從《個人信息保護法》談NFT平臺應如何履行告知義務_NFT:JPEG

包括NFT技術應用在內的數字技術進一步加深了人的物理存在與數字存在、過去現在與未來存在的聯系，拓展了人類認識自身意義的能力。公認的NFT技術應用發端于 2017 年，當年12月火爆的NFT游戲Cryptokitties一度占了以太坊網絡流量的 25%。自此以后，境內外涌現了很多頗具影響力的NFT平臺，如境外的Opensea、SuperRare,境內的CrptoArt、Wave Gallery等。

那么我國《個人信息保護法》出臺后，NFT平臺作為信息處理者應如何有效合規地履行告知義務？這是很多從業者非常關注的問題。《個人信息保護法》第十七條比較集中的明確了個人信息處理者的告知義務，規定個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知下列事項：

（一）個人信息處理者的名稱或者姓名和聯系方式；

（二）個人信息的處理目的、處理方式，處理的個人信息種類、保存期限；

（三）個人行使本法規定權利的方式和程序；

（四）法律、行政法規規定應當告知的其他事項。

前款規定事項發生變更的，應當將變更部分告知個人。個人信息處理者通過制定個人信息處理規則的方式告知第一款規定事項的，處理規則應當公開，并且便于查閱和保存。

這是對于告知的一般性要求，其意義主要在于向個人告知與之相關的個人信息處理具體情況。下面我們結合NFT平臺相關具體業務模式來稍加展開說明。

一、告知個人信息處理者的名稱或聯系方式

這里問題的關鍵是，誰是個人信息處理者，是平臺還是平臺的運營公司？《個人信息保護法》第七十三條規定，個人信息處理者是指在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。

JPEG'd：JPEG'd合約未被黑客攻擊，NFT與財庫資金安全:7月31日消息，DeFi公共產品JPEG'd發推稱，pETH-ETH曲線池遭遇攻擊。允許借用NFT的金庫合約是安全的，仍在正常運行。NFT與財庫資金安全。JPEG'd合約沒有被黑客攻擊，是安全的。

金色財經此前報道，據Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，JPEG'd遭遇攻擊，損失至少約1000萬美元。JPEG'd遭遇攻擊的根本原因在于重入，攻擊者在調用remove_liquidity函數移除流動性時通過重入add_liquidity函數添加流動性，由于余額更新在重入進add_liquidity 函數之前，導致價格計算出現錯誤。[2023/7/31 16:08:05]

在實際運營中，各NFT平臺對處理方式各有不同。有的成立專門團隊來處理平臺事務，但平臺運營商的法律主體是運營公司；但有的平臺并無專門團隊，都由公司架構下團隊來組織開展相關業務，只是以平臺名義操作。

但無論是哪種情況下，NFT平臺團隊與運營公司的聯系是非常緊密的。我們建議是，告知平臺的具體運營公司，同時也結合相應具體事務告知運營公司、運營團隊的聯系方式。

二、告知個人信息的處理目的、處理方式，處理的個人信息的種類、保存期限

一般來說，NFT平臺是一個應用市場，用戶基于該平臺提供的應用市場創建、購買、轉讓或交易獨特的NFT物品。圍繞著這個核心，平臺要向用戶告知上述事項，同時這也是平臺對于個人信息的處理目的。

處理方式和處理種類是緊密結合的，因此告知時很難截然分開。根據《個人信息保護法》規定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。也就是說，要具體向用戶告知如何收集、存儲、使用、加工、傳輸、提供、公開和刪除個人信息。

香港科技大學副校長及蔡文勝：提議香港發行以外匯儲備背書的港元穩定幣:金色財經報道，香港科技大學副校長汪揚以及蔡文勝等人向中國香港提供政策建議，主張特區政府應發行以香港外匯儲備為擔保的港元穩定幣，以促進金融科技創新，提升金融市場競爭力，優化外匯儲備使用，并為去美元化邁出實質性的一步。唯有如此，香港才能在數字經濟時代中保持競爭優勢。[2023/7/3 22:15:34]

在收集信息方面，一般而言，NFT平臺會在創建用戶賬戶時收集姓名、以太坊（或其他區塊鏈）地址、實名制移動電話號碼、用戶名和電子郵件地址、郵寄地址和賬戶密碼等，同時當用戶使用平臺服務時平臺可能會通過一些技術工具來收集有關訪問數據等。

在使用加工信息方面，一般而言，平臺會將個人信息用于創建帳戶以及認別用戶的交易身份，并將其展示給相應用戶以方便交易；同時為用戶提供平臺的相關信息，如系統更新、以及提供一些商業性的新聞和信息；個性化并改善用戶的體驗；分析和完善平臺服務；響應用戶參與及請求等。

存儲方面，包括存儲地點，存儲期限。

刪除方面。告知用戶有關刪除信息的規則。刪除個人信息往往與存儲期限緊密聯系在一起，要求當符合有關情形時，應當刪除個人信息。

傳輸、提供方面，一般用于向第三方服務商、運營平臺的相關聯公司，以及依據法律要求進行的披露等。

轉讓方面，一般只在兩種情況，公司合并、分立、破產等，需要告知用戶。在用戶取得同意時，也可以轉讓給第三人。

公開方面，除了用戶同意情況下，如果用戶有違法違規行為，可能會公開用戶個人信息。

根據《個人信息保護法》第七條的規定，處理個人信息應當遵循公開、透明原則，公開個人信息處理規則，明示處理的目的、方式和范圍。平臺也要告知用戶其將如何保護個人信息，包括技術措施、安全管理制度以及個人信息安全事件的響應等。

FTX已停止除法幣以外的所有加密貨幣提現:11月9日消息，據外媒報道，FTX相關員工在電報群中證實，FTX平臺除法幣以外的任何轉賬都將停止。報道稱，提款暫停突顯了交易所的惡化狀況，該交易所之前仍在處理提款，盡管速度較慢。看起來客戶仍然可以將他們的資產提取到法定貨幣，不過選擇法定貨幣選項可能會導致資金最多需要5個工作日才能結算。（CoinDesk）[2022/11/9 12:35:41]

三、個人行使相關權利的方式和程序

《個人信息保護法》規定了用戶享有知情權、同意權；查閱權、復制權；補充、更正權；撤回同意權；刪除權；要求解釋說明權；投訴舉報權。

因此在告知中，要清晰、明確地告知用戶如何管理自己的賬戶信息，包括如何查詢、補充、更正、刪除等；如何撤回同意，也就是調整信息收集使用的范圍；以及如何注銷賬戶等。另外，還要告知用戶如果其希望知道平臺信息處理規則的具體含義，需要獲得解釋說明時，應如何與信息處理者取得聯系。

四、法律、行政法規規定應當告知的其他事項

實際上除了《個人信息保護法》第十七條規定的告知內容，該法還分別圍繞著不同情況規定了不同內容不同形式的告知要求。

（一）信息處理活動特別情況時的告知

關于共同處理的告知。《個人信息保護法》雖然沒有明確要求在這種情況下需要告知，但是規定了個人有權向任何一方行使相關權利，因此個人信息共同處理需要將共同處理的情況告知個人并依法取得處理權限。如果NFT平臺與其他有關平臺，與NFT服務機構共同處理，則需要向個人告知相關情況。

關于委托處理的告知。《個人信息保護法》也沒明確規定這種情況下需要告知，但是由于這涉及個人信息處理的方式以及個人信息的傳輸，因此應當在依法取得處理權限的基礎上將此種委托處理的情況告知個人。有些平臺將一部分事務委托給其他機構或其他應用，比如一些NFT平臺會委托其他機構進行數據分析，假如提供分析的數據并未匿名化，那么此時應當將此種情況告知個人。

游戲娛樂公司Enthusiast Gaming將在Coinbase的幫助下構建其鏈游產品:9月9日消息，Coinbase將為游戲娛樂公司Enthusiast Gaming提供基礎設施，以構建其基于區塊鏈的游戲產品。Coinbase將通過其Coinbase Cloud開發者平臺向Enthusiast Gaming提供加密錢包、區塊鏈節點、法定加密貨幣支付渠道和其他工具。Enthusiast Gaming將使用這些工具構建其射擊類鏈游EV.IO，這是一款基于瀏覽器的第一人稱射擊游戲（FPS），允許用戶賺取加密貨幣作為游戲內成就的獎勵。（The Block）[2022/9/9 13:18:32]

對外提供時的告知。該法第二十三條規定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應當在上述處理目的、處理方式和個人信息的種類等范圍內處理個人信息。接收方變更原先的處理目的、處理方式的，應當依照本法規定重新取得個人同意。NFT平臺一般是向業務合作方提供相關個人信息。

關于信息處理者合并、分立、解散、破產時的告知。該法第二十二條明確規定，個人信息處理者因合并、分立、解散、被宣告破產等原因需要轉移個人信息的，應當向個人告知接收方的名稱或者姓名和聯系方式。接收方應當繼續履行個人信息處理者的義務。接收方變更原先的處理目的、處理方式的，應當依照本法規定重新取得個人同意。此種情況一般通過隱私政策中有體現，但在NFT平臺的運營方實際出現相關情況時需要另行及時告知個人相應情況。

（二）對個人權益影響比較大的情況下的告知

LimeWire將在以太坊上推出原創 NFT 系列:金色財經報道，Limewire 將在以太坊上推出原創 NFT 系列LimeWire Originals，該系列將限制為 10,000 個獨特的頭像，并將授予持有者訪問各種實用程序和特權，包括 LimeWire 上最高級別的會員資格。這 10,000 個 NFT 將為其持有者提供僅限會員的特權，包括在即將到來的 LimeWire NFT 市場上搶先獲得備受矚目的 NFT 投遞、參加現實世界的活動和派對，以及 LMWR 代幣獎勵和獨家商品。

原始持有人也將有資格獲得獨家發售的 LMWR，這是 LimeWire 的 ERC-20 實用代幣，將于今年年底推出。代幣將在所有 10,000 個 Originals 中平均分配，這意味著持有的每一個 NFT 都會增加空投的參與度。（cryptoslate）[2022/6/11 4:18:12]

關于自動化決策時的告知。對于這種情況，不僅僅是告知，而且還規定需要提供不針對其個性化的選項或提供便捷的拒絕方式，個人還有權要求信息處理者解釋說明并拒絕該自動化決策。NFT平臺對個性化的需求非常普遍，因此自動化決策是一個提供用戶體驗不可或缺的工具，平臺可通過隱私政策或在相關應用場景中及時配合以進行有針對性的告知。

關于敏感個人信息處理的告知。《個人信息保護法》第三十條規定，個人信息處理者處理敏感個人信息的，除本法第十七條第一款規定的事項外，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響；依照本法規定可以不向個人告知的除外。對NFT平臺來說，錢包地址屬于金融賬戶，屬于敏感個人信息的范圍，當然，一般平臺在告知時都會詳細告知收集錢包地址信息的必要性以及相關影響。

關于使用人臉識別的告知。該法規定，在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。如果NFT平臺在用戶賬戶創建和用戶身份認別、雙方交易時提供類似人臉識別的工具加以驗證，那么尤其需要注意告知相關情況，并且還應注意保存且不被濫用。

跨境提供時告知。該法第三十九條規定，個人信息處理者向中華人民共和國境外提供個人信息的，應當向個人告知境外接收方的名稱或者姓名、聯系方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規定權利的方式和程序等事項，并取得個人的單獨同意。由于NFT平臺通常都會有很多跨境用戶，而向交易雙方提供必要的個人信息是服務目的所需要的，因此需要事先告知平臺可能將收集的用戶信息提供給境外相關用戶。對于我國NFT平臺而言，還要告知境外用戶，對收集的個人信息將可能在（對境外用戶而言）境外進行處理，而且由于各國對于個人信息保護特色不同，還需要告知各國對于個人信息保護可能存在差異這一情況。

（三）緊急情況下的告知

關于緊急情況下的告知。《個人信息保護法》第十八條第二款規定，緊急情況下為保護自然人的生命健康和財產安全無法及時向個人告知的，個人信息處理者應當在緊急情況消除后及時告知。對NFT平臺而言最典型的可能是發生安全事件時可能會涉及處理相關個人信息，如當時來不及告知，需要在緊急情況消除后及時告知。

關于發生個人信息安全事件時的通知。通知與告知似乎有點類似，但有明顯區別。通知的目的是為了讓個人采取相應措施，避免損失進一步擴大，同時為方便日后采取相應救濟措施。該法第五十七條規定，在發生或者可能發生個人信息泄露、篡改、丟失的，個人信息處理者應當立即采取補救措施，并通知履行個人信息保護職責的部門和個人。通知應當包括下列事項：（一）發生或者可能發生個人信息泄露、篡改、丟失的信息種類、原因和可能造成的危害；（二）個人信息處理者采取的補救措施和個人可以采取的減輕危害的措施；（三）個人信息處理者的聯系方式。個人信息處理者采取措施能夠有效避免信息泄露、篡改、丟失造成危害的，個人信息處理者可以不通知個人；履行個人信息保護職責的部門認為可能造成危害的，有權要求個人信息處理者通知個人。NFT平臺涉及不同的區塊鏈底層和不同的智能合約應用，其中可能涉及的技術安全風險還是比較高的，因此NFT平臺需要先制訂應急預案，并在安全事件出現時及時告知相情況。

（四）重要信息處理者的告知

達到一定數量的個人信息處理者的公開性“告知”。該法第五十二條規定，處理個人信息達到國家網信部門規定數量的個人信息處理者應當指定個人信息保護負責人，負責對個人信息處理活動以及采取的保護措施等進行監督。個人信息處理者應當公開個人信息保護負責人的聯系方式，并將個人信息保護負責人的姓名、聯系方式等報送履行個人信息保護職責的部門。

重要互聯網平臺的“告知”。該法第五十八條規定重要互聯網平臺應當定期發布個人信息保護社會責任報告，接受社會監督。本質上是告知社會公眾履行個人信息保護義務的情況。

隨著NFT平臺的不斷發展，其產品和服務會日趨完善，其應用范圍會日趨擴大，與個人日常生產生活也會結合地越來越緊密，其處理的個人信息會也越來越多。據媒體報道，目前公認為最大的NFT平臺Opensea至2021年8月，至少交易過一次的賬戶已經達21萬個。可以預計，隨著這一領域業務快速增長，平臺用戶數量如果達到上述相關要求時，需要做好相應的告知和報告。

（五）無需告知的情況

《個人信息保護法》第十八條第一款規定，個人信息處理者處理個人信息，有法律、行政法規規定應當保密或者不需要告知的情形的，可以不向個人告知前條第一款規定的事項。實際上《個人信息保護法》第十七條已經規定了有關不需要告知的情況，《網絡安全法》和《數據安全法》也都規定對涉及保密或有關機關追究相關違法犯罪行為時不需要告知等。

一般NFT平臺都會在隱私政策中，告知用戶無需要告知用戶情況，包括與平臺履行法律法規規定的義務時；涉及國家安全、國防安全相關情況時；涉及公共安全、公共衛生、重大公共利益時；涉及犯罪偵查、起訴、審判和判決執行等司法或行政執法相關案件時；用戶自行向社會公眾公開的個人信息；從合法公開披露的信息中收集個人信息的，如合法的新聞報道、政府信息公開等渠道。

另外，一般平臺還需要告知有關內容，如個人信息處理活動方式的更新，因此需要及時更新，并告知用戶如何獲得這些更新；另外用戶如何聯系到平臺。如何確定用戶獲得了這些告知？一般而言，需要向用戶明確，在該訪問和使用網站之前，需要了解本告知，如果繼續使用，則視為已經了解了本告知。

五、告知的形式

《個人信息保護法》和其他有關法律法規并沒有對告知的具體形式做硬性規定。實踐中，由于信息數據處理活動豐富多樣，應用場景差異甚大，告知內容和對用戶權益的影響各不相同，告知形式是多種多樣的，確實也很難做到整齊劃一。正如上所述，很多告知內容是以隱私政策的形式體現；在隱私政策有更新時可能會有公告形式進行告知，或告知隱私政策新版本更新。另外在具體收集信息時，一般會針對具體用戶進行提示告知；在收集敏感個人信息時，還會單獨進行告知。如果法律法規要求，可能還需要另行書面告知。另外重要互聯網企業向社會發布社會責任報告，也是一種“告知”，因此需要根據具體情況確定。

Tags：NFTMEWWIREJPEGBabyNFT ARTMEWTWO價格LimeWire TokenJPEGS幣

幣贏交易所