從《個人信息保護法》談NFT平台應如何履行告知義務

包括NFT技術應用在內的數字技術進一步加深了人的物理存在與數字存在、過去現在與未來存在的聯繫，拓展了人類認識自身意義的能力。公認的NFT技術應用發端於 2017 年，當年12月火爆的NFT遊戲Cryptokitties一度佔了以太坊網絡流量的 25%。自此以後，境內外湧現了很多頗具影響力的NFT平台，如境外的Opensea、SuperRare,境內的CrptoArt、Wave Gallery等。

那麼我國《個人信息保護法》出台後，NFT平台作為信息處理者應如何有效合規地履行告知義務？這是很多從業者非常關注的問題。《個人信息保護法》第十七條比較集中的明確了個人信息處理者的告知義務，規定個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知下列事項：

（一）個人信息處理者的名稱或者姓名和聯繫方式；

（二）個人信息的處理目的、處理方式，處理的個人信息種類、保存期限；

（三）個人行使本法規定權利的方式和程序；

（四）法律、行政法規規定應當告知的其他事項。

前款規定事項發生變更的，應當將變更部分告知個人。個人信息處理者通過制定個人信息處理規則的方式告知第一款規定事項的，處理規則應當公開，並且便於查閱和保存。

這是對於告知的一般性要求，其意義主要在於向個人告知與之相關的個人信息處理具體情況。下面我們結合NFT平台相關具體業務模式來稍加展開說明。

一、告知個人信息處理者的名稱或聯繫方式

這裡問題的關鍵是，誰是個人信息處理者，是平台還是平台的運營公司？《個人信息保護法》第七十三條規定，個人信息處理者是指在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。

在實際運營中，各NFT平台對處理方式各有不同。有的成立專門團隊來處理平台事務，但平台運營商的法律主體是運營公司；但有的平台並無專門團隊，都由公司架構下團隊來組織開展相關業務，只是以平台名義操作。

但無論是哪種情況下，NFT平台團隊與運營公司的聯繫是非常緊密的。我們建議是，告知平台的具體運營公司，同時也結合相應具體事務告知運營公司、運營團隊的聯繫方式。

二、告知個人信息的處理目的、處理方式，處理的個人信息的種類、保存期限

一般來說，NFT平台是一個應用市場，用戶基於該平台提供的應用市場創建、購買、轉讓或交易獨特的NFT物品。圍繞着這個核心，平台要向用戶告知上述事項，同時這也是平台對於個人信息的處理目的。

處理方式和處理種類是緊密結合的，因此告知時很難截然分開。根據《個人信息保護法》規定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。也就是說，要具體向用戶告知如何收集、存儲、使用、加工、傳輸、提供、公開和刪除個人信息。

在收集信息方面，一般而言，NFT平台會在創建用戶賬戶時收集姓名、以太坊（或其他區塊鏈）地址、實名制移動電話號碼、用戶名和電子郵件地址、郵寄地址和賬戶密碼等，同時當用戶使用平台服務時平台可能會通過一些技術工具來收集有關訪問數據等。

在使用加工信息方面，一般而言，平台會將個人信息用於創建帳戶以及認別用戶的交易身份，並將其展示給相應用戶以方便交易；同時為用戶提供平台的相關信息，如系統更新、以及提供一些商業性的新聞和信息；個性化並改善用戶的體驗；分析和完善平台服務；響應用戶參與及請求等。

存儲方面，包括存儲地點，存儲期限。

刪除方面。告知用戶有關刪除信息的規則。刪除個人信息往往與存儲期限緊密聯繫在一起，要求當符合有關情形時，應當刪除個人信息。

傳輸、提供方面，一般用於向第三方服務商、運營平台的相關聯公司，以及依據法律要求進行的披露等。

轉讓方面，一般只在兩種情況，公司合併、分立、破產等，需要告知用戶。在用戶取得同意時，也可以轉讓給第三人。

公開方面，除了用戶同意情況下，如果用戶有違法違規行為，可能會公開用戶個人信息。

根據《個人信息保護法》第七條的規定，處理個人信息應當遵循公開、透明原則，公開個人信息處理規則，明示處理的目的、方式和範圍。平台也要告知用戶其將如何保護個人信息，包括技術措施、安全管理制度以及個人信息安全事件的響應等。

三、個人行使相關權利的方式和程序

《個人信息保護法》規定了用戶享有知情權、同意權；查閱權、複製權；補充、更正權；撤回同意權；刪除權；要求解釋說明權；投訴舉報權。

因此在告知中，要清晰、明確地告知用戶如何管理自己的賬戶信息，包括如何查詢、補充、更正、刪除等；如何撤回同意，也就是調整信息收集使用的範圍；以及如何註銷賬戶等。另外，還要告知用戶如果其希望知道平台信息處理規則的具體含義，需要獲得解釋說明時，應如何與信息處理者取得聯繫。

四、法律、行政法規規定應當告知的其他事項

實際上除了《個人信息保護法》第十七條規定的告知內容，該法還分別圍繞着不同情況規定了不同內容不同形式的告知要求。

（一）信息處理活動特別情況時的告知

關於共同處理的告知。《個人信息保護法》雖然沒有明確要求在這種情況下需要告知，但是規定了個人有權向任何一方行使相關權利，因此個人信息共同處理需要將共同處理的情況告知個人並依法取得處理權限。如果NFT平台與其他有關平台，與NFT服務機構共同處理，則需要向個人告知相關情況。

關於委託處理的告知。《個人信息保護法》也沒明確規定這種情況下需要告知，但是由於這涉及個人信息處理的方式以及個人信息的傳輸，因此應當在依法取得處理權限的基礎上將此種委託處理的情況告知個人。有些平台將一部分事務委託給其他機構或其他應用，比如一些NFT平台會委託其他機構進行數據分析，假如提供分析的數據並未匿名化，那麼此時應當將此種情況告知個人。

對外提供時的告知。該法第二十三條規定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯繫方式、處理目的、處理方式和個人信息的種類，並取得個人的單獨同意。接收方應當在上述處理目的、處理方式和個人信息的種類等範圍內處理個人信息。接收方變更原先的處理目的、處理方式的，應當依照本法規定重新取得個人同意。NFT平台一般是向業務合作方提供相關個人信息。

關於信息處理者合併、分立、解散、破產時的告知。該法第二十二條明確規定，個人信息處理者因合併、分立、解散、被宣告破產等原因需要轉移個人信息的，應當向個人告知接收方的名稱或者姓名和聯繫方式。接收方應當繼續履行個人信息處理者的義務。接收方變更原先的處理目的、處理方式的，應當依照本法規定重新取得個人同意。此種情況一般通過隱私政策中有體現，但在NFT平台的運營方實際出現相關情況時需要另行及時告知個人相應情況。

（二）對個人權益影響比較大的情況下的告知

關於自動化決策時的告知。對於這種情況，不僅僅是告知，而且還規定需要提供不針對其個性化的選項或提供便捷的拒絕方式，個人還有權要求信息處理者解釋說明並拒絕該自動化決策。NFT平台對個性化的需求非常普遍，因此自動化決策是一個提供用戶體驗不可或缺的工具，平台可通過隱私政策或在相關應用場景中及時配合以進行有針對性的告知。

關於敏感個人信息處理的告知。《個人信息保護法》第三十條規定，個人信息處理者處理敏感個人信息的，除本法第十七條第一款規定的事項外，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響；依照本法規定可以不向個人告知的除外。對NFT平台來說，錢包地址屬於金融賬戶，屬於敏感個人信息的範圍，當然，一般平台在告知時都會詳細告知收集錢包地址信息的必要性以及相關影響。

關於使用人臉識別的告知。該法規定，在公共場所安裝圖像採集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，並設置顯著的提示標識。所收集的個人圖像、身份識別信息只能用於維護公共安全的目的，不得用於其他目的；取得個人單獨同意的除外。如果NFT平台在用戶賬戶創建和用戶身份認別、雙方交易時提供類似人臉識別的工具加以驗證，那麼尤其需要注意告知相關情況，並且還應注意保存且不被濫用。

跨境提供時告知。該法第三十九條規定，個人信息處理者向中華人民共和國境外提供個人信息的，應當向個人告知境外接收方的名稱或者姓名、聯繫方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規定權利的方式和程序等事項，並取得個人的單獨同意。由於NFT平台通常都會有很多跨境用戶，而向交易雙方提供必要的個人信息是服務目的所需要的，因此需要事先告知平台可能將收集的用戶信息提供給境外相關用戶。對於我國NFT平台而言，還要告知境外用戶，對收集的個人信息將可能在（對境外用戶而言）境外進行處理，而且由於各國對於個人信息保護特色不同，還需要告知各國對於個人信息保護可能存在差異這一情況。

（三）緊急情況下的告知

關於緊急情況下的告知。《個人信息保護法》第十八條第二款規定，緊急情況下為保護自然人的生命健康和財產安全無法及時向個人告知的，個人信息處理者應當在緊急情況消除后及時告知。對NFT平台而言最典型的可能是發生安全事件時可能會涉及處理相關個人信息，如當時來不及告知，需要在緊急情況消除后及時告知。

關於發生個人信息安全事件時的通知。通知與告知似乎有點類似，但有明顯區別。通知的目的是為了讓個人採取相應措施，避免損失進一步擴大，同時為方便日後採取相應救濟措施。該法第五十七條規定，在發生或者可能發生個人信息泄露、篡改、丟失的，個人信息處理者應當立即採取補救措施，並通知履行個人信息保護職責的部門和個人。通知應當包括下列事項：（一）發生或者可能發生個人信息泄露、篡改、丟失的信息種類、原因和可能造成的危害；（二）個人信息處理者採取的補救措施和個人可以採取的減輕危害的措施；（三）個人信息處理者的聯繫方式。個人信息處理者採取措施能夠有效避免信息泄露、篡改、丟失造成危害的，個人信息處理者可以不通知個人；履行個人信息保護職責的部門認為可能造成危害的，有權要求個人信息處理者通知個人。NFT平台涉及不同的區塊鏈底層和不同的智能合約應用，其中可能涉及的技術安全風險還是比較高的，因此NFT平台需要先制訂應急預案，並在安全事件出現時及時告知相情況。

（四）重要信息處理者的告知

達到一定數量的個人信息處理者的公開性“告知”。該法第五十二條規定，處理個人信息達到國家網信部門規定數量的個人信息處理者應當指定個人信息保護負責人，負責對個人信息處理活動以及採取的保護措施等進行監督。個人信息處理者應當公開個人信息保護負責人的聯繫方式，並將個人信息保護負責人的姓名、聯繫方式等報送履行個人信息保護職責的部門。

重要互聯網平台的“告知”。該法第五十八條規定重要互聯網平台應當定期發布個人信息保護社會責任報告，接受社會監督。本質上是告知社會公眾履行個人信息保護義務的情況。

隨着NFT平台的不斷發展，其產品和服務會日趨完善，其應用範圍會日趨擴大，與個人日常生產生活也會結合地越來越緊密，其處理的個人信息會也越來越多。據媒體報道，目前公認為最大的NFT平台Opensea至2021年8月，至少交易過一次的賬戶已經達21萬個。可以預計，隨着這一領域業務快速增長，平台用戶數量如果達到上述相關要求時，需要做好相應的告知和報告。

（五）無需告知的情況

《個人信息保護法》第十八條第一款規定，個人信息處理者處理個人信息，有法律、行政法規規定應當保密或者不需要告知的情形的，可以不向個人告知前條第一款規定的事項。實際上《個人信息保護法》第十七條已經規定了有關不需要告知的情況，《網絡安全法》和《數據安全法》也都規定對涉及保密或有關機關追究相關違法犯罪行為時不需要告知等。

一般NFT平台都會在隱私政策中，告知用戶無需要告知用戶情況，包括與平台履行法律法規規定的義務時；涉及國家安全、國防安全相關情況時；涉及公共安全、公共衛生、重大公共利益時；涉及犯罪偵查、起訴、審判和判決執行等司法或行政執法相關案件時；用戶自行向社會公眾公開的個人信息；從合法公開披露的信息中收集個人信息的，如合法的新聞報道、政府信息公開等渠道。

另外，一般平台還需要告知有關內容，如個人信息處理活動方式的更新，因此需要及時更新，並告知用戶如何獲得這些更新；另外用戶如何聯繫到平台。如何確定用戶獲得了這些告知？一般而言，需要向用戶明確，在該訪問和使用網站之前，需要了解本告知，如果繼續使用，則視為已經了解了本告知。

五、告知的形式

《個人信息保護法》和其他有關法律法規並沒有對告知的具體形式做硬性規定。實踐中，由於信息數據處理活動豐富多樣，應用場景差異甚大，告知內容和對用戶權益的影響各不相同，告知形式是多種多樣的，確實也很難做到整齊劃一。正如上所述，很多告知內容是以隱私政策的形式體現；在隱私政策有更新時可能會有公告形式進行告知，或告知隱私政策新版本更新。另外在具體收集信息時，一般會針對具體用戶進行提示告知；在收集敏感個人信息時，還會單獨進行告知。如果法律法規要求，可能還需要另行書面告知。另外重要互聯網企業向社會發布社會責任報告，也是一種“告知”，因此需要根據具體情況確定。