暴雪网易分手，海量的玩家数据怎么办？

行走在人间的正直

11月16日，暴雪娱乐发声明称，同网易的现有授权协议将于2023年1月23日到期，届时将暂停在中国大陆的大部分暴雪游戏服务，包括《魔兽世界》《炉石传说》《守望先锋》《星际争霸》《风暴英雄》等。同时，其称“公司正寻找替代方案，以便在未来将暴雪游戏带回给玩家。”一时间，新代理商将花落谁家的猜测众说纷坛。
那么问题来了，重新带回来的暴雪游戏，还是原来那个吗？
这涉及两方面，一是新的游戏运营方是否会承继网易的运营思路；二是玩家的账户信息（包括用户名、装备、道具、等级等，本文中统称数据），还是原来那些吗？
第一方面，涉及商业和技术层面的考量，第二方面，则是数据流转的法律问题。
作为一名数据合规专业的律师，本文就探讨一下第二方面。
根据暴雪战网《隐私政策》和《魔兽世界中文版使用条款》的内容，玩家的数据由网易公司收集并存储在境内。



数据归属于网易



网易将数据存储在中国境内

因此，如果要保证更换运营商前后玩家的账户信息不变，则网易必须要将前述信息移交给新的运营商。考虑到暴雪作为国际知名的大公司，大概率会在协议中约定网易有配合其转移数据的义务，因此，此处不考虑网易不配合的情形，只讨论数据转移的路径和合规问题。
大方向上，转移的路径有二：一是，网易将数据直接交给新运营商；二是，网易将数据移交给暴雪，暴雪再给到大陆的新运营商。
第一种路径的合规操作

此种模式下，由于网易此后不再继续运营，因此属于《个人信息保护法》规定的“数据提供”。

《个人信息保护法》第23条：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。

根据前述规定，网易将数据提供给新运营商，需要取得用户的单独同意。
什么叫单独同意？简单地说，就是网易要特意就玩家数据转移给谁这事通知用户，并让用户同意。
取得每一位用户的单独同意，这在实践中并不困难，但在这件事上，难度可能超过很多人的想象。
实践中，单独同意的获得方式，一般是在用户登录时弹窗勾选。但是，如果用户不经常上线，例如直到网易的授权协议到期、甚至暴雪游戏重新在大陆运营之后还没上线（比如笔者，上次玩炉石传说已经是至少3年前的事情了），怎么办？要知道，单独同意之前，网易是无权擅自将数据转移的。此时，网易可能需要通过其他方式（例如短信）来获得单独同意，这将极大地增加数据的转移成本，更何况，且不说其他方式不一定能联系上玩家，即便联系上，玩家也不一定会同意（谁知道是不是诈骗短信）。因此，像笔者这样的“僵尸”玩家，数据只能一直由网易保存，不能移交给新的运营商。数据转移，看似是授权到期前这两个月的事情，但实际的持续时间可能远远超出很多人的预期。
或许有人觉得，如果直到授权到期前的两个月都没上线，说明本来也不是核心玩家，更不会经常“氪金”，无论网易还是暴雪，都不会太在乎，所以这些玩家的数据是否转移，无碍大局。
但第二个问题却让不得不让人头疼。
单独同意，如《个人信息保护法》第23条的要求，不仅要告知数据转移，还要同时告知转移的细节，比如转移给谁，其联系方式是什么等等，不告知这些，是无法获得单独同意的（对，即便每天上线的暴雪死忠粉说，“无论转移给谁，我都同意”，这也不是《个人信息保护法》规定的单独同意，也不合规）。换言之，在新的运营方确定之前，单独同意是无法进行的。因此，很多人可能认为，现在开始起算，到网易的授权到期前，数据转移工作有至少2个多月的时间，足够转移大部分活跃玩家了，但实际上，很可能直到网易的授权到期，转移工作都无法启动，毕竟新的运营方何时能确定，可能连暴雪心里都没底。
因此，笔者推测，如果网易的数据流转合规，大部分玩家迟早会收到网易征求单独同意的通知，只不过这个“迟早”，应该早不了。
第二种路径的合规操作（网易将数据移交给暴雪，暴雪再给到大陆的新运营商）

第一种路径的困难主要在于，新的运营方难以迅速确定，那能不能先转给暴雪（毕竟游戏本来就是从暴雪引进的），等到新的运营方确定，再由暴雪去征求玩家的单独同意？
这种路径的实现难度只会更大。
且不说需要两次征求用户的单独同意（网易给暴雪一次，暴雪给新的运营商又一次），光是第一次的转移，不仅需要用户的单独同意，还需要国家网信办批准。
因为涉及数据出境了（暴雪是美国公司）。
个人信息出境，有3种方式：安全评估、签订标准合同、个人信息保护认证。其中，安全评估是最复杂、周期也最长的方式。不幸的是，网易要将数据转移给暴雪，只能通过这种方式，原因在于：

《数据出境安全评估办法》第4条：数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：
……（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；……

魔兽等暴雪游戏虽然近年来的热度不比巅峰时期，但玩家数量肯定也在100万以上，更何况，巅峰期玩家的数据，只要用户没有注销账号，同样会转移给新的运营商，万一3年后又登录了呢？
因此，根据前述规定，网易要将数据转移暴雪，必须要通过上海网信办（上海网之易网络科技发展有限公司位于上海）向国家网信办申报数据出境安全评估，评估通过后，数据才能出境（即提供给暴雪），而如果网信办否决了网易的出境申请，将导致该路径的彻底失败。更何况，数据从大陆出境只是第一步，暴雪此后将数据提供给新运营商时，还要再次入境（对于暴雪和美国来说，则是出境）。
因此，考虑数据出入境的种种不确定因素和漫长周期，该路径的难度将更大。
或许有人猜测，数据流转的问题真的这么复杂吗？有没有可能，网易就直接给了暴雪呢？客观地说，笔者认为，在2022年8月31日之前，确实很有可能，因为网易自己都说了：


更何况，此前，我国对数据和个人信息的保护，也确实不重视。
至于为什么是在2022年8月31日之前，是因为规定网易只能通过安全评估的办法将数据给到暴雪的《数据出境安全评估办法》，于2022年9月1日才生效，在此之前，虽然我国也有数据出境的规定，甚至《个人信息保护法》明确规定了安全评估这一出境路径，但无奈没有明确的适用标准，更没有如何进行安全评估的具体办法，因此缺乏可行性。
甚至，从彭博社的报道和丁磊的表述来看，玩家数据的问题，很可能是导致暴雪和网易最终谈崩的主要原因之一。



“对中国各地数百万玩家数据的控制”



“玩家核心利益的关键性合作条款

什么是“玩家核心利益的关键性合作条款”？而“对中国各地数百万玩家数据的控制”，就不言自明了吧。
不难预见，2022年9月1日之后，网易绝不可能将数据随便给到一家已经确定要终止合作的国外公司，毕竟滴滴的80个亿罚款不知道有没有缴纳完呢。事实上，不仅是网易，境内稍有数据合规意识的意识，都不可能同意这种要求，因此，从这个角度看，腾讯、今日头条等大厂是不可能成为新的运营商的。
也因此，有评论以2009年代理商从九城更换为网易为参照，来论证此次数据流转也不是难事的观点，显然站不住脚，毕竟，时代变了。
数据，正在逐渐成为各公司未来能否发展壮大的核心资产，更是国家之间争夺的重要资源。
数据合规无止境，与各位共勉。

轩韵宠物

请问外国厂商得到“百万中国玩家数据”之后会做什么呢？

增增女仆

准确的说，应该是会发生什么，因为外国游戏厂商本身可能会做一些事，比如进行个性化开发或宣传，同时也有他们失控的情况，比如数据泄露