数据之钥开启元宇宙合规大门

尼尔·斯蒂芬森的《雪崩》中，一束激光扫描视网膜，整个虚拟世界便尽收眼底；威廉·吉布森的《神经漫游者》中，人们通过头盔进入另一个全新的次元；费诺·文奇的《彩虹尽头》里，一副隐形眼镜将非现实的画面呈现在主角面前……。科技日新月异的飞速发展让上述场景不再止于文学作品构筑的想象，而是以触手可及的形式将想象孵化为现实。从Facebook正式更名为Meta，再到2021年末百度VR产品“希壤”发布会盛大揭幕，“元宇宙”以不可阻挡之势引领人类跨入技术的新纪元，与此同时也因其以数据为命脉的技术特性，带来一系列需予以谨慎对待的数据合规问题。本文拟分析元宇宙场景中的数据合规要点，为相关企业提供参考。

一、元宇宙的定义

目前元宇宙的概念依然仅停留在技术层面，尚未在法律层面形成统一定义。一般认为，从技术路径、整体功能路径的角度来看，元宇宙是利用扩展现实技术（Extended Reality）构建的全息社会场景，是一种独立于现实世界、且映射现实世界的在线虚拟世界。¹清华大学新媒体研究中心发表的《2020-2021年元宇宙发展研究报告》认为，元宇宙是整合多种新技术而产生的新型虚实相融的互联网应用和社会形态。概括而言，元宇宙功能的铺设围绕三大核心技术展开：

(1) 交互式沉浸技术。综合运用VR（虚拟现实）、AR（增强现实）、MR（混合现实）等技术，元宇宙打造了人机可交互、虚拟与现实高度融合的沉浸式体验环境²。

(2) 人工智能、深度合成技术。在虚拟的元宇宙世界中，为实现与真实世界高度同步的实时内容生成、体验、反馈，必须对供给效率提出足够高的要求。AI以其自动学习的特征极大程度提高了内容生成效率，通过内容增强、辅助创作等方式为元宇宙“添砖加瓦”，实现“所想即所得”。

(3) 区块链技术。除货币形式外，与真实世界交易模式近乎如出一辙的经济活动是元宇宙的重要组成部分。而虚拟财产的安全流通则仰仗区块链去中心化的加密模式。

二、元宇宙与个人信息

元宇宙的构建以采集现实世界个人信息为基础，并且与一般意义的移动应用程序不同，元宇宙收集、处理的个人信息范围更广，数量更多，面临的法律风险也因此更高，我们认为主要包括如下合规要点：

(1) 真实世界手机号码、邮箱、住址、身份证号等一般意义的个人信息，及针对上述信息的“告知-同意”要求仍是数据处理者需要遵守的核心规则，“最小必要”等《个人信息保护法》规定的信息处理基本原则依旧适用。具体的合规义务可参考本团队撰写的《企业合规自查80条》。

(2) 对于金融、生物识别等敏感信息，一方面，元宇宙中虚拟资产的频繁交易必然涉及大量的金融信息；另外目前市场上尚未有成熟的元宇宙产品问世，但根据对现有虚拟现实技术的分析，元宇宙极有可能涉及对人体虹膜特征及其他生物信息的采集处理，属于《个人信息保护法》第二章第二节针对的敏感个人信息，处理时需取得个人的单独同意。与此同时，生物识别信息还可能落入《人类遗传资源管理条例》的规制范畴，需要获得国家科学技术行政部门的单独批准，在告知义务上也有更严格的要求。

(3) 对于元宇宙中建构的私人领域内的信息，如自建房屋、生活习惯、虚拟货币消费记录等衍生信息，目前虽未有专门的法律文件对此类信息予以特殊规制，但是根据《个人信息保护法》第四条的定义，我们认为，这一部分信息仍属于“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”，与之相关的处理活动依然受到《个人信息保护法》的规制。

三、元宇宙与数据跨境

在元宇宙产业布局中，由于涉及技术合作，很多国内互联网企业会选择向境外投资，如投资元宇宙游戏开发公司Roblox、收购VR公司Pico等。在元宇宙的合作开发、以及后续面向境内用户提供元宇宙服务过程中，均有可能涉及到数据跨境。虽然现行生效的法律规范暂无对于数据跨境传输的明确界定，但相关规章及国标的征求意见稿已经做出界定。国家网信办2019年出台的《个人信息出境安全评估办法（征求意见稿）》第二条规定，“个人信息出境，是指网络运营者向境外提供在中华人民共和国境内运营中收集的个人信息” 。国家质检总局与标准化委员会2017年公布的《信息安全技术 数据出境安全评估指南（征求意见稿）》作出了更为详细的定义，即数据跨境传输指“网络运营者通过网络等方式，将其在中华人民共和国境内运营中收集和产生的个人信息和重要数据，通过直接提供或开展业务、提供服务、产品等方式提供给境外的机构、组织或个人的一次性活动或连续性活动”。

结合《数据安全法》、《网络安全法》以及上述规定，企业在与国外公司展开合作时仍应重视数据跨境合规体系的建立。根据《个人信息出境安全评估办法（征求意见稿）》，个人信息出境前，网络运营者应当向所在地省级网信部门申报个人信息出境安全评估，需准备的申报材料包括申报书、网络运营者与接收者签订的合同、个人信息出境安全风险及安全保障措施分析报告以及国家网信部门要求提供的其他材料。具体合规要点可参见本团队撰写文章：《跨境数据传输系列——个人信息如何出境》、《个人信息保护法下企业如何办理数据出境安全评估》。

四、元宇宙与算法规制

随着《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定（征求意见稿）》的出台，我国的算法规制正式进入强监管时代。而人工智能、深度合成、交互式沉浸算法在元宇宙技术中的核心地位，让算法合规成为元宇宙运营者不可忽视的重点环节，主要应注意以下方面：

(1)  搭建内部制度。如建立健全内部制度、定期审核算法模型、加强数据安全管理、加强用户模型及标签管理等。另外要注意就相关技术的使用进行风险评估，主要可通过查阅资料、访谈人员、技术测试等方式进行。

(2)  用户权益保护。由于元宇宙具有强交互沉浸性、强娱乐性的特点，并且可以预想到元宇宙中必然存在大量消费活动，因此运营者需格外注意不使用诱导用户沉迷、过度消费等违反法律法规或者伦理道德的算法模型，如故意在游戏过关难度上设置特殊安排以诱导用户长时间沉迷。另外针对未成年人，要特别设置限制登录时间的防沉迷模式。

(3)  完成算法备案。根据《互联网信息服务深度合成管理规定（征求意见稿）》第十九条，深度合成服务提供者应当按照《互联网信息服务算法推荐管理规定》的有关规定，在提供服务之日起十个工作日内履行备案手续。完成备案的深度合成服务提供者应当在其对外提供服务的网站、应用程序等的显著位置标明其备案编号并提供公示信息链接。

五、元宇宙与内容监管

利用人工智能、深度合成技术生成的海量虚拟内容，是元宇宙赖以生存的血肉之躯，也是违规风险的高发之地，需要企业在以下方面予以重视：

(1)  遵循倡导主流价值。应在显著位置注意加强对主流价值和正能量内容的宣传。

(2)  显著标识合成内容。向使用者提供深度合成信息内容进行显著标识的功能并予以提示，发现未进行标识的信息应立即停止传输。

(3)  禁止生成违法信息。元宇宙运营者应加强对自身以及使用者内容生成的管理，发现服务使用者制作、发布、传播虚假新闻、色情暴力等法律法规禁止的信息内容的，应当依法依约停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向网信、文化和旅游、广播电视等部门报告。

六、结语

2021年末，元宇宙的概念以不可阻挡之势引爆网络，具像化地描绘了人类对于互联网世界的终极想象。而以用户个人信息、自动生成内容等数据为命脉的技术特征，也使数据合规成为决定元宇宙是野蛮生长，还是造福社会的关键所在。滞于技术的局限，目前赛道上的企业仍处于蓄势待发的热身状态。从布局谋篇开始即防患未然，将防范数据风险纳入重要考量，将成为元宇宙运营者在个人信息强保护时代的必行之举。

[1]戴元初《元宇宙：媒介属性、进化路径与治理逻辑》，https://mp.weixin.qq.com/s/PV_5y39je4mRlH0uRmGh2w

[2] 腾讯研究院：《趋势2：沉浸式媒体向体验和场景的纵深演进》，链接：https://tisi.org/16939