“游戏中的身份证验证已经不再是‘是否’的问题，而是‘何时’和‘何地’的问题，”来自Xsolla的娜塔莉亚·沃齐扬谈到规则的强化
我们详细讨论了全球各国如何开始收紧游戏中的验证规定，特别是与担任Xsolla公司法务和运营副总裁的纳塔莉亚·沃济扬女士进行了深入交流。
纳塔莉亚·沃济扬
亚历山大·谢梅诺夫，App2Top：我们越来越经常在新闻中读到有关互联网验证工具强化的消息。让我们首先弄清楚，这个话题究竟是从什么时候开始的？
纳塔莉亚·沃济扬，Xsolla:用户验证的理念可以追溯到关于保护儿童数字空间的讨论。大约从2020年起，这个议题逐渐获得关注——那时每一本有声望的法律杂志都会撰写有关网络中儿童面临风险的文章。
第一个真正开始推行验证的是哪个国家？中国吗？
纳塔莉亚：不，中国也是先驱之一，但第一个重大举措是《儿童在线隐私保护法案》（COPPA），这在美国于2000年4月21日生效。随后是中国，较近的则是在2018年生效的《欧盟一般数据保护条例》（GDPR）。
它成为了一座里程碑？
纳塔莉亚：当然。GDPR 实际上引入了“了解你的用户”（know your customer，KYC）这一概念，并将其用于个人数据，包括儿童的数据。在它之后，许多国家以欧洲的经验为基础，制定了类似的地方性法规。
目前在哪些地方特别积极地实施验证？
纳塔莉亚：最近的例子是2025年生效的英国在线安全法案，旨在监管儿童内容并要求在出售数字内容时进行验证。
最严厉的措施由巴西采取，就在今年。在那里，已经不再符合传统的“我确认我已满 18 岁”这种方式，现在需要通过真实文件或生物识别进行验证。自我声明的方式完全被禁止。
你刚才提到自我声明。在我们不断前进之前，让我们就此停下来。你指的是什么？
纳塔莉亚：自我声明是验证工具之一，总体来说可以分为三类。第一类就是自我声明：用户只需勾选“我已满18岁”。快速便利，但非常不可靠。第二类是通过数据进行验证：信用卡、电话号码、身份证。稍微可靠一些。第三类是通过文件或生物识别进行验证：上传护照，使用Face ID，与国家数据库核对。极其可靠。
现在是否意味着在放弃自我声明？
纳塔莉亚：这完全是合理的：现代儿童在学会说话之前就学会了使用手机，他们完全知道当被问到“你已满18岁吗？”时，只需回答“是”就能获得内容访问权限。监管者意识到了这一点，并开始转向更可信的工具。另一个触发因素是家长对孩子未经授权的花费的大量投诉，这些投诉通常涉及在游戏中使用父母的信用卡进行大额购买。这种情况造成了公众压力，并加快了向更严格的身份确认方法的过渡。
包括在俄罗斯吗？
纳塔莉亚：这里的情况有所不同：用户验证仍然是形式上的，特定群体的保护主要由广告法进行监管。但是，在公共领域，越来越多的声音呼吁强制性身份验证以访问互联网。
早些时候你提到，验证严格化是合理的。作为国家机构，这肯定是这样的。但我很感兴趣你自己对目前情况的看法是什么？
纳塔莉亚：如果要谈我的立场——这里的利益平衡显然被打破了。有些行业确实需要 KYC，但游戏行业不同于金融行业。为了提供服务，游戏开发商无需知道用户的护照信息。然而，在巴西，他们现在必须存储生物识别数据。这既是一种操作负担， 也是一个巨大的监管风险。
政府实际上是将教育和管理孩子的责任从父母转移到了企业。监控孩子接触什么内容以及玩游戏的时间应该是父母的职责。而且，确实，企业应该遵循合理的限制，但当要求游戏开发者收集生物识别数据并验证每个用户的年龄时，这已经是一个不相称的负担，不符合这一行业的本质。
我不否认合规和保护弱势群体的重要性——这是基本价值观。问题在于比例：监管应该考量行业的特殊性，并避免在不必要的地方制造障碍。
你非常指出这一切对企业来说是不成比例的负担。但我是否理解正确，验证首先不是针对游戏开发商，而是主要针对游戏平台？
纳塔莉亚：看，这一波对验证的限制首先波及了两个大类。
第一类是金融服务：银行、支付系统、加密货币交易所。在这些地方，用户验证由来已久，KYC及其他程序是行业标准，所以并不特别令人惊讶。
第二类是娱乐服务。这一领域更加复杂。它涵盖了流媒体平台、社交网络、在线博彩游戏和显然的视频游戏。正是这些领域现在承受着最大的监管压力，因为监管者在这里看到了对儿童和青少年的主要风险，这包括不当内容的访问、过多的在线时间以及游戏内购买。
监管者的逻辑基本上可理解：如果平台让未成年人接触到内容或销售任何东西给他们，那么它就应该加以控制。问题在于提供的工具是否与这一任务相称。
他们要求什么或希望达成什么目标？
纳塔莉亚：如果谈到申明的目标，它们都非常崇高：保护未成年人成为不当内容的受害者、防止欺诈行为、确保数字环境的透明度。这些在文件上使验证看起来像一个公共利益的工具。
但如果看看实际情况，画面就更复杂了。通过要求企业了解自己的用户，政府实质上得到了一个不需要自己支出的公民数据收集基础设施。任何公司都必须根据政府机构的请求提供所累积的信息。这很方便。
还要加上罚款方面：不遵守验证要求会带来严重的处罚，这成为一个填补政府预算的切实来源。
我不会说法律目标只是漂亮的话。但为了让监管真正为公众利益服务，而不仅仅在文件上存在，监管者和企业之间的对话是至关重要的。目前这方面的平衡显然仍然不够。
在游戏行业验证变革的背景下，想要特别提到中国，那里在这些限制颁布方面真正更早实施（我这里说的不是立法活动，而是在实践中，开发者和用户首次面临的限制）。能够谈谈中国游戏开发者的经验吗？他们面临了哪些挑战，又是如何解决的？
纳塔莉亚：中国确实可以被称为该主题的真正先驱。早在2007年，几个部门就联合提出对未成年人电子游戏实施限制系统，以保护其身心健康。规定了每日游戏时间的限制：某一年龄组的人可以在游戏中停留的时间。
但正如往常一样，开发人员被单独留下去执行任务，没有具体的工具。几年里，市场上的最大参与者自行试验：从身份证明文件中收集数据，实施生物识别，这一切都带来了转化率上的挑战和巨大的运营成本。
直至2021年，政府最终以系统的方式介入解决问题。国家新闻出版署（NPPA）启动了一项集中的国家验证基础设施，这从根本上改变了模式。开发商现在可以向国家数据库提交请求，该数据库能够实时返回用户的年龄，并自动启动相应的限制。因此，存储敏感数据的负担从企业身上卸下来了。
不过，这也不能说问题已全然解决。规避途径依然存在：孩子使用父母的文件，一些家长也有意协助孩子通过验证。开发者已经采取识别这些用户的措施，比如在客户服务请求或退款要求对话中，通过交流风格和措词辨认出未成年人。
我还听说韩国也采取了类似的措施，不过好像最后又放弃了这项实践？
纳塔莉亚：韩国是监管如何逐步演变成较平衡方法的一个生动例子。2007年，该国引入了实名制互联网验证体系：大规模网站的用户必须通过居民号码确认身份。同时还实施了所谓的关机法，这禁止16岁以下的青少年从午夜到早上六点在线游戏。
然而，2012年，宪法法院废除了互联网验证系统，认为其过度限制言论自由和公民的匿名权利。
关机法的存续时间更长，但在2021年，该法亦被废除。强制性限制被替换为父母选择系统：现在是由父母决定他们的孩子何时及玩游戏的时间。
这表示韩国从国家控制走向了由父母负责的路径，这对于游戏产业来说是一种合乎逻辑的发展方向。
我们最初谈论的是欧盟。现在正是时候回到这个话题，特别是在亚洲采取了这些措施的背景下。相比于中国或者几年前的韩国，欧洲的游戏行业在验证方法的变化中似乎没有感受到很大的影响。是这样吗？
纳塔莉亚：总体来说确实如此。我认为，欧洲企业仍在消化 GDPR 实施后的影响。这项法规带来了巨大的负担，光是描述数据处理过程的文档就需要大量的时间和财力资源。目前，行业还没有经历新的重大冲击。
在游戏领域，PEGI 作为全欧洲的年龄分级系统起到了保护缓冲的作用。结合个人数据保护的要求和退款规则，它们在没有引入严格验证的情况下，允许维持合理的秩序。
然而，GDPR 的确包含一项重要条款：未经父母明确同意，不得处理16岁以下儿童的数据。这从形式上引发了年龄验证的要求。不过，未在游戏行业设置单独的强制性条例，企业在这些规范之间寻找平衡，而并不直接验证每个用户的护照。
你还提到了英国的在线安全法案。在那里，似乎验证比大陆欧洲更加严格。我知道，即使是 Steam 也参考了其要求。
纳塔莉亚：英国是一个实际执行文件内容的监管实例的国家之一。
在线安全法案的新规禁止自我声明、不能保证成年身份的支付验证方法、以及用户协议条款中的限制——这一切都没有达到监管机构所认为的“高效验证”标准。
是的，Valve 对该法案作出了反应并更新了 Steam 的政策：英国用户现在必须验证自己的身份才能访问18+的游戏。Valve 选择了绑定信用卡的方法—这是对转换影响最小的一个优雅解决方案。尽管很多专家质疑这是否能通过“高效验证”的检查。
此外，英国监管机构最近罚款 AVS Group 公司100万英镑，该公司管理18个成人网站，因其没有对年龄进行适当的验证。问题不在于没有实施验证，而在于 AVS 系统允许上传照片，但没有检测“活跃度”，也就是说，一个孩子可以简单地将他人的照片靠近相机。
该法已经在改变大玩家的行为：YouTube、Spotify 和其他几个平台都已实施了身份验证。
这很严格。那么美国的情况如何？你提到他们最早着手进行验证，那现在怎么样了？
纳塔莉亚：谈论美国并不容易，因为那里的情况同时在州级和联邦级上发展，并且它们的进程向不同方向前进。
在州级，进程非常迅速。2025年，九个州，包括佛罗里达州、乔治亚州和密苏里州的强制年龄验证法律已经生效。目前，监管的主要目标是成人内容平台和社交网络。游戏产业本身还没有成为关注点，不过，趋势是明确的：边界持续扩大。
在联邦级，有尝试建立统一标准的努力——例如，2025年11月，一名国会议员提出了更安全的 GAMING Act 法案，要求在线游戏开发商内置家长控制工具，特别是禁用孩子和其他用户之间聊天互动的功能。国家标准是一个合理的解决方案，因为一一追踪每个州的要求并相应地做出调整几乎是不可能的。
关于前景——态势并不明朗。宪法第一修正案，作为保证言论自由的支柱，已经成为现实障碍：法院已经基于这一理由阻止了一些州法律。研究亦表明，验证未能达成其目标——用户简单地转向其他平台或使用VPN。佛罗里达州法律实施后，VPN需求增加了千倍以上。
在所有这些做法加紧的背景下——我们是否应该期待在高年龄评级游戏中进行完整的护照验证？
纳塔莉亚：在高年龄评级游戏中进行完整的护照验证已经不再是一个“是否”的问题，而是“何时”和“哪里”的问题。巴西实际上已经达到了这一步。英国也在向这个方向前进。中国实施了一个集中模式，国家自身成为验证的操作者。
从技术上看，这是可以实现的——问题在于代价。一个拥有多年用户基础的平台，用户在其上花费了多年时间构建账户并投入了实际资金，突然要求所有这些人出示护照。观众的反应是可预见的，转换的损失是不可避免的。此外，开发者变成了敏感个人数据的管理者，面临的责任包括存储系统、信息泄露保护及遵循当地数据处理要求。
问题不在于这是否会发生——而在于当它发生时，行业是否做好了准备。
哦，我们面临着艰难的时期。感谢这次访谈！