SDK、未成年人数据与境外运营
资料截止日：2026 年 7 月 22 日
摘要
网络游戏的数据治理难题并不只在于“收集了多少信息”，而在于数据流被产品功能、技术依赖和全球运营切成了大量不同处理活动：手机号用于注册，人证信息用于实名和防沉迷，行为日志同时服务于状态同步、数值平衡和反作弊，语音既是社交内容又可能进入审核和客服，境内玩家数据还可能被境外发行商、全球客服、分析SDK或云平台访问。同一字段因处理目的、用户年龄、使用方式和接收方不同，会落入不同的法律评价。
中国《个人信息保护法》要求以明确、合理目的和最小影响方式处理个人信息，并以同意、合同必要、法定义务等法定基础为前提；中国法没有一项可以普遍吸收分析、广告和风控活动的“合法利益”基础。[1] 对游戏而言，核心服务“合同必要”的边界应当窄于团队通常理解的“业务上有用”：维持账号、同步角色状态可能不可缺少，跨应用广告、可选社交导入、广泛设备画像则不能仅以改善体验为由并入核心服务。实名和防沉迷通常指向法定义务，而非由一份概括同意任意扩张。2021年《常见类型移动互联网应用程序必要个人信息范围规定》对网络游戏基本功能列出的必要信息只有注册用户移动电话号码，并未列身份证信息；身份证处理应回到实名、防沉迷的独立依据，而不能误引该规定。[2]
主体责任同样不能按合同名称机械分配。决定埋点模式和通用反作弊模型的研发商，决定账号、商业化和客服规则的境内运营商，决定全球广告、分析和留存的境外发行商，以及能够跨客户复用数据的SDK供应商，都可能分别或共同决定处理目的、方式。只有在供应商严格受指示、不得独立复用数据且具备可验证控制时，受托处理的定性才稳固。应用商店、支付机构和云服务商通常还同时存在自有账号、计费、安全或法定义务的数据流，需要逐流拆分，不能给一个企业贴上覆盖全部活动的单一标签。
未成年人和人脸识别把必要性要求进一步推高。未满14周岁个人信息整体属于敏感个人信息，但14至17周岁个人信息并不因此一概自动成为敏感个人信息。网络游戏应将年龄识别置于数据流前端，落实监护人同意、默认设置、访问最小化和年度审计；不得通过自动化决策向未成年人进行商业营销。[3] 人脸核验不能因为“防沉迷”三个字就成为默认或唯一方案。2025年施行的《人脸识别技术应用安全管理办法》要求特定目的、充分必要、最小影响，在存在其他非人脸方式可以实现同等目的时，不得将人脸识别作为唯一验证方式，并对设备内处理、互联网传输、影响评估和达到10万人规模后的备案作出专门要求。[4]
出境分析必须从真实路径开始，而不是从服务器标签开始。中国玩家数据直接写入境外服务器属于典型出境；即使数据仍存境内，境外发行商、总部或客服查询、调取、下载境内数据库，也可能构成数据出境。[5] 反过来，境外用户数据在境外被境外主体直接收集、未流经中国境内处理，并不当然属于中国数据出境。2024年《促进和规范数据跨境流动规定》为部分场景设定了豁免和分级门槛，但主要改变的是安全评估、标准合同或认证等程序路径，并未一并取消告知、适用时的单独同意、个人信息保护影响评估、必要性与安全义务。[6]
本报告的结论是：网络游戏数据治理的可执行单元应当是“字段 × 目的 × 主体 × 地区 × 年龄段”，而不是一份隐私政策或一张SDK名单。企业应以运行证据校准文本，以决定权校准角色，以出境路径和自然人人数校准机制，并在停服、注销和争议留存中落实按目的隔离与到期删除。GDPR、COPPA及平台政策应作为目标市场和发行渠道的独立接口接入，而不是简单选取所谓“全球最严标准”。
关键词： 网络游戏；个人信息；SDK；未成年人；人脸识别；数据出境；全球同服；COPPA
一、问题、范围与方法
（一）为什么传统“隐私政策审查”不足以覆盖游戏
网络游戏是持续运行的服务，而不是一次性表单。初次启动可能触发崩溃监测和渠道归因；注册后接入短信、第三方登录和实名；运行期间持续生成角色、位置、装备、行为和社交数据；商业化环节叠加支付与广告；争议环节又调用日志、录音和截图。版本更新、活动运营、SDK升级和海外发行会随时改变数据字段、端点、接收方和保存期。
因此，一份写得完整的隐私政策仍可能与实际运行不一致：SDK在用户作出选择前已经连接服务器，文本称“粗略位置”而系统权限获得精确位置，国内版本声称境内存储而境外客服拥有后台权限，商店Data Safety或Privacy Nutrition Label又与应用内清单不同。透明度不是纸面栏目是否齐全，而是用户能够预期的处理与真实流量是否一致。《App违法违规收集使用个人信息行为认定方法》将未公开规则、未明示目的方式范围、未经同意、违反必要原则以及权利渠道失效等列为核心问题。[7]
（二）研究边界
本报告以中国境内运营并可能海外发行的网络游戏为对象，处理账号、设备、行为、社交、支付、语音、人脸、位置、反作弊和客服数据。分析参与者包括研发商、境内运营商、境外发行商、应用商店和渠道、SDK供应商、云服务商、客服与支付机构。
欧盟GDPR、美国COPPA以及Apple、Google Play、Steam规则只在境外运营接口进入：欧盟部分讨论域外适用、角色和跨境工具；美国部分聚焦儿童数据与FTC游戏案件；平台部分讨论上架和SDK责任。消费者合同、虚拟财产、封号争议和生成式AI内容治理不作系统展开。
（三）四步方法
第一步是拆活动：同一数据库中的手机号用于登录、营销和找回密码，应视为三个目的，不因物理存储在同一列而合并。第二步是定角色：检查谁决定目的、字段、算法、接收方和保存期。第三步是配基础：判断合同必要、法定义务、同意、单独同意或其他法定情形能否逐项支撑。第四步是验运行：用构建依赖、权限调用、网络抓包、访问日志、供应商控制台和删除记录验证文件。
监管事件比较仅说明公开材料能够支持的事实。中国通报常将产品明细放在图片或PDF中；美国和解公告陈述监管机构指控与命令条件，不能写成法院已经确认全部事实。定量比较需要完整编码样本，本报告不从七项事件推导行业发生率。
二、从字段清单转向数据生命周期
（一）账号和联系方式：核心服务不等于无限用途
手机号、账号名、密码哈希、验证码、第三方登录标识通常用于创建和保护账号。对用户主动请求的注册、登录、找回和跨端同步，在客观不可缺少的范围内可讨论“订立、履行个人作为一方当事人的合同所必需”。但手机号进入活动营销、好友匹配或集团交叉推广后，处理目的发生改变，需要另行确认基础和退出机制。
《常见类型移动互联网应用程序必要个人信息范围规定》采取“拒绝非必要信息不得阻碍基本功能”的结构。其第十八类“网络游戏类”基本功能为“提供网络游戏产品和服务”，必要个人信息仅列“注册用户移动电话号码”。[2] 这项规定不能被反向解释为所有游戏都必须以手机号作为唯一账号方式，也不能证明身份证、通讯录、精确位置或设备安装列表属于基本功能必要信息。实名身份处理应当依据网络游戏实名、防沉迷和未成年人保护规则独立论证。国家新闻出版署的防沉迷文件要求网络游戏实名注册、登录和相关限制；《未成年人网络保护条例》进一步要求通过统一电子身份认证等必要手段验证未成年人真实身份信息。[8]
（二）设备和网络信息：可识别性与粒度都重要
IP地址、设备型号、操作系统、应用版本、广告标识符、Android ID、IDFV、推送token、网络状态和传感器特征可能单独或结合账号识别、区分个人，通常应纳入个人信息台账。它们不因“技术信息”或“日志”名称而退出个人信息范围。反之，完全聚合且无法复原个体的性能指标可能不再构成个人信息；真正匿名化需要达到无法识别且不能复原的效果，仅以角色ID替代手机号通常只是去标识化。
设备指纹的风险来自组合性：单个字段看似普通，稳定组合后能够长期追踪设备、关联账号、识别绕过封禁行为。此类处理可以服务账号安全和反作弊，但必须证明字段与具体威胁之间的关系。读取剪贴板、安装列表、运行进程或本地文件若没有明确安全场景和窄化条件，不能以“风控需要”一语概括。安全目的也不授权将指纹同步用于广告归因或跨游戏画像。
（三）行为和遥测：状态同步、分析与画像必须拆开
角色坐标、关卡、点击、战斗、装备、匹配、在线时长、网络延迟、崩溃栈和帧率共同构成游戏遥测。至少应拆成四组：一是维持当次服务状态；二是诊断性能和错误；三是数值平衡、活动分析和留存研究；四是个性化推荐、付费预测或广告画像。
第一组通常更接近合同履行必要，第二组需按故障处理的必要性控制字段和期限，第三、四组则不能因为有利于经营就自动进入合同必要。匿名或充分聚合能够降低风险，但“去掉姓名”不足以匿名。若系统根据消费能力、易流失程度或行为偏好对玩家施加差异化营销，除处理基础外还需要考虑自动化决策透明、公平和拒绝定向推送等要求。《个人信息保护法》第二十四条要求自动化决策保证透明、公平、公正，不对个人在交易价格等交易条件上实行不合理差别待遇，并向个人提供不针对其个人特征的选项或便捷拒绝方式。[9]
（四）社交、语音与内容：内容本身可能改变分类
好友关系、群组、公会、聊天、举报和屏蔽记录形成高度关系化的数据。用户主动添加好友或发起语音可以属于其请求的社交功能，但读取整个系统通讯录不是提供游戏核心功能的当然必要条件，应在用户主动操作时说明目的、范围，并为拒绝者提供手动搜索等替代方式。被上传通讯录中的联系人并非游戏用户，处理者仍需评估其合法来源和最小影响。
语音数据不能被一概称为生物识别敏感个人信息。普通语音聊天首先是通信内容；当声纹特征被提取并用于识别个人时，才明确进入生物识别信息。语音内容也可能披露健康、宗教、精确位置或儿童身份，从而因内容与场景具有更高风险。团队应分别记录原始音频、转写文本、声纹模板、审核标签和举报片段的目的、访问人和期限，而不是用“语音数据”一栏覆盖全部。
（五）支付：交易记录不等于金融账户
订单号、商品、金额、渠道、支付状态、退款和发票信息用于完成交易、对账、反欺诈、会计与税务。金融账户属于法定列举的敏感个人信息，但游戏中的购买金额或道具订单并不仅因涉及钱款就自动成为“金融账户信息”。是否敏感仍应看字段是否涉及账户、认证凭据、资金安全以及泄露后风险。
支付机构或应用商店通常对支付账户、清算、反洗钱、反欺诈和法定留存具有独立目的；游戏运营者则对订单履行、发货、退款和客服另行决定。双方可能分别是独立处理者，不能笼统写成“平台受托处理”。接口中返回的卡号掩码、支付token、渠道用户ID或风险标签应逐字段检查，避免把支付方掌握的全部信息复制到游戏后台。
（六）位置、人脸与未成年人信息：敏感并非“大类标签”
精确位置、人脸模板、金融账户和医疗健康等属于敏感个人信息；未满14周岁未成年人的个人信息整体属于敏感个人信息。[10] 但敏感属性必须落到具体字段、目的和对象：城市级IP推断与持续GPS轨迹风险不同；普通语音与声纹识别不同；14至17周岁玩家仍受未成年人专门保护，却并非其所有数据都仅因年龄自动成为敏感个人信息。
“敏感个人信息”也不等于“重要数据”。重要数据判断关注数据一旦遭到篡改、破坏、泄露或非法利用后对国家安全、经济运行、社会稳定、公共健康和安全的直接危害。[11] 大量玩家画像可能触发个人信息规模规则，但不能只因数量大就自行认定为重要数据；反之，主管部门告知或目录识别为重要数据后，也不能用一般个人信息出境门槛替代安全评估。
三、研发、运营、发行、渠道与供应商的角色
（一）角色是按处理活动确定，不是按公司确定
《个人信息保护法》将个人信息处理者定义为在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。两个以上处理者共同决定目的和方式的，应约定各自权利义务，但该约定不影响个人向任一处理者行使权利；造成损害时依法承担相应责任。受托处理则要求约定目的、期限、方式、种类、保护措施和双方权利义务，并由委托方监督。[12]
这意味着同一公司在不同数据流中可能有不同角色。云商对客户托管内容可能按指示处理，对云账户、计费和基础设施安全日志则具有自有目的。应用商店对商店账号、支付和平台安全多为独立处理，对开发者接入的某个技术组件又可能有另一关系。角色分析必须以处理活动为单位。
（二）研发商与境内运营商
如果研发商只按运营商写明的规格开发客户端、不得接触生产数据，也不决定埋点或再利用，其角色可能接近受托开发或不直接参与特定生产处理。但现实中研发商常决定遥测字段、崩溃诊断、反作弊规则、模型训练和版本更新，并可能通过自有后台持续访问玩家数据。此时“没有直接与用户签约”不能排除其处理者地位。
境内运营商通常决定账号体系、实名、防沉迷、服务规则、商业化、活动和客服，是核心运营活动的主要处理者。若双方共同确定埋点目标、分析模型和保存期，可能形成共同处理；若研发商将数据用于其他游戏或通用模型，还可能对该再利用成为独立处理者。应当把“提供本游戏”“联合分析”“研发商独立复用”拆成不同活动分别定性。
（三）境外发行商与关联公司
境外发行商若只执行境内运营商的明确指示、无权改变用途、接收方和期限，理论上可能作为受托方。但海外发行通常包括区域营销、广告投放、活动设计、客服、社区、反欺诈和全球用户分析，发行商对这些目的和方式具有实质决定权。集团关系不会自动消除这种独立性，数据处理协议也不能靠一句“境外方仅为受托方”覆盖真实决策。
共同处理并不要求双方接触完全相同的数据或在每一步拥有同等权力。若境内运营商和境外发行商共同设计全球账号与分析体系，使各自处理互为必要并共同决定核心用途，就应评估共同处理。相反，境外应用商店仅为自有支付和平台安全处理数据，并不当然与游戏方共同处理全部玩家数据。
（四）SDK：技术形态不是法律角色
“第三方SDK”描述软件集成方式，不描述法律角色。严格按游戏方书面指示采集有限字段、不得跨客户复用、不得增加子处理者并按期删除的崩溃SDK，更接近受托处理。供应商若自行决定收集设备标识和访问端点，用于跨应用广告匹配、通用分析或自有产品训练，则可能就该活动成为独立处理者。若游戏方与供应商共同设计广告或画像目的，则还可能共同处理。
《网络数据安全管理条例》第十二条要求通过合同约定向其他网络数据处理者提供、委托处理个人信息和重要数据时的目的、方式、范围和安全义务，并监督接收方履约，相关处理情况记录至少保存三年。[13] 这使SDK治理不能停在采购时签署一份模板协议：每次版本更新、字段增加、端点变化或子处理者变化都可能改变原有判断。
（五）渠道、云、客服与支付需要拆流
渠道账号、平台支付、推荐和安全是渠道的自有流；游戏登录token、订单回执和营销归因是双方接口流。云服务商对业务库内容通常受客户指示，但对自身账户、计费、滥用检测和网络安全可能独立决定。客服外包若按照脚本和权限处理工单，通常更接近受托方；若将录音用于供应商通用模型、跨客户质检或人员管理，则必须为这些活动另找角色和基础。
境外客服还同时触发出境问题。即使工单系统位于中国，只要境外坐席能查询、调取或下载境内存储的玩家个人信息，也可能发生出境。角色与地域是两个独立维度：一个主体可能既是受托处理者，又是境外接收方；受托身份不会豁免出境要求。
（六）责任分配的外部与内部效果
运营者不能以“违规是SDK做的”为由对用户或监管当然免责。它决定集成SDK、向其开放运行环境和玩家入口，并负有选择、合同约束、监督和停止的责任。供应商的保证、赔偿和审计权主要调整双方内部追偿，并不重写面向个人的法定角色。共同处理协议也不能限制个人依法向任何共同处理者行使权利。
这并不意味着运营者对所有供应商行为承担无边界责任。若供应商秘密超出指示处理，超出部分可能由其作为独立处理者负责；但运营者仍需证明其尽到了合理选择、运行验证、版本控制和异常响应义务。责任分析应同时回答“谁决定了问题活动”与“谁本应发现并阻止它”。
四、处理基础、告知同意与最小必要
（一）中国法没有一般“合法利益”兜底
《个人信息保护法》第十三条列明同意、订立或履行个人作为一方当事人的合同所必需、人力资源管理所必需、履行法定职责或法定义务所必需、紧急保护自然人生命健康和财产安全、合理范围处理公开信息，以及法律行政法规规定的其他情形。[1] 与GDPR不同，中国法没有可以一般适用于商业分析、广告或反欺诈的“合法利益”条款。跨国模板如果直接翻译“legitimate interests”，会在中国版本中制造基础错配。
同意也不是万能修复。处理应当先有明确合理目的，与目的直接相关，采取对个人权益影响最小的方式，并限于最小范围；超出这些要求的收集不能只靠冗长勾选变得必要。将基本功能与可选广告、通讯录、精确位置捆绑，或因用户拒绝非必要处理而阻断核心服务，也会损害同意的自愿性。
（二）合同必要应做反事实测试
可用三个问题收窄合同必要：用户请求的具体服务是什么；没有该字段或处理，服务是否客观上无法提供；是否存在明显侵害更小的替代方式。账号认证、角色状态同步、用户发起的匹配和订单交付可能满足；长期跨产品画像、第三方定向广告和将客服录音训练通用模型通常很难仅靠游戏服务合同说明。
“改善体验”“保障安全”“优化产品”过于抽象。崩溃日志是否必要，要看能否删除账号标识、降低精度、抽样、缩短期限；反作弊是否必要，要看具体作弊威胁是否需要该进程、文件或设备特征，而不是安全团队认为数据越多越好。
（三）实名和防沉迷更接近法定义务
实名、年龄判断、游戏时段和消费限制旨在履行网络游戏和未成年人保护要求。对这些不可缺少的身份处理，法定义务通常比概括同意更准确。若把实名全部建立在“同意”上，就会出现用户撤回同意后是否仍能履行法定义务的矛盾。
但法定义务基础也有限度：它支持验证身份和执行防沉迷，不当然支持把身份证号码用于营销画像、好友推荐或通用模型。验证结果可在满足监管目标的前提下尽量采用年龄段、核验状态或不可逆标记，减少业务系统长期保存完整证件信息。身份库应与广告、分析和普通客服权限隔离。
（四）一般同意、单独同意与监护人同意不是同一层
处理敏感个人信息、向其他处理者提供、公开个人信息、以及向境外提供个人信息等法定情形涉及单独同意；未满14周岁未成年人个人信息还应取得父母或其他监护人同意并制定专门规则。[14] “单独同意”应当相对于其他处理事项独立呈现和选择，不能埋在一揽子隐私政策中。监护人同意还要求可靠识别监护关系和保存同意记录。
操作系统权限、Apple ATT、Google Play披露与中国法同意也不能相互替代。系统允许麦克风只表示设备层授权，不证明用户已经充分理解录音是否存储、是否转写、是否用于审核或模型训练；ATT主要处理Apple生态的追踪权限，不覆盖PIPL下全部处理基础。企业需要同时满足法律、操作系统和平台三个层次。
（五）告知应当与真实运行对齐
告知至少应让用户理解处理者、目的、方式、种类、期限、权利行使渠道；涉及敏感信息、对外提供和出境时还有更具体内容。SDK清单不应只列供应商名称和“改善体验”，还应说明SDK名称、业务场景、字段、权限、接收方或链接、是否出境，并与构建版本对应。
版本发布前应完成四方对账：应用内隐私政策与SDK名单、操作系统权限弹窗、Apple/Google商店标签、真机流量和服务端日志。任何一方多出字段或接收方，都说明披露或运行控制失配。用户同意后的静默SDK更新若增加目的、敏感字段或境外接收方，可能需要重新评估告知和同意，而不是沿用旧版本勾选。
五、第三方SDK、设备权限与自动化风控
（一）SDK治理是一条生命周期
有效治理至少包括九个相连控制：建立依赖与软件物料清单；绘制目的、字段、权限、端点和角色；禁止非必要SDK在选择前初始化；在功能触发时请求权限；用真机网络捕获验证；通过合同限制目的、子处理者、地点、期限和事件通知；对版本与哈希设置变更门；准备远程停用和密钥轮换；使隐私文本、SDK清单、商店标签与真实流量持续一致。
清单是起点而不是结果。供应商文档写“可能收集”并不能说明当前构建实际收集什么；客户端未直接调用某权限也不能证明SDK没有通过其他API获得同类信息。测试应覆盖首次启动、拒绝、同意、撤回、未成年人模式、登录前后、支付、语音和后台运行等状态。
（二）同意前初始化是高频结构性风险
很多SDK在应用创建时自动初始化，先读取设备标识、IP或配置，再等待业务调用。若这些数据用于广告、非必要分析或独立供应商目的，后置弹窗不能倒转已经发生的处理。工程上应将SDK初始化放入同意状态机，为拒绝和撤回配置真实分支，并防止远程配置在下个启动周期重新开启。
必要的安全和崩溃处理也应缩减同意前数据。可以按功能将SDK拆包、延迟加载或使用不含稳定标识符的基础模式；无法配置的供应商应被视为产品架构风险，而不是由隐私政策吸收。Google Play明确要求开发者对SDK和第三方代码的数据实践负责，并要求显著披露、必要同意和Data Safety一致；Apple也要求开发者对第三方SDK、分析和广告服务负责。[15][16] 这些属于平台规则，但会独立影响上架。
（三）权限应与触发动作相连
麦克风应在玩家主动进入语音或录制时请求，通讯录应在主动找好友时请求，精确位置只有存在明确本地化玩法且粗略位置不足时才讨论。拒绝可选权限后应提供手动搜索、文字聊天或粗略地区等替代方案。把权限请求集中在首次启动不仅降低选择质量，也常暴露“先取权限再找用途”的设计。
权限获批不意味着每次使用都合理。后台持续访问、从粗略切换精确、从当次功能转为长期画像，都可能构成方式或目的变化。端侧权限日志与服务器入库字段应可关联，才能回答“何时、由哪个版本、为哪个功能”发生处理。
（四）反作弊的必要性、自动化和救济
反作弊保护公平竞技、账号和虚拟交易安全，具有真实必要性，但其技术能力也最容易扩张。设备指纹、进程扫描、行为序列和关联网络应按威胁模型分层：低风险匹配不需要最高侵入性信号；客户端文件扫描应限定目录、类型和触发条件；风险标签不应用于无关营销。
若风险分直接导致封禁、交易限制或匹配隔离，对个人权益产生重大影响，应提供规则的可理解说明、人工复核或便捷申诉。公开全部检测阈值会帮助规避，但透明不等于披露源代码；企业至少可以说明数据类型、主要判断因素、可能后果、保存期和救济路径。应保留足以复核具体处罚的证据，同时避免为“未来可能有争议”无限期保存全部原始遥测。
（五）合同与运行证据必须相互闭合
SDK合同至少应限定目的、字段、指示、保存期、地点、子处理者、独立复用、删除、事件通知、审计和终止协助。对境外端点还需写明接收主体、访问地、后续转移和个人权利协助。版本更新应触发字段/权限/域名差异审查，供应商不得仅在网页更新政策就自动扩大处理。
运行证据包括依赖版本、构建哈希、初始化日志、同意状态、网络目的地、服务端收数、供应商控制台、访问记录和删除证明。出现异常时，远程kill switch比等待应用商店审核新版本更关键；否则一次SDK泄露可能持续数日。合同中的赔偿上限无法替代停止数据流的技术能力。
六、未成年人、防沉迷与生物识别
（一）年龄识别应前置，但不能形成新的过度收集
未成年人保护依赖识别用户是否属于儿童或未成年人，但年龄门控本身也处理个人信息。合理架构可先以最少信息进行年龄段判断，再对需要实名、防沉迷或父母同意的用户进入相应路径。未经必要，不应为了证明“所有用户都是成年人”而向所有人收集更多证件、人脸或监护关系材料。
《未成年人网络保护条例》要求网络游戏服务提供者通过统一电子身份认证等必要手段验证未成年人真实身份信息，并执行游戏时段、时长和消费管理。[3] “等必要手段”不应被解释为普遍强制人脸识别。实名结果、年龄段、监护同意状态和完整证件信息可分层保存，让普通运营、广告和客服只看到完成任务所需的状态字段。
（二）未满14周岁与14至17周岁应分层
未满14周岁个人信息整体为敏感个人信息，应取得父母或其他监护人同意并制定专门处理规则。14至17周岁仍受《未成年人网络保护条例》在默认设置、商业营销、防沉迷、审计和安全等方面保护，但其所有数据不因年龄自动落入敏感个人信息；精确位置、人脸等字段仍按其自身属性处理。
按“成人/儿童”二分可能无法同时满足中国未满14周岁、COPPA未满13周岁以及欧盟各成员国13至16岁之间的数字同意年龄。产品应使用“地区 × 年龄段 × 功能 × 数据目的”矩阵，避免将一个全球年龄阈值误称为所有法域共同要求。
（三）默认设置、营销与SDK
《未成年人网络保护条例》禁止通过自动化决策方式向未成年人进行商业营销。[17] 这要求系统不仅提供退出按钮，还要在识别为未成年人后阻断相应画像和自动化营销流。面向儿童或混合受众的产品还应检查广告SDK是否收集持久标识符、是否进行跨应用追踪、是否接收年龄状态以及是否能够切换儿童合规模式。
FTC对Microsoft/Xbox的指控显示，问题可能发生在父母介入之前：儿童开始注册时已提供数据，未完成账户的数据又被长期保存并向游戏发行商披露。和解要求在相关场景未获父母同意时于两周内删除，并向下游传递儿童状态。[18] 这给中国游戏的启示不是照搬两周期限，而是把年龄判断、父母同意和下游SDK模式放在数据发送之前，并为未完成注册设置短期删除任务。
（四）人脸核验不是防沉迷的唯一答案
人脸信息属于生物识别敏感个人信息。采用人脸识别应具有特定目的和充分必要性，采取对个人权益影响最小的方式；存在其他非人脸方式可以实现同等目的或达到同等业务要求时，不得将人脸识别作为唯一验证方式。[4] 这使“监管要求防沉迷”与“必须对所有玩家刷脸”之间不能直接画等号。
如果以同意为基础处理人脸，应取得单独同意；未满14周岁还应取得监护人同意。除法律、行政法规另有规定或取得个人单独同意外，人脸信息原则上应存储在识别设备内，不得通过互联网对外传输。处理前应开展个人信息保护影响评估并至少保存评估记录三年；存储人脸信息达到10万人，应在数量达到之日起30个工作日内向所在地省级网信部门备案。[19]
游戏实践可以优先使用权威实名接口返回的核验状态、设备端活体后立即删除原始图像、异常触发而非持续刷脸、人工申诉等低侵害方案。团队还需区分原始照片、视频、活体参数、特征模板、匹配结果和失败日志；删除原图并不等于模板自动删除。
（五）访问控制、审计与事件响应
未成年人个人信息应采取最小授权，严格设定访问范围。实名库、人脸库、客服和广告平台不应共享同一宽泛后台角色。对大量未成年人个人信息处理还应按规定定期开展合规审计；《网络数据安全管理条例》也确立个人信息保护合规审计要求，2025年施行的审计办法提供进一步程序框架。[20]
事件响应不能只通知安全团队。泄露或误传发生后，应确定涉及的年龄段、敏感字段、接收方和可撤回程度，及时采取补救；达到法定条件时通知主管部门和个人。对儿童数据，应准备监护人可理解的通知与权利渠道，同时关闭相关SDK、撤销token、限制下载并追踪下游删除。
七、海外发行、全球同服与数据出境
（一）先画路径，再谈机制
数据出境的第一问不是“公司有没有境外业务”，而是某一数据是否在中国境内运营中收集或产生，谁从何地访问，是否向境外传输、提供或开放查询。官方《数据出境安全评估申报指南（第二版）》将两类活动纳入：数据处理者将在境内运营中收集和产生的数据传输、存储至境外；以及数据存储在境内，但境外机构、组织或者个人可以查询、调取、下载、导出。[5]
因此，全球同服把中国玩家账号和日志写入海外数据中心是明显路径；海外发行商通过VPN登录中国数据库、境外客服查看工单、海外分析SDK接收设备标识、生产备份落到海外云，也都需检查。服务器在中国只是位置事实，不能排除境外远程访问形成出境。
反之，海外玩家在海外由海外实体直接收集、始终在境外系统处理的数据，不当然属于中国数据出境。若中国团队可以从境内访问、下载这些数据，还需另行分析PIPL对境外处理活动的适用、向境内回传以及其他法域规则，但不能仅以中国母公司或研发团队参与就把所有全球数据称为“出境数据”。
（二）六类常见路径
全球同服。 需要拆分账号、游戏状态、聊天、支付和风控数据，检验是否可将中国玩家路由到境内分区、仅同步必要状态或使用区域化标识。全球玩法便利不是无限制出境的充分必要性说明。
境外发行商远程访问。 权限、字段、频次、下载能力和自有目的决定风险。只读仍是访问，浏览屏幕也可能属于查询；应使用字段屏蔽、按工单授权、会话审计和禁止批量导出。
分析、崩溃与广告SDK。 需要核对供应商签约实体与真实端点，而不是只看中文品牌。境内域名可能转发境外，境外品牌也可能提供境内独立实例。IP、设备标识、用户ID和事件序列组合后常可识别个人。
跨境客服。 工单常混入证件截图、支付争议、未成年人信息和语音，不能以“客服只看少量数据”概括。可按地区路由、对普通坐席隐藏实名字段，并对敏感附件采用临时授权。
应用商店与支付。 应区分平台在境外直接向用户收集的账户/支付数据，与游戏方从中国接口主动发送的订单、账号或设备数据。平台自己的处理不是游戏方所有出境责任，但双方接口仍需逐字段判断。
海外云与备份。 加密不否认出境，加密是安全措施；冷备份也仍可恢复并与个人关联。应确认密钥控制、恢复人员、备份周期、到期销毁和能否使用境内替代方案。
（三）2024年分级门槛
《促进和规范数据跨境流动规定》调整了安全评估、标准合同与认证的适用门槛。对非关键信息基础设施运营者，自当年1月1日起累计向境外提供不含敏感个人信息的个人信息不满10万人，可免于申报安全评估、订立个人信息出境标准合同或通过个人信息保护认证；10万人以上、不满100万人，应通过标准合同或认证；达到100万人，应申报安全评估。[6]
对于敏感个人信息，不满1万人对应标准合同或认证，达到1万人即申报安全评估，并不存在与普通个人信息相同的“不满10万人一般程序豁免”。非CIIO向境外提供重要数据，不以人数为前提，应申报安全评估；CIIO向境外提供个人信息或重要数据，原则上也进入安全评估。安全评估结果有效期为三年，符合条件可申请延长三年。[21]
门槛中的单位是自然人数量，不是日志条数、设备数或事件数。一个玩家产生十亿条遥测仍原则上计为一个自然人；同一人多账号应尽可能去重。敏感和非敏感人数要分别核算，未满14周岁个人信息整体为敏感个人信息，因此儿童用户可能显著影响敏感人数门槛。实际申报需依据真实台账和主管口径，不能仅以注册账户数代替。
（四）豁免场景及其边界
2024年规定还列明若干免于三类程序机制的场景：国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中出境数据不含个人信息或重要数据；境外收集和产生的数据传入境内处理，且处理过程中没有引入境内个人信息或重要数据；为订立、履行个人作为一方当事人的合同确需出境，例如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理和考试服务；依法制定劳动规章制度和集体合同实施跨境人力资源管理确需；紧急情况下保护生命健康和财产安全确需。[22]
对游戏而言，“用户同意全球同服条款”并不自动等于履行合同确需。应证明具体跨境处理是个人主动请求服务不可缺少的，而不是企业选择全球架构更方便。广告、常规分析和关联公司管理很难仅凭用户协议落入该豁免。
更重要的是，豁免主要针对安全评估、标准合同或认证程序。《个人信息保护法》第三十八至三十九条下的出境实体要求、告知境外接收方信息和适用时的单独同意，第四十条的本地化要求，以及影响评估、最小必要和安全保护仍需分别核对。程序豁免不能写成“无需合规”。
（五）机制选择不是纯文书题
标准合同、认证或安全评估都依赖一份真实数据地图。标准合同备案前需完成个人信息保护影响评估；境外接收方、目的、方式、种类、规模、保存地点和期限发生重大变化，或境外规则变化可能影响权益时，需要重新评估并处理合同或备案。[23] 安全评估则进一步关注出境必要性、规模、重要数据、境外接收方能力、泄露风险、个人权利渠道和合同约束。[24]
企业不应通过拆分主体、接口或月份规避人数门槛。更稳健的做法是维护按自然人去重的年度计数器，分别标记敏感属性、未满14周岁、接收方和场景；新增SDK、海外客服或全球活动时触发预估。门槛接近临界点时，应提前准备下一层机制，而不是等流量超过后才发现无法停止。
八、GDPR、COPPA与平台规则的有限接口
（一）GDPR：只在设立、定向或监测成立时进入
GDPR可能因欧盟境内设立机构的活动而适用，也可能因向欧盟境内个人提供商品或服务、监测其在欧盟境内的行为而域外适用。[25] 仅有网站可从欧洲访问通常不足以说明定向，但欧盟语言/货币、区域营销、欧盟服务器活动、当地玩家运营和持续行为画像可能共同支持适用。
GDPR的controller/processor同样重事实而非标签；角色按谁决定目的和实质性手段判断。[26] 但不能把GDPR角色结论原封不动代入PIPL：条文结构、共同责任和处理基础不同。GDPR允许在平衡测试下使用legitimate interests，中国法没有一般对应条款。GDPR第八条对基于同意直接向儿童提供信息社会服务设置16岁基准，并允许成员国降至不低于13岁，不存在一个全欧盟统一的“13岁”线。[27]
向欧洲运营还需评估DPIA、自动化决定、数据主体权利和第五章传输工具。欧盟标准合同条款与中国个人信息出境标准合同服务于不同法域，不能签署其中一份就覆盖另一份。
（二）COPPA：年龄、定向与实际知情
COPPA关注面向13岁以下儿童的在线服务，及运营者实际知情正在从13岁以下儿童收集个人信息的服务。它不因2025年修订或HoYoverse和解而把一般儿童年龄改为16岁。2025年最终规则将生物识别标识符和政府签发标识符等纳入个人信息，对向第三方披露用于定向广告增加单独的可验证父母选择加入，并强化保留、删除和安全要求；规则于2025年6月23日生效，一般合规日期为2026年4月22日，正式文本列有具体例外。[28]
Epic/Fortnite和解涉及FTC关于未经父母通知同意收集儿童数据、默认开启儿童和青少年语音/文字通信、删除困难及购买设计的指控，两项和解合计5.2亿美元。[29] HoYoverse/Genshin Impact和解涉及FTC关于儿童数据及用户ID、设备持久标识符向分析和广告方披露，以及战利品箱价格、概率界面的指控；2000万美元和解中的“16岁以下购买战利品箱需父母同意”是命令特定义务，不是COPPA年龄标准。[30]
这些案件对中国团队的直接价值在于产品控制：儿童状态要能传到SDK和下游，默认通信要按风险设置，未完成注册要有删除触发，商业化界面与数据处理不能分开审查。但具体法律义务仍取决于美国市场和服务定向事实。
（三）Apple、Google Play与Steam：独立上架层
Apple要求开发者对广告网络、分析服务和第三方SDK负责，隐私政策应说明收集、使用、第三方、保留删除和撤回；Kids Category对第三方分析和广告作更严格限制，账户型应用应提供账户删除。[15] Google Play要求开发者对嵌入SDK负责，保持应用内披露、同意和Data Safety一致，提供账户及关联数据删除；“冻结”账户不等于删除。Families Policy对儿童或混合受众产品的广告SDK和标识符另有限制。[16][31]
Steam对自己的账号、支付和平台安全数据有独立隐私政策，Steamworks接口又形成开发者可访问的数据流。[32] 不能仅因通过Steam发行就断言Valve是全部游戏数据的处理者或受托处理者；应按账户、支付、成就、好友、遥测和客服接口拆分。
平台政策可能比某地法律更严格，也可能关注不同对象。最佳方法不是把平台条款写进“法律依据”一栏，而是在发布门中并行验证：法律基础与出境机制、操作系统权限、商店政策与标签、合同承诺。任何一层失败都可能阻止上线。
（四）不要机械采取“全球最严标准”
所谓最严标准往往不可比较：中国未满14周岁全部个人信息为敏感个人信息，COPPA以未满13周岁和服务定向/实际知情为核心，GDPR儿童同意年龄在13至16岁之间由成员国决定，平台还有Kids或Families分类。一个全球阈值可能在某地过度收集，在另一地又漏掉要求。
企业应建立地区、年龄、产品、字段、目的、角色六维规则，优先共享不识别或低风险的公共控制，例如数据最小化、供应商台账、短期保留和安全响应；对年龄、同意方式、出境工具和权利期限保留地区化分支。统一底座与地区分支并不矛盾。
九、监管事件比较：从通报到产品控制
（一）中国App与SDK通报
2021年国家网信办通报105款App存在违法获取、超范围收集、过度索取权限等问题，要求15个工作日内整改。[33] 同年浙江省网信办通报85款App，页面正文明确包含网络游戏类别，并聚焦类似问题。[34] 这些材料说明实时交互、内容安全和商业模式不会使游戏脱离App的一般透明度、同意与必要性要求。
工信部2025年第4批、总第49批通报确认23款App及SDK存在侵害用户权益问题并被责令整改。[35] 由于逐项信息在PDF附件，本报告不把总体结论延伸为对任何具体产品、字段的认定。它能够支持的命题是：监管对象已明确覆盖App和SDK，开发者需要持续管理嵌入代码，而不能仅在采购时审查供应商。
中国通报的可执行控制主要是：首次启动前阻断非必要初始化；权限随功能触发；公开SDK和第三方清单；建立撤回和注销；用真机流量验证披露；保留版本与整改记录。公开材料不足以支持哪类问题“占比最高”的行业统计。
（二）FTC游戏案件
Epic案把儿童数据、默认通信、删除和购买界面放在同一救济结构中；Xbox案突出父母介入前的注册数据、未完成账户长期留存和向发行商披露；HoYoverse案则把广告分析标识符与战利品箱商业化设计并列。三案共同说明，儿童隐私不是一页父母同意书，而是从年龄门控、默认设置、SDK、留存到界面的系统问题。
但比较必须保持措辞边界：新闻稿主要表述FTC allegations和settlement/order，不能称所有行为已由法院终审认定；美国罚款金额也不能直接预测中国责任。其价值在于展示监管如何把数据实践翻译成具体产品救济：隐私默认、未获同意删除、下游儿童状态、独立隐私项目和审计。
（三）四组共通控制
七项样本可归纳为四个控制面。第一，收集和权限：每个字段应能回到功能与基础。第二，SDK与接收方：下游身份、字段、目的和儿童状态应可追踪。第三，默认和选择：儿童、通信、广告、画像和权限不能靠不利默认推动。第四，留存和救济：未完成注册、注销、删除和申诉要有真实后端任务，而不是只在前端隐藏账号。
这种归纳不是“中美规则趋同”的证明。中国法以个人信息处理基础、敏感信息和出境制度为主，美国案件以COPPA与FTC Act为核心；相同工程控制可能服务不同法律命题，应在记录中分别标明依据。
十、制度争议与责任边界
（一）“必要”不能由产品团队单方定义
产品认为某项分析能提高留存，并不等于法律上的合同必要。必要性包含反事实与替代方案：拒绝该处理后核心游戏是否仍可运行；能否用抽样、聚合、端侧计算、粗略位置或更短期限达到目标；用户是否主动请求该功能。将所有埋点写成“改善体验”会失去目的限制的意义。
（二）安全与隐私不是此消彼长
反作弊、账号保护和事件调查确需数据，但安全处理仍受目的、范围和期限约束。更精确的威胁模型、分层信号、端侧判断和短期证据窗口通常同时提高安全质量与隐私合规。收集过多反而扩大泄露面、误判来源和申诉成本。
（三）角色协议不能对抗真实决定权
企业倾向将供应商统一写成受托方，以简化文件；供应商又倾向保留“服务改进”权利。两者冲突时，实际再利用会击穿标签。解决方法不是选择更有利称谓，而是要么真正限制供应商目的、字段和子处理者，要么承认独立/共同处理并完成相应告知、基础和权利接口。
（四）重要数据识别应保守而不泛化
企业既不能因害怕监管把所有业务数据标为重要数据，也不能在没有目录时断言“一定没有”。应跟踪行业目录、主管部门告知和数据用途，记录识别过程。个人信息规模门槛与重要数据识别是两条并行线路；某数据可同时是个人信息与重要数据，也可能只属于其中之一。
（五）程序合规不能替代架构治理
签署标准合同、备案或取得认证不能修复不必要出境。若境外接收方实际获得未披露字段、SDK另有端点或用户无法行使权利，程序文件与现实脱节。更有效的顺序是先减少字段与境外权限，再选择机制；减少后的数据流仍需真实计数和持续监控。
十一、停服、注销、复制、删除与留存
（一）注销不是立即抹除一切，也不是永久保留许可
《网络数据安全管理条例》要求网络产品或服务提供者为个人提供便捷的注销账号功能，注销后删除个人信息或进行匿名化处理。[36] 但会计、税务、交易、网络安全、争议解决等法律义务或现实请求可能要求保留部分记录。正确做法是按目的和字段拆分：结束账号服务后删除营销画像和非必要遥测；对必须保留的订单、处罚证据或安全日志限制访问，不再用于日常运营，并在期限届满后删除或匿名化。
“可能发生诉讼”不能支持全量、无限期留存。企业应说明具体请求权期间、争议类型、字段必要性和访问人。备份要有滚动淘汰周期；不能逐条即时删除时，应确保数据不再回到生产使用，并在恢复流程中重新执行删除任务。
（二）权利接口必须贯穿多方系统
个人依法享有查阅、复制、更正、补充、删除等权利，符合条件时处理者还应提供转移途径。[37] 游戏的账号数据分散在运营、研发、SDK、客服和备份中，前端按钮只有在后端能够定位和传递请求时才有效。应以稳定的内部主体标识关联各系统，同时避免把手机号、证件号作为全局暴露的查询键。
复制文件应可理解，区分用户提供数据、游戏状态、交易和必要日志；不必泄露他人信息、反作弊秘密或危害安全，但限制应有依据和说明。共同处理者和受托方合同中应写明权利请求路由、身份验证、响应期限和删除证明。
（三）停服是一项数据迁移和销毁项目
停服前应冻结新增非必要收集，向用户说明导出、退款、注销和保存安排；盘点生产库、对象存储、日志、分析仓、客服、供应商与备份；终止境外访问和SDK密钥；完成法定保留数据的隔离；向供应商取得删除或返还证明。域名和云账号关闭不等于数据已销毁。
停服后仍可能保留最小团队处理争议和权利请求。责任人、访问审批、事件联系和最终销毁日期应明确，避免公司团队解散后留下无人管理的数据资产。
十二、结论
网络游戏个人信息治理的核心不是寻找一个覆盖所有活动的同意，也不是给所有合作方贴上一个永久角色。可持续的治理结构应当完成五项转变。
第一，从隐私政策中心转向运行数据流中心。每个版本用依赖、权限、抓包、服务端日志和供应商控制台验证文字。第二，从企业标签转向处理活动角色。以目的、实质方式和再利用决定权区分处理者、共同处理者和受托处理者。第三，从业务有用转向法定基础与最小必要。合同必要只覆盖不可缺少的核心服务，实名防沉迷回到法定义务，可选分析广告则提供真实选择。
第四，从服务器位置转向跨境访问路径。全球同服、境外后台、客服、SDK、支付和备份逐流识别；按自然人、敏感属性、CIIO和重要数据匹配2024年程序门槛，同时保留告知、单独同意、影响评估与安全控制。第五，从上线一次审查转向全生命周期证据。SDK版本、未成年人模式、人脸替代方案、年度人数、权利请求、停服和销毁均应形成持续台账。
对于出海团队，最稳妥的目标不是建立一个声称满足“全球最严”的单一版本，而是搭建共享的最小化、安全、供应商和权利底座，再按地区、年龄、产品和数据目的启用规则分支。这样既避免因过度收集造成新风险，也能在法规、平台政策或发行架构变化时定位受影响的数据流。
十三、研究限制与审核提示
本报告依据截至2026年7月22日可获得的官方公开材料，不替代对具体产品流量、合同、用户规模、重要数据目录和目标市场的法律审查。中国部分监管通报的产品明细以图片或PDF附件发布，本文只使用页面正文能够确认的总体信息；工信部第49批附件及浙江85款App图片表格应在正式发表前人工固化复核。EDPB角色指南页面在自动化访问中受客户端拦截，角色比较同时回到GDPR正式文本，链接保留供人工复核。
平台政策为动态文件，应在提交商店时重新核对版本。数据出境人数需以企业自当年1月1日起的真实自然人去重台账计算，本文不对任何具体游戏是否达到门槛作结论。人脸10万人备案、CIIO身份、重要数据识别和自贸区负面清单均可能显著改变项目路径，应在具体事实形成后另行确认。
注释与来源
[1] 《中华人民共和国个人信息保护法》第5—9条、第13条，国家互联网信息办公室，2021年8月20日公布，2026年7月22日访问，official source 。
[2] 《常见类型移动互联网应用程序必要个人信息范围规定》第3条、第5条第18项，国家互联网信息办公室，2021年3月22日，2026年7月22日访问，official source 。
[3] 《未成年人网络保护条例》第24条、第31—38条、第42—48条，中国政府网，2023年10月24日公布，2026年7月22日访问，official source 。
[4] 《人脸识别技术应用安全管理办法》第4—10条，国家互联网信息办公室，2025年3月21日公布，2026年7月22日访问，official source 。
[5] 《数据出境安全评估申报指南（第二版）》“适用范围”，国家互联网信息办公室，2024年3月22日，2026年7月22日访问，official source 。
[6] 《促进和规范数据跨境流动规定》第3—8条，国家互联网信息办公室，2024年3月22日，2026年7月22日访问，official source 。
[7] 《App违法违规收集使用个人信息行为认定方法》，国家互联网信息办公室，2019年12月27日，2026年7月22日访问，official source 。
[8] 《国家新闻出版署关于进一步严格管理 切实防止未成年人沉迷网络游戏的通知》，中国政府网，2021年8月30日，2026年7月22日访问，official source ；《未成年人网络保护条例》第46条。
[9] 《中华人民共和国个人信息保护法》第24条；《网络数据安全管理条例》第42条，中国政府网公报，2024年9月30日公布，2026年7月22日访问，official source 。
[10] 《中华人民共和国个人信息保护法》第28—31条。
[11] 《网络数据安全管理条例》第62条关于重要数据的定义；《中华人民共和国数据安全法》第21条，国家互联网信息办公室，2021年6月11日，2026年7月22日访问，official source 。
[12] 《中华人民共和国个人信息保护法》第20—23条、第73条。
[13] 《网络数据安全管理条例》第12条。
[14] 《中华人民共和国个人信息保护法》第23条、第25条、第29条、第31条、第39条。
[15] Apple, App Review Guidelines, §§1.3, 5.1.1, 5.1.2，2026年7月22日访问，official source 。
[16] Google Play, User Data policy，2026年7月22日访问，official source 。
[17] 《未成年人网络保护条例》第24条。
[18] Federal Trade Commission, “FTC Will Require Microsoft to Pay $20 million over Charges It Illegally Collected Personal Information from Children without Their Parents' Consent,” June 5, 2023，2026年7月22日访问，official source 。
[19] 《人脸识别技术应用安全管理办法》第8—10条、第15—16条。
[20] 《网络数据安全管理条例》第27条；《个人信息保护合规审计管理办法》，国家互联网信息办公室，2025年2月14日公布，2026年7月22日访问，official source 。
[21] 《促进和规范数据跨境流动规定》第7—9条。
[22] 同上，第3—6条。
[23] 《个人信息出境标准合同办法》第5—7条及附件，国家互联网信息办公室，2023年2月24日，2026年7月22日访问，official source 。
[24] 《数据出境安全评估办法》第5—9条，国家互联网信息办公室，2022年7月7日，2026年7月22日访问，official source 。
[25] Regulation (EU) 2016/679, Article 3, EUR-Lex，2026年7月22日访问，official source ；EDPB, Guidelines 3/2018 on the territorial scope of the GDPR, Version 2.1，2026年7月22日访问，official source 。
[26] Regulation (EU) 2016/679, Article 4(7)—(8), Articles 26 and 28；EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR，2026年7月22日访问，official source 。
[27] Regulation (EU) 2016/679, Articles 6 and 8.
[28] Federal Trade Commission, “FTC Finalizes Changes to Children's Privacy Rule,” January 16, 2025，official source ；Children's Online Privacy Protection Rule, 90 Fed. Reg. 16912 (Apr. 22, 2025)，2026年7月22日访问，official source 。
[29] Federal Trade Commission, “Fortnite Video Game Maker Epic Games to Pay More Than Half a Billion Dollars over FTC Allegations,” December 19, 2022，2026年7月22日访问，official source 。
[30] Federal Trade Commission, “Genshin Impact Game Developer Will Be Banned from Selling Lootboxes to Teens under 16 without Parental Consent,” January 17, 2025，2026年7月22日访问，official source 。
[31] Google Play, Families Policy Requirements，2026年7月22日访问，official source 。
[32] Valve, Steam Privacy Policy Agreement，2026年7月22日访问，official source ；Steamworks, Data Privacy，official source 。
[33] 《关于105款App违法违规收集使用个人信息情况的通报》，国家互联网信息办公室，2021年5月21日，2026年7月22日访问，official source 。
[34] 《浙江省网信办关于85款App违法违规收集使用个人信息情况的通报》，国家互联网信息办公室，2021年8月29日，2026年7月22日访问，official source 。
[35] 《关于侵害用户权益行为的App（SDK）通报（2025年第4批，总第49批）》，工业和信息化部，2025年8月4日，2026年7月22日访问，official source 。
[36] 《网络数据安全管理条例》第24条。
[37] 《中华人民共和国个人信息保护法》第45—47条。