- 本文共4222字，完整阅读约需11分钟 -
2021年8月20日，《中华人民共和国个人信息保护法》（以下简称“个保法”）正式审议通过，并将于2021年11月1日起正式施行。个保法的正式通过标志着我国对个人信息的法律保护更上了一个台阶，同时也意味着拥有大量用户信息的游戏企业需要更加注意用户隐私信息的保护以及用户信息的合法收集使用，自身的数据合规工作也已经刻不容缓。所以个保法对游戏企业将产生哪些方面的影响？游戏企业应该如何应对？本文将针对个保法中的相关条文，结合现行相关数据保护法规及案例进行一一分析。
一
处理玩家信息应当遵循合法、正当、必要和诚信原则
个保法第五条明确规定处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过 误导、欺诈、胁迫等方式处理个人信息。这四大原则是游戏企业在收集、使用、处理玩家信息过程中需要遵循的基本原则。
四大原则在个人信息保护中具体应当如何利用，可以参考网信办发布的《App 违法违规收集使用个人信息行为认定方法》（以下简称“认定方法”）第四条，认定方法第四条列举了属于“违反必要原则，收集与其提供的服务无关的个人信息”的情形，包括以下几种情形：
● 收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关
例如在游戏社区分享图片时，除要求获取用户相册权限以外，还额外要求获取用户通讯录、麦克风等其他权限。
● 因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能
例如在玩家打开游戏后即要求获取玩家位置信息，玩家拒绝后就自动退出游戏或严重影响玩家的正常游玩。
● App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不 同意，则拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外
如玩家在先前使用游戏的“附近匹配”功能时已经同意App获取玩家位置信息，但游戏更新后又额外要求获取玩家相册权限，否则则不能使用原先功能。
● 收集个人信息的频度等超出业务功能实际需要
如App只需要玩家在使用“附近匹配”功能时要求获取玩家位置信息，但却要求玩家提供App始终能获取玩家位置信息的权限。
● 仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息
要求获取玩家权限时提供的理由是提升用户体验等模糊理由。
● 要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用
在玩家注册或打开游戏时即一次性要求玩家提供麦克风、位置、通讯录等多个权限，否则则自动退出游戏。
虽然个保法尚未正式施行，个保法具体如何运用还需要看施行后的相关案例或司法解释，但可以预见的是，在个保法正式施行之后，游戏企业在处理玩家信息时除了告知、征求玩家同意等程序要合法、不得利用欺诈、误导等手段收集使用玩家信息以外，还要保证收集玩家的信息种类限制在能够提供正常服务的最小范围之内。
二
处理信息应确保玩家同意且充分知情
个保法第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。
从法条文义解释来看，在个保法的规定下，游戏企业在收集玩家的个人信息时需要玩家的充分知情且明确作出的同意，其中需要注意的就是“充分”二字。如果游戏未征得玩家同意或者是在玩家未充分知情的情况取得的同意，有可能会构成违法收集玩家个人信息的情形。
至于“充分”该如何定义，在何种情形才属于玩家在充分知情的前提下作出的同意，需要结合其他具体法规以及反面案例来判断和推导。如在认定方法中第三条规定，.以默认选择同意隐私政策等非明示方式征求用户同意、以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的、未经用户同意更改其设置的可收集个人信息权限状态，如 App 更新时自动将用户设置的权限恢复到默认状态等情形都会被认定为属于未经用户同意收集使用个人信息。
另外，结合工信部披露的APP违规处罚公告，如果APP存在“未公开收集使用规则”、“未明示收集使用个人信息的目的、方式和范围”等情形，即可认为用户未充分知情APP收集处理其信息的规则、目的等，即使用户作出了同意的意思表示也可能被认定为违法。
在现实中，许多游戏产品都会存在以上情形，例如游戏隐私政策无法通过应用商店直接点击链接查看、向玩家公开的隐私政策中没有将收集玩家信息的种类全部一一列举或者没有列出游戏插入的第三方SDK名单及其收集使用玩家信息的目的和范围等。在个保法出台和数据监管日趋严格的背景下，游戏企业存在以上情形的都很有可能会受到相应的处罚。针对此项情形，我们建议游戏企业在收集使用玩家信息时至少应当做到以下几点：
另外，言上法律团队在近期也会推出游戏企业数据合规自查清单等法律服务产品，协助企业及时高效地完成数据合规的相关工作。
三
对未成年人信息保护要求更加严格
个保法第二十八条规定，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。其中对游戏企业影响最大的应当是未满十四周岁未成年人的个人信息也被列入了敏感个人信息的范围之内。
同时个保法第三十一条亦规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。另外，个保法还规定了一系列企业对于收集处理敏感个人信息和未满十四周岁未成年个人信息的操作要求。这意味着游戏企业将要更加注重未满十四周岁未成年人用户的信息保护。
对此，我们建议游戏企业在未成年人信息保护方面应当做到以下几点：
四
个性化推荐的合规要求更高
企业通过大数据分析对用户进行精准的内容营销以及个性化推荐是企业做市场营销的重要方式之一。但个保法出台后，第二十四条明确规定通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。所以游戏企业在需要对用户进行精准营销和个性化推荐时，需要同时做到以下几点：
五
个人信息跨境的合规要求更加严格
许多游戏企业都有游戏出海的相关业务，在游戏出海中，游戏企业可能会将先前国内游戏产品运营中收集或处理过的个人信息披露给境外合作公司或自身在境外的子公司或关联公司。在将其境内运营收集到的用户个人信息向境外第三方共享或转让的过程中就会涉及到个人信息跨境的问题。
个保法对个人信息跨境的合规要求尤其严格，专门设置了一个独立的章目规定了个人信息跨境所需要遵循的规则。根据个保法对个人信息跨境的规定，游戏企业在涉及个人信息跨境时需要做到以下几点：
六
建立企业内部数据合规管理体系
个保法还规定，企业应当根据自身业务特点及处理个人信息的活动，制定相关内部管理制度和操作流程。因此，游戏企业应当建立一套完整合规的内部数据管理制度，合规要点如下：
个保法第五十二条规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。
虽然个保法还没有对国家网信部门规定的个人信息数量作出具体说明。但是根据网信办发布的《个人信息和重要数据出境安全评估办法》（征求意见稿）的规定，企业含有或累计含有50万人以上的个人信息，或数据量超过1000GB的，即有可能达到国家网信部门规定的信息数量。
作为拥有大量玩家数据的游戏企业，应当着重对自身的数据存储作出准确的评估，一旦达到了网信部门所规定的信息数量，就应当设立专门的信息保护部门或负责人。
企业的数据处理活动可以说是穿插在经营活动的全过程中，个保法特别规定企业需要对此制定一套具体完整的内部管理制度和操作流程。一套完整的内部管理制度应该包括信息等级保护制度、数据权限管理制度、数据监测巡查制度、信息安全保护制度、企业员工培训制度、用户投诉处理制度、信息安全事件应急制度等。
七
结语
2021年可以说是信息保护立法的井喷年。除了个保法的正式出台以外，还有《数据安全法》、《深圳经济特区数据条例》等数据法律法规在今年正式通过。另外，《个人信息和重要数据出境安全评估办法》、《数据安全管理办法》、《网络安全等级保护条例》的一系列法规都已经在审议中。
在一系列法规陆续出台的背景下，多个地方部门已经开启了网络安全相关的专项整治行动。信息保护必然是监管部门重点关注的问题，而数据合规已经成为企业迫在眉睫需要完成的工作。因此，游戏企业应当要比以往的任何时候，都要更加注重数据保护的相关合规问题及工作。
声明：本文仅系业务经验分享，不构成正式法律意见
