力量越来越强大时，就容易滥用此种地位，对平台内经营者课以不公平的义务。从网络平台数据反垄断的角度来看，网络平台也有更多的责任与义务。

四、个人信息保护责任内部化与共同个人信息处理者保护责任的确立

(一)个人信息保护责任应成为网络平台和商家的共同责任

虽然网络平台应承担个人信息保护的首要责任，但个人信息安全的根本保障在于网络平台与商户共同承担个人信息保护责任，个人信息安全应成为二者的共同目标。根据“理性经济人”的基本假设，网络平台和商家都期望己方尽可能地承担更少的成本，尽可能地获得更多的收益，即实现成本收益差额(利润)最大化。按照法律经济学的基本思路，法律责任设置的重要目的在于尽可能地降低私人间达成协议的成本，使施害人强加于他人的成本内部化，实现社会成本最小化。相应地，这种内部化不限于侵害人和受害人之间，也包括(潜在)侵害人之间。即便网络平台承担了个人信息保护的首要责任，也不应割裂二者的共同目标和共同责任，而应该将个人信息安全作为二者的共同目标，建立共同的个人信息保护意识和机制，使二者的个人信息保护责任内部化。相较于国家对网络平台的监管，商家是潜在侵害人，极少会在不考虑自身侵害收益小于侵害成本的情况下再行侵害行为。

(二)借鉴侵权法经济学模型分析网络平台和商家个人信息保护责任内部化的必要性

我国《个人信息保护法》目前对个人信息保护主要采取个人权益保障路径，与侵权法有着较多的相似性，这意味着可以借鉴侵权法经济学模型加以分析。借鉴侵权法经济学模型发现，随着网络平台在个人信息保护责任履行方面承担得更多，网络平台的责任承担成本自然随之增多，个人信息受侵犯的概率则会降低。这一原理同样适用于商家。在这一模型下，商家一方面希望网络平台的个人信息保护责任承担更多以减轻自己的责任，另一方面又担忧网络平台制定规则太多，监督过频，影响自己实现利润最大化的目标。在此情况下，商家在某种程度上会对网络平台个人信息保护责任承担成本“搭便车”。当然，如果网络平台对商家监管过于严苛，只要寻租带来的收益足够大，那么商家很有可能进行寻租。

要解决上述矛盾，需要将网络平台和商家个人信息保护责任内部化，使二者在一定程度上成为同一当事人，“搭便车”问题和寻租问题就此得到解决。

(三)网络平台和商家成为共同个人信息处理者并利用数字化技术

由上述分析可知，网络平台和商家实现个人信息保护责任内部化，便可消除“搭便车”现象和寻租现象。这意味着需要法律利用合理的法定责任分配机制、建立共同责任意识、通过有效的信息传递机制，尽可能地使二者行为一致，实现网络平台和商户法律责任内部化。虽然我国《个人信息保护法》第51条、第54条、第55条和第57条分别规定了个人信息处理者均需遵守的基本合规义务和定期个人信息保护影响评估的义务，第58条有特色地新增了对大型平台的额外义务，但对于网络平台和商家的个人信息保护责任未加以明确区分，对二者究竟呈何种关系表述不详。网络平台和商家建立共同责任意识有助于实现二者责任内部化，因此网络平台和商家在个人信息保护责任履行上应成为共同个人信息处理者，适用确认了共同个人信息处理者必要连带责任机制的《个人信息保护法》第20条。当然，要防止不同地方差异化地出台关于网络平台个人信息保护责任的一些规定而增加网络平台成本。

进入数字经济时代，各种先进科技可以充分为网络平台与商家个人信息保护责任内部化进行新赋能，比如网络平台可以有效地利用区块链技术监督商家个人信息保护责任的履行情况，因为区块链技术不仅因其非对称密码机制可有效保护个人信息，还能够存储、保留所有信息，透明、可追溯、不可更改，有利于监管者追溯、核查、验证信息。网络平台利用各类数字化技术对商家个人信息保护履行情况的记录，不仅可以作为针对违法商家停止提供服务的依据，也可为撰写个人信息保护社会责任报告乃至可视化与可传导的声誉惩戒提供证据，加强正当性支撑，更可以实现二者个人信息保护责任内化，以更低成本维护个人信息安全。

五、威慑理论与网络平台个人信息保护责任制度的优化

波斯纳认为，判断一个法律规则的效率，其正确的态度是向将来看——即这种规则是否可以产生让当事人在将来有效率作为的激励，合理而适度的威慑水平显得尤为关键。现代意义上的威慑理论由加里·贝克尔在《犯罪与刑罚：一种经济学进路》一文中首次提出并系统性阐释。他认为，罪犯是理性的并且针对激励改变自己的行为，就像那些不犯罪的人一样，社会必须既考虑阻止犯罪发生的费用，又考虑犯罪本身带来的直接危害，以决定“概率”和“严厉性”的最佳总量，此类分析很像对侵权和意外伤害所做的分析。这意味着，威慑理论的应用不限于刑法领域。波斯纳认为从经济学的观点看，法律的基本功能是改变激励，法律的经济理论是一种将法律看作威慑力的理论。因此，威慑理论具有广泛的应用空间。通过沙威、莱威特等学者的努力，威慑理论的应用早就不再限于刑法领域，比如世界上大多数国家均以威慑理论为指导设定反垄断法律责任制度。相应地，威慑理论可以指导网络平台个人信息保护责任制度的优化。

威慑理论的基本逻辑在于，各种不同水平的惩罚实际上确定了不同违法行为的“价格”，要实施各种违法行为必须付出相应的“价格”，高于违法需求的价格将有效地抑制潜在违法行为者的违法需求。根据威慑理论，随着威慑水平的提高，个人信息保护责任履行得越到位，个人信息受侵害带来的社会净损失就越小，同时社会净损失的减少速度也会下降，即社会净收益增加速度也在上升，不过，网络平台履行个人信息保护责任的预防成本也越高，最优威慑水平使个人信息受侵犯带来的社会净损失和预防个人信息受侵犯的社会成本之和最小。据此，要实现对网络平台违法行为(此处特指违反《个人信息保护法》的行为，下同)制裁的最优威慑水平，一方面需要适当提高其预防成本，另一方面需要适当降低个人信息受侵害带来的社会净损失，前者可以通过加强网络平台个人信息保护合规激励机制的建设加以实现，后者可以通过提高对网络平台违法行为制裁的确定性加以实现。

(一)加强网络平台个人信息保护合规激励机制的建设

威慑理论非常简单地将从事违法侵权行为概括为违法侵权行为的预期收益超过其预期成本。由此可见“预期”在威慑理论中的重要地位。事实上，最优威慑水平的实现不仅取决于外部制裁，更取决于内部预期，因为外部制裁效果的实现还需要通过影响内部预期的方式。内部预期主要指向网络平台对个人信息保护责任认知的主观方面，比如网络平台对个人信息保护重要性和必要性的认识、对商家个人信息保护责任监督与否的态度、制裁可能性的判断等。之所以考虑这点，主要是因为在数字经济和网络时代，网络个人信息安全问题传播速度快、社会关注度高，网络平台内部预期构成某种无形的成本或收益。我国《个人信息保护法》第51条、第54条、第56条、第57条要求个人信息处理者加强内部制度建设、进行合规审计和个人信息保护影响评估，这样可以有效提高作为个人信息处理者的网络平台和商家的内部预期。提高网络平台内部预期需要重点建设网络平台个人信息保护合规制度，因为个人信息保护合规制度是反映网络平台内部预期的基础和有效载体。

虽然我国《个人信息保护法》第58条明确要求大型网络平台建立健全个人信息保护合规制度体系，但其难以得到全面且有效的实施，这是因为我国《个人信息保护法》并未强制要求所有网络平台建立健全个人信息保护合规制度体系，而且个人信息保护合规制度体系的建设成本不菲。不过，这些原因并不能阻碍建立健全个人信息保护合规制度。按照法律经济学的思路，只要给予网络平台建立健全个人信息保护合规制度足够的激励，广大网络平台即会自愿建立健全个人信息保护合规制度。通过对个人信息保护合规制度作类似激励机制设计，可以有效提高网络平台切实履行个人信息保护责任的内部预期，助力实现对网络平台违法行为制裁的最优威慑水平，这也是我国网络平台个人信息保护责任制度重要的优化方向。

(二)提高对网络平台违法行为制裁的确定性

按照社会水平确定最优的威慑水平后，根据威慑理论，对违法行为的威慑主要是通过作用于预期制裁成本来实现，预期制裁的成本相当于制裁严厉程度与制裁概率。确定对网络平台个人信息保护责任的最优威慑水平，取决于《个人信息保护法》《电子商务法》《数据安全法》《网络安全法》等法律规范中的法律责任配置、执法概率、处罚强度等因素。在经济学的逻辑中，若对大规模侵害个人信息的行为罚款太少，例如远远低于其违法所得，那么将会进一步助长违法行为，导致大规模侵害个人信息的案件频繁发生。基于此，我国《个人信息保护法》第七章规定了巨额罚款、信用惩戒、职业禁止等多种形式的法律责任，已然达到较为严厉的制裁程度。然而，一些经验研究表明，惩罚的确定性比惩罚的严厉程度更加重要。这意味着，我国个人信息保护法在实施过程中，一方面要在我国《个人信息保护法》所建立的法律责任体的基础上，进一步细化分级别、分层次、重实效的处罚体系，尤其细化不同罚款数额和违法行为危害程度的对应性，提高制裁适用的确定性；另一方面要鼓励利用数字化技术、人工智能、5G等新型科技手段提高制裁实施(概率)的确定性。

六、结论

在数字经济时代，虽然《个人信息保护法》较为全面地规定了个人信息处理者的义务，但对于网络平台与商家就个人信息保护所形成的法律关系表述不详，难以从根本上厘清二者个人信息保护责任的边界。此外，约束网络平台个人信息处理的主要机制——告知同意机制日益流于形式、《个人信息保护法》规定的个人信息保护手段威慑力不足，不利于《个人信息保护法》的有效实施。根据科斯定理，网络平台因其能够以相对较低的成本履行个人信息保护责任，宜成为个人信息保护责任的主要承担者。不过，为防止网络平台和商家之间的推诿，借鉴侵权法经济学模型，网络平台和商家个人信息保护责任需要实现内部化，共同承担个人信息保护责任，并被视为共同个人信息处理者，适用《个人信息保护法》第20条的必要连带责任规则。基于威慑理论，我国网络平台个人信息保护责任制度一方面需要加强网络平台个人信息保护合规激励机制的建设，另一方面则需提高对网络平台违法行为制裁的确定性，合力实现对网络平台违法行为的最优威慑水平，进一步构建激励相容的个人数据治理体系。