加强元宇宙数据应用风险监管.pdf

44|2023.08封面报道Cover Story元宇宙由于具有实时（real-time）、沉浸感（immersive）特征，已在全球引发热潮。元宇宙的出现是一场技术革命，相比于传统互联网，元宇宙应用收集的数据种类更多、更敏感、更全面，但同时也可能引起数据应用安全威胁。据跨国虚拟专网服务商 NordVPN 在 2022 年 1 月 28 日（国际数据隐私日）发起的元宇宙隐私顾虑调查数据显示：在被调查者中，50%的人担心用户身份问题，47%的人担心用户可能被强制监控，45%的人担心个人信息可能被滥用，43%担心不确定他人的身份，41%的人认为真实身份可能受到虚拟世界身份的影响，37%担心用户的交易可能不安全。不可否认，数据安全是元宇宙产业健康发展的重要前提，这也是学术界和工业界加强元宇宙数据应用风险监管相比于传统互联网，元宇宙应用收集的数据种类更多、更敏感、更全面，但同时也可能引起数据应用安全威胁。文/国家信息中心信息化和产业发展部 徐凌验 王 威中国信息界|Information China452023.08|共识。近年来，涉及元宇宙数据监管的国内外法律案例也越来越多，不论是“Meta因涉嫌非法采集面部信息被起诉”，还是“国内元宇宙侵权第一案”，无不体现元宇宙监管的发展方向。本文通过分析元宇宙时代隐私数据、身份数据、健康数据、资产数据四大应用风险，提出对应的监管措施与建议，以期为保障元宇宙健康发展提供借鉴。元宇宙时代的四大数据应用风险1、元宇宙对隐私数据的应用风险。在移动互联网时代，运营商仅仅通过应用程序中的浏览、交易记录，或设备中应用权限的模糊设置，即可收集海量的用户数据，以至于滥用用户隐私数据现象屡见不鲜。元宇宙应用和设备可以直接感应用户的身体行为，相比之下能更便利地收集用户数据。一方面，被迫暴露隐私的风险尚未消除。用户面临“允许权限”和“无法使用”的选择，被迫将自己的信息采集权限和许可让渡给第三方之后极易遭受隐私泄露；另一方面，用户有可能在完全不知情的情况下遭遇隐私数据泄露。比如，当玩家以虚拟身份进入元宇宙，与他人交流、互动、购物时，嵌入元宇宙虚拟现实世界里的智能技术装置，如头盔眼镜等，可获得玩家的所有动作、手势、眼神、说话语气、社交习惯、应激反应等隐私数据。掌握数据的平台可有效洞悉玩家的内心所想、动机、思维模式、行为选择等，用户一切个人隐私暴露无遗。由此，如何规制运营商的数据采集行为，维护用户在元宇宙时代的个人隐私安全，将是重大的风险与挑战。2、元宇宙对身份数据的应用风险。元宇宙技术使用户通过虚拟化身打通虚拟世界与现实世界相关联的身份和财产关系。作为用户通往元宇宙交互的门户，元宇宙虚拟化身可以为平台提供大量指纹、视网膜、音频记录、人脸信息等涉及生物特征的身份数据。一方面，生物特征数据存在入侵风险。2022 年 2月，Meta 就因涉嫌非法采集面部信息被美国得克萨斯州总监察长肯帕克斯起诉，其指责 Meta 的社交平台在未经过用户知情以及同意的情况下，从平台上面的照片以及视频中收集了数百万个生物识别标识符，诉讼表示 Meta 收集这些数据是为了训练平台生物识别技术以获得商业利益，且未能在合理的时间段内删除这些数据，甚至将其披露给了第三方机构。Meta 涉及诉讼金额达数十亿美元；另一方面，虚拟化身份和财产恶意冒用风险加大。网络犯罪分子通过入侵虚拟化身份数据，欺骗侵入账户，接管虚拟形象，访问有价值的数据并控制用户存储在元宇宙中的资产，甚至做出非法行46|2023.08封面报道Cover Story为。此外，数字加密技术的应用不当将直接导致用户的财产数据和身份数据被泄露，也极易产生冒用用户姓名、身份、信用等“冒名顶替”现象。3、元宇宙对健康数据的应用风险。一是元宇宙应用设备如 VR 眼镜、VR 手套等，直接作用人体，易收集用户的指纹、人脸、虹膜、耳纹、掌纹、静脉、声纹、眼纹、步态、笔迹等生物特征样本数据，进而分析出用户的行为模式、健康状况等信息。健康数据的泄露和滥用会对个人健康造成影响。比如，泄露的个人健康数据可能被利用开展定向销售或定向诈骗，可能会导致客户接受不必要的治疗，甚至带来健康风险；二是用户健康数据若被非法采集，可能引起群体健康安全风险。血液、心率、体温等健康数据如果被有目的性地针对性采集，可聚合形成不同地区不同族裔人群生物样本，可能产生负面健康影响、生物事故或故意滥用。4、元宇宙对资产数据的应用风险。NFT 作为“元宇宙”中用于标记现实世界中物品、作品归属关系的底层技术，使得数字艺术品获得了“身份证”，成为一种可靠的收藏品，满足了人们追求差异化的收藏需求。但也潜藏着对资产数据应用不当的风险。一是文物类数字艺术品存在数据安全风险，部分 NFT交易平台以开发利用文物信息资源为名，发售文物类别的 NFT 数字艺术品，这不仅涉及国有文物资产的经营管理风险，还可能导致数据安全的风险；二是数据资产版权风险，随着大量的数字内容以NFT 的方式传播和交易，盗版侵权现象也越来越多，引起了多方关注。国内首起 NFT 数字艺术品侵权案（“元宇宙侵权第一案”）一审宣判，法院判决被告立即删除涉案平台上发布的 NFT 数字作品，同时赔偿原告经济损失 4000 元。元宇宙时代要保障数据规范应用1、软硬兼施，完善政策法规体系。数据规范应用是元宇宙产业健康发展元宇宙对隐私数据的应用风险01020304元宇宙对身份数据的应用风险元宇宙对健康数据的应用风险元宇宙对资产数据的应用风险元宇宙时代的四大数据应用风险中国信息界|Information China472023.08|的重要前提条件。一方面，要以平台服务条款和社区规范等“软法”规则来完善平台内的自我治理能力。另一方面，也要以政策法规和技术标准等“硬法”实现对平台的外部监管。一是在现有法律基础上深化研究，完善以区块链、隐私计算、分布式身份等为代表的元宇宙新技术体系监管规制；二是加强元宇宙设备制造与使用及数字加密技术两方面国家技术标准的研究与制定，从设备制造、使用方法、适用场景、加密技术等不同角度加强对用户个人隐私安全的保护；三是以“元宇宙侵权第一案”为基础，继续对 NFT 以及 NFT 数字作品的性质、NFT交易模式下的行为界定、NFT 数字作品交易平台的属性以及责任认定停止侵权的承担方式进行积极探索，形成相应司法审查标准。2、全链监管，加强各方责任认定。一是发挥区块链技术在促进数据共享、提升协同效率、建设可信体系等方面的作用，利用我国创新的区块链技术和基础设施能力，运用区块链服务网络（BSN）等区块链基础设施及 BBN-DDC 网络对元宇宙应用的支撑能力，提升元宇宙基础设施全链条监管水平；二是针对元宇宙的技术特点和适用场景进行科学专业、细致深入的研究，构建恰当的基于元宇宙设备提供商、元宇宙服务提供商、元宇宙技术提供商等相关方的责任认定机制，通过规范严格而合理的产品责任认定标准，有助于倒逼元宇宙产业链不同环节的服务提供商提高技术和管理服务水平，从而进一步降低用户权益受到侵害的风险。3、设立准入，严控生产运营资质。从保障用户权益的视角出发，建议根据国家相关法律对元宇宙应用服务运营商准入资格进行准入监管。一是网络安全资质。元宇宙运营商及元宇宙设备制造商需具有与提供服务匹配的网络安全保障能力，以确保用户隐私数据、身份数据、健康数据和资产数据的安全；二是金融从业资质。如果元宇宙应用涉及虚拟世界与现实世界相映射的身份和财产关系，那么其运行必然涉及金融系统。从我国金融监管角度出发，同时也为维护用户的资产数据安全，元宇宙运营商应具备国家法定的金融从业资质。4、界定权限，强化数据权益保护。对未来可能到来的元宇宙行业生态，应当提出更高的数据处理标准，以强化相对于运营商更弱势的用户的正当数据权益。一是继续坚持个人信息保护法提出的“个人信息处理规则”，根据一般规定、敏感个人信息处理规则等不同要求监管元宇宙运营商的个人信息处理，依法坚持个人在个人信息处理活动中的权利；二是针对元宇宙应用涉及的用户数据收集新场景，建议出台针对性标准或规范，对元宇宙运营商的数据收集权限进行合法合理限制，以确实保障用户的数据安全。