因违反CCPA，《哈利·波特》游戏开发厂商被罚140万美元

关键词：退出权、未成年人数据、CCPA

2025年11月21日，知名移动游戏开发商Jam City, Inc.（下称“Jam City”）因其旗下移动端游戏未能向消费者提供拒绝出售或共享个人信息的选项，且非法出售/共享13至16岁未成年人的数据，被加利福尼亚州总检察长指控违反CCPA。最终，Jam City同意支付140万美元（近1000万人民币）的民事罚款，并接受一项永久性禁令，承诺在其应用程序中建立合规的隐私保护机制。

据加州总检察长办公室统计，本次和解协议的签订是基于CCPA的第六次执法行动。上次执法行动在一个月之前，即加州与流媒体服务公司Sling TV达成的和解协议，详见我们之前的文章出海美国｜因未成年人保护和Opt-Out的不合理设计，加州与Sling TV达成53万美元和解协议。

一、背景信息

Jam City是一家总部位于加州的移动游戏开发商，其开发了多款基于《哈利·波特》《冰雪奇缘》和《恶搞之家》等知名IP的免费手机游戏。该公司的商业模式主要依赖于应用内广告，通过收集玩家的设备标识符、IP地址及游戏互动数据来投放定向广告以获取收入。

二、违法事实详情

根据加州总检察长提交的起诉书，Jam City违反了CCPA及加州《反不正当竞争法》的多项规定。具体的违法行为主要集中在以下两个方面：

1. 剥夺消费者的选择退出权：

调查显示，在Jam City的21款游戏中，有20款完全没有任何关于出售/共享个人信息的控制选项或设置。仅剩的一款游戏虽然包含一个名为“数据隐私”的选项，但未提及CCPA，且表述含糊，无法让消费者明确知悉该选项是否能阻止数据出售。这直接违反了CCPA关于企业必须在其移动应用内提供清晰且显眼的退出链接的规定（Civil Code § 1798.135, subdivisions (a) & (c)(5)）。

2. 非法出售/共享13至16岁未成年人数据：

CCPA对未成年人数据提供了更严格的保护。对于企业明知年龄在13岁至16岁之间的消费者，法律禁止企业在未获得消费者肯定性授权（即，Opt-In）的情况下出售或共享其数据（California Code of Regulations (CCR), title 11, § 7071）。而Jam City在部分游戏中虽然设置了年龄验证门槛（Age Gate），但该机制存在缺陷。该机制仅将自称13岁以下的用户导向不收集数据的儿童版本，而对于自称年龄在13至16岁之间的未成年用户，Jam City将其视为成年人，在未获得其主动同意的情况下，默认出售或共享了这些未成年人的个人信息。

三、和解结果

为解决上述指控，Jam City与加州总检察长达成了和解，主要处罚及整改措施如下：

1. 支付140万美元民事罚款： Jam City将向加州总检察长办公室支付总计140万美元的罚款。款项将分两期支付，首期70万美元将在判决生效后60天内支付，余额将在一年内付清。

2. 强制该公司实施合规整改计划：

建立应用内退出机制：Jam City必须在其所有移动应用程序中提供清晰、易于理解且显眼的退出链接，允许用户一键拒绝出售或共享个人数据，或引导至简单的设置页面（如切换开关或复选框）。
修正年龄验证机制：Jam City必须设计中立的年龄筛选机制，不得默认勾选16岁以上。对于13至16岁的用户，必须将其导向儿童版本，或者在其Opt-in后方可出售/共享其数据。
数据删除义务：Jam City必须通知第三方删除在2024年10月1日之前收集的、且当时未满16岁用户的所有相关数据。

此外，Jam City需要实施并维护一项为期三年的合规计划，定期评估其退出机制的有效性及未成年人保护措施的落实情况，并需每年向加州总检察长提交合规审查报告。

*本文作者：黄竞一

因违反CCPA，《哈利·波特》游戏开发厂商被罚140万美元

青岛某网站未按规定审核导致违法信息传播被罚

停止无效营销！致网络安全行业的一封公开信

因未成年人保护和Opt-Out的不合理设计，流媒体服务Sling TV被罚53万美元