SDK、未成年人數據與境外運營
資料截止日：2026 年 7 月 22 日
摘要
網絡遊戲的數據治理難題並不只在於“收集了多少信息”，而在於數據流被產品功能、技術依賴和全球運營切成了大量不同處理活動：手機號用於註冊，人證信息用於實名和防沉迷，行爲日誌同時服務於狀態同步、數值平衡和反作弊，語音既是社交內容又可能進入審覈和客服，境內玩家數據還可能被境外發行商、全球客服、分析SDK或雲平臺訪問。同一字段因處理目的、用戶年齡、使用方式和接收方不同，會落入不同的法律評價。
中國《個人信息保護法》要求以明確、合理目的和最小影響方式處理個人信息，並以同意、合同必要、法定義務等法定基礎爲前提；中國法沒有一項可以普遍吸收分析、廣告和風控活動的“合法利益”基礎。[1] 對遊戲而言，核心服務“合同必要”的邊界應當窄於團隊通常理解的“業務上有用”：維持賬號、同步角色狀態可能不可缺少，跨應用廣告、可選社交導入、廣泛設備畫像則不能僅以改善體驗爲由併入核心服務。實名和防沉迷通常指向法定義務，而非由一份概括同意任意擴張。2021年《常見類型移動互聯網應用程序必要個人信息範圍規定》對網絡遊戲基本功能列出的必要信息只有註冊用戶移動電話號碼，並未列身份證信息；身份證處理應回到實名、防沉迷的獨立依據，而不能誤引該規定。[2]
主體責任同樣不能按合同名稱機械分配。決定埋點模式和通用反作弊模型的研發商，決定賬號、商業化和客服規則的境內運營商，決定全球廣告、分析和留存的境外發行商，以及能夠跨客戶複用數據的SDK供應商，都可能分別或共同決定處理目的、方式。只有在供應商嚴格受指示、不得獨立複用數據且具備可驗證控制時，受託處理的定性才穩固。應用商店、支付機構和雲服務商通常還同時存在自有賬號、計費、安全或法定義務的數據流，需要逐流拆分，不能給一個企業貼上覆蓋全部活動的單一標籤。
未成年人和人臉識別把必要性要求進一步推高。未滿14週歲個人信息整體屬於敏感個人信息，但14至17週歲個人信息並不因此一概自動成爲敏感個人信息。網絡遊戲應將年齡識別置於數據流前端，落實監護人同意、默認設置、訪問最小化和年度審計；不得通過自動化決策向未成年人進行商業營銷。[3] 人臉覈驗不能因爲“防沉迷”三個字就成爲默認或唯一方案。2025年施行的《人臉識別技術應用安全管理辦法》要求特定目的、充分必要、最小影響，在存在其他非人臉方式可以實現同等目的時，不得將人臉識別作爲唯一驗證方式，並對設備內處理、互聯網傳輸、影響評估和達到10萬人規模後的備案作出專門要求。[4]
出境分析必須從真實路徑開始，而不是從服務器標籤開始。中國玩家數據直接寫入境外服務器屬於典型出境；即使數據仍存境內，境外發行商、總部或客服查詢、調取、下載境內數據庫，也可能構成數據出境。[5] 反過來，境外用戶數據在境外被境外主體直接收集、未流經中國境內處理，並不當然屬於中國數據出境。2024年《促進和規範數據跨境流動規定》爲部分場景設定了豁免和分級門檻，但主要改變的是安全評估、標準合同或認證等程序路徑，並未一併取消告知、適用時的單獨同意、個人信息保護影響評估、必要性與安全義務。[6]
本報告的結論是：網絡遊戲數據治理的可執行單元應當是“字段 × 目的 × 主體 × 地區 × 年齡段”，而不是一份隱私政策或一張SDK名單。企業應以運行證據校準文本，以決定權校準角色，以出境路徑和自然人人數校準機制，並在停服、註銷和爭議留存中落實按目的隔離與到期刪除。GDPR、COPPA及平臺政策應作爲目標市場和發行渠道的獨立接口接入，而不是簡單選取所謂“全球最嚴標準”。
關鍵詞： 網絡遊戲；個人信息；SDK；未成年人；人臉識別；數據出境；全球同服；COPPA
一、問題、範圍與方法
（一）爲什麼傳統“隱私政策審查”不足以覆蓋遊戲
網絡遊戲是持續運行的服務，而不是一次性表單。初次啓動可能觸發崩潰監測和渠道歸因；註冊後接入短信、第三方登錄和實名；運行期間持續生成角色、位置、裝備、行爲和社交數據；商業化環節疊加支付與廣告；爭議環節又調用日誌、錄音和截圖。版本更新、活動運營、SDK升級和海外發行會隨時改變數據字段、端點、接收方和保存期。
因此，一份寫得完整的隱私政策仍可能與實際運行不一致：SDK在用戶作出選擇前已經連接服務器，文本稱“粗略位置”而系統權限獲得精確位置，國內版本聲稱境內存儲而境外客服擁有後臺權限，商店Data Safety或Privacy Nutrition Label又與應用內清單不同。透明度不是紙面欄目是否齊全，而是用戶能夠預期的處理與真實流量是否一致。《App違法違規收集使用個人信息行爲認定方法》將未公開規則、未明示目的方式範圍、未經同意、違反必要原則以及權利渠道失效等列爲核心問題。[7]
（二）研究邊界
本報告以中國境內運營並可能海外發行的網絡遊戲爲對象，處理賬號、設備、行爲、社交、支付、語音、人臉、位置、反作弊和客服數據。分析參與者包括研發商、境內運營商、境外發行商、應用商店和渠道、SDK供應商、雲服務商、客服與支付機構。
歐盟GDPR、美國COPPA以及Apple、Google Play、Steam規則只在境外運營接口進入：歐盟部分討論域外適用、角色和跨境工具；美國部分聚焦兒童數據與FTC遊戲案件；平臺部分討論上架和SDK責任。消費者合同、虛擬財產、封號爭議和生成式AI內容治理不作系統展開。
（三）四步方法
第一步是拆活動：同一數據庫中的手機號用於登錄、營銷和找回密碼，應視爲三個目的，不因物理存儲在同一列而合併。第二步是定角色：檢查誰決定目的、字段、算法、接收方和保存期。第三步是配基礎：判斷合同必要、法定義務、同意、單獨同意或其他法定情形能否逐項支撐。第四步是驗運行：用構建依賴、權限調用、網絡抓包、訪問日誌、供應商控制檯和刪除記錄驗證文件。
監管事件比較僅說明公開材料能夠支持的事實。中國通報常將產品明細放在圖片或PDF中；美國和解公告陳述監管機構指控與命令條件，不能寫成法院已經確認全部事實。定量比較需要完整編碼樣本，本報告不從七項事件推導行業發生率。
二、從字段清單轉向數據生命週期
（一）賬號和聯繫方式：核心服務不等於無限用途
手機號、賬號名、密碼哈希、驗證碼、第三方登錄標識通常用於創建和保護賬號。對用戶主動請求的註冊、登錄、找回和跨端同步，在客觀不可缺少的範圍內可討論“訂立、履行個人作爲一方當事人的合同所必需”。但手機號進入活動營銷、好友匹配或集團交叉推廣後，處理目的發生改變，需要另行確認基礎和退出機制。
《常見類型移動互聯網應用程序必要個人信息範圍規定》採取“拒絕非必要信息不得阻礙基本功能”的結構。其第十八類“網絡遊戲類”基本功能爲“提供網絡遊戲產品和服務”，必要個人信息僅列“註冊用戶移動電話號碼”。[2] 這項規定不能被反向解釋爲所有遊戲都必須以手機號作爲唯一賬號方式，也不能證明身份證、通訊錄、精確位置或設備安裝列表屬於基本功能必要信息。實名身份處理應當依據網絡遊戲實名、防沉迷和未成年人保護規則獨立論證。國家新聞出版署的防沉迷文件要求網絡遊戲實名註冊、登錄和相關限制；《未成年人網絡保護條例》進一步要求通過統一電子身份認證等必要手段驗證未成年人真實身份信息。[8]
（二）設備和網絡信息：可識別性與粒度都重要
IP地址、設備型號、操作系統、應用版本、廣告標識符、Android ID、IDFV、推送token、網絡狀態和傳感器特徵可能單獨或結合賬號識別、區分個人，通常應納入個人信息臺賬。它們不因“技術信息”或“日誌”名稱而退出個人信息範圍。反之，完全聚合且無法復原個體的性能指標可能不再構成個人信息；真正匿名化需要達到無法識別且不能復原的效果，僅以角色ID替代手機號通常只是去標識化。
設備指紋的風險來自組合性：單個字段看似普通，穩定組合後能夠長期追蹤設備、關聯賬號、識別繞過封禁行爲。此類處理可以服務賬號安全和反作弊，但必須證明字段與具體威脅之間的關係。讀取剪貼板、安裝列表、運行進程或本地文件若沒有明確安全場景和窄化條件，不能以“風控需要”一語概括。安全目的也不授權將指紋同步用於廣告歸因或跨遊戲畫像。
（三）行爲和遙測：狀態同步、分析與畫像必須拆開
角色座標、關卡、點擊、戰鬥、裝備、匹配、在線時長、網絡延遲、崩潰棧和幀率共同構成遊戲遙測。至少應拆成四組：一是維持當次服務狀態；二是診斷性能和錯誤；三是數值平衡、活動分析和留存研究；四是個性化推薦、付費預測或廣告畫像。
第一組通常更接近合同履行必要，第二組需按故障處理的必要性控制字段和期限，第三、四組則不能因爲有利於經營就自動進入合同必要。匿名或充分聚合能夠降低風險，但“去掉姓名”不足以匿名。若系統根據消費能力、易流失程度或行爲偏好對玩家施加差異化營銷，除處理基礎外還需要考慮自動化決策透明、公平和拒絕定向推送等要求。《個人信息保護法》第二十四條要求自動化決策保證透明、公平、公正，不對個人在交易價格等交易條件上實行不合理差別待遇，並向個人提供不針對其個人特徵的選項或便捷拒絕方式。[9]
（四）社交、語音與內容：內容本身可能改變分類
好友關係、羣組、公會、聊天、舉報和屏蔽記錄形成高度關係化的數據。用戶主動添加好友或發起語音可以屬於其請求的社交功能，但讀取整個系統通訊錄不是提供遊戲核心功能的當然必要條件，應在用戶主動操作時說明目的、範圍，併爲拒絕者提供手動搜索等替代方式。被上傳通訊錄中的聯繫人並非遊戲用戶，處理者仍需評估其合法來源和最小影響。
語音數據不能被一概稱爲生物識別敏感個人信息。普通語音聊天首先是通信內容；當聲紋特徵被提取並用於識別個人時，才明確進入生物識別信息。語音內容也可能披露健康、宗教、精確位置或兒童身份，從而因內容與場景具有更高風險。團隊應分別記錄原始音頻、轉寫文本、聲紋模板、審覈標籤和舉報片段的目的、訪問人和期限，而不是用“語音數據”一欄覆蓋全部。
（五）支付：交易記錄不等於金融賬戶
訂單號、商品、金額、渠道、支付狀態、退款和發票信息用於完成交易、對賬、反欺詐、會計與稅務。金融賬戶屬於法定列舉的敏感個人信息，但遊戲中的購買金額或道具訂單並不僅因涉及錢款就自動成爲“金融賬戶信息”。是否敏感仍應看字段是否涉及賬戶、認證憑據、資金安全以及泄露後風險。
支付機構或應用商店通常對支付賬戶、清算、反洗錢、反欺詐和法定留存具有獨立目的；遊戲運營者則對訂單履行、發貨、退款和客服另行決定。雙方可能分別是獨立處理者，不能籠統寫成“平臺受託處理”。接口中返回的卡號掩碼、支付token、渠道用戶ID或風險標籤應逐字段檢查，避免把支付方掌握的全部信息複製到遊戲後臺。
（六）位置、人臉與未成年人信息：敏感並非“大類標籤”
精確位置、人臉模板、金融賬戶和醫療健康等屬於敏感個人信息；未滿14週歲未成年人的個人信息整體屬於敏感個人信息。[10] 但敏感屬性必須落到具體字段、目的和對象：城市級IP推斷與持續GPS軌跡風險不同；普通語音與聲紋識別不同；14至17週歲玩家仍受未成年人專門保護，卻並非其所有數據都僅因年齡自動成爲敏感個人信息。
“敏感個人信息”也不等於“重要數據”。重要數據判斷關注數據一旦遭到篡改、破壞、泄露或非法利用後對國家安全、經濟運行、社會穩定、公共健康和安全的直接危害。[11] 大量玩家畫像可能觸發個人信息規模規則，但不能只因數量大就自行認定爲重要數據；反之，主管部門告知或目錄識別爲重要數據後，也不能用一般個人信息出境門檻替代安全評估。
三、研發、運營、發行、渠道與供應商的角色
（一）角色是按處理活動確定，不是按公司確定
《個人信息保護法》將個人信息處理者定義爲在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。兩個以上處理者共同決定目的和方式的，應約定各自權利義務，但該約定不影響個人向任一處理者行使權利；造成損害時依法承擔相應責任。受託處理則要求約定目的、期限、方式、種類、保護措施和雙方權利義務，並由委託方監督。[12]
這意味着同一公司在不同數據流中可能有不同角色。雲商對客戶託管內容可能按指示處理，對雲賬戶、計費和基礎設施安全日誌則具有自有目的。應用商店對商店賬號、支付和平臺安全多爲獨立處理，對開發者接入的某個技術組件又可能有另一關係。角色分析必須以處理活動爲單位。
（二）研發商與境內運營商
如果研發商只按運營商寫明的規格開發客戶端、不得接觸生產數據，也不決定埋點或再利用，其角色可能接近受託開發或不直接參與特定生產處理。但現實中研發商常決定遙測字段、崩潰診斷、反作弊規則、模型訓練和版本更新，並可能通過自有後臺持續訪問玩家數據。此時“沒有直接與用戶簽約”不能排除其處理者地位。
境內運營商通常決定賬號體系、實名、防沉迷、服務規則、商業化、活動和客服，是核心運營活動的主要處理者。若雙方共同確定埋點目標、分析模型和保存期，可能形成共同處理；若研發商將數據用於其他遊戲或通用模型，還可能對該再利用成爲獨立處理者。應當把“提供本遊戲”“聯合分析”“研發商獨立複用”拆成不同活動分別定性。
（三）境外發行商與關聯公司
境外發行商若只執行境內運營商的明確指示、無權改變用途、接收方和期限，理論上可能作爲受託方。但海外發行通常包括區域營銷、廣告投放、活動設計、客服、社區、反欺詐和全球用戶分析，發行商對這些目的和方式具有實質決定權。集團關係不會自動消除這種獨立性，數據處理協議也不能靠一句“境外方僅爲受託方”覆蓋真實決策。
共同處理並不要求雙方接觸完全相同的數據或在每一步擁有同等權力。若境內運營商和境外發行商共同設計全球賬號與分析體系，使各自處理互爲必要並共同決定核心用途，就應評估共同處理。相反，境外應用商店僅爲自有支付和平臺安全處理數據，並不當然與遊戲方共同處理全部玩家數據。
（四）SDK：技術形態不是法律角色
“第三方SDK”描述軟件集成方式，不描述法律角色。嚴格按遊戲方書面指示採集有限字段、不得跨客戶複用、不得增加子處理者並按期刪除的崩潰SDK，更接近受託處理。供應商若自行決定收集設備標識和訪問端點，用於跨應用廣告匹配、通用分析或自有產品訓練，則可能就該活動成爲獨立處理者。若遊戲方與供應商共同設計廣告或畫像目的，則還可能共同處理。
《網絡數據安全管理條例》第十二條要求通過合同約定向其他網絡數據處理者提供、委託處理個人信息和重要數據時的目的、方式、範圍和安全義務，並監督接收方履約，相關處理情況記錄至少保存三年。[13] 這使SDK治理不能停在採購時簽署一份模板協議：每次版本更新、字段增加、端點變化或子處理者變化都可能改變原有判斷。
（五）渠道、雲、客服與支付需要拆流
渠道賬號、平臺支付、推薦和安全是渠道的自有流；遊戲登錄token、訂單回執和營銷歸因是雙方接口流。雲服務商對業務庫內容通常受客戶指示，但對自身賬戶、計費、濫用檢測和網絡安全可能獨立決定。客服外包若按照腳本和權限處理工單，通常更接近受託方；若將錄音用於供應商通用模型、跨客戶質檢或人員管理，則必須爲這些活動另找角色和基礎。
境外客服還同時觸發出境問題。即使工單系統位於中國，只要境外坐席能查詢、調取或下載境內存儲的玩家個人信息，也可能發生出境。角色與地域是兩個獨立維度：一個主體可能既是受託處理者，又是境外接收方；受託身份不會豁免出境要求。
（六）責任分配的外部與內部效果
運營者不能以“違規是SDK做的”爲由對用戶或監管當然免責。它決定集成SDK、向其開放運行環境和玩家入口，並負有選擇、合同約束、監督和停止的責任。供應商的保證、賠償和審計權主要調整雙方內部追償，並不重寫面向個人的法定角色。共同處理協議也不能限制個人依法向任何共同處理者行使權利。
這並不意味着運營者對所有供應商行爲承擔無邊界責任。若供應商祕密超出指示處理，超出部分可能由其作爲獨立處理者負責；但運營者仍需證明其盡到了合理選擇、運行驗證、版本控制和異常響應義務。責任分析應同時回答“誰決定了問題活動”與“誰本應發現並阻止它”。
四、處理基礎、告知同意與最小必要
（一）中國法沒有一般“合法利益”兜底
《個人信息保護法》第十三條列明同意、訂立或履行個人作爲一方當事人的合同所必需、人力資源管理所必需、履行法定職責或法定義務所必需、緊急保護自然人生命健康和財產安全、合理範圍處理公開信息，以及法律行政法規規定的其他情形。[1] 與GDPR不同，中國法沒有可以一般適用於商業分析、廣告或反欺詐的“合法利益”條款。跨國模板如果直接翻譯“legitimate interests”，會在中國版本中製造基礎錯配。
同意也不是萬能修復。處理應當先有明確合理目的，與目的直接相關，採取對個人權益影響最小的方式，並限於最小範圍；超出這些要求的收集不能只靠冗長勾選變得必要。將基本功能與可選廣告、通訊錄、精確位置捆綁，或因用戶拒絕非必要處理而阻斷核心服務，也會損害同意的自願性。
（二）合同必要應做反事實測試
可用三個問題收窄合同必要：用戶請求的具體服務是什麼；沒有該字段或處理，服務是否客觀上無法提供；是否存在明顯侵害更小的替代方式。賬號認證、角色狀態同步、用戶發起的匹配和訂單交付可能滿足；長期跨產品畫像、第三方定向廣告和將客服錄音訓練通用模型通常很難僅靠遊戲服務合同說明。
“改善體驗”“保障安全”“優化產品”過於抽象。崩潰日誌是否必要，要看能否刪除賬號標識、降低精度、抽樣、縮短期限；反作弊是否必要，要看具體作弊威脅是否需要該進程、文件或設備特徵，而不是安全團隊認爲數據越多越好。
（三）實名和防沉迷更接近法定義務
實名、年齡判斷、遊戲時段和消費限制旨在履行網絡遊戲和未成年人保護要求。對這些不可缺少的身份處理，法定義務通常比概括同意更準確。若把實名全部建立在“同意”上，就會出現用戶撤回同意後是否仍能履行法定義務的矛盾。
但法定義務基礎也有限度：它支持驗證身份和執行防沉迷，不當然支持把身份證號碼用於營銷畫像、好友推薦或通用模型。驗證結果可在滿足監管目標的前提下儘量採用年齡段、覈驗狀態或不可逆標記，減少業務系統長期保存完整證件信息。身份庫應與廣告、分析和普通客服權限隔離。
（四）一般同意、單獨同意與監護人同意不是同一層
處理敏感個人信息、向其他處理者提供、公開個人信息、以及向境外提供個人信息等法定情形涉及單獨同意；未滿14週歲未成年人個人信息還應取得父母或其他監護人同意並制定專門規則。[14] “單獨同意”應當相對於其他處理事項獨立呈現和選擇，不能埋在一攬子隱私政策中。監護人同意還要求可靠識別監護關係和保存同意記錄。
操作系統權限、Apple ATT、Google Play披露與中國法同意也不能相互替代。系統允許麥克風只表示設備層授權，不證明用戶已經充分理解錄音是否存儲、是否轉寫、是否用於審覈或模型訓練；ATT主要處理Apple生態的追蹤權限，不覆蓋PIPL下全部處理基礎。企業需要同時滿足法律、操作系統和平臺三個層次。
（五）告知應當與真實運行對齊
告知至少應讓用戶理解處理者、目的、方式、種類、期限、權利行使渠道；涉及敏感信息、對外提供和出境時還有更具體內容。SDK清單不應只列供應商名稱和“改善體驗”，還應說明SDK名稱、業務場景、字段、權限、接收方或鏈接、是否出境，並與構建版本對應。
版本發佈前應完成四方對賬：應用內隱私政策與SDK名單、操作系統權限彈窗、Apple/Google商店標籤、真機流量和服務端日誌。任何一方多出字段或接收方，都說明披露或運行控制失配。用戶同意後的靜默SDK更新若增加目的、敏感字段或境外接收方，可能需要重新評估告知和同意，而不是沿用舊版本勾選。
五、第三方SDK、設備權限與自動化風控
（一）SDK治理是一條生命週期
有效治理至少包括九個相連控制：建立依賴與軟件物料清單；繪製目的、字段、權限、端點和角色；禁止非必要SDK在選擇前初始化；在功能觸發時請求權限；用真機網絡捕獲驗證；通過合同限制目的、子處理者、地點、期限和事件通知；對版本與哈希設置變更門；準備遠程停用和密鑰輪換；使隱私文本、SDK清單、商店標籤與真實流量持續一致。
清單是起點而不是結果。供應商文檔寫“可能收集”並不能說明當前構建實際收集什麼；客戶端未直接調用某權限也不能證明SDK沒有通過其他API獲得同類信息。測試應覆蓋首次啓動、拒絕、同意、撤回、未成年人模式、登錄前後、支付、語音和後臺運行等狀態。
（二）同意前初始化是高頻結構性風險
很多SDK在應用創建時自動初始化，先讀取設備標識、IP或配置，再等待業務調用。若這些數據用於廣告、非必要分析或獨立供應商目的，後置彈窗不能倒轉已經發生的處理。工程上應將SDK初始化放入同意狀態機，爲拒絕和撤回配置真實分支，並防止遠程配置在下個啓動週期重新開啓。
必要的安全和崩潰處理也應縮減同意前數據。可以按功能將SDK拆包、延遲加載或使用不含穩定標識符的基礎模式；無法配置的供應商應被視爲產品架構風險，而不是由隱私政策吸收。Google Play明確要求開發者對SDK和第三方代碼的數據實踐負責，並要求顯著披露、必要同意和Data Safety一致；Apple也要求開發者對第三方SDK、分析和廣告服務負責。[15][16] 這些屬於平臺規則，但會獨立影響上架。
（三）權限應與觸發動作相連
麥克風應在玩家主動進入語音或錄製時請求，通訊錄應在主動找好友時請求，精確位置只有存在明確本地化玩法且粗略位置不足時才討論。拒絕可選權限後應提供手動搜索、文字聊天或粗略地區等替代方案。把權限請求集中在首次啓動不僅降低選擇質量，也常暴露“先取權限再找用途”的設計。
權限獲批不意味着每次使用都合理。後臺持續訪問、從粗略切換精確、從當次功能轉爲長期畫像，都可能構成方式或目的變化。端側權限日誌與服務器入庫字段應可關聯，才能回答“何時、由哪個版本、爲哪個功能”發生處理。
（四）反作弊的必要性、自動化和救濟
反作弊保護公平競技、賬號和虛擬交易安全，具有真實必要性，但其技術能力也最容易擴張。設備指紋、進程掃描、行爲序列和關聯網絡應按威脅模型分層：低風險匹配不需要最高侵入性信號；客戶端文件掃描應限定目錄、類型和觸發條件；風險標籤不應用於無關營銷。
若風險分直接導致封禁、交易限制或匹配隔離，對個人權益產生重大影響，應提供規則的可理解說明、人工複覈或便捷申訴。公開全部檢測閾值會幫助規避，但透明不等於披露源代碼；企業至少可以說明數據類型、主要判斷因素、可能後果、保存期和救濟路徑。應保留足以複覈具體處罰的證據，同時避免爲“未來可能有爭議”無限期保存全部原始遙測。
（五）合同與運行證據必須相互閉合
SDK合同至少應限定目的、字段、指示、保存期、地點、子處理者、獨立複用、刪除、事件通知、審計和終止協助。對境外端點還需寫明接收主體、訪問地、後續轉移和個人權利協助。版本更新應觸發字段/權限/域名差異審查，供應商不得僅在網頁更新政策就自動擴大處理。
運行證據包括依賴版本、構建哈希、初始化日誌、同意狀態、網絡目的地、服務端收數、供應商控制檯、訪問記錄和刪除證明。出現異常時，遠程kill switch比等待應用商店審覈新版本更關鍵；否則一次SDK泄露可能持續數日。合同中的賠償上限無法替代停止數據流的技術能力。
六、未成年人、防沉迷與生物識別
（一）年齡識別應前置，但不能形成新的過度收集
未成年人保護依賴識別用戶是否屬於兒童或未成年人，但年齡門控本身也處理個人信息。合理架構可先以最少信息進行年齡段判斷，再對需要實名、防沉迷或父母同意的用戶進入相應路徑。未經必要，不應爲了證明“所有用戶都是成年人”而向所有人收集更多證件、人臉或監護關係材料。
《未成年人網絡保護條例》要求網絡遊戲服務提供者通過統一電子身份認證等必要手段驗證未成年人真實身份信息，並執行遊戲時段、時長和消費管理。[3] “等必要手段”不應被解釋爲普遍強制人臉識別。實名結果、年齡段、監護同意狀態和完整證件信息可分層保存，讓普通運營、廣告和客服只看到完成任務所需的狀態字段。
（二）未滿14週歲與14至17週歲應分層
未滿14週歲個人信息整體爲敏感個人信息，應取得父母或其他監護人同意並制定專門處理規則。14至17週歲仍受《未成年人網絡保護條例》在默認設置、商業營銷、防沉迷、審計和安全等方面保護，但其所有數據不因年齡自動落入敏感個人信息；精確位置、人臉等字段仍按其自身屬性處理。
按“成人/兒童”二分可能無法同時滿足中國未滿14週歲、COPPA未滿13週歲以及歐盟各成員國13至16歲之間的數字同意年齡。產品應使用“地區 × 年齡段 × 功能 × 數據目的”矩陣，避免將一個全球年齡閾值誤稱爲所有法域共同要求。
（三）默認設置、營銷與SDK
《未成年人網絡保護條例》禁止通過自動化決策方式向未成年人進行商業營銷。[17] 這要求系統不僅提供退出按鈕，還要在識別爲未成年人後阻斷相應畫像和自動化營銷流。面向兒童或混合受衆的產品還應檢查廣告SDK是否收集持久標識符、是否進行跨應用追蹤、是否接收年齡狀態以及是否能夠切換兒童合規模式。
FTC對Microsoft/Xbox的指控顯示，問題可能發生在父母介入之前：兒童開始註冊時已提供數據，未完成賬戶的數據又被長期保存並向遊戲發行商披露。和解要求在相關場景未獲父母同意時於兩週內刪除，並向下遊傳遞兒童狀態。[18] 這給中國遊戲的啓示不是照搬兩週期限，而是把年齡判斷、父母同意和下游SDK模式放在數據發送之前，併爲未完成註冊設置短期刪除任務。
（四）人臉覈驗不是防沉迷的唯一答案
人臉信息屬於生物識別敏感個人信息。採用人臉識別應具有特定目的和充分必要性，採取對個人權益影響最小的方式；存在其他非人臉方式可以實現同等目的或達到同等業務要求時，不得將人臉識別作爲唯一驗證方式。[4] 這使“監管要求防沉迷”與“必須對所有玩家刷臉”之間不能直接畫等號。
如果以同意爲基礎處理人臉，應取得單獨同意；未滿14週歲還應取得監護人同意。除法律、行政法規另有規定或取得個人單獨同意外，人臉信息原則上應存儲在識別設備內，不得通過互聯網對外傳輸。處理前應開展個人信息保護影響評估並至少保存評估記錄三年；存儲人臉信息達到10萬人，應在數量達到之日起30個工作日內向所在地省級網信部門備案。[19]
遊戲實踐可以優先使用權威實名接口返回的核驗狀態、設備端活體後立即刪除原始圖像、異常觸發而非持續刷臉、人工申訴等低侵害方案。團隊還需區分原始照片、視頻、活體參數、特徵模板、匹配結果和失敗日誌；刪除原圖並不等於模板自動刪除。
（五）訪問控制、審計與事件響應
未成年人個人信息應採取最小授權，嚴格設定訪問範圍。實名庫、人臉庫、客服和廣告平臺不應共享同一寬泛後臺角色。對大量未成年人個人信息處理還應按規定定期開展合規審計；《網絡數據安全管理條例》也確立個人信息保護合規審計要求，2025年施行的審計辦法提供進一步程序框架。[20]
事件響應不能只通知安全團隊。泄露或誤傳發生後，應確定涉及的年齡段、敏感字段、接收方和可撤回程度，及時採取補救；達到法定條件時通知主管部門和個人。對兒童數據，應準備監護人可理解的通知與權利渠道，同時關閉相關SDK、撤銷token、限制下載並追蹤下游刪除。
七、海外發行、全球同服與數據出境
（一）先畫路徑，再談機制
數據出境的第一問不是“公司有沒有境外業務”，而是某一數據是否在中國境內運營中收集或產生，誰從何地訪問，是否向境外傳輸、提供或開放查詢。官方《數據出境安全評估申報指南（第二版）》將兩類活動納入：數據處理者將在境內運營中收集和產生的數據傳輸、存儲至境外；以及數據存儲在境內，但境外機構、組織或者個人可以查詢、調取、下載、導出。[5]
因此，全球同服把中國玩家賬號和日誌寫入海外數據中心是明顯路徑；海外發行商通過VPN登錄中國數據庫、境外客服查看工單、海外分析SDK接收設備標識、生產備份落到海外雲，也都需檢查。服務器在中國只是位置事實，不能排除境外遠程訪問形成出境。
反之，海外玩家在海外由海外實體直接收集、始終在境外系統處理的數據，不當然屬於中國數據出境。若中國團隊可以從境內訪問、下載這些數據，還需另行分析PIPL對境外處理活動的適用、向境內回傳以及其他法域規則，但不能僅以中國母公司或研發團隊參與就把所有全球數據稱爲“出境數據”。
（二）六類常見路徑
全球同服。 需要拆分賬號、遊戲狀態、聊天、支付和風控數據，檢驗是否可將中國玩家路由到境內分區、僅同步必要狀態或使用區域化標識。全球玩法便利不是無限制出境的充分必要性說明。
境外發行商遠程訪問。 權限、字段、頻次、下載能力和自有目的決定風險。只讀仍是訪問，瀏覽屏幕也可能屬於查詢；應使用字段屏蔽、按工單授權、會話審計和禁止批量導出。
分析、崩潰與廣告SDK。 需要覈對供應商簽約實體與真實端點，而不是隻看中文品牌。境內域名可能轉發境外，境外品牌也可能提供境內獨立實例。IP、設備標識、用戶ID和事件序列組合後常可識別個人。
跨境客服。 工單常混入證件截圖、支付爭議、未成年人信息和語音，不能以“客服只看少量數據”概括。可按地區路由、對普通坐席隱藏實名字段，並對敏感附件採用臨時授權。
應用商店與支付。 應區分平臺在境外直接向用戶收集的賬戶/支付數據，與遊戲方從中國接口主動發送的訂單、賬號或設備數據。平臺自己的處理不是遊戲方所有出境責任，但雙方接口仍需逐字段判斷。
海外雲與備份。 加密不否認出境，加密是安全措施；冷備份也仍可恢復並與個人關聯。應確認密鑰控制、恢復人員、備份週期、到期銷燬和能否使用境內替代方案。
（三）2024年分級門檻
《促進和規範數據跨境流動規定》調整了安全評估、標準合同與認證的適用門檻。對非關鍵信息基礎設施運營者，自當年1月1日起累計向境外提供不含敏感個人信息的個人信息不滿10萬人，可免於申報安全評估、訂立個人信息出境標準合同或通過個人信息保護認證；10萬人以上、不滿100萬人，應通過標準合同或認證；達到100萬人，應申報安全評估。[6]
對於敏感個人信息，不滿1萬人對應標準合同或認證，達到1萬人即申報安全評估，並不存在與普通個人信息相同的“不滿10萬人一般程序豁免”。非CIIO向境外提供重要數據，不以人數爲前提，應申報安全評估；CIIO向境外提供個人信息或重要數據，原則上也進入安全評估。安全評估結果有效期爲三年，符合條件可申請延長三年。[21]
門檻中的單位是自然人數量，不是日誌條數、設備數或事件數。一個玩家產生十億條遙測仍原則上計爲一個自然人；同一人多賬號應儘可能去重。敏感和非敏感人數要分別覈算，未滿14週歲個人信息整體爲敏感個人信息，因此兒童用戶可能顯著影響敏感人數門檻。實際申報需依據真實臺賬和主管口徑，不能僅以註冊賬戶數代替。
（四）豁免場景及其邊界
2024年規定還列明若干免於三類程序機制的場景：國際貿易、跨境運輸、學術合作、跨國生產製造和市場營銷等活動中出境數據不含個人信息或重要數據；境外收集和產生的數據傳入境內處理，且處理過程中沒有引入境內個人信息或重要數據；爲訂立、履行個人作爲一方當事人的合同確需出境，例如跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機票酒店預訂、簽證辦理和考試服務；依法制定勞動規章制度和集體合同實施跨境人力資源管理確需；緊急情況下保護生命健康和財產安全確需。[22]
對遊戲而言，“用戶同意全球同服條款”並不自動等於履行合同確需。應證明具體跨境處理是個人主動請求服務不可缺少的，而不是企業選擇全球架構更方便。廣告、常規分析和關聯公司管理很難僅憑用戶協議落入該豁免。
更重要的是，豁免主要針對安全評估、標準合同或認證程序。《個人信息保護法》第三十八至三十九條下的出境實體要求、告知境外接收方信息和適用時的單獨同意，第四十條的本地化要求，以及影響評估、最小必要和安全保護仍需分別覈對。程序豁免不能寫成“無需合規”。
（五）機制選擇不是純文書題
標準合同、認證或安全評估都依賴一份真實數據地圖。標準合同備案前需完成個人信息保護影響評估；境外接收方、目的、方式、種類、規模、保存地點和期限發生重大變化，或境外規則變化可能影響權益時，需要重新評估並處理合同或備案。[23] 安全評估則進一步關注出境必要性、規模、重要數據、境外接收方能力、泄露風險、個人權利渠道和合同約束。[24]
企業不應通過拆分主體、接口或月份規避人數門檻。更穩健的做法是維護按自然人去重的年度計數器，分別標記敏感屬性、未滿14週歲、接收方和場景；新增SDK、海外客服或全球活動時觸發預估。門檻接近臨界點時，應提前準備下一層機制，而不是等流量超過後才發現無法停止。
八、GDPR、COPPA與平臺規則的有限接口
（一）GDPR：只在設立、定向或監測成立時進入
GDPR可能因歐盟境內設立機構的活動而適用，也可能因向歐盟境內個人提供商品或服務、監測其在歐盟境內的行爲而域外適用。[25] 僅有網站可從歐洲訪問通常不足以說明定向，但歐盟語言/貨幣、區域營銷、歐盟服務器活動、當地玩家運營和持續行爲畫像可能共同支持適用。
GDPR的controller/processor同樣重事實而非標籤；角色按誰決定目的和實質性手段判斷。[26] 但不能把GDPR角色結論原封不動代入PIPL：條文結構、共同責任和處理基礎不同。GDPR允許在平衡測試下使用legitimate interests，中國法沒有一般對應條款。GDPR第八條對基於同意直接向兒童提供信息社會服務設置16歲基準，並允許成員國降至不低於13歲，不存在一個全歐盟統一的“13歲”線。[27]
向歐洲運營還需評估DPIA、自動化決定、數據主體權利和第五章傳輸工具。歐盟標準合同條款與中國個人信息出境標準合同服務於不同法域，不能簽署其中一份就覆蓋另一份。
（二）COPPA：年齡、定向與實際知情
COPPA關注面向13歲以下兒童的在線服務，及運營者實際知情正在從13歲以下兒童收集個人信息的服務。它不因2025年修訂或HoYoverse和解而把一般兒童年齡改爲16歲。2025年最終規則將生物識別標識符和政府簽發標識符等納入個人信息，對向第三方披露用於定向廣告增加單獨的可驗證父母選擇加入，並強化保留、刪除和安全要求；規則於2025年6月23日生效，一般合規日期爲2026年4月22日，正式文本列有具體例外。[28]
Epic/Fortnite和解涉及FTC關於未經父母通知同意收集兒童數據、默認開啓兒童和青少年語音/文字通信、刪除困難及購買設計的指控，兩項和解合計5.2億美元。[29] HoYoverse/Genshin Impact和解涉及FTC關於兒童數據及用戶ID、設備持久標識符向分析和廣告方披露，以及戰利品箱價格、概率界面的指控；2000萬美元和解中的“16歲以下購買戰利品箱需父母同意”是命令特定義務，不是COPPA年齡標準。[30]
這些案件對中國團隊的直接價值在於產品控制：兒童狀態要能傳到SDK和下游，默認通信要按風險設置，未完成註冊要有刪除觸發，商業化界面與數據處理不能分開審查。但具體法律義務仍取決於美國市場和服務定向事實。
（三）Apple、Google Play與Steam：獨立上架層
Apple要求開發者對廣告網絡、分析服務和第三方SDK負責，隱私政策應說明收集、使用、第三方、保留刪除和撤回；Kids Category對第三方分析和廣告作更嚴格限制，賬戶型應用應提供賬戶刪除。[15] Google Play要求開發者對嵌入SDK負責，保持應用內披露、同意和Data Safety一致，提供賬戶及關聯數據刪除；“凍結”賬戶不等於刪除。Families Policy對兒童或混合受衆產品的廣告SDK和標識符另有限制。[16][31]
Steam對自己的賬號、支付和平臺安全數據有獨立隱私政策，Steamworks接口又形成開發者可訪問的數據流。[32] 不能僅因通過Steam發行就斷言Valve是全部遊戲數據的處理者或受託處理者；應按賬戶、支付、成就、好友、遙測和客服接口拆分。
平臺政策可能比某地法律更嚴格，也可能關注不同對象。最佳方法不是把平臺條款寫進“法律依據”一欄，而是在發佈門中並行驗證：法律基礎與出境機制、操作系統權限、商店政策與標籤、合同承諾。任何一層失敗都可能阻止上線。
（四）不要機械採取“全球最嚴標準”
所謂最嚴標準往往不可比較：中國未滿14週歲全部個人信息爲敏感個人信息，COPPA以未滿13週歲和服務定向/實際知情爲核心，GDPR兒童同意年齡在13至16歲之間由成員國決定，平臺還有Kids或Families分類。一個全球閾值可能在某地過度收集，在另一地又漏掉要求。
企業應建立地區、年齡、產品、字段、目的、角色六維規則，優先共享不識別或低風險的公共控制，例如數據最小化、供應商臺賬、短期保留和安全響應；對年齡、同意方式、出境工具和權利期限保留地區化分支。統一底座與地區分支並不矛盾。
九、監管事件比較：從通報到產品控制
（一）中國App與SDK通報
2021年國家網信辦通報105款App存在違法獲取、超範圍收集、過度索取權限等問題，要求15個工作日內整改。[33] 同年浙江省網信辦通報85款App，頁面正文明確包含網絡遊戲類別，並聚焦類似問題。[34] 這些材料說明實時交互、內容安全和商業模式不會使遊戲脫離App的一般透明度、同意與必要性要求。
工信部2025年第4批、總第49批通報確認23款App及SDK存在侵害用戶權益問題並被責令整改。[35] 由於逐項信息在PDF附件，本報告不把總體結論延伸爲對任何具體產品、字段的認定。它能夠支持的命題是：監管對象已明確覆蓋App和SDK，開發者需要持續管理嵌入代碼，而不能僅在採購時審查供應商。
中國通報的可執行控制主要是：首次啓動前阻斷非必要初始化；權限隨功能觸發；公開SDK和第三方清單；建立撤回和註銷；用真機流量驗證披露；保留版本與整改記錄。公開材料不足以支持哪類問題“佔比最高”的行業統計。
（二）FTC遊戲案件
Epic案把兒童數據、默認通信、刪除和購買界面放在同一救濟結構中；Xbox案突出父母介入前的註冊數據、未完成賬戶長期留存和向發行商披露；HoYoverse案則把廣告分析標識符與戰利品箱商業化設計並列。三案共同說明，兒童隱私不是一頁父母同意書，而是從年齡門控、默認設置、SDK、留存到界面的系統問題。
但比較必須保持措辭邊界：新聞稿主要表述FTC allegations和settlement/order，不能稱所有行爲已由法院終審認定；美國罰款金額也不能直接預測中國責任。其價值在於展示監管如何把數據實踐翻譯成具體產品救濟：隱私默認、未獲同意刪除、下游兒童狀態、獨立隱私項目和審計。
（三）四組共通控制
七項樣本可歸納爲四個控制面。第一，收集和權限：每個字段應能回到功能與基礎。第二，SDK與接收方：下游身份、字段、目的和兒童狀態應可追蹤。第三，默認和選擇：兒童、通信、廣告、畫像和權限不能靠不利默認推動。第四，留存和救濟：未完成註冊、註銷、刪除和申訴要有真實後端任務，而不是隻在前端隱藏賬號。
這種歸納不是“中美規則趨同”的證明。中國法以個人信息處理基礎、敏感信息和出境制度爲主，美國案件以COPPA與FTC Act爲核心；相同工程控制可能服務不同法律命題，應在記錄中分別標明依據。
十、制度爭議與責任邊界
（一）“必要”不能由產品團隊單方定義
產品認爲某項分析能提高留存，並不等於法律上的合同必要。必要性包含反事實與替代方案：拒絕該處理後核心遊戲是否仍可運行；能否用抽樣、聚合、端側計算、粗略位置或更短期限達到目標；用戶是否主動請求該功能。將所有埋點寫成“改善體驗”會失去目的限制的意義。
（二）安全與隱私不是此消彼長
反作弊、賬號保護和事件調查確需數據，但安全處理仍受目的、範圍和期限約束。更精確的威脅模型、分層信號、端側判斷和短期證據窗口通常同時提高安全質量與隱私合規。收集過多反而擴大泄露面、誤判來源和申訴成本。
（三）角色協議不能對抗真實決定權
企業傾向將供應商統一寫成受託方，以簡化文件；供應商又傾向保留“服務改進”權利。兩者衝突時，實際再利用會擊穿標籤。解決方法不是選擇更有利稱謂，而是要麼真正限制供應商目的、字段和子處理者，要麼承認獨立/共同處理並完成相應告知、基礎和權利接口。
（四）重要數據識別應保守而不泛化
企業既不能因害怕監管把所有業務數據標爲重要數據，也不能在沒有目錄時斷言“一定沒有”。應跟蹤行業目錄、主管部門告知和數據用途，記錄識別過程。個人信息規模門檻與重要數據識別是兩條並行線路；某數據可同時是個人信息與重要數據，也可能只屬於其中之一。
（五）程序合規不能替代架構治理
簽署標準合同、備案或取得認證不能修復不必要出境。若境外接收方實際獲得未披露字段、SDK另有端點或用戶無法行使權利，程序文件與現實脫節。更有效的順序是先減少字段與境外權限，再選擇機制；減少後的數據流仍需真實計數和持續監控。
十一、停服、註銷、複製、刪除與留存
（一）註銷不是立即抹除一切，也不是永久保留許可
《網絡數據安全管理條例》要求網絡產品或服務提供者爲個人提供便捷的註銷賬號功能，註銷後刪除個人信息或進行匿名化處理。[36] 但會計、稅務、交易、網絡安全、爭議解決等法律義務或現實請求可能要求保留部分記錄。正確做法是按目的和字段拆分：結束賬號服務後刪除營銷畫像和非必要遙測；對必須保留的訂單、處罰證據或安全日誌限制訪問，不再用於日常運營，並在期限屆滿後刪除或匿名化。
“可能發生訴訟”不能支持全量、無限期留存。企業應說明具體請求權期間、爭議類型、字段必要性和訪問人。備份要有滾動淘汰週期；不能逐條即時刪除時，應確保數據不再回到生產使用，並在恢復流程中重新執行刪除任務。
（二）權利接口必須貫穿多方系統
個人依法享有查閱、複製、更正、補充、刪除等權利，符合條件時處理者還應提供轉移途徑。[37] 遊戲的賬號數據分散在運營、研發、SDK、客服和備份中，前端按鈕只有在後端能夠定位和傳遞請求時纔有效。應以穩定的內部主體標識關聯各系統，同時避免把手機號、證件號作爲全局暴露的查詢鍵。
複製文件應可理解，區分用戶提供數據、遊戲狀態、交易和必要日誌；不必泄露他人信息、反作弊祕密或危害安全，但限制應有依據和說明。共同處理者和受託方合同中應寫明權利請求路由、身份驗證、響應期限和刪除證明。
（三）停服是一項數據遷移和銷燬項目
停服前應凍結新增非必要收集，向用戶說明導出、退款、註銷和保存安排；盤點生產庫、對象存儲、日誌、分析倉、客服、供應商與備份；終止境外訪問和SDK密鑰；完成法定保留數據的隔離；向供應商取得刪除或返還證明。域名和雲賬號關閉不等於數據已銷燬。
停服後仍可能保留最小團隊處理爭議和權利請求。責任人、訪問審批、事件聯繫和最終銷燬日期應明確，避免公司團隊解散後留下無人管理的數據資產。
十二、結論
網絡遊戲個人信息治理的核心不是尋找一個覆蓋所有活動的同意，也不是給所有合作方貼上一個永久角色。可持續的治理結構應當完成五項轉變。
第一，從隱私政策中心轉向運行數據流中心。每個版本用依賴、權限、抓包、服務端日誌和供應商控制檯驗證文字。第二，從企業標籤轉向處理活動角色。以目的、實質方式和再利用決定權區分處理者、共同處理者和受託處理者。第三，從業務有用轉向法定基礎與最小必要。合同必要只覆蓋不可缺少的核心服務，實名防沉迷回到法定義務，可選分析廣告則提供真實選擇。
第四，從服務器位置轉向跨境訪問路徑。全球同服、境外後臺、客服、SDK、支付和備份逐流識別；按自然人、敏感屬性、CIIO和重要數據匹配2024年程序門檻，同時保留告知、單獨同意、影響評估與安全控制。第五，從上線一次審查轉向全生命週期證據。SDK版本、未成年人模式、人臉替代方案、年度人數、權利請求、停服和銷燬均應形成持續臺賬。
對於出海團隊，最穩妥的目標不是建立一個聲稱滿足“全球最嚴”的單一版本，而是搭建共享的最小化、安全、供應商和權利底座，再按地區、年齡、產品和數據目的啓用規則分支。這樣既避免因過度收集造成新風險，也能在法規、平臺政策或發行架構變化時定位受影響的數據流。
十三、研究限制與審覈提示
本報告依據截至2026年7月22日可獲得的官方公開材料，不替代對具體產品流量、合同、用戶規模、重要數據目錄和目標市場的法律審查。中國部分監管通報的產品明細以圖片或PDF附件發佈，本文只使用頁面正文能夠確認的總體信息；工信部第49批附件及浙江85款App圖片表格應在正式發表前人工固化複覈。EDPB角色指南頁面在自動化訪問中受客戶端攔截，角色比較同時回到GDPR正式文本，鏈接保留供人工複覈。
平臺政策爲動態文件，應在提交商店時重新覈對版本。數據出境人數需以企業自當年1月1日起的真實自然人去重臺賬計算，本文不對任何具體遊戲是否達到門檻作結論。人臉10萬人備案、CIIO身份、重要數據識別和自貿區負面清單均可能顯著改變項目路徑，應在具體事實形成後另行確認。
註釋與來源
[1] 《中華人民共和國個人信息保護法》第5—9條、第13條，國家互聯網信息辦公室，2021年8月20日公佈，2026年7月22日訪問，official source 。
[2] 《常見類型移動互聯網應用程序必要個人信息範圍規定》第3條、第5條第18項，國家互聯網信息辦公室，2021年3月22日，2026年7月22日訪問，official source 。
[3] 《未成年人網絡保護條例》第24條、第31—38條、第42—48條，中國政府網，2023年10月24日公佈，2026年7月22日訪問，official source 。
[4] 《人臉識別技術應用安全管理辦法》第4—10條，國家互聯網信息辦公室，2025年3月21日公佈，2026年7月22日訪問，official source 。
[5] 《數據出境安全評估申報指南（第二版）》“適用範圍”，國家互聯網信息辦公室，2024年3月22日，2026年7月22日訪問，official source 。
[6] 《促進和規範數據跨境流動規定》第3—8條，國家互聯網信息辦公室，2024年3月22日，2026年7月22日訪問，official source 。
[7] 《App違法違規收集使用個人信息行爲認定方法》，國家互聯網信息辦公室，2019年12月27日，2026年7月22日訪問，official source 。
[8] 《國家新聞出版署關於進一步嚴格管理 切實防止未成年人沉迷網絡遊戲的通知》，中國政府網，2021年8月30日，2026年7月22日訪問，official source ；《未成年人網絡保護條例》第46條。
[9] 《中華人民共和國個人信息保護法》第24條；《網絡數據安全管理條例》第42條，中國政府網公報，2024年9月30日公佈，2026年7月22日訪問，official source 。
[10] 《中華人民共和國個人信息保護法》第28—31條。
[11] 《網絡數據安全管理條例》第62條關於重要數據的定義；《中華人民共和國數據安全法》第21條，國家互聯網信息辦公室，2021年6月11日，2026年7月22日訪問，official source 。
[12] 《中華人民共和國個人信息保護法》第20—23條、第73條。
[13] 《網絡數據安全管理條例》第12條。
[14] 《中華人民共和國個人信息保護法》第23條、第25條、第29條、第31條、第39條。
[15] Apple, App Review Guidelines, §§1.3, 5.1.1, 5.1.2，2026年7月22日訪問，official source 。
[16] Google Play, User Data policy，2026年7月22日訪問，official source 。
[17] 《未成年人網絡保護條例》第24條。
[18] Federal Trade Commission, “FTC Will Require Microsoft to Pay $20 million over Charges It Illegally Collected Personal Information from Children without Their Parents' Consent,” June 5, 2023，2026年7月22日訪問，official source 。
[19] 《人臉識別技術應用安全管理辦法》第8—10條、第15—16條。
[20] 《網絡數據安全管理條例》第27條；《個人信息保護合規審計管理辦法》，國家互聯網信息辦公室，2025年2月14日公佈，2026年7月22日訪問，official source 。
[21] 《促進和規範數據跨境流動規定》第7—9條。
[22] 同上，第3—6條。
[23] 《個人信息出境標準合同辦法》第5—7條及附件，國家互聯網信息辦公室，2023年2月24日，2026年7月22日訪問，official source 。
[24] 《數據出境安全評估辦法》第5—9條，國家互聯網信息辦公室，2022年7月7日，2026年7月22日訪問，official source 。
[25] Regulation (EU) 2016/679, Article 3, EUR-Lex，2026年7月22日訪問，official source ；EDPB, Guidelines 3/2018 on the territorial scope of the GDPR, Version 2.1，2026年7月22日訪問，official source 。
[26] Regulation (EU) 2016/679, Article 4(7)—(8), Articles 26 and 28；EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR，2026年7月22日訪問，official source 。
[27] Regulation (EU) 2016/679, Articles 6 and 8.
[28] Federal Trade Commission, “FTC Finalizes Changes to Children's Privacy Rule,” January 16, 2025，official source ；Children's Online Privacy Protection Rule, 90 Fed. Reg. 16912 (Apr. 22, 2025)，2026年7月22日訪問，official source 。
[29] Federal Trade Commission, “Fortnite Video Game Maker Epic Games to Pay More Than Half a Billion Dollars over FTC Allegations,” December 19, 2022，2026年7月22日訪問，official source 。
[30] Federal Trade Commission, “Genshin Impact Game Developer Will Be Banned from Selling Lootboxes to Teens under 16 without Parental Consent,” January 17, 2025，2026年7月22日訪問，official source 。
[31] Google Play, Families Policy Requirements，2026年7月22日訪問，official source 。
[32] Valve, Steam Privacy Policy Agreement，2026年7月22日訪問，official source ；Steamworks, Data Privacy，official source 。
[33] 《關於105款App違法違規收集使用個人信息情況的通報》，國家互聯網信息辦公室，2021年5月21日，2026年7月22日訪問，official source 。
[34] 《浙江省網信辦關於85款App違法違規收集使用個人信息情況的通報》，國家互聯網信息辦公室，2021年8月29日，2026年7月22日訪問，official source 。
[35] 《關於侵害用戶權益行爲的App（SDK）通報（2025年第4批，總第49批）》，工業和信息化部，2025年8月4日，2026年7月22日訪問，official source 。
[36] 《網絡數據安全管理條例》第24條。
[37] 《中華人民共和國個人信息保護法》第45—47條。