中国游戏行业面对的境内境外数据合规挑战与机遇

日期：2023-11-06

游戏行业境内数据合规的现状与重点

游戏行业数据跨境合规的要点

自2018年以来，我国游戏公司争相选择在海外发行游戏，然而游戏的海外发行之路并不如想象的那样顺畅，2022年，中国自主研发游戏海外市场实际销售收入为173.46亿美元，同比下降3.70%[7]，我国游戏公司出海现面临着诸多挑战，其中数据合规是游戏出海面临的主要挑战之一。在实践中，某些游戏公司在海外发行、运营游戏时遇到数据跨境相关问题时不知所措。基于我多年跨国企业数据合规管理实践经验与我们团队为香港某知名科技研发中心提供数据跨境传输合规咨询服务等经验，游戏公司需要重点关注的数据跨境问题有以下两类：个人信息保护影响评估与数据出境安全评估。

游戏行业境外出海数据合规的重点要求

表1：基于GDPR原则的游戏出海欧盟注意要点

表2：基于GDPR数据主体权利的游戏出海欧盟注意要点

美国是全球重要的游戏市场，美国在联邦层面颁布了《儿童在线隐私保护法》、《澄清海外合法使用数据法》，州层面颁布了《加利福尼亚州消费者隐私法案》、《加利福尼亚州阳光法案》等一系列关于数据隐私方面的法律法规，其中最具有影响力、最典型的法案是《加州消费者隐私法案》（California Consumer Privacy Act，“CCPA”），我将从“游戏公司出海美国如何遵守CCPA的要求”和“违反CCPA可能承担哪些法律责任”等两方面进行阐明分析。

第一，CCPA建立了以“识别”为核心的个人信息体系，游戏公司出海美国加州应紧紧围绕“个人信息”的范围、合法合规收集处理、出售等方面以便遵守CCPA的要求。

首先，在个人信息的范围方面，CCPA规定"个人信息" 系指识别、关联、描述、能够与某一特定消费者或家庭直接或间接联系或可以合理地与之关联的信息，并说明个人信息包括但不限于标识符、商业信息、生物特征信息、互联网或其他电子网络活动信息、地理定位数据、音频、电子、视觉、热量、嗅觉或类似信息、教育信息等。根据CCPA的规定，游戏公司收集游戏用户的信息是否构成CCPA规定下的“个人信息”的情况如下表：

表3：游戏行业场景下CCPA规定的个人信息判断表

其次，为符合CCPA的规定，满足其合法合规收集个人信息的要求，游戏公司应当在收集游戏用户个人信息时, 将所收集的目的通知游戏用户，未经通知，游戏公司不得超出声明的收集目的以外收集其他类别的个人信息；游戏公司还应注意游戏用户有权要求向第三方出售游戏用户的个人信息的公司不得出售其个人信息。

最后，游戏公司应审慎对待出售个人信息的情形[12]。CCPA并不禁止游戏公司出售其所收集的游戏用户个人数据，但要求游戏公司设置并向游戏用户提供“选择退出”机制。但是依据CCPA的规定，为了实现“选择退出”机制，游戏公司应以游戏用户可合理获得的形式，在游戏界面内提供一个标题为“不要出售我的个人数据”的清晰醒目的链，提供的“选择退出”路径也应便于游戏用户执行，并仅要求最少的步骤让游戏用户选择退出。

第二，CCPA对游戏用户提供了两条救济路径：私力救济与公力救济。根据私力救济路径的规定，若游戏公司未按照CCPA的规定采取足够的保护措施，导致游戏用户的个人信息在未授权的情形下被访问、泄露、窃取或披露，游戏用户可以提起民事诉讼，罚款的金额通常为100美元到750美元。根据公力救济路径的规定，加州总检察长有权制定CCPA实施条例，决定是否针对违法运营商采取法律措施、有权向违法运营商提起诉讼，单次违法的最高罚金为7500美元。

日本数据保护法律体系同时吸收了欧盟的国家主导模式以及美国的行业自律模式并结合自身特色，采取了综合保护模式，通过行业自律和行政指导两方面综合保护个人信息的安全。日本数据保护法律体系在实践中最重要的是《个人信息保护法》，其中《个人信息保护法》以专章的形式对个人信息处理者的义务进行了规定，主要包括“使用目的”“内容准确性”“向第三方提供的限制”等方面。

在“使用目的”方面，根据《个人信息保护法》的规定，游戏公司在处理游戏用户的个人信息时，必须尽可能确定使用的目的，若游戏公司需要变更使用目的的，不得超出可合理地认为与变更前使用目的具有相关性的范围。值得注意的是，在未征得游戏用户的同意前，游戏公司不得超出上述使用目的所必需的范围处理游戏用户的个人信息，但是为保护人的生命、身体或财产需要难以取得本人同意等情形除外。

在“内容准确性”方面，游戏公司应当在上述符合使用目的的范围基础上，确保游戏用户的个人数据准确和更新，当游戏用户的个人信息不再需要使用时，应当及时进行删除。

在“向第三方提供的限制”方面，游戏公司在未经游戏用户同意的情形下，游戏公司不得将游戏用户的个人资料提供给第三方，但是为保护人的生命、身体或财产的需要且难以取得数据主体同意等情形除外。特殊的是，游戏公司若根据个人信息保护委员会规则的规定，游戏公司事先通知游戏用户或将“向第三方提供个人信息的经营者的姓名、名称和地址”“向第三方提供的个人数据项目”等事项置于游戏用户容易获知的状态，并向个人信息保护委员会报告的情形下，游戏公司可以向第三方提供游戏用户的个人数据。

新加坡被评选为全球最开放的经济体，拥有高度发展的自由市场[13]，近年来越来越多的中国游戏公司选择出海新加坡，了解新加坡的法律监管要求成为出海游戏公司长远发展的必选项。在数据合规方面，新加坡已经建立了比较完善的数据隐私保护法律的体系。2012年10月，新加坡颁布《个人数据保护法》（Personal Data Protection Act，“PDPA”），该法确立了新加坡个人数据保护的基本制度。2020年11月，新加坡对PDPA进行了修订，修订版本于2021年2月1日生效。在实际执法过程中，PDPA关于“告知-同意”、“个人数据的保管”这两方面较为活跃，故我将从以上两方面进行阐明分析。

第一，在“告知同意”方面，PDPA首先规定了除豁免同意义务情形以及其他法律要求的个人数据收集、使用和披露情形外，游戏公司收集、使用或披露个人数据原则上应取得个人的同意。PDPA还规定了视为同意和告知义务等一系列情形。比如根据PDPA第15条的规定，当游戏用户自愿为特定目的向游戏公司提供个人数据，并且自愿提供该信息是合理的，这种情况游戏公司应当认定为“视为同意”。根据PDPA20条的规定，对于游戏用户的明确同意或口头同意，游戏公司应当在取得个人关于收集、使用和对外披露个人数据的同意前向个人告知下述内容：1、当前或之前个人数据收集、使用和对外披露的目的；2、之前未告知的个人数据收集、使用和对外披露其他目的；3、应游戏用户要求，向游戏用户告知说明个人数据收集、使用和对外披露的联系人等。

第二、在个人数据的保管方面，PDPA要求游戏公司必须通过合理的安全安排来保护其拥有或控制的个人数据，以防止未经授权的访问、收集、使用、披露、复制、修改或处置等类似风险以及存储个人数据的任何存储介质或设备丢失。游戏公司还应注意不得将任何个人数据传输到新加坡以外的国家或地区，除非根据PDPA相关要求确保接收方对传输的个人数据提供至少与PDPA同等的保护。根据我们对PDPA实践的观察与理解，PDPA并非强制要求新加坡主体与第三方另行签订数据处理协议，而是允许新加坡主体通过与母公司签订协议明确双方关于数据跨境传输、保护的权利义务，授权母公司代集团各子公司集中履行相关数据跨境传输、保护义务，以形成义务履行的链条。游戏公司可以通过签订数据处理协议明确母公司与新加坡主体之间关于数据保护权利义务的分配从而实现数据跨境传输[14]。

游戏行业数据合规的应对与机遇

结语

通过对境内、欧盟、美国、日本、新加坡等国或地区的数据合规情况展开分析，第一，我们可以清晰地看到我国境内游戏行业的数据合规监管力度不断加大，比如国家新闻出版署发布通知要求所有网络游戏必须接入国家新闻出版署网络游戏防沉迷实名验证系统，所有网络游戏用户必须使用真实有效身份信息进行游戏账号注册并登录网络游戏，工信部对游戏APP违法违规的通报也屡见不鲜；第二，我们可以清晰地看到在涉及数据跨境时游戏公司应特别注意个人信息保护影响评估和数据跨境评估两大重点环节。第三，我们也可以清晰地看到境外数据合规监管力度十分严格，比如欧洲数据保护当局已开出了与GDPR有关的1,576 笔罚款，罚款总额约27.7亿欧元，最大单张罚款7.46亿欧元，这对于开展海外业务的游戏公司来说应尤为警惕。

为帮助游戏公司有效应对境内境外数据合规风险，我结合自身数据合规的经验探讨了企业数据保护合规制度的搭建步骤，具体包括数据核查、风险识别和制定合规方案、数据合规规则的建立、数据合规规则的落地等四个步骤。

最后，值得游戏公司注意的是，在当前境内境外数据合规立法与监管日趋严格的情形下，游戏公司应保持信心，秉持积极态度，主动拥抱各国各地区的数据合规法律体系，将数据保护合规制度贯彻落实到位并不断夯实。这是因为游戏公司只有将数据保护合规制度体系融入公司的血液并做到体系化、制度化、常态化，才能为本游戏公司的业务不断创收保驾护航，并保障游戏公司在面对境内境外的数据合规强监管挑战下行稳致远。