- 网络游戏行业监管要求不明确
现阶段，网络游戏行业监管越来越严格，监管部门会不定期开展专题会议进行整治。
通过专题会议的方式可以给游戏公司“敲响警钟”，但是此种不成文的行业规范，将导致被监管的游戏行业企业难以对政府监管产生预期，无法提前布局应对措施。
在没有明确要求和监管界限的情况下，网络游戏行业公司应当首先积极参加监管部门召开的培训会、「吹风会」来获取监管动向。
其次，可积极与其他同类公司交流合作，交换、流通各个游戏企业间的数据合规经验，总结处罚案例，吸取经验教训。 - 网络游戏行业数据保护具备特殊性
网络游戏行业相比其他互联网行业在个人信息保护层面有一定的特殊性，网络游戏行业特点主要在于以下几个方面：
① 数据场景众多
一款游戏即设定为独立 APP ，游戏公司会设计不同种类的游戏，不同游戏因内容、玩法等的不同，对用户社交功能、语音功能、照片上传功能设定会有所不同，如此以来调用的数据权限有所区分，越发丰富多元的游戏场景将给游戏企业数据合规带来更多的新挑战。
② 涉及敏感信息众多
目前随着监管要求的变动，游戏往往需要实名化认证，游戏产品需要输入身份证进行用户实名认证后，方可使用，此过程将搜集用户身份证号、人脸数据等敏感个人信息，游戏平台需要多加关注。
③ 信息共享与外部合作众多
目前游戏产品的研发方和发行方往往不同，游戏的发行方与研发方在进行产品调优、迭代、 bug 处理时，发行方往往需将游戏测试的数据共享给研发方，此数据共享的过程易导致数据违规处理的风险加大。
另外，游戏类产品与第三方渠道方一般采用联运合作模式，用户使用渠道账号注册登录，内购款项支付给渠道、相关个人信息也由渠道收集，而一款游戏通常会与数十家第三方渠道联运，涉及到渠道 SDK 接入、评估、处理规则披露等多重数据合规问题。 - 网络游戏平台数据泄露原因分析
游戏玩家数据泄露原因可分为两个方面，首先是技术方面，其次是人为方面。
技术方面主要包括黑客攻击与网站漏洞两大原因。此前曾出现黑客入侵移动游戏公司平台，窃取游戏玩家帐户中的个人数据的情况，事件波及所有之前注册过半玩家。
另外，网站本身存在漏洞是数据被窃取的另一大原因，倘若游戏网站平台本身便存在着安全漏洞，黑客进攻将更加难以预防。
人为方面主要指拥有数据权限的游戏公司员工私自出售用户数据以及用户缺乏信息保护意识两个方面。
首先，曾有游戏公司的用户数据包在市面流通，内含数据多达数千万条。经查，用户数据泄漏罪魁祸首是该游戏公司员工，泄漏的用户数据包括用户姓名、电话、身份证号、支付信息等，该数据被用于牟利。
其次，游戏用户信息保护意识薄弱是导致游戏数据泄漏的另一大原因，虽然因用户自身原因导致的数据泄漏并不属于企业的违规行为，但企业可以起到充分的提示义务，降低该种可能，提升自身用户的游戏体验感，并为游戏本身赢得良好的声誉。 - 网络游戏平台数据泄露危害分析
① 用户易收到恶意广告推广
相关用户在日常生活中曾接到骚扰电话，来电方自称游戏顾问，邀请用户试玩某款游戏，或者收到骚扰短信，告知玩家已成功预约某款游戏，同时附送游戏礼包，推广相关游戏。
若在精准游戏玩家数据的基础上，极低的短信成本便可以达到广告目的。
② 用户易卷入游戏诈骗
几年前，曾有谢某等人共同建立「联盟电玩」游戏平台，后谢某等人从网上购买 20 余万条含有公民姓名、电话号码的个人数据，用于发送短信宣传该平台，以吸引更多玩家。
客服通过游戏平台的后台软件监控所有平台玩家，并通过平台设置来控制玩家游戏的输赢，引导玩家通过给客服微信转账充值账号而上分，此种行为属于典型的利用游戏平台从事诈骗活动。
③ 游戏账户中的财产易遭到损失
游戏平台一旦出现数据安全漏洞，除个人数据丢失外，游戏财产数据一旦被篡改或将引发财产纠纷。
网络游戏服务商若因游戏系统故障未对玩家通过正常渠道获得的高价物品进行数据保障，相关游戏物品会在顷刻间消散或出现价值错乱的情况。
网络虚拟财产是由游戏用户投入较多实际货币获取，应当得到保障。 - 网络游戏平台数据泄露刑事法律责任分析
① 侵犯公民个人信息罪
侵害游戏玩家信息将涉嫌侵犯公民个人信息罪。
根据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，「公民个人信息」，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、联系方式、住址、账号密码、财产状况、行踪轨迹等。游戏平台往往会搜集用户真实姓名、身份证号码、账号密码、联系方式的个人数据，一旦处理不慎，极易涉嫌侵犯公民个人信息罪。
② 拒不履行信息网络安全管理义务罪
根据《中华人民共和国刑法》规定，网络服务提供者未尽到安全管理义务，经监管部门责令采取改正措施而拒不改正，致使游戏用户信息泄露，可能触及「拒不履行信息网络安全管理义务罪」。
网络游戏平台正属于「网络服务提供者」的一种。
该罪主观方面要求「故意」，客观方面表现为三个点：
a 行为违法：即网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务；
b 拒不改正：即经监管部门责令采取改正措施而拒不改正；
c 产生后果：即导致了违法信息大量传播、或用户信息泄露并造成严重后果、或刑事案件证据灭失情节严重、或有其他严重情节的后果的产生。 - 严格遵守「最小必要」原则
第一，《国家新闻出版署关于进一步严格管理切实防止未成年人沉迷网络游戏的通知》指出「所有网络游戏必须接入国家新闻出版署网络游戏防沉迷实名验证系统，所有网络游戏用户必须使用真实有效身份信息进行游戏账号注册并登录网络游戏，网络游戏企业不得以任何形式（含游客体验模式）向未实名注册和登录的用户提供游戏服务。」
由此可以看出，现有网络游戏均需实名验证，收集用户的真实有效身份信息。
第二，《常见类型移动互联网应用程序必要个人信息范围规定》（十八）规定，网络游戏类应用程序基本功能服务为「提供网络游戏产品和服务」的，必要个人信息为：注册用户移动电话号码。
第三，《移动互联网应用程序（APP）收集个人信息基本规范》中明示网络游戏服务的最小必要个人信息为：网络访问日志、身份证件信息、手机号码、用户日志信息（仅对使用信息发布功能的用户收集）、账号信息、第三方支付信息。
从上述规定可见，网络游戏所应收集的个人信息范围有限。
与游戏平台提供服务无直接关系、非实现业务功能所必需的信息均不应收集，游戏平台切忌仅以提高服务质量、优化体验等理由收集大范围个人信息。
2. 完善游戏平台隐私政策
对于完善游戏平台隐私政策以，有以下几个注意要点：
① 未经用户同意不得收集个人信息，在用户勾选或确认《个人信息保护政策》前，避免收集用户个人信息；
② 必需获取相关权限时，建议弹窗说明需求的权限以及目的；
③ 《个人信息保护政策》应完整地逐一列举收集个人信息的场景和具体收集的信息，应说明个人信息处理规则，明示处理的目的、方式和范围；
④ 个人信息保护政策场景列举中，不建议使用「等」字以模糊场景范围；
⑤ 除非是提供相关服务所必须的功能，否则不能因为用户拒绝或撤回同意而拒绝为用户提供产品或服务；
⑥ 个人信息保护政策应在进入 APP 主界面后，不多于 4 次点击等操作就能访问到。 - 关注未成年人个人信息保护
网络游戏的用户众多，其中不乏未成年人，随着国家主管部门对防止未成年人沉迷网络游戏的监管要求日益严格，网络游戏可能需通过人脸识别、验证身份证号等方式对用户进行实名认证。
《中华人民共和国个人信息保护法》第二十八条指出「不满十四周岁未成年人的个人信息」属于个人敏感信息；第三十一条指出「个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。」
企业在处理未成年人信息时应当格外注意与成年人信息进行区分，采用更加审慎的态度对待未成年人个人数据，制定差异化保护制度，在必要时候，以获取其监护人同意为前提处理相关敏感信息。 - 构建完善的用户个人信息管理制度
① 健全个人信息安全事件的应急处置制度
公司应制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险。
在发生个人信息安全事件后，个人信息控制者应记录事件内容；评估事件可能造成的影响，采取必要措施控制事态，消除隐患；明确涉及个人信息主体的类型、数量、内容、性质等总体情况，事件可能造成的影响；将安全事件及时告知用户。
② 制定舆论公关危机的处理机制
随着监管部门对于隐私保护的要求越来越高，网络游戏行业数据合规的要求也逐渐提高。游戏公司应当及时厘清数据合规的要求，及时处理数据合规产生的公关危机。
③ 完善数据相关合同协议签订制度
针对不同的数据合规场景企业应拟定对应的合同模板、协议附件，例如对外提供的个人信息保护的模板、委托处理的信息保护模板、共同处理的信息保护模板等，并严格在合同与协议中划清数据相关方的责任界限，明确责任承担。
④ 完善员工管理制度
游戏公司可设置专门的数据安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；与接触用户数据的员工签署保密协议；定期对公司人员进行网络安全教育、技术培训和技能考核。 - 通过技术手段保障数据安全
游戏公司可制定内部安全管理制度和操作规程，严格身份认证和权限管理；采取技术措施，防范计算机病毒和网络攻击、网络侵入等危害网络安全行为；采取技术措施，监测、记录网络运营状态、网络安全事件；采取数据分类、重要数据备份和加密认证等措施；对重要系统和数据库进行容灾备份。
个人信息保护任重道远。游戏企业作为具有一定特殊性的数据主体，应当深入研究合规要求，时刻关注合规动态，以个人信息收集合规为起点，完善个人信息处理合规的各个方面。
网络游戏行业个人信息保护合规要点
作者：刘秋月来源：iLaw合规
1. 网络游戏行业监管要求不明确 现阶段，网络游戏行业监管越来越严格，监管部门会不定期开展专题会议进行整治。