NFT:從《個人信息保護法》談NFT平臺應如何履行告知義務_INUCEPTION

?包括NFT技術應用在內的數字技術進一步加深了人的物理存在與數字存在、過去現在與未來存在的聯系，拓展了人類認識自身意義的能力。公認的NFT技術應用發端于2017年，當年12月火爆的NFT游戲Cryptokitties一度占了以太坊網絡流量的25%。自此以后，境內外涌現了很多頗具影響力的NFT平臺，如境外的Opensea、SuperRare,境內的CrptoArt、WaveGallery等。

那么我國《個人信息保護法》出臺后，NFT平臺作為信息處理者應如何有效合規地履行告知義務？這是很多從業者非常關注的問題。《個人信息保護法》第十七條比較集中的明確了個人信息處理者的告知義務，規定個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知下列事項：

個人信息處理者的名稱或者姓名和聯系方式；

個人信息的處理目的、處理方式，處理的個人信息種類、保存期限；

個人行使本法規定權利的方式和程序；

法律、行政法規規定應當告知的其他事項。

前款規定事項發生變更的，應當將變更部分告知個人。個人信息處理者通過制定個人信息處理規則的方式告知第一款規定事項的，處理規則應當公開，并且便于查閱和保存。

這是對于告知的一般性要求，其意義主要在于向個人告知與之相關的個人信息處理具體情況。下面我們結合NFT平臺相關具體業務模式來稍加展開說明。

一、告知個人信息處理者的名稱或聯系方式

這里問題的關鍵是，誰是個人信息處理者，是平臺還是平臺的運營公司？《個人信息保護法》第七十三條規定，個人信息處理者是指在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。

數字身份認證公司Spruce發布AI聊天助手等三款新示例應用:金色財經報道，數字身份認證公司Spruce宣布發布由SpruceKit提供支持的三個新示例應用Sprouts，包括內置去中心化身份的AI聊天助手ChatBot、用于書評的社交應用Joyce和社交網絡應用Teal。

據悉，SpruceKit是Spruce ID開源庫的集合，這些開源庫提供了實現去中心化身份的工具，包括對去中心化身份進行身份驗證，創建和保護個人數據保管庫，管理其數據的使用和共享方式等。[2023/7/28 16:04:47]

在實際運營中，各NFT平臺對處理方式各有不同。有的成立專門團隊來處理平臺事務，但平臺運營商的法律主體是運營公司；但有的平臺并無專門團隊，都由公司架構下團隊來組織開展相關業務，只是以平臺名義操作。

但無論是哪種情況下，NFT平臺團隊與運營公司的聯系是非常緊密的。我們建議是，告知平臺的具體運營公司，同時也結合相應具體事務告知運營公司、運營團隊的聯系方式。

二、告知個人信息的處理目的、處理方式，處理的個人信息的種類、保存期限

一般來說，NFT平臺是一個應用市場，用戶基于該平臺提供的應用市場創建、購買、轉讓或交易獨特的NFT物品。圍繞著這個核心，平臺要向用戶告知上述事項，同時這也是平臺對于個人信息的處理目的。

處理方式和處理種類是緊密結合的，因此告知時很難截然分開。根據《個人信息保護法》規定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。也就是說，要具體向用戶告知如何收集、存儲、使用、加工、傳輸、提供、公開和刪除個人信息。

數據：某巨鯨于3個多小時前向幣安轉入1355萬枚USDC:7月6日消息，據Lookonchain監測，3個多小時前，0x3555開頭巨鯨地址向幣安轉入1355萬枚USDC。該地址曾于6月16日在加密貨幣價格上漲之前將1100萬枚USDT轉入幣安。今年，該地址從幣安購買了83,815枚AAVE、86,976枚COMP和919,999枚UNI。該地址還曾在ETH上賺了200萬美元，其以1520美元的均價買入10425枚ETH （約合1580萬美元），并以1712美元的均價賣出10,408枚ETH （約合1780萬美元）。[2023/7/6 22:21:55]

在收集信息方面，一般而言，NFT平臺會在創建用戶賬戶時收集姓名、以太坊地址、實名制移動電話號碼、用戶名和電子郵件地址、郵寄地址和賬戶密碼等，同時當用戶使用平臺服務時平臺可能會通過一些技術工具來收集有關訪問數據等。

在使用加工信息方面，一般而言，平臺會將個人信息用于創建帳戶以及認別用戶的交易身份，并將其展示給相應用戶以方便交易；同時為用戶提供平臺的相關信息，如系統更新、以及提供一些商業性的新聞和信息；個性化并改善用戶的體驗；分析和完善平臺服務；響應用戶參與及請求等。

存儲方面，包括存儲地點，存儲期限。

刪除方面。告知用戶有關刪除信息的規則。刪除個人信息往往與存儲期限緊密聯系在一起，要求當符合有關情形時，應當刪除個人信息。

傳輸、提供方面，一般用于向第三方服務商、運營平臺的相關聯公司，以及依據法律要求進行的披露等。

轉讓方面，一般只在兩種情況，公司合并、分立、破產等，需要告知用戶。在用戶取得同意時，也可以轉讓給第三人。

Blend將支持Otherdeeds和BAKC NFT系列:5月25日消息，據官方推特，Blur旗下NFT借貸協議Blend將新增支持Otherdeeds和Bored Ape Kennel Club（BAKC）NFT系列。

Blend此前已宣布支持的NFT系列包括CryptoPunks、Azuki、Milady Maker、DeGods、BAYC、MAYC、Kanpai Pandas、Redacted Remilio Babies和Pudgy Penguins。[2023/5/25 10:38:38]

公開方面，除了用戶同意情況下，如果用戶有違法違規行為，可能會公開用戶個人信息。

根據《個人信息保護法》第七條的規定，處理個人信息應當遵循公開、透明原則，公開個人信息處理規則，明示處理的目的、方式和范圍。平臺也要告知用戶其將如何保護個人信息，包括技術措施、安全管理制度以及個人信息安全事件的響應等。

三、個人行使相關權利的方式和程序

《個人信息保護法》規定了用戶享有知情權、同意權；查閱權、復制權；補充、更正權；撤回同意權；刪除權；要求解釋說明權；投訴舉報權。

因此在告知中，要清晰、明確地告知用戶如何管理自己的賬戶信息，包括如何查詢、補充、更正、刪除等；如何撤回同意，也就是調整信息收集使用的范圍；以及如何注銷賬戶等。另外，還要告知用戶如果其希望知道平臺信息處理規則的具體含義，需要獲得解釋說明時，應如何與信息處理者取得聯系。

四、法律、行政法規規定應當告知的其他事項

實際上除了《個人信息保護法》第十七條規定的告知內容，該法還分別圍繞著不同情況規定了不同內容不同形式的告知要求。

安全團隊：NFT項目Saphire的Discord服務器遭到攻擊:金色財經報道，據CertiK監測，NFT項目Saphire的Discord服務器遭到攻擊，聊天已被鎖定，并且公告中有釣魚鏈接，請社區用戶不要點擊、鑄造或批準任何交易。[2022/8/13 12:23:11]

信息處理活動特別情況時的告知

關于共同處理的告知。《個人信息保護法》雖然沒有明確要求在這種情況下需要告知，但是規定了個人有權向任何一方行使相關權利，因此個人信息共同處理需要將共同處理的情況告知個人并依法取得處理權限。如果NFT平臺與其他有關平臺，與NFT服務機構共同處理，則需要向個人告知相關情況。

關于委托處理的告知。《個人信息保護法》也沒明確規定這種情況下需要告知，但是由于這涉及個人信息處理的方式以及個人信息的傳輸，因此應當在依法取得處理權限的基礎上將此種委托處理的情況告知個人。有些平臺將一部分事務委托給其他機構或其他應用，比如一些NFT平臺會委托其他機構進行數據分析，假如提供分析的數據并未匿名化，那么此時應當將此種情況告知個人。

對外提供時的告知。該法第二十三條規定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應當在上述處理目的、處理方式和個人信息的種類等范圍內處理個人信息。接收方變更原先的處理目的、處理方式的，應當依照本法規定重新取得個人同意。NFT平臺一般是向業務合作方提供相關個人信息。

關于信息處理者合并、分立、解散、破產時的告知。該法第二十二條明確規定，個人信息處理者因合并、分立、解散、被宣告破產等原因需要轉移個人信息的，應當向個人告知接收方的名稱或者姓名和聯系方式。接收方應當繼續履行個人信息處理者的義務。接收方變更原先的處理目的、處理方式的，應當依照本法規定重新取得個人同意。此種情況一般通過隱私政策中有體現，但在NFT平臺的運營方實際出現相關情況時需要另行及時告知個人相應情況。

Bit Digital在6月份挖礦67.6個BTC:7月13日消息，根據周二發布的運營更新，Bit Digital在6月份挖礦67.6個比特幣（環比增長26.6%），沒有ETH。截至6月30日，該公司在其金庫中持有860.7 BTC和313.6 ETH。（The Block）[2022/7/14 2:11:30]

對個人權益影響比較大的情況下的告知

關于自動化決策時的告知。對于這種情況，不僅僅是告知，而且還規定需要提供不針對其個性化的選項或提供便捷的拒絕方式，個人還有權要求信息處理者解釋說明并拒絕該自動化決策。NFT平臺對個性化的需求非常普遍，因此自動化決策是一個提供用戶體驗不可或缺的工具，平臺可通過隱私政策或在相關應用場景中及時配合以進行有針對性的告知。

關于敏感個人信息處理的告知。《個人信息保護法》第三十條規定，個人信息處理者處理敏感個人信息的，除本法第十七條第一款規定的事項外，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響；依照本法規定可以不向個人告知的除外。對NFT平臺來說，錢包地址屬于金融賬戶，屬于敏感個人信息的范圍，當然，一般平臺在告知時都會詳細告知收集錢包地址信息的必要性以及相關影響。

關于使用人臉識別的告知。該法規定，在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。如果NFT平臺在用戶賬戶創建和用戶身份認別、雙方交易時提供類似人臉識別的工具加以驗證，那么尤其需要注意告知相關情況，并且還應注意保存且不被濫用。

跨境提供時告知。該法第三十九條規定，個人信息處理者向中華人民共和國境外提供個人信息的，應當向個人告知境外接收方的名稱或者姓名、聯系方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規定權利的方式和程序等事項，并取得個人的單獨同意。由于NFT平臺通常都會有很多跨境用戶，而向交易雙方提供必要的個人信息是服務目的所需要的，因此需要事先告知平臺可能將收集的用戶信息提供給境外相關用戶。對于我國NFT平臺而言，還要告知境外用戶，對收集的個人信息將可能在境外進行處理，而且由于各國對于個人信息保護特色不同，還需要告知各國對于個人信息保護可能存在差異這一情況。

緊急情況下的告知

關于緊急情況下的告知。《個人信息保護法》第十八條第二款規定，緊急情況下為保護自然人的生命健康和財產安全無法及時向個人告知的，個人信息處理者應當在緊急情況消除后及時告知。對NFT平臺而言最典型的可能是發生安全事件時可能會涉及處理相關個人信息，如當時來不及告知，需要在緊急情況消除后及時告知。

關于發生個人信息安全事件時的通知。通知與告知似乎有點類似，但有明顯區別。通知的目的是為了讓個人采取相應措施，避免損失進一步擴大，同時為方便日后采取相應救濟措施。該法第五十七條規定，在發生或者可能發生個人信息泄露、篡改、丟失的，個人信息處理者應當立即采取補救措施，并通知履行個人信息保護職責的部門和個人。通知應當包括下列事項：發生或者可能發生個人信息泄露、篡改、丟失的信息種類、原因和可能造成的危害；個人信息處理者采取的補救措施和個人可以采取的減輕危害的措施；個人信息處理者的聯系方式。個人信息處理者采取措施能夠有效避免信息泄露、篡改、丟失造成危害的，個人信息處理者可以不通知個人；履行個人信息保護職責的部門認為可能造成危害的，有權要求個人信息處理者通知個人。NFT平臺涉及不同的區塊鏈底層和不同的智能合約應用，其中可能涉及的技術安全風險還是比較高的，因此NFT平臺需要先制訂應急預案，并在安全事件出現時及時告知相情況。

重要信息處理者的告知

達到一定數量的個人信息處理者的公開性“告知”。該法第五十二條規定，處理個人信息達到國家網信部門規定數量的個人信息處理者應當指定個人信息保護負責人，負責對個人信息處理活動以及采取的保護措施等進行監督。個人信息處理者應當公開個人信息保護負責人的聯系方式，并將個人信息保護負責人的姓名、聯系方式等報送履行個人信息保護職責的部門。

重要互聯網平臺的“告知”。該法第五十八條規定重要互聯網平臺應當定期發布個人信息保護社會責任報告，接受社會監督。本質上是告知社會公眾履行個人信息保護義務的情況。

隨著NFT平臺的不斷發展，其產品和服務會日趨完善，其應用范圍會日趨擴大，與個人日常生產生活也會結合地越來越緊密，其處理的個人信息會也越來越多。據媒體報道，目前公認為最大的NFT平臺Opensea至2021年8月，至少交易過一次的賬戶已經達21萬個。可以預計，隨著這一領域業務快速增長，平臺用戶數量如果達到上述相關要求時，需要做好相應的告知和報告。

無需告知的情況

《個人信息保護法》第十八條第一款規定，個人信息處理者處理個人信息，有法律、行政法規規定應當保密或者不需要告知的情形的，可以不向個人告知前條第一款規定的事項。實際上《個人信息保護法》第十七條已經規定了有關不需要告知的情況，《網絡安全法》和《數據安全法》也都規定對涉及保密或有關機關追究相關違法犯罪行為時不需要告知等。

一般NFT平臺都會在隱私政策中，告知用戶無需要告知用戶情況，包括與平臺履行法律法規規定的義務時；涉及國家安全、國防安全相關情況時；涉及公共安全、公共衛生、重大公共利益時；涉及犯罪偵查、起訴、審判和判決執行等司法或行政執法相關案件時；用戶自行向社會公眾公開的個人信息；從合法公開披露的信息中收集個人信息的，如合法的新聞報道、政府信息公開等渠道。

另外，一般平臺還需要告知有關內容，如個人信息處理活動方式的更新，因此需要及時更新，并告知用戶如何獲得這些更新；另外用戶如何聯系到平臺。如何確定用戶獲得了這些告知？一般而言，需要向用戶明確，在該訪問和使用網站之前，需要了解本告知，如果繼續使用，則視為已經了解了本告知。

五、告知的形式

《個人信息保護法》和其他有關法律法規并沒有對告知的具體形式做硬性規定。實踐中，由于信息數據處理活動豐富多樣，應用場景差異甚大，告知內容和對用戶權益的影響各不相同，告知形式是多種多樣的，確實也很難做到整齊劃一。正如上所述，很多告知內容是以隱私政策的形式體現；在隱私政策有更新時可能會有公告形式進行告知，或告知隱私政策新版本更新。另外在具體收集信息時，一般會針對具體用戶進行提示告知；在收集敏感個人信息時，還會單獨進行告知。如果法律法規要求，可能還需要另行書面告知。另外重要互聯網企業向社會發布社會責任報告，也是一種“告知”，因此需要根據具體情況確定。

Tags：NFTSPRUCEETHiNFTspaceSPRKL幣INUCEPTIONtogetherbnb手游下載中文版

中幣