云游戏和元宇宙游戏新势力的数据合规风险管理

　　如您希望下载PDF版本，请点击文末＂  阅读原文  ＂获取。
　　在数字经济蓬勃发展的背景下，5G、物联网、云计算、大数据、人工智能、虚拟现实等科技的发展为与数字经济相伴相生的游戏产业提供了全新平台和发展机会。随着多种技术的融合创新，游戏产业与其他相关产业实现了终端、平台、场景、应用等多个层面的跨界合作，云游戏、元宇宙游戏等新势力应运而生。
　　数据对游戏而言是关键要素。在个人信息保护的强监管时代，游戏公司除了不断提升游戏内容与相关技术，也亟需重视个人信息保护合规风险的预防与应对。本文将基于云游戏和元宇宙游戏两大新势力中较为典型的业务场景，并结合我国对游戏防沉迷的特殊要求，简要提示游戏行业的数据合规风险。
　　01
　　云游戏
　　云游戏，是指以云计算技术为基础的在线游戏。游戏中的所有计算处理，包括数据上传与下载、动画渲染、逻辑运算等，均在云端服务器进行。云端服务器接受玩家通过互联网发送的输入指令，再将处理后的最终画面返回玩家的前端设备。玩家就像播放视频一样播放游戏。相较于传统游戏，云游戏对玩家的终端设备的内存性能、处理器性能等要求不高，也无需先下载后使用，成为许多游戏公司推广游戏的重要方式。
　　在云游戏产业链中：（1）5G网络运营商提供高带宽、高并发、低延时的5G通讯网络，为云游戏构想提供了网络基础设施；（2）云计算服务商提供云端渲染算力，充当 游戏的＂云端CPU+GPU＂，保障云游戏体验；（3）游戏研发商、游戏运营商主要负责云游戏产品（包括原生云游戏或平滑上云的现有游戏）的研发、运营工作以及云游戏内容的持续更新和维护；（4）云游戏平台为玩家提供即点即玩的游戏平台，充当用户入口，是游戏运营商与玩家之间的桥梁，并负责云游戏分发、用户运营等角色；（5）终端设备是以上所有环节的最终承载者，将游戏画面呈现给玩家。
　　由于云游戏产业链中涉及的主体较多，其中涉及的数据流转也较为复杂。因所处业务场景和提供的产品服务不同，相关主体承担的数据处理角色亦有不同。
　　1. 云游戏产业链中各主体的角色与数据流向
　　云游戏产业链中参与数据流转的主要角色包括玩家、云游戏平台、游戏运营商和云计算服务商：
　　（1） 玩家是注册登录信息、日志信息、支付信息、设备信息等数据的一方，是＂数据主体＂；
　　（2） 云游戏平台为玩家提供即点即玩的游戏平台，负责云游戏的集成与分发，玩家在云游戏平台上注册并购买会员后通过云游戏平台入口＂秒玩＂自己感兴趣的游戏，云游戏平台会记录玩家的游玩记录。云游戏平台一般收集的数据包括但不限于以下类型：  注册登录信息 ：手机号码、电子邮箱、用户名和密码等；  实名认证信息（基于防沉迷要求） ：手机号码、身份证号码、姓名等；  日志信息 ：登录日志、操作信息、互动记录、ID、搜索查询内容、IP地址、浏览器的类型、电信运营商、网络环境、使用的语言、访问日期和时间及访问的网页浏览记录、Push打开记录、停留时长、刷新记录、发布记录、关注、订阅、收藏及分享等；  设备信息 ：设备机型、操作系统及版本、客户端版本、设备分辨率、包名、设备设置、设备标识符（MAC地址/IMEI/AndroidID/IDFA/OPENUDID/GUID/ICCID/IMSI）、软硬件特征信息、设备传感器、IP地址等；  支付信息 ：具体订单号、订单创建时间、交易金额、充值记录、交易和消费记录、支付机构、物流公司等；  个性化推荐信息 ：浏览、搜索偏好、行为习惯、位置信息相关特征等。
　　云游戏平台收集相关数据后可决定数据的处理目的、处理方式，是＂数据处理者＂。
　　（3） 游戏运营商与云游戏平台达成合作，授权云游戏平台收录其运营的游戏并由云游戏平台整合云游戏在云端运行的软硬件环境。在云游戏的环境下，玩家虽无需另行下载游戏运营商原本运营的客户端，在云游戏平台搭建的网页端即可＂秒玩＂游戏，但由于云游戏内容仍由游戏运营商负责，玩家还需接受游戏运营商的隐私政策。除云游戏平台收集的数据以外，游戏运营商一般还会额外收集以下与游戏运营、游戏内容直接相关的信息： 游戏日志信息 ：登录日志、物品日志、操作信息、游戏对局信息、交友记录等；  游戏环境和设备安全信息 ：设备标识符、硬件及操作系统信息、已安装应用列表、进程及游戏崩溃记录、游戏总体使用情况、游戏渠道来源等（用于扫描外挂、防止作弊）；  游戏互动信息 ：游戏中的文字、图片、语音、视频及其他方式与其他玩家进行互动的信息（用于过滤色情、暴力、政治、辱骂、恶意广告等不当内容，以此净化游戏环境）。
　　游戏运营商收集相关数据后可决定数据的处理目的、处理方式，亦属于＂数据处理者＂。
　　游戏运营商与云游戏平台合作过程中，为了更好服务玩家，游戏运营商与云游戏平台之间有时会存在一定程度上的数据共享，如游戏对局进度，玩家重新进入游戏时可以接着上次结束时的游戏进度继续推进。
　　（4） 云计算服务商受云游戏平台委托，在云游戏平台委托的范围内收集、处理玩家个人信息，记录玩家游戏过程及行为，并存储有关游戏数据。云计算服务商依托互联网数据中心，往往拥有强大算力，有时还被云游戏平台委托承担游戏数据的分析工作。在受限于云游戏平台授权、指令处理数据时，云计算服务商是数据委托处理关系中的＂受托方＂。
　　云游戏产业链中主要角色间的数据流和协议关系图
　　2. 合规注意事项
　　（1）隐私政策
　　云游戏平台及游戏运营商作为个人信息处理者，根据《个人信息保护法》的规定，应当向玩家提供＂隐私政策＂并获取其充分同意 [1] 。
　　根据《App违法违规收集使用个人信息行为认定方法》、《App违法违规收集使用个人信息自评估指南》及《关于侵害用户权益行为的APP通报》，实践中隐私政策常见的不合规情形包括：隐私政策未完整列举其收集、使用的用户信息或列举的信息不够明确、清晰；未在隐私政策中插入第三方SDK目录；隐私政策中设置了不合理的免责条款；隐私政策中未提供用户投诉、建议渠道；将多项业务功能和权限打包，要求用户一揽子接受；隐私政策中未提供有效的删除个人信息或注销用户账号的渠道或提供的渠道操作过于复杂、不合理；未对14岁以下未成年人制定专门的未成年人个人信息保护政策等。这些监管重点值得注意。
　　（2）数据处理协议
　　《个人信息保护法》明确要求委托处理关系中的各方应约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及各方的权利和义务等，且明确提及＂委托合同＂ [2] 。此外，《个人信息保护法》亦要求共同处理关系中的各方应约定各自的权利和义务[3] ，由此体现了订立数据处理协议的必要性。虽然《个人信息保护法》未明确提及在提供关系下需订立数据处理协议，但《信息安全技术-个人信息安全规范》（GB/T35273-2020）明确指出在共享或转移个人信息时，应通过合同等方式规定数据接收方的责任和义务[4] 。从实务角度来看，数据处理协议一方面有助于相关各方明确数据合作处理的法律关系和各自的权利和义务，另一方面也是提供个人信息的一方满足特定合规要求（如开展个人信息保护影响评估，适用于委托处理和提供等情形）所必要的证明文件。在云游戏场景中，云游戏平台和云计算服务商之间存在数据委托处理关系，云游戏运营商和云游戏平台之间或存在数据共享关系，相关主体之间应订立数据处理协议来规范相关数据处理活动。
　　数据处理协议的条款设置的详细注意事项可参见 《个人信息流动中的数据处理协议，你准备好了吗？》 一文。
　　02
　　元宇宙游戏
　　＂元宇宙＂概念始创于尼尔·斯蒂芬森的科幻小说《雪崩》，其描述了一个虚拟世界，它既独立于现实世界，也可以与现实世界进行交互，人类在其间通过数字虚拟化身社交、工作、娱乐等。
　　游戏行业也早已参与追踪元宇宙概念，纷纷布局＂元宇宙游戏＂。所谓＂元宇宙游戏＂，一般认为是以区块链为底层技术，依托虚拟现实（VR）、增强现实（AR）、云计算等技术创造的沉浸式、开放式、去中心化的游戏 [5] 。＂元宇宙游戏＂高度依赖可穿戴式VR设备、体感交互设备等智能仪器，实时、大量地收集如位置、躯干动作、眼球转动等敏感个人信息，使得元宇宙游戏亦面临着严峻的个人信息与数据安全风险。尽管目前＂元宇宙游戏＂还处于概念融合阶段，我们仍建议游戏企业在建设＂元宇宙游戏＂时，尽早将数据安全与隐私保护嵌入业务发展。
　　1. 虚拟形象透露大量个人信息
　　与传统的大型网游类似，玩家在元宇宙游戏中一般有一个3D虚拟形象，比传统游戏的2D形象更为生动具体。玩家可以上传自己的照片或通过人脸识别，由系统自动生成以玩家形象为基础的虚拟形象；或者玩家也可根据自己的喜好随意＂捏脸＂，甚至发挥想象，用动植物等非人类形象。
　　（1）人脸信息的处理
　　元宇宙游戏中根据玩家上传的照片或对人脸直接拍摄生成3D虚拟形象的过程中运用了人脸识别技术，通过抓取玩家的脸部特征信息，进行人脸轮廓描述，并生成虚拟形象。面部识别特征与个人基因、指纹、声纹、掌纹、耳廓、虹膜等都属于个人生物识别信息的范畴 [6] 。《个人信息保护法》将生物识别信息纳入敏感个人信息予以保护[7] ，并明确了需要事先征得个人信息主体的单独同意才能收集和处理[8] 。如游戏公司存在以隐蔽方式获取玩家＂默示同意＂的行为，例如预先勾选同意，或是将采集人脸图像的行为与其他功能或处理活动进行捆绑取得玩家的同意（＂一揽子＂同意），这些方式实质上侵犯了玩家的单独同意权。2021年6月最高人民法院发布的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题》亦规定信息处理者以已征得自然人同意为由抗辩的，但实际上是以授权捆绑等方式要求自然人同意处理人脸信息，或强迫或者变相强迫自然人同意处理其人脸信息的，仍属于侵害自然人人格权益的行为[9] 。
　　根据《个人信息保护法》的要求，个人信息的保存期限应当为实现处理目的所必要的最短时间 [10] 。亦即，元宇宙游戏公司保存玩家＂人脸信息＂的期限应当为玩家参与元宇宙游戏所必要的最短时间。除非存在其他合理事由，元宇宙游戏公司在提供相关游戏服务后，应主动删除相关个人信息。《信息安全技术-个人信息安全规范》（GB/T35273-2020）对包括＂人脸信息＂在内的个人生物识别信息的存储提出了更严格的要求，企业原则上不应存储原始个人生物识别信息，比如原始采集的人脸图像；确需存储的，企业应仅存储人脸图像的摘要信息，即对原始人脸图像进行技术处理，使得被存储信息不可逆向回溯到原始人脸图像[11] 。此外，企业传输和存储人脸信息时应采取加密等安全措施以防止人脸信息被泄露、篡改、丢失[12] ，并应将人脸信息与个人身份信息分开存储[13] ，尽可能避免因信息泄露对玩家造成损害。
　　（2）可能构成个人信息的＂虚拟互动信息＂
　　由于＂元宇宙＂世界是高拟真、沉浸式的，使得玩家几乎是在＂元宇宙＂世界中过一种＂第二生活＂，因此可能无意中自行泄露了大量个人信息。除了玩家的虚拟形象，玩家在虚拟世界中的活动、在现实世界中各APP上留下的使用痕迹、以及将两者关联分析得出的信息，均可构成玩家个人信息的来源。一个常见的例子是，玩家在现实世界中的社交媒体上分享一系列在某餐厅吃饭的照片，在虚拟世界中也前往提供同类食物的餐厅＂吃饭＂，还比如在游戏中，如果玩家常在工作日白天上线，则可能说明玩家的职业允许其白天休息，有心观察者则可能结合更多的＂重合点＂，确认虚拟世界中的某个形象在线下对应的具体个人。
　　根据《个人信息保护法》的规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息 [14] 。根据《信息安全技术-个人信息安全规范》（GB/T35273-2020），判定某项信息是否属于个人信息，应考虑以下两条路径：一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人；二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的信息（如个人位置信息、个人通话记录、个人浏览记录等）即为个人信息[15] 。因此，如果元宇宙游戏中的一些虚拟互动信息可能单独或借助其他信息识别到个人或与个人相关联，则可能属于个人信息。
　　虽然＂元宇宙游戏＂通常建立在以用户匿名性著称的区块链上，我国法律依旧要求区块链信息服务提供者应当要求用户进行真实身份信息认证 [16] 。游戏运营商应注重保护玩家的实名认证信息和其他与现实世界强关联的个人信息并采取一定安全措施降低玩家因过度暴露个人信息产生的人身、财产安全风险，如可采取身份信息与其他类型信息分开存储、匿名化存储等技术措施，以降低玩家的人身和财产安全被侵害的风险。
　　2. 链上数据难以彻底删除
　　区块链被认为是＂元宇宙＂的基础设施之一，其本质是去中心化的数据库，运用加密算法进行分布式数据存储，使得每一笔链上行为所产生的数据都被分为若干数据块予以分别存储。区块链技术诞生之初，其去中心化和不可篡改性是其最鲜明的技术特征。然而，去中心化和不可篡改性也为互联网生态治理和个人信息保护设置了较大障碍。
　　一方面，数据存储于多个区块，想要删除某一事件对应的数据意味着需访问并删除所有区块中的数据，其难度远大于由运营商删除自己的本地数据。另一方面，区块链技术难以实现真正的＂删除＂。数据上链之后就无法修改，每次修改都会打包新的区块并将之前的区块隐藏，虽然用户无法访问原数据，但实际上这些数据依然存在 [17] 。
　　在元宇宙游戏中，已有公司开始尝试将游戏放在区块链上，试图打造＂链上生态＂。链上游戏是向真正的＂元宇宙游戏＂发展的重要环节，意味着未来不同游戏可借助区块链实现边际融合，各自游戏中的货币也可像现实世界的货币一样实现兑换，真正成为＂一个世界＂ [18] 。然而，游戏上链后，便会面临前述删除问题，比如玩家发布的虚假信息、玩家已注销的账户、永久封停账户在游戏中的游玩痕迹等，都将永久留在链上。
　　＂元宇宙游戏＂的运营商作为个人信息处理者，需承担适时删除个人信息的义务。《个人信息保护法》列举了四种应当删除个人信息的情形 [19] ，分别是： 处理目的已实现、无法实现或者为实现处理目的不再必要；  个人信息处理者停止提供产品或者服务，或者保存期限已届满；  个人撤回同意；或者  个人信息处理者违反法律、行政法规或者违反约定处理个人信息。
　　前述删除情形存在以下例外，该等例外情形下，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理 [20] ： 法律、行政法规规定的保存期限未届满：如《国家新闻出版署关于防止未成年人沉迷网络游戏的通知》中明确网络游戏企业必须严格按照有关法律法规妥善保存、保护用户提供的实名注册信息，不得用作其他用途 [21] ；或者 删除个人信息从技术上难以实现的：如链上数据难以彻底删除。
　　实践中，个人信息处理者可以采取匿名化（或高度去标识化）的技术措施，使得原始数据不能直接识别到特定个人。具体到＂元宇宙游戏＂中，比如当玩家注销账号时，运营商虽难以删除玩家账户对应的所有数据，但可以采取相应技术措施，屏蔽该等数据与玩家身份的＂链接＂，使得他人即使访问数据，也难以判断数据主体的身份。＂元宇宙游戏＂运营商也可考虑，在链上游戏中收集玩家的个人信息时，阻断收集到的个人信息上链，而是放置于运营商的某数据库中，以减轻运营商履行删除义务的难度。
　　03
　　未成年人保护
　　根据我国法律规定，处理涉未成年人事项时要给予未成年人特殊、优先保护 [22] 。相应地，《个人信息保护法》将不满十四周岁未成年人的个人信息界定为敏感个人信息[23] ，对个人信息处理者提出更严格的保护要求。另外，为防止未成年人沉迷网络游戏，我国从2007年起已全面推行网络游戏实名认证和防沉迷系统[24] ，要求网络游戏统一接入国家新闻出版署网络游戏防沉迷实名验证系统[25] ，由公安部所属全国公民身份证号码查询服务中心提供实名验证功能[26] 。
　　考虑到上述未成年人保护的特殊背景，游戏运营商在处理未成年人个人信息时，需考虑的数据与个人信息安全保护问题常常更为复杂。
　　1. 监护人同意
　　我国法律要求，处理不满十四周岁未成年人（以下简称＂ 儿童 ＂）个人信息的，应当取得儿童的父母或其他监护人（以下简称＂ 监护人 ＂）的同意 [27] 。
　　在实践中，验证监护人同意的真实性不是一件易事。部分游戏公司通过收集监护人的邮箱、手机号码等联系方式，向其发送验证信息以证实监护关系的真实性。甚至，游戏公司可能会向监护人收集其姓名、身份证、户口本等更多信息，以验证监护关系。
　　游戏运营商收集监护人的联系方式和监护关系证明信息的目的是为验证监护关系真实性，并获得监护人关于处理儿童信息的同意。由此，根据收集个人信息的＂最小必要＂原则，理论上游戏运营商应当在实现目的后及时删除从监护人处获取的个人信息 [28] 。
　　然而，由于儿童的个人信息均为敏感个人信息，若儿童在玩游戏时新增涉及处理个人信息的服务，每一项处理活动均需另行获得监护人的同意。为了合法合规并高效地向儿童提供游戏服务，实操中游戏运营商常常保留监护人的联系方式，以便能不时向监护人索取同意。需要注意的是，诸如户口本、监护人身份证等监护关系证明材料不是联系监护人所必须，因此游戏运营商应当在处理目的实现后及时删除该等信息。
　　2. 身份实名验证与人脸验证
　　由于监管要求玩家必须通过实名认证方可使用网络游戏服务，游戏运营商必须收集玩家的实名身份验证信息。游戏运营商一般通过收集玩家真实姓名、证件号、有效身份证件（如身份证、户口本、驾驶证）、手机号码等方式，借助公安部身份证号码查询系统等身份验证功能，实现实名认证目的。
　　《个人信息保护法》中规定的处理个人信息的合法性基础中除最常见的取得个人的同意外，还包括为履行法定职责或法定义务所必需等。游戏运营商基于防沉迷的实名认证要求处理个人信息理论上无需取得个人的同意，我们注意到实操中大部分游戏运营商还是会在隐私政策中就处理实名认证所需收集的个人信息与其他游戏过程中收集的个人信息一并取得玩家的同意。
　　理论上，实现了实名认证目的后游戏运营商应立即删除相关实名认证信息（因为处理目的已经实现） [29] ，但由于《国家新闻出版署关于防止未成年人沉迷网络游戏的通知》明确要求游戏运营商保存实名认证的相关信息[30] ，且为了便于提供账号丢失找回、账号纠纷处理等服务，游戏运营商一般会保存前述实名认证信息。鉴于姓名及身份证件信息属于敏感个人信息[31] ，游戏运营商应采取严格的安全保障措施与访问控制措施，以防该等信息的泄露对个人造成损害。
　　此外，由于未成年人可能冒用、借用成年人的身份信息规避未成年人识别，部分游戏运营商结合人脸验证与身份验证，力图求证玩家注册身份与实际身份的一致性。在玩家登录游戏时，或是充值、消费、交易等特殊游戏场景内，可能会请求调取玩家设备的相机权限，以实时对玩家面部拍照或摄像。之后，游戏运营商根据玩家注册时的实名身份信息，通过公安部身份验证中心与用户注册时的实名身份信息进行比对，以确认玩家真实身份。人脸信息属于敏感个人信息 [32] ，游戏运营商应当在开启人脸验证前获取玩家的单独同意[33] ，对于识别为儿童的玩家，应获取其监护人的单独同意[34] 。人脸信息的处理要点可参见本文第二部分。
　　3. 儿童个人信息专门规则
　　我国法律规定，处理儿童个人信息需制定专门的处理规则 [35] 。因此，游戏运营商往往在通用的隐私政策之外，单独设置专门面向儿童的个人信息处理规则，并加入监护人须知内容。此类专门的儿童隐私政策应能满足处理儿童个人信息（均为敏感个人信息）的单独同意要求。
　　4. 个人信息保护影响评估
　　根据法律规定，处理敏感个人信息、委托处理个人信息、向其他个人信息处理者共享、转让个人信息的场景下，须事前进行个人信息保护影响评估 [36] 。评估内容应包含处理目的与方式、对个人权益的影响和安全风险、所采取的保护措施是否合法、有效并与风险程度相适应等[37] 。儿童个人信息作为一类敏感个人信息，游戏运营商应当重视并开展个人信息保护影响评估。虽然游戏运营商是个人信息保护影响的评估主体，但其评估范围不仅应关注自身的安全保障能力，还应根据业务场景，将委托处理、共享信息的第三方纳入评估范围，以全面覆盖个人信息处理活动。
　　除了个人信息影响保护评估，游戏运营商未来或需履行额外的未成年人网络保护义务。比如，根据《未成年人网络保护条例（征求意见稿）》，对于未成年人用户数量巨大、在未成年人群体具有显著影响力的重要互联网平台服务提供者，需定期开展未成年人网络保护影响评估，并需每年发布未成年人网络保护社会责任报告 [38] 。待该规定正式实施以及配套细则公布后，游戏运营商将需承担更高的合规义务。
　　结语
　　数字经济的蓬勃发展为游戏产业提供了全新平台和发展机会，但也为游戏行业带来了全新的合规挑战。游戏公司在不断推动游戏新势力发展的同时，也应全面思考新业务中的数据合规风险。在中国已进入个人信息保护＂法时代＂的背景下  [39]  ，只有不断提升数据合规的意识，注重合规制度建设，才能充分发挥游戏产业的经济、文化与科技价值。