Footprint说法：元宇宙的数据保护和隐私 -- 元宇宙的未来发展涉及的法律合规问题

撰文：Footprint 分析师Helen (helen@footprint.network)

日期：2021年11月11日

Table of Contents

数据和隐私被侵害现状

最近，经常看到B站UP主说自己的Roblox账号被盗了。Roblox作为元宇宙游戏平台的代表，每月有着约1.64亿名的活跃用户，美国16岁以下的儿童中有一半在玩Roblox。Roblox的盗号问题频发，以至于Roblox在官网展示了取回账号的步骤，但并不是所有人都可以幸运地取回账号。

常见的盗走原因包含浏览器外挂、密码被泄露、未绑定电子邮箱等，往往只有那些做了足够的事前准备工作的玩家才能顺利取回账号。

但即便是取回了账号，也面临账号道具或货币遗失的问题，且难以复原，尤其是超过了30天才联系平台，Roblox也无力回天。

Metaverse伴随着大量的隐私和数据安全问题。具体来说，是复杂的深度伪造和其他网络安全问题。Metaverse提供者将能够访问更多的用户数据，包括生物特征、位置和银行信息，这些信息将几乎完全以虚拟形式存在。

在正在进军元宇宙的互联网公司中，数据和隐私保护问题是监管部门的重点关注对象。因为以互联网公司以广告收入作为主要收入来源，如全球最大的两家互联网公司——Facebook（现改名为Meta）和Google，该商业模式不可避免会让商业公司想深入了解消费者，并推送相应的广告，进而让消费者面临个人数据（如生物特征、位置、喜好等）被滥用的风险。

2018年，美国联邦贸易委员会(Federal Trade Commission)对 Facebook 的消费者数据泄露行为处以50亿美元的罚款，并对这个社交媒体平台实施了更严格的隐私限制。监管部门的重拳出击让互联公司不得不更加谨慎地对待用户数据。

有关个人信息保护，各国立法概况

根据2021年11月1日施行的《个人信息保护法》中对个人信息的定义：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

在元宇宙中，不论是用户直接提供的，还是间接产生的信息数据，如生物特征、位置和银行信息、消费习惯、游戏习惯等，都是个人信息。

2021年是中国在数据安全与隐私领域立法的重要元年，2021年9月1日生效的《中华人民共和国数据安全法》、2021年11月1日起施行《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《区块链信息服务管理规定》构成了维护网络运营安全和信息数据安全四大法律依据。

在刚刚施行的《个人信息保护法》中，囊括了加强生物识别等敏感个人信息的保护、限制“大数据杀熟”、通过有限度的可携带权的设定加强个人对个人信息的控制及打破平台数据垄断、对不同规模企业区别设置义务责任等热点问题。

纵观全世界关于个人信息保护的立法，可追溯至德国黑森州1970年《资料保护法》。此后，瑞士（1973）、法国（1978）、挪威（1978）、芬兰（1978）、冰岛（1978）、奥地利（1978）、冰岛（1981）、爱尔兰（1988）、葡萄牙（1991）、比利时（1992）等国的个人信息保护法亦景从云集。

美国在数据和隐私方面的成文立法最早可以追溯到1974年《隐私法》(《美国法典》第5编第552a 节)、《消费者网上隐私法》、《儿童网上隐私保护法》、《电子通讯隐私法案》、《金融服务现代化法》（GLB）、《健康保险流通与责任法》（HIPAA）、《公平信用报告法》。

元宇宙适用场景最多的领域是网络游戏，因此与元宇宙联系紧密的法律为涉及消费者和未成年人的法律。

美国《公平信用报告法》(《美利坚合众国法典》第15编第1681节以下)保护消费者报告机构收集的个人财务信息。该法限制了那些可以获得这种信息的人，随后的修正简化了消费者获得和更正有关自己的信息的程序。

《儿童在线隐私保护法》(《美国法典》第15编第6501-6506节)允许父母控制在线收集的关于他们孩子(13岁以下)的信息。要求针对儿童或故意从儿童收集个人信息的网站运营商张贴隐私政策，在从儿童收集信息之前获得父母同意，允许父母确定如何使用这些信息，并向父母提供选择，让他们可以选择不再从其子女那里收集信息。

法律角度的思考和建议

开发者和维护者

元宇宙的开发者在开发软件和硬件时设计好隐私保护，以使元宇宙成为现实。这已经是虚拟和扩增实境技术中的一个需求，而这在元宇宙中将是至关重要的。例如，根据一般数据保护条例(GDPR) ，谷歌眼镜有音频和视觉符号，似乎可以让用户知道他们何时被记录。同时，游戏类平台需要设置针对未成年人的游戏模式，避免发生未成年人信息隐私的泄露，以及超出民事行为能力范围的财产处分行为。

关于法律责任，以中美两国为例。美国商品期货交易委员会（CFTC）委员Brian Quintenz建议，如果智能合约代码很明显可以预见会被美国人用于违反CFTC规定，智能合约的代码开发人员可能被起诉。

中国《网络安全法》第22条也规定，如果所提供的网络服务或产品存在恶意程序或安全缺陷、漏洞等风险时，应当立即采取补救措施，否则需要承担相应的法律责任。