網絡平臺個人信息保護責任的法律經濟學分析

陳宇照

一、引言

在個人信息日益數據化的數字經濟時代，個人信息遭受侵犯的風險明顯加劇。根據中國互聯網絡信息中心(CNNIC)截至2021年12月的統計，2021年下半年，在網民遇到的各類網絡安全問題中，遭遇個人信息泄露的網民比例最高，為22.1%。如何更好地保護個人信息，值得重視及思考。

網絡領域的個人信息安全，是決定個人信息保護成效的關鍵。《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)第9條規定：“個人信息處理者應當對其個人信息處理活動負責，并采取必要措施保障所處理的個人信息的安全。”該條規定綜合考量負責與安全兩方面的內容，將其總結提煉為一項具有我國個人信息處理特色的基本原則。這意味著，網絡平臺作為個人信息處理者須承擔個人信息保護責任，但同時網絡平臺個人信息保護責任的定性和邊界問題也亟待明確。否則，有可能出現網絡平臺“課予責任越重，實施效果越弱”，網絡平臺與網絡平臺內產品或服務的提供者(以下簡稱商家)矛盾不斷，相互推諉扯皮，既浪費法律資源又無法實現預期效果的情形。

在現有研究成果中，已有學者注意到網絡平臺個人信息保護責任的相關問題。張新寶認為，要給予網絡平臺這一互聯網生態“守門人”設置個人信息保護方面的特別義務。吳偉光指出，平臺組織內的個人信息保護問題，本質上是網絡企業與網絡用戶在平臺組織內的關系問題，并認為直接依賴網絡用戶的私權利和政府公權力來保護個人信息都很難對抗網絡企業，需要將個人信息中的法益視為網絡用戶對網絡企業的信義利益予以應對。武騰提出，履行給付型忠實義務的網絡平臺在處理個人信息時應遵循最小必要原則。學者們在分析網絡平臺個人信息保護責任時，多將網絡平臺進行同質化看待，并以“網絡平臺—網絡用戶(消費者)”二者的關系作為分析的基本形態。

上述研究成果仍存在可拓展的研究空間：一方面，從研究內容上看，網絡平臺并非同質的，而是分層的。網絡平臺個人信息保護責任所涉社會關系不限于網絡平臺和網絡用戶之間的外部關系，網絡平臺與商家之間的內部關系對網絡平臺個人信息保護責任的實現和網絡用戶的個人信息安全同樣產生重大影響。另一方面，從研究視角來看，《個人信息保護法》的頒布實施意味著有關個人信息保護的研究邁入“解釋論”和“實施論”的新時代。不過，既有的研究多為法教義學意義上的解釋，法經濟學意義上的闡釋并不多，無法完全揭示網絡平臺個人信息保護責任中不同主體利益變動和影響的過程，致使對網絡平臺個人信息保護責任制度及其完善路徑缺乏客觀而充分的理解，影響《個人信息保護法》的實施成效。

與對網絡平臺和網絡用戶之間外部關系進行純粹法教義學意義上的解釋相比，兼顧網絡平臺和商家之間內部關系的法經濟學闡釋更具有實踐價值。鑒于此，結合《個人信息保護法》文本，本文對網絡平臺個人信息保護責任進行法律經濟學分析，力圖清晰地界定網絡平臺和商家的個人信息保護責任邊界，指出相應的規范適用，并對網絡平臺個人信息保護責任制度進行相應的分析和優化。

二、“同意疲勞”與責任區分不明的網絡平臺個人信息保護現狀

(一)約束網絡平臺及其商家的程序性機制——告知同意機制日益流于形式

當前，作為約束個人信息處理的程序性機制——告知同意機制被世界各國普遍采用。歐盟《一般數據保護條例》第7條較為詳細地規定了同意要件，要求應當以一種容易理解的形式、清晰平白的語言來設計，并設計撤回同意機制;第8條則針對兒童設定了較為嚴格的同意機制。美國《加利福尼亞州消費者隱私法案》(CCPA)對于出售消費者數據、用于財務激勵等數據處理的同意機制做了規定。中國在2012年《關于加強網絡信息保護的決定》第2條規定了告知同意機制，要求“明示收集、使用信息的目的、方式和范圍，并經被收集者同意”，之后的相關法律作了類似規定。《民法典》第1035條規定：“處理個人信息應征得該自然人或者其監護人同意，但是法律、行政法規另有規定的除外。”《個人信息保護法》在明確信息主體知情權的基礎上，第13條第1款第1項，更是以“取得個人同意”作為個人信息處理正當性的首要合法性基礎。同時，第14條明確規定:“基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。”盡管我國《個人信息保護法》第13條第1款第(2)至第(6)項規定了告知同意機制的例外情形，但這些情形似乎更多地是為相關公權力部門作為個人信息處理者量身打造的，是否能適用于網絡平臺尚待觀察。因此，告知同意機制仍是我國《個人信息保護法》的基本制度框架，也是約束網絡平臺及其商家最主要的私法保護機制。

告知同意機制建立在尊重信息主體意愿的基礎上，有利于在個人信息處理的實踐中貫徹信息主體的意圖，一定程度上有效避免了個人信息被濫用。不少網絡平臺為滿足告知同意機制的要求，經常在其網站顯著位置公布隱私政策，以便用戶知情和同意。據粗略估算，若要用戶真正去閱讀其訪問網站的隱私政策，每年人均將花費約250小時，既耗時又不便。更為重要的是，企業隱私政策冗長且充斥大量的專業術語，用戶并沒有被充分告知，許多個人信息都是在用戶不知不覺之間被企業共享或者出售給第三方主體的；同時，企業隱私政策的性質也并不清晰，發生糾紛時難以約束企業。此外，值得注意的是，《個人信息保護法》第14條第2款規定：“個人信息的處理目的、處理方式和處理的個人信息種類發生變更的，應當重新取得個人同意。”這意味著，隨著場景的不同帶來個人信息處理目的、處理方式和處理個人信息種類的不同，需要反復利用告知同意機制，不僅會讓用戶陷入“同意疲勞”而疲于同意，也會增加網絡平臺等個人信息處理者的成本費用。總的來說，由于個人和信息收集與處理者之間持續性信息不平等關系，網絡平臺會利用其自身各方面優勢，逐漸掏空告知同意機制，讓其流于形式。

(二)網絡平臺與商家個人信息保護責任區分不明

在我國眾多個人信息保護法律規范當中，經常使用“個人信息處理者”這一概念，并未明確區分網絡平臺和商家的個人信息保護責任。《個人信息保護法》第73條特別解釋了“個人信息處理者”的內涵，即在個人信息處理活動中自主決定處理目的、處理方式的組織與個人。該解釋指明個人信息處理者的核心特征在于“自主決定”。因此，網絡平臺和商家都可能成為個人信息處理者。然而，由于網絡平臺和商家之間的緊密聯系，二者在個人信息處理活動中究竟呈現何種關系——商家是《個人信息保護法》第20條規定的“共同個人信息處理者”，還是《個人信息保護法》第21條規定的“委托個人信息處理者”，亦或是《個人信息保護法》第23條規定的“其他個人信息處理者”？如果屬于第23條規定的“其他個人信息處理者”，那么二者之間個人信息保護責任如何劃分？這些問題沒有明確的答案。此外，《個人信息保護法》第58條規定了提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者(以下簡稱“大型網絡平臺”)擁有制定平臺規則、明確商家個人信息處理規范和個人信息保護義務的特別義務，單純依靠這種大型網絡平臺對商家制定規則和明確義務的手段，在網絡平臺和商家之間形成一定意義上的管理關系過于簡單，極易導致以下結果：一是商家會利用特殊手段如行賄等來解決問題，進而產生尋租成本；二是極易導致二者對立傾向，從而增加法律實施成本。

(三)個人信息保護手段的威懾力不足

《個人信息保護法》中高額罰款、信用懲戒、損害賠償中個人信息處理者過錯推定、個人信息保護公益訴訟等制度，較好地提高了我國個人信息保護手段的威懾水平。但是，法律制裁越嚴厲并非意味著威懾水平效果就最優，因為一方面最優的威懾水平取決于邊際威懾水平，即法律制裁嚴厲度和法律制裁確定性的組合情況，另一方面法律制裁越嚴厲并不一定意味著違法行為的必然減少，而國家監管資源的成本投入卻不斷加大，兩相比較之下，法律制裁越嚴厲并非意味著最優的威懾水平。審視我國《個人信息保護法》，可以發現一些制約個人信息保護手段威懾水平的因素。

一是損害賠償責任數額的確定較為模糊。《個人信息保護法》第66 條的立法方式，是將該法中所有個人信息處理的權利義務關系條款都納入行政處罰的制裁后果。這本質上并不利于凸顯《個人信息保護法》對不同權利義務配置類型的差別度，對處罰機制設定的過度寬泛也將使個人信息處理者缺乏預見性從而承擔更大的合規成本。“重罰威懾”的處罰條款也為監管部門留下了較大的執法彈性，在構成要件相對模糊的前提下，裁量幅度的寬泛授權具有兩面性。再加上監管主體本身的多元結構，需要警惕未來因為監管職能的沖突而導致企業潛在的合規成本增加的風險。此外，《個人信息保護法》第69條第2款規定：“損害賠償責任按照個人因此受到的損失或者個人信息處理者因此獲得的利益確定；個人因此受到的損失和個人信息處理者因此獲得的利益難以確定的，根據實際情況確定賠償數額。”該條款確定了侵害個人信息權益損害賠償額計算方法的第一順位是“個人受到的損失”或“個人信息處理者獲得的利益”，第二順位則是法院的裁量。究竟選取何種標準將對個人信息保護手段的威懾水平帶來直接影響。上述不確定性在一定程度上影響著個人信息保護手段的威懾水平。

二是對個人信息保護公益訴訟提起主體的激勵尚待明確和提高。按照《個人信息保護法》第70條，有權提起公益訴訟的主體包括人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織。在此，且不說該條規定的簡單化、抽象化和模糊化問題，單就公益訴訟制度本身來談其中的問題。從法律經濟學的視角來看，公益訴訟一般是激勵私人和特定國家機關訴訟實現公益目的的帶有“正外部性”色彩的訴訟類型，其發揮效果的關鍵在于對原告起訴的激勵程度大小。然而，公益訴訟因受原告資格及其發現違法信息、訴訟成本等因素所限，原告提起公益訴訟動力不足，這導致違法者被起訴的概率不高，故降低了違法者承擔賠償責任的概率。另外，即使個別違法行為被提起公益賠償之訴對違法者具有一定的懲罰作用，但違法者仍可從多次違法中獲得好處。相應地，如何進一步優化個人信息保護公益訴訟制度，是確定對網絡平臺侵犯個人信息行為最優威懾水平的重要議題。

三、防范成本優勢與公共物品主導屬性對個人信息保護責任配置的影響

(一)科斯定理與網絡平臺個人信息保護的主要責任承擔

按照《個人信息保護法》的相關規定，任何主體只要成為個人信息處理者就需承擔個人信息保護責任。與其單純地從法教義學的角度不斷厘清個人信息處理活動及個人信息處理者的內涵與外延以及對網絡平臺個人信息保護責任進行法律定性，倒不如訴諸科斯定理來厘清網絡平臺個人信息保護責任的承擔機理。科斯指出，一旦考慮到進行市場交易的成本，合法權利的初始界定會對經濟制度運行的效率產生影響。在交易費用大于零的現實世界，權利的不同界定會對資源配置產生影響。這意味著，交易成本成為法律制定和適用的重要考慮因素，清晰界定產權邊界成為法律的重要功能。進一步推論，在雙方采取防范措施可以消除意外事故風險的情況下，理想狀態是讓能夠以最低的成本防范風險發生的一方單獨采取防范措施和承擔責任，因為這樣可以實現社會總成本最小化的社會目標。誰承擔責任成本較低，就由誰來承擔責任。若以此視角審視，產權(責任)界定不明是網絡領域個人信息屢受侵犯的重要原因。按照科斯定理，由防范成本較低的一方即網絡平臺承擔個人信息保護的主要責任，是符合效率的選擇。

按照科斯定理的基本精神，盡量將產權賦予使用效率最高的主體。進入數字經濟時代，個人信息或數據的價值不再在于所有，而是在于分析和使用。相較于分散的商家，網絡平臺在個人信息控制規模性、技術發達性、資金充足性等方面占據巨大優勢，并且能夠實現效用最大化，讓網絡平臺承擔個人信息保護的主要責任，符合科斯定理的基本精神，能實現降低交易成本的目標。

(二)個人信息的公共物品主導屬性與網絡平臺個人信息保護的主要責任承擔

近些年來，學者們對個人信息價值和保護必要性的認知基本沒有爭議，但在個人信息是否權利化、權利的具體類型、權利的保護方法與手段等方面存在著分歧，有賦權說與行為主義規制說兩種不同觀點。前者認為可以通過為個體賦權和豐富權利內容的手段來保護個人信息，其中又分為個人信息人格權說、個人信息財產權說、個人信息綜合說等學術觀點；后者認為，應避免抽象賦權而要基于具體場景進行行為主義規制。這些爭論根源于學者們對個人信息屬性的不同認識。在大數據和數字經濟時代，過分注重個人信息的個體屬性，顯然不符合事實和社會經濟發展的客觀要求，這是因為個人絕對控制自身的個人信息，既不現實，也不合理。相反，個人信息日益具有強烈的公共屬性。信息不是由個體獨立創造的，信息產生于社會主體的互動。正如有學者指出的那樣，個人信息兼具個體屬性與社會流通屬性。

個人信息不僅具有個體屬性，還具有公共物品屬性。公共物品是具有非競爭性和非排他性的物品。在個人信息的雙重屬性之中，公共物品屬性無疑占據了主導地位，這也意味著個人信息的處理會產生一定的外部性問題，比如個人信息泄露不僅有損個體的合法權益，還會帶來輿情影響、企業發展和產業發展等外部性問題，影響資源配置效率的提高。由于個人信息雙重屬性中公共物品屬性的主導性，商家作為商品買賣和服務提供中的完全私主體，不宜由其承擔主要責任，而應由具有明顯公共性的私權力主體——網絡平臺承擔主要責任。我國《個人信息保護法》第58條在一定程度上體現了這一要求。進入數字經濟時代，包含個人信息在內的數據成為數字經濟的關鍵生產要素。平臺借助其數據集合體的地位與數據快速收集、處理的技術優勢，通過有效的分析、決策數據的投入利用加之算法等的結合，將分析結果應用于市場經營策略，以取得一定市場影響或優勢地位。當平臺經營者的力量越來越強大時，就容易濫用此種地位，對平臺內經營者課以不公平的義務。從網絡平臺數據反壟斷的角度來看，網絡平臺也有更多的責任與義務。

四、個人信息保護責任內部化與共同個人信息處理者保護責任的確立

(一)個人信息保護責任應成為網絡平臺和商家的共同責任

雖然網絡平臺應承擔個人信息保護的首要責任，但個人信息安全的根本保障在于網絡平臺與商戶共同承擔個人信息保護責任，個人信息安全應成為二者的共同目標。根據“理性經濟人”的基本假設，網絡平臺和商家都期望己方盡可能地承擔更少的成本，盡可能地獲得更多的收益，即實現成本收益差額(利潤)最大化。按照法律經濟學的基本思路，法律責任設置的重要目的在于盡可能地降低私人間達成協議的成本，使施害人強加于他人的成本內部化，實現社會成本最小化。相應地，這種內部化不限于侵害人和受害人之間，也包括(潛在)侵害人之間。即便網絡平臺承擔了個人信息保護的首要責任，也不應割裂二者的共同目標和共同責任，而應該將個人信息安全作為二者的共同目標，建立共同的個人信息保護意識和機制，使二者的個人信息保護責任內部化。相較于國家對網絡平臺的監管，商家是潛在侵害人，極少會在不考慮自身侵害收益小于侵害成本的情況下再行侵害行為。

(二)借鑒侵權法經濟學模型分析網絡平臺和商家個人信息保護責任內部化的必要性

我國《個人信息保護法》目前對個人信息保護主要采取個人權益保障路徑，與侵權法有著較多的相似性，這意味著可以借鑒侵權法經濟學模型加以分析。借鑒侵權法經濟學模型發現，隨著網絡平臺在個人信息保護責任履行方面承擔得更多，網絡平臺的責任承擔成本自然隨之增多，個人信息受侵犯的概率則會降低。這一原理同樣適用于商家。在這一模型下，商家一方面希望網絡平臺的個人信息保護責任承擔更多以減輕自己的責任，另一方面又擔憂網絡平臺制定規則太多，監督過頻，影響自己實現利潤最大化的目標。在此情況下，商家在某種程度上會對網絡平臺個人信息保護責任承擔成本“搭便車”。當然，如果網絡平臺對商家監管過于嚴苛，只要尋租帶來的收益足夠大，那么商家很有可能進行尋租。

要解決上述矛盾，需要將網絡平臺和商家個人信息保護責任內部化，使二者在一定程度上成為同一當事人，“搭便車”問題和尋租問題就此得到解決。

(三)網絡平臺和商家成為共同個人信息處理者并利用數字化技術

由上述分析可知，網絡平臺和商家實現個人信息保護責任內部化，便可消除“搭便車”現象和尋租現象。這意味著需要法律利用合理的法定責任分配機制、建立共同責任意識、通過有效的信息傳遞機制，盡可能地使二者行為一致，實現網絡平臺和商戶法律責任內部化。雖然我國《個人信息保護法》第51條、第54條、第55條和第57條分別規定了個人信息處理者均需遵守的基本合規義務和定期個人信息保護影響評估的義務，第58條有特色地新增了對大型平臺的額外義務，但對于網絡平臺和商家的個人信息保護責任未加以明確區分，對二者究竟呈何種關系表述不詳。網絡平臺和商家建立共同責任意識有助于實現二者責任內部化，因此網絡平臺和商家在個人信息保護責任履行上應成為共同個人信息處理者，適用確認了共同個人信息處理者必要連帶責任機制的《個人信息保護法》第20條。當然，要防止不同地方差異化地出臺關于網絡平臺個人信息保護責任的一些規定而增加網絡平臺成本。

進入數字經濟時代，各種先進科技可以充分為網絡平臺與商家個人信息保護責任內部化進行新賦能，比如網絡平臺可以有效地利用區塊鏈技術監督商家個人信息保護責任的履行情況，因為區塊鏈技術不僅因其非對稱密碼機制可有效保護個人信息，還能夠存儲、保留所有信息，透明、可追溯、不可更改，有利于監管者追溯、核查、驗證信息。網絡平臺利用各類數字化技術對商家個人信息保護履行情況的記錄，不僅可以作為針對違法商家停止提供服務的依據，也可為撰寫個人信息保護社會責任報告乃至可視化與可傳導的聲譽懲戒提供證據，加強正當性支撐，更可以實現二者個人信息保護責任內化，以更低成本維護個人信息安全。

五、威懾理論與網絡平臺個人信息保護責任制度的優化

波斯納認為，判斷一個法律規則的效率，其正確的態度是向將來看——即這種規則是否可以產生讓當事人在將來有效率作為的激勵，合理而適度的威懾水平顯得尤為關鍵。現代意義上的威懾理論由加里·貝克爾在《犯罪與刑罰：一種經濟學進路》一文中首次提出并系統性闡釋。他認為，罪犯是理性的并且針對激勵改變自己的行為，就像那些不犯罪的人一樣，社會必須既考慮阻止犯罪發生的費用，又考慮犯罪本身帶來的直接危害，以決定“概率”和“嚴厲性”的最佳總量，此類分析很像對侵權和意外傷害所做的分析。這意味著，威懾理論的應用不限于刑法領域。波斯納認為從經濟學的觀點看，法律的基本功能是改變激勵，法律的經濟理論是一種將法律看作威懾力的理論。因此，威懾理論具有廣泛的應用空間。通過沙威、萊威特等學者的努力，威懾理論的應用早就不再限于刑法領域，比如世界上大多數國家均以威懾理論為指導設定反壟斷法律責任制度。相應地，威懾理論可以指導網絡平臺個人信息保護責任制度的優化。

威懾理論的基本邏輯在于，各種不同水平的懲罰實際上確定了不同違法行為的“價格”，要實施各種違法行為必須付出相應的“價格”，高于違法需求的價格將有效地抑制潛在違法行為者的違法需求。根據威懾理論，隨著威懾水平的提高，個人信息保護責任履行得越到位，個人信息受侵害帶來的社會凈損失就越小，同時社會凈損失的減少速度也會下降，即社會凈收益增加速度也在上升，不過，網絡平臺履行個人信息保護責任的預防成本也越高，最優威懾水平使個人信息受侵犯帶來的社會凈損失和預防個人信息受侵犯的社會成本之和最小。據此，要實現對網絡平臺違法行為(此處特指違反《個人信息保護法》的行為，下同)制裁的最優威懾水平，一方面需要適當提高其預防成本，另一方面需要適當降低個人信息受侵害帶來的社會凈損失，前者可以通過加強網絡平臺個人信息保護合規激勵機制的建設加以實現，后者可以通過提高對網絡平臺違法行為制裁的確定性加以實現。

(一)加強網絡平臺個人信息保護合規激勵機制的建設

威懾理論非常簡單地將從事違法侵權行為概括為違法侵權行為的預期收益超過其預期成本。由此可見“預期”在威懾理論中的重要地位。事實上，最優威懾水平的實現不僅取決于外部制裁，更取決于內部預期，因為外部制裁效果的實現還需要通過影響內部預期的方式。內部預期主要指向網絡平臺對個人信息保護責任認知的主觀方面，比如網絡平臺對個人信息保護重要性和必要性的認識、對商家個人信息保護責任監督與否的態度、制裁可能性的判斷等。之所以考慮這點，主要是因為在數字經濟和網絡時代，網絡個人信息安全問題傳播速度快、社會關注度高，網絡平臺內部預期構成某種無形的成本或收益。我國《個人信息保護法》第51條、第54條、第56條、第57條要求個人信息處理者加強內部制度建設、進行合規審計和個人信息保護影響評估，這樣可以有效提高作為個人信息處理者的網絡平臺和商家的內部預期。提高網絡平臺內部預期需要重點建設網絡平臺個人信息保護合規制度，因為個人信息保護合規制度是反映網絡平臺內部預期的基礎和有效載體。

雖然我國《個人信息保護法》第58條明確要求大型網絡平臺建立健全個人信息保護合規制度體系，但其難以得到全面且有效的實施，這是因為我國《個人信息保護法》并未強制要求所有網絡平臺建立健全個人信息保護合規制度體系，而且個人信息保護合規制度體系的建設成本不菲。不過，這些原因并不能阻礙建立健全個人信息保護合規制度。按照法律經濟學的思路，只要給予網絡平臺建立健全個人信息保護合規制度足夠的激勵，廣大網絡平臺即會自愿建立健全個人信息保護合規制度。通過對個人信息保護合規制度作類似激勵機制設計，可以有效提高網絡平臺切實履行個人信息保護責任的內部預期，助力實現對網絡平臺違法行為制裁的最優威懾水平，這也是我國網絡平臺個人信息保護責任制度重要的優化方向。

(二)提高對網絡平臺違法行為制裁的確定性

按照社會水平確定最優的威懾水平后，根據威懾理論，對違法行為的威懾主要是通過作用于預期制裁成本來實現，預期制裁的成本相當于制裁嚴厲程度與制裁概率。確定對網絡平臺個人信息保護責任的最優威懾水平，取決于《個人信息保護法》《電子商務法》《數據安全法》《網絡安全法》等法律規范中的法律責任配置、執法概率、處罰強度等因素。在經濟學的邏輯中，若對大規模侵害個人信息的行為罰款太少，例如遠遠低于其違法所得，那么將會進一步助長違法行為，導致大規模侵害個人信息的案件頻繁發生。基于此，我國《個人信息保護法》第七章規定了巨額罰款、信用懲戒、職業禁止等多種形式的法律責任，已然達到較為嚴厲的制裁程度。然而，一些經驗研究表明，懲罰的確定性比懲罰的嚴厲程度更加重要。這意味著，我國個人信息保護法在實施過程中，一方面要在我國《個人信息保護法》所建立的法律責任體的基礎上，進一步細化分級別、分層次、重實效的處罰體系，尤其細化不同罰款數額和違法行為危害程度的對應性，提高制裁適用的確定性；另一方面要鼓勵利用數字化技術、人工智能、5G等新型科技手段提高制裁實施(概率)的確定性。

六、結論

在數字經濟時代，雖然《個人信息保護法》較為全面地規定了個人信息處理者的義務，但對于網絡平臺與商家就個人信息保護所形成的法律關系表述不詳，難以從根本上厘清二者個人信息保護責任的邊界。此外，約束網絡平臺個人信息處理的主要機制——告知同意機制日益流于形式、《個人信息保護法》規定的個人信息保護手段威懾力不足，不利于《個人信息保護法》的有效實施。根據科斯定理，網絡平臺因其能夠以相對較低的成本履行個人信息保護責任，宜成為個人信息保護責任的主要承擔者。不過，為防止網絡平臺和商家之間的推諉，借鑒侵權法經濟學模型，網絡平臺和商家個人信息保護責任需要實現內部化，共同承擔個人信息保護責任，并被視為共同個人信息處理者，適用《個人信息保護法》第20條的必要連帶責任規則。基于威懾理論，我國網絡平臺個人信息保護責任制度一方面需要加強網絡平臺個人信息保護合規激勵機制的建設，另一方面則需提高對網絡平臺違法行為制裁的確定性，合力實現對網絡平臺違法行為的最優威懾水平，進一步構建激勵相容的個人數據治理體系。