個人信息處理規則的法律經濟學分析

姜保忠，來宇

摘要：個人信息處理規則是信息保護制度的風向標，反映了制度在信息利用與保護之間的價值偏向。實現個人信息保護與利用的衡平，本質上是追求效益最大化的資源配置問題。法經濟學中的邊際效益理論以及靜態博弈范式有助于對個人信息處理規則的法律效果作出鑒證。通過邊際成本收益分析，信息處理規則中對主體、處理者以及信息的分類正視了不同情形下帕累托最優點的差異，提高了資源的配置效率。在靜態博弈視角下，信息處理規則的確立規避了信息主體與信息處理者雙方消極對立的囚徒困境，促進了信息要素市場的流通。針對實踐中存在的一般個人信息保護過度以及敏感個人信息保護不足的問題，應通過動態化信息分類、督促企業數據保護合規等方式予以解決。

關鍵詞：個人信息處理規則；保護與利用；邊際收益；博弈

中圖分類號：D912.1

文獻標識碼：A

文章編號：1673-8268（2022）05-0057-09

一、問題的提出

2021年11月1日，《中華人民共和國個人信息保護法》（以下簡稱“《個人信息保護法》”）正式施行。作為我國在信息網絡時代個人信息保護方面的第一部專門法律，也是中國特色社會主義法治體系建設的重要成果，《個人信息保護法》承擔了“保護個人信息權益，規范個人信息處理活動，促進個人信息合理利用”參見《個人信息保護法》第1條。的重要責任。習近平總書記在2021年亞太經合組織會議上倡導，要“加強數字基礎設施建設，促進新技術傳播和運用，努力構建開放、公平、非歧視的數字營商環境”［1］。面對新型的數字經濟關系，傳統的法律制度及法律觀念表現出一些局限我國個人信息保護源自隱私保護，最初是通過名譽權、姓名權、肖像權等具體人格權的侵權救濟得以實現。2009年《侵權責任法》正式確立隱私權，個人信息通過隱私侵害予以救濟。但在功能和作用方面，我國隱私范圍主要包含私人的生活空間和生活秘密，隱私權是消極防御隱私不被侵害，不具有積極控制和利用的功能。（參見王利明：《論〈個人信息保護法〉的亮點、特色與適用》，《法學家》2021年第6期）［2］，為實現個人信息保護的同時推動數字經濟高速發展，《個人信息保護法》規定了一系列創新制度，意在解決數字經濟中個人信息保護和利用之間的協調和配合問題。

信息的價值在于通過傳播、共享來消除不確定性［3］，數據資源蘊含著巨大的經濟價值和社會管理價值，數據“深藏閨中”是極大浪費［4］。數字經濟時代，個人信息的資源價值愈發凸顯，

已成為大量數據企業、互聯網公司的關鍵商業資源；收集、整理、加工和利用個人信息已成為信息處理者的經營戰略［5］。若脫離海量個人信息的“喂養”，大數據產業發展將成為無源之水［6］。在《個人信息保護法》出臺之前，數據產業處于野蠻生長的狀態，在其發展中存在著諸多不確定因素和法律風險例如，根據2013年修訂通過的《消費者權益保護法》第29條，經營者及其工作人員對收集的消費者個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供；根據2013年工信部出臺的《電信和互聯網用戶個人信息保護規定》第10條，電信業務經營者、互聯網信息服務提供者及其工作人員對在提供服務過程中收集、使用的用戶個人信息應當嚴格保密，不得泄露、篡改或者毀損，不得出售或者非法向他人提供；而根據2016年出臺的《網絡安全法》第42條，網絡運營者不得泄露、篡改、毀損其收集的個人信息；未經被收集者同意，不得向他人提供個人信息。。當代個人信息保護法的主要使命也從約束公權力機構的傳統目標轉向約束超級平臺等私法主體，以規制作為信息處理者的互聯網企業等私法主體為主要任務［7］。

《個人信息保護法》通過確立信息處理規則，以實現對信息處理者處理個人信息行為的規制，消除信息處理中的無序亂象。然而，信息處理規則的確定不是隨意的，必須遵從法律內在邏輯，服從信息處理原則，彰顯立法目的。作為《個人信息保護法》的宗旨，個人信息保護與利用的平衡貫穿全文。個人信息處理規則也應以實現個人信息保護與利用的平衡為目標，既非片面追求個人權利保護而過于嚴苛，亦非偏重數據要素市場的發展而過于寬松。有學者認為，現行信息處理規則已經站在了個人信息保護與利用的平衡點上［3］；也有學者主張，在個體權利導向下，個人信息保護制度形成了過于保護個人利益的模式［8］；還有學者提出，我國現行個人信息保護制度對敏感個人信息存在供給不足的問題［9］。綜上，對于個人信息保護制度是否實現了保護與利用的衡平，學界莫衷一是，《個人信息保護法》確定的信息處理規則是否存在保護過度或者供給不足，目前難以定論，一系列理論與實踐爭議亟待解決。

二、個人信息處理規則研究中的經濟學方法引入

《個人信息保護法》確立的信息處理規則是否實現了個人信息利用與保護的衡平？該問題本質上屬于法律效果研究（legal impact studies）：什么是法律的可能效果？它實現了嗎？法律達到自己的目標了嗎？傳統的法教義學、法規范學研究方法在論證法律效果問題方面存在一定的局限，僅僅通過文字論述難以對法律效果進行周密證成。經濟學提供了一種方法，可以預測法律制度對相關行為的影響［10］，通過詳盡的實證資料與分析模型，即可依可測變量對法律效果作出定性鑒定和定量分析。

在法經濟學視角下，《個人信息保護法》的出臺是國家對個人信息作出的產權分配。依據“科斯第一定理”［11］85，若交易成本為零，則信息處理者可以與信息主體通過市場交易實現個人信息資源的最佳配置，無需進行法律規制。然而，真實世界中的信息主體與信息處理者之間存在巨大的交易成本，包括但不限于雙方缺乏溝通途徑、缺失明確定價、信譽難以保障以及個性化需求難以滿足等，因此個人信息難以通過市場自由交易。依據“科斯第二定理”［11］92，由國家明確個人信息產權，確定個人信息的初始權利歸屬，有助于推動個人信息的市場交易。《個人信息保護法》第2條確定個人信息權益歸自然人所有，明確了信息產權的歸屬，促進了數據要素市場發展，提高了資源配置效率。依據“科斯第三定理”［11］98，明確個人信息產權之后，若信息主體與信息處理者的市場交易成本仍較高，以至于難以進行個人信息的自由交易，可以通過政府直接管制等替代措施降低成本。《個人信息保護法》第13條制定了個人信息處理的一般規則，只要滿足規定情形，處理者即可處理個人信息，這移除了信息主體與信息處理者之間的交易壁壘。

個人信息處理規則的目的是促進資源的合理配置，其是否實現了個人信息保護與利用的衡平，本質上是追問該制度設置是否以有限的資源獲得了最大的經濟效益。在保護個人信息權利的同時兼顧個人信息的合理利用，這是經濟學研究關注的重點，對此，經濟學中通常采用邊際收益和邊際成本模型進行分析。從“成本收益”的視角來看，個人信息保護是一個以社會資源投入為成本（包括信息處理者處理成本及信息保護部門資源投入），以實現個人權利保障與數字經濟增長作為收益的過程。

如圖1所示，橫軸代表法律確定的個人信息保護標準，縱軸代表金額，Rp曲線代表的是作為保護標準函數的信息主體權利保障程度的邊際變化，信息保護標準越高，個人信息處理規則越嚴密。提高個人信息保護標準可以加強對信息主體的權利保障程度，但所帶來的邊際收益隨著保護標準的提高而降低，這表示個人信息保護標準從無到有的增加（如從“可以任意處理個人信息”到“處理個人信息需征得個人同意”）會帶來巨大的社會邊際收益；但隨著標準的逐漸提高（如信息處理從“告知”原則升高到“告知同意”原則），雖然還會對社會產生收益，但該收益卻小于前面相同提高幅度所帶來的。最后，當個人信息保護標準趨于無限高時，雖然其邊際收益仍然為正，但是已經遠小于最初的信息保護標準提高所帶來的收益，此即經濟學上的邊際效益遞減規律。

圖1中Ce曲線是指提高個人信息保護標準的邊際成本，隨著個人信息保護標準的不斷升高，所需的邊際成本也隨之增加。如將個人信息保護標準由“告知”原則提高為“告知同意”原則，企業將花費相對于“任意處理到告知后處理”更高的信息處理成本，信息保護部門也要投入更多的資源用以維護公民的權益（例如信息保護標準越高，信息保護案件越多）。兩條曲線在預防程度為H時相交，此時為最佳信息保護標準。自H點向左，沒有規定足夠高的保護標準來保障信息主體權利，體現為保護不足；自H點向右，邊際成本大于邊際收益，這部分超出的成本在經濟學上是無效率的，會造成資源的浪費。要求過高的個人信息保護標準，一方面會提高信息處理成本從而降低信息的可利用性，壓制數據紅利；另一方面也會迫使企業面臨過高的守法成本以至于利益權衡后選擇違法犯罪，降低了法律的可行性。因此不能一味要求過高的個人信息保護標準，保護標準位于邊際收益與邊際成本相等點即H點時，收益最大。

個人信息處理規則對個人信息進行了分類，將其劃分為一般個人信息與敏感個人信息。《個人信息保護法》第28條規定的“敏感信息”是指一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息；對此，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下方可處理。第29條規定，處理敏感個人信息應當取得個人的單獨同意，這相較于一般個人信息的處理規則更加嚴格。敏感個人信息由于其特殊性質，加強保護將帶來更大的社會收益。對敏感個人信息提高信息保護標準帶來的邊際收益相對一般個人信息更高，所以Rp線上移為Rp1，此時Rp1與Ce交點為效率最高點，該點所對應的個人信息保護標準為H1（見圖2）。因此，為敏感信息設定更嚴格的保護標準，是使資源配置達到效率最大化的最優安排。第29條規定的單獨同意，即為提高敏感信息的保護標準，符合經濟學上的“效率”規則。

《個人信息保護法》對信息處理者進行了分類；第58條將提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者界定為重要平臺企業，并規定重要平臺企業應承擔建立合規體系、制定平臺規則、停止對違法者提供服務以及定期發布社會責任報告等義務。法律對重要平臺企業科以更加嚴格的義務，原因在于對互聯網生態具有極強控制力和影響力的大型在線企業，成長為有能力管控特定網絡空間的個人信息收集和處理行為的“守門人”［12］。這些重要平臺企業從個人信息保護標準中獲取的邊際收益，相對于一般個人信息處理者獲取的要大一些，因此，使其負擔更多的義務與提高重點企業的個人信息保護標準具有一致性和經濟學上的合理性。

個人信息處理規則對成年人與未成年人設定了程度不同的保護標準。《個人信息保護法》第31條將未成年人作為特殊的信息主體，規定個人信息處理者處理不滿十四周歲未成年人個人信息的，應當取得未成年人的父母或者其他監護人的同意；第28條將未成年人信息列為敏感個人信息，處理需征得個人單獨同意。“告知同意”作為信息處理原則，要求“該同意應當由個人在充分知情的前提下自愿、明確作出”《個人信息保護法》第14條規定：“基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。法律、行政法規規定處理個人信息應當取得個人單獨同意或者書面同意的，從其規定。個人信息的處理目的、處理方式和處理的個人信息種類發生變更的，應當重新取得個人同意。”。未成年人由于認知能力尚未成熟，對于信息處理過程中的同意，易因“個人同意能力不足”而受到侵害。即是說，對未成年人的個人信息保護標準，由于其個人原因可能產生實質上的下降，導致信息保護制度向左偏離最大效率點，存在繼續增加社會正收益的空間。因此，應適當上調保護標準，增加征得未成年人父母同意及制定專門的個人信息處理規則，是保證社會效益最大化的合理舉措。

三、個人信息處理規則的博弈分析

博弈論（game theory）是一門“交互的決策論”。個人信息處理過程本質上是信息主體、信息處理者之間對抗與合作的一場博弈。個人信息處理規則的確定不僅應關注個人對法律規制的反應和行動，更應關注博弈雙方對法律規則的互動性反應行為。采用博弈論對個人信息保護中信息主體與信息處理者相互影響和相互制約的行為進行博弈分析，可以預測法律制度對相關行為的影響，并以此評價相關制度所產生的效率［10］32。

（一）博弈雙方及其基本假設

1.自由狀態下的博弈雙方

在個人信息處理規則確定之前，個人信息處理行為缺乏明確的指引。權利人以及處理者雙方就個人信息的保護與利用存在博弈，雙方的基本行為模式如下：權利人一方面希望自己的個人信息得到完全的保護，另一方面又希望通過個人信息的合理利用為自己生活帶來便利。如在導航類軟件中，權利人一方面擔憂自身位置信息泄露，另一方面又希望導航軟件可以根據自身準確位置規劃出到達目的地的最佳路線。處理者面對大量的個人信息，一方面希望收集更多信息并加以處理、加工與利用，以豐富自身數據資源和鞏固自身地位，另一方面又擔心由處理信息行為引發的法律風險以及信譽危機。

理想的圖景是信息主體與處理者達成契約，信息主體同意處理者在合理范圍內收集、處理個人信息，以獲得更好的服務；處理者得到個人的合法授權，規避法律風險以及聲譽危機，從而得以利用信息擴大自身競爭優勢。但由于信息主體與信息處理者之間的信息不對稱，雙方難以了解并信賴對方，導致個人信息交易成本過高。信息主體無法信任處理者會在合理范圍內處理個人信息，出于對處理者無限制濫用個人信息的擔憂，會傾向于選擇拒絕授權處理者處理個人信息。處理者與信息主體存在交易壁壘，難以通過交易協商等形式合法獲取信息主體授權，會選擇越過信息主體授權，或者通過綁定等方式違規獲取主體授權，以實現大規模收集處理個人信息的目的，轉化競爭優勢。雙方博弈陷入難以配合、相互對抗的囚徒困境，理性且有效率的個人信息交易難以成立，信息保護與利用兩端皆失。

2.政府規制狀態下的博弈雙方

《個人信息保護法》規定了兩方主體，一是第2條確定的個人信息權益歸屬者“自然人”，即信息主體；二是第9條確定的“對其個人信息處理活動負責”的個人信息處理者。在政府規制下，對博弈雙方的信息主體和信息處理者的基本假設如下：

（1）信息主體對待個人信息保護有積極參與和消極參與兩種策略。積極參與策略指信息主體積極識別信息處理者的處理方式、處理標準，及時發現個人信息受到侵害的情況，并通過提起損害賠償等方式主張權利。消極參與策略指信息主體被動承受信息處理者對個人信息的處理，不關心信息處理過程。信息主體積極參與的收益為R1，如避免信息被違法處理，積極參與保護的成本為C1（包括侵權識別成本、訴訟成本等）。采取積極參與策略的信息主體可以通過維權獲得信息處理者賠償I，得到支持的概率為P。信息主體消極參與的，在信息處理者積極保護的情況下會獲得溢出收益R2，如信息處理者積極保護降低的信息侵權風險；在信息處理者消極保護的情況下，信息主體會承受個人信息權利侵害D，體現為長期隱性不當利用的成本和后期深度挖掘引致的不當利用成本。

（2）信息處理者對個人信息的保護力度可分為積極保護和消極保護兩種策略選擇。信息處理者積極保護的，積極保護成本為C3，利用個人信息形成的競爭優勢為R3。同時，信息處理者的積極保護行為可以從積極參與的信息主體處獲得正向評價（如好評等形式），從而形成企業良好聲譽等收益R4（如口碑）。信息處理者消極保護的，若信息主體積極參與，其能有效識別信息處理者的消極保護策略，則需支付信息主體賠償金I，同時會因信息主體的負面評價（如差評）使信息主體帶來聲譽損失為L，還會受到行政機關罰款F；若信息主體消極參與，則信息處理者不會受到信息主體的索賠請求。

以上參數及含義詳見表1所示。

（二）博弈策略及其收益

1.信息主體

從經濟學視角，信息主體選擇積極參與還是消極參與策略，對信息主體與信息處理者而言是一個利益博弈的過程。信息主體選擇積極參與的動機是為了得到更大程度的信息保護，如果運用博弈論對其收益和成本進行分析，在預期信息處理者提供積極保護情況下，其預期收益表現為積極參與所獲得信息保護收益減去積極參與成本，機會成本表現為搭便車獲得的溢出收益。將信息主體在前述基本假設前提下參與信息保護博弈的“成本收益”進行分析，結果詳見表2所示。

當信息主體面臨積極參與還是消極參與的選擇時，會對兩個策略的預期收益進行比較，從而選擇預期收益較高的策略，這就是經濟學上的理性人假設（the reasonal person rule）［14］。在預期信息處理者提供積極保護情況下，信息主體積極參與獲得的收益為R1+R2-C1，消極參與獲得的收益為R2，若R1+R2-C1>R2，即R1>C1，則信息主體會選擇積極參與策略。在預期信息處理者提供消極保護情況下，信息主體積極參與獲得的收益為PI-D-C1，信息主體消極參與獲得收益為-D，若PI-D-C1>-D，即PI>C1，則信息主體將選擇積極參與策略。

2.信息處理者

將信息處理者參與信息保護博弈的“成本收益”進行分析，結果如表3所示。

面臨對個人信息進行積極保護還是消極保護的策略，在預期信息主體積極參與的情況下，信息處理者提供積極保護的收益為R3+R4-C3，提供消極保護的收益為R3-PI-PF-L-C4；若R3+R4-C3>R3-PI-PF-L-C4，即PI+PF+L+C4+R4>C3，信息處理者將選擇積極保護策略。在預期信息主體消極參與的情況下，信息處理者進行積極保護所獲收益為R3-C3，進行消極保護所獲收益為R3-PI-PF-C4；若R3-C3>R3-PI-PF-C4，即PI+PF+C4>C3，則信息處理者將選擇積極保護策略。

《個人信息保護法》中的一系列亮點制度，有助于推動實現信息主體積極參與、信息處理者積極保護的“納什均衡”［10］32。第50條規定，應當建立便捷的個人行使權利的申請受理和處理機制，以降低信息主體的積極參與成本C1。第69條規定，在侵害個人信息訴訟中，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任。這條規定是在《個人信息保護法》草案修訂過程中逐漸完善形成的［15］，確定了信息處理者的過錯推定原則，提高了損害個人信息的信息處理者對積極參與的信息主體賠償概率P。第66條規定，信息處理者違法處理個人信息，情節嚴重的，信息保護部門有權對其處以五千萬元以下或者上一年度營業額百分之五以下罰款，這增大了行政處罰力度F。

《個人信息保護法》使信息主體在作出積極參與還是消極參與決策的利益衡量公式R1>C1中降低了C1，促使信息主體在預期信息處理者積極保護的情況下選擇積極參與；在信息主體預期信息處理者消極保護下的衡量公式PI>C1中提高了P，推動信息主體在預期信息處理者消極保護的情況下也選擇積極參與，加大了信息處理者在消極保護時可能面臨的行政處罰F，驅使信息處理者選擇積極保護策略。可見，個人信息處理規則推動和實現了信息主體積極參與個人信息保護的平衡，降低了個人信息的市場交易成本，產生了社會正效益，構成帕累托改進。

綜上，從現行個人信息處理規則下的信息主體與信息處理者雙方博弈分析中，可得出以下結論：第一，個人信息處理規則規避了信息主體消極參與和信息處理者消極保護的囚徒困境，對促進信息交易、推動市場發展產生了正向作用。第二，《個人信息保護法》降低了信息主體積極參與信息保護的成本，提高了參與收益，保證了信息主體的積極參加。第三，現行信息處理規則未能充分實現信息處理者積極保護的狀態，主要影響因素在于信息處理者的積極保護成本與違法成本。

四、個人信息處理規則的實踐困境及其完善進路

在保護與利用的競合之中，個人信息保護制度猶如一根鐘擺，對一方朝向的偏頗必然引發另一方的缺失。個人信息處理規則如同這場拉鋸的標桿，其體現的個人信息保護程度決定了實踐中信息交易的趨向。個人信息保護程度越高，表明信息處理規則越嚴格，而信息交易頻率越高，則表明信息利用度越充分。一定范圍內的保護程度提升會促進信息交易的增長，但在越過最大收益點之后，繼續提高信息保護措施則會降低信息交易的頻率。從實踐中看，信息交易頻率的提升與降低并存，信息保護的過度與不足同在，主要表現在不同種類的信息領域。在一般個人信息領域，存在信息保護過度、信息交易頻率下降明顯的現象；在敏感個人信息領域，則存在制度供給不足、權利保障力度不夠的問題。

（一）現存困境

1.一般個人信息過度保護

個人信息保護制度對一般信息出現了保護過度的情形，導致信息交易受到阻遏，交易頻率下降，信息利用度不足。例如，2021年度裁判文書網公開文書數量驟降，裁判文書公開制度受到較大影響，監督功能弱化。其中，全國法院公布的行政裁判文書103 214篇，較2020年的504 822篇下降79.6%；刑事裁判文書600 183篇，較2020年的1 275 015篇下降52.9%；民事裁判文書8 394 902篇，較2020年的13 966 768篇下降39.9%該數據來自于筆者2022年2月23日訪問的中國裁判文書網：https：//wenshu.court.gov.cn/website/wenshu/181029CR4M5A62CH/index.html，由筆者搜索、摘錄或分析所得。。在案件受理數量基本平穩的情況下，公開文書數量大幅降低，原因便在于2021年剛剛公布施行的《個人信息保護法》對一般個人信息保護過度，這主要表現在以下兩個方面：

第一，個人信息范圍較為寬泛。《個人信息保護法》第4條將個人信息定義為“可識別的自然人有關的各種信息”，以“相關”作為受到法律規制的信息范圍判斷標準，與自然人有關的信息都受到保護，體現了國家對“個人信息”的寬泛界定。寬泛的保護范圍雖然在一定程度上順應了信息時代的發展，考慮到了信息的快速傳播，但是該定義的去中心化，未能凸顯個人隱私，未進行個人信息保護與隱私權保護的分離，導致個人信息保護制度缺失以隱私權為核心的制度架構［8］51，使得構成隱私部分的個人信息未能得到充分的保護，而其他重要性相對較低的個人信息則因受到法律同等規制而交易受限，流通頻率下降。

第二，個人信息權利束體系較為龐大。《個人信息保護法》第四章為信息主體專章設立了對個人信息處理的知情權與決定權、查閱復制權、可攜帶權、更正補充權、刪除權、解釋說明權等權利［16］，這些共同組成信息主體的龐大權利束。一方面，《個人信息保護法》通過規定“信息主體權利”以及“信息處理者的義務”的形式體現了制度的權利保護本位，信息主體享有權利而信息處理者承擔義務。這導致信息交易過程中的主體利益失衡，增加了信息處理者的保護成本，不利于信息處理者作出積極保護策略。另一方面，以權利保護機制為主要形式的個人信息保護制度難以適應數據時代發展，忽視了個人信息社會屬性的重要性，不能評判信息處理是否增加了社會福利，難以實現真正的公平［17］。

2.敏感個人信息保護不足

敏感信息因其特殊性質，一旦泄露將引發潛在的巨大風險，正如“女子取快遞被造謠出軌案”中，僅僅因受害人一段取快遞視頻被泄露，相關的微博話題閱讀量就高達4.7億人次；受害人因此遭受了巨大的社會輿論壓力，工作被辭退，新工作被拒絕，本人也罹患抑郁癥。可見，信息時代敏感個人信息具有潛在的爆炸性傳播特質。因此，敏感個人信息需要較高的保護程度，其處理應被予以特殊規制。然而，信息保護制度中對于敏感個人信息的特殊保護程度不足，未能達到保護與利用的平衡，主要體現如下：

第一，規制邏輯與一般信息相似，難以有效發揮針對性作用。《個人信息保護法》第二章第二節用五個條文規定了敏感個人信息的處理規則，但相對于一般個人信息保護，該節簡短的內容僅僅是規定了更加精細的“知情同意”即“單獨同意”和少量的安全保護措施。然而，“與對其他的處理活動作出的同意區分、凸顯出來”［18］的單獨同意，與處理一般個人信息所需的“明確同意”并無實質不同，在實踐中都會受到“信息不對稱”以及“信息過載”的影響，個人很難真正理解其作出同意選擇所帶來的風險及影響，換言之，“同意”難以真正發揮作用［19］。

第二，缺乏動態保護，難以應對敏感個人信息的特殊性。首先，基于不同場景，信息的重要性可能不同，在特定的場景下，某些信息可能轉化為敏感個人信息，例如手機號碼或者社交賬號；在面向公眾公開的情形下，其泄露產生的影響或危害難以估量，因此，現行信息保護制度中敏感信息的認定缺乏動態識別機制。其次，由于針對敏感個人信息缺乏基于場景的動態保護［9］121，敏感個人信息處理的風險會隨著場景變化而波動，因此，在處理敏感個人信息時，分層、分階段同意具有必要性。最后，敏感個人信息一經泄露將對信息主體持續性造成危害，對敏感信息泄露的防治與救濟具有急切的需要，而實踐中對于泄露的信息沒有區分，針對敏感個人信息缺乏相應的緊急救濟措施來及時補救信息主體權益。

（二）完善進路

信息處理作為信息主體與信息處理者的動態博弈過程，要想融解信息保護與利用的矛盾，填補愿景與現實的鴻溝，解決保護過度與保護不足的沖突，使法律規制發揮最佳效果，實現資源的最優配置，必須調動信息處理者積極參與信息保護；信息處理者作為信息處理的首要受益人，有動力也有義務配合法律規制完成信息保護。提高處理者積極性的方式包括：

1.動態化信息分類，降低信息交易成本

實踐中，個人信息保護過度與保護不足并存的問題根源在于未能細化信息分類，以至于信息處理者積極保護成本較高。通過對個人信息保護法律制度的邊際收益分析可知，對隱私性較低的個人信息降低保護標準，而對敏感個人信息等隱私性較高的信息提高保護程度，將有助于實現效益最大化，即獲得信息保護與利用的最大收益。《個人信息保護法》對一般個人信息范圍進行寬泛規定，而對敏感個人信息缺失動態認定。有鑒于此，有必要考慮個人信息的細化分級，以“隱私性”為判斷標準，劃分不同的保護模式，一方面使保護模式更具有針對性，實現保護效果最大化；另一方面減少不必要的資源損耗，避免加重信息交易壁壘，從而降低交易成本。

2.督促企業數據保護合規建設，提升企業保護積極性

督促企業數據保護合規建設，可以提高企業參與個人信息保護的積極性，落實企業行為責任，增強信息保護力度。無論是信息的處理還是信息泄露后的補救，信息處理者都承擔了一定的行為責任，尤其以互聯網平臺為典型。為了提高信息保護效果，信息處理者的積極參與是必要的。從信息主體與信息處理者博弈的分析結論可知，信息處理者選擇積極保護策略的重要影響因素包括其違法成本，主要有侵權賠償、行政處罰以及聲譽損失等。督促企業數據保護合規建設可以通過以下途徑：第一，提高信息處理者違法成本，措施主要包括提高處理者侵權賠償概率、提高行政處罰額度、公開通報處罰結果以及設置信息處理準入資格限制等。第二，構建企業數據合規外部激勵制度，主要有完善數據合規指引、建設行政激勵制度、納入企業評價指標、培育數據合規氛圍等方式。

五、結語

《個人信息保護法》為我國應對大數據時代、數字經濟發展等新格局新形勢提供了有力的法治保障，承載了我國保障人權的重要使命，體現了以人民為中心的法治精神。同時，為抓住數字經濟發展機遇、實現現代化強國建設的期冀，

其主要任務是確定合理的信息處理規則，降低信息處理者與信息主體之間的交易成本。筆者通過經濟學上的邊際收益分析，論證了個人信息處理規則中對一般個人信息與敏感信息、一般平臺與重點平臺以及成年人與未成年人的區分具有經濟學上的合理性，分別規定不同的保護標準體現了帕累托改進，實現了帕累托最優。傳統的信息保護制度使信息主體與信息處理者雙方均陷入主體不參與、處理者不保護的囚徒困境。在博弈視角下，《個人信息保護法》確定的信息處理規則規避了信息主體與信息處理者消極對立的囚徒困境，提高了信息主體參與信息處理的積極性，移除了交易壁壘，提高了交易效率，實現了資源的合理配置。針對實踐中一般個人信息保護過度與敏感個人信息保護不足的問題，可以通過動態化信息分類、督促企業數據保護合規予以解決和完善。

參考文獻：

［1］習近平在亞太經合組織領導人非正式會議上的講話［EB/OL］.（2021-07-16）［2022-01-02］.https：//baijiahao.baidu.com/s？id=1705443258866989462&wfr=spider&for=pc.

［2］王利明.論《個人信息保護法》的亮點、特色與適用［J］.法學家，2021（6）：1-16.

［3］申衛星.論個人信息保護與利用的平衡［J］.中國法律評論，2021（5）：29.

［4］李克強.信息數據“深藏閨中”是極大浪費［EB/OL］.（2016-05-13）［2022-01-01］.http：//www.gov.cn/xinwen/2016-05/13/content_5073036.htm.

［5］王葉剛.人格權商業化利用與人格尊嚴保護關系之辨［J］.當代法學，2018（3）：24.

［6］金耀.個人信息去身份的法理基礎與規范重塑［J］.法學評論，2017（3）：120.

［7］石佳友.個人信息保護的私法維度——兼論《民法典》與《個人信息保護法》的關系［J］.比較法研究，2021（5）：15.

［8］郭江蘭.個人信息保護制度的反思與改進：以主體利益沖突與衡平為視角［J］.科技與法律，2021（6）：51.

［9］孫清白.敏感個人信息保護的特殊制度邏輯及其規制策略［J］.行政法學研究，2022（1）：119.

［10］羅伯特·考特，托馬斯·尤倫.法和經濟學［M］.史晉川，董雪兵，譯.上海：格致出版社，2012：30.

［11］羅納德·H·科斯.企業、市場與法律［M］.盛洪，陳都，譯.上海：格致出版社，2014.

［12］張新寶.互聯網生態“守門人” 個人信息保護特別義務設置研究［J］.比較法研究，2021（3）：4.

［13］陳旭琳.個人信息協同保護的法經濟學研究［D］.長春：吉林大學，2021：83.

［14］理查德·A.波斯納.法律的經濟分析［M］.蔣兆康，譯.北京：中國大百科全書出版社，1997：216.

［15］程嘯.侵害個人信息權益的侵權責任［J］.中國法律評論，2021（4）：59.

［16］程嘯.個人信息保護法亮點解讀［N］.中國市場監管報，2021-09-18（3）.

［17］王苑.數據權力視野下個人信息保護的趨向——以個人信息保護與隱私權的分立為中心［J］.北京航空航天大學學報（社會科學版），2022（1）：51.

［18］程嘯.論個人信息處理中的個人同意［J］.環球法律評論，2021（6）：54.

［19］丁曉強.個人數據保護中同意規則的“揚”與“抑”——卡-梅框架視域下的規則配置研究［J］.法學評論，2020（4）：131-133.

Legal and Economic Analysis of Personal Information Processing Rules

JIANG Baozhong， LAI Yu

（College of Criminal Justice， Henan University of Economics and Law， Zhengzhou 450046， China）

Abstract：Personal information processing rules are the wind vane of information protection system， which reflects the value bias between information utilization and protection. The balance of personal information protection and utilization is essentially a problem of resource allocation in pursuit of maximum benefit. Marginal benefit theory and static game paradigm in law and economics are helpful to verify the legal effect of personal information processing rules. By means of marginal cost-benefit analysis， the classification of subject， handler and information in information processing rules can face up to the difference of pareto advantage in different situations and improve the allocation efficiency of resources. From the perspective of static game， the establishment of information processing rules avoids the prisoner's dilemma of negative opposition between information subject and information processor， and promotes the circulation of information factor market. In view of the problems of excessive protection of general personal information and insufficient protection of sensitive personal information in practice， it should be solved by means of dynamic information classification and supervision of enterprise data protection compliance.

Keywords：personal information processing rules; protection and utilization; marginal revenue; game theory

（編輯：刁勝先）