StepN清查中国大陆用户，涉嫌触犯法律？

导读：5月27日凌晨，币圈热门“跑鞋”项目STEPN因其涉及获取个人信息及GPS数据信息，为响应相关监管政策发布公告清退中国用户，如果严格执行清退政策，那么StepN项目很有可能会直接损失掉20%-30%的活跃用户和资金。

自去年9月末币圈清退潮过后，又一个项目宣布清退大陆用户。

5月27日凌晨，币圈热门“跑鞋”项目STEPN通过其官方社交平台发布了《关于清查中国大陆账户的公告》（下称《公告》）。《公告》显示，为积极主动响应相关监管政策，对App用户进行清查，若发现中国大陆地区用户，将依据使用条款对其账户于2022年7月15日24:00停止提供GPS及IP位置服务。

对于清退中国大陆用户的原因，STEPN在公告中解释是“为积极主动响应相关监管政策”。此外，STEPN还表示，鼓励中国大陆用户自行决策处理应用内的资产，并强调平台从未在中国大陆开展过业务也并未提供下载通道。

公告发布当日，STEPN项目代币GMT和GST双双下跌，触及历史最低价。而在此之前，GMT已经经历了一波“跳水式”下跌。数据显示，自4月29日开始GMT便一路走低，由4.1788美元跌至0.8010美元。GST则是在4月29日触及历史最高价9.45美元后出现下跌，单日振幅超过50%。截至6月1日记者发稿， GMT报1.15美元，日内跌幅为8.77%；GST报1.13美元，日内跌幅为20.20%。5月以来，GMT累计跌幅为69.19%，GST跌幅为79.35%。

那么，StepN到底怎么了？GameFi项目和P2E、M2E模式在我国是否构成犯罪？

01 StepN怎么了？

仅通过从各大公开渠道调查获取的信息，结合中国现行法律规范的要求，对StepN项目清退的原因做出尽量客观地分析。

由于受到前文所述的各种因素影响，加之StepN自身也存在各种问题，内因外因双重打击下，StepN的治理代币GMT在近期也出现了一波崩溃式下跌，其惨烈程度足以让进场较晚的大部分玩家一夜回到解放前（具体情况由下图所示）。虽然在项目方的努力下有所回暖，但27日公告一出，GMT价格再次跳水。那么，在如今国内外虚拟资产项目运行乏力，各种流言蜚语导致投资人信心不足的大环境下，StepN为什么还要选择壮士断腕，清退中国用户呢？

讲这个问题前我们首先需要知道中国用户占StepN用户总量的大概比例。StepN官方从未公布过用户大数据详情，其创始人J某在发出清退公告后曾表示“中国大陆用户仅占用户总数的5%”。而如果我们通过一些外部数据和第三方机构的调查数据进行研究，这个数据可能会比5%更多。根据非官方统计数据，截至今年4月30日，StepN项目中日活跃用户已达到50万，项目中中国用户的数量已经接近12万人，仅次于日本用户的16万人（具体数据见下图）。当然，另一个创始人Y某也在最新的采访中表示：5%指的是中国大陆地区的用户，华人用户（包含马来西亚、新加坡等地）当然不止这个数。

也就是说，如果严格执行清退政策，那么StepN项目很有可能会直接损失掉20%-30%的活跃用户和资金。如此大规模的用户数和资金，如果不是出现非常紧急且必要的情况，任何一个项目方都不可能轻易放掉这么大一块肥肉，也是基于这么一个简单的逻辑，滋生了各类流言蜚语。

02 数据安全——达摩克利斯之剑

事实上，根据5月27日稍晚时候StepN项目方创始人之一的Y某的访谈，对于StepN选择清退中国用户最大的原因还是法律合规问题，确切地说，是数据出境的问题。

StepN收集的用户数据有哪些？简单来说可以分为两类：（1）KYC获取的个人信息；（2）用户GPS（即Navigation Satellite Timing and Ranging）数据，简单理解就是用户实时地理位置。

目前，《网络安全法》《数据安全法》和《个人信息保护法》作为数据合规领域效力级别最高的三部法律，建立起了我国数据安全法律的基本框架，配合国务院出台的行政法规和部门规章、地方性法规，为我国数字经济的发展奠定了基石。一般认为，数据已经成为当前时代最重要的生产要素之一，具有巨大的经济价值。可以说，各大市场主体谁掌握了数据谁就掌握了主动权，谁掌握了更多的数据，谁就能在行业中处于头部位置。当然，市场主体对数据的采集、处理、流动等也不能为所欲为，还要受到法律法规的限制和规范。而数据跨境由于涉及不同国家之间的法律规定，一定程度上还有可能影响不同国家之间的科技发展水平，因此就显得尤为敏感和重要。

对于数据出境，《网络安全法》《数据安全法》和《个人信息保护法》都有相应的规定。

《网络安全法》主要聚焦于“关键信息基础设施服务提供者”的数据出境问题。根据《关键信息基础设施安全保护条例》第二条之规定，关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。我们认为，StepN虽然具有强金融属性，但其本身并不能被当然的解释进“金融行业”的范畴，且从StepN对于全行业的重要程度以及所掌握的信息一旦泄露发生的危害来看，其似乎难以被认定为“关键信息基础设施服务提供者”。

《数据安全法》和《个人信息保护法》则与StepN“契合”度更高，特别是在《个人信息保护法》中，专门将个人信息跨境提供的规则作为一个章节进行规定。根据《个人信息保护法》第四十条：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。那么，具体多少条应当本地储存，跨境流动需通过所在地省级网信部门向国家网信部门申报数据出境安全评估？根据《数据出境安全评估办法（征求意见稿）》第四条之规定，处理个人信息达到一百万人的个人信息处理者向境外提供个人信息；累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息。

对于StepN收集的KYC信息，视具体情况而言，如果信息非常具体且涉及个人隐私、金融账户等信息则有可能属于敏感个人信息；GPS数据则属于《个人信息保护法》第二十八条所明确的“行踪轨迹”属于敏感个人信息。StepN为了防止出现Moon Walk（即作弊，例如将手机绑在宠物身上代跑）的情形，必然需要收集用户GPS数据。目前，StepN既未将该数据存储在中国境内，亦未在数据出境时履行相应的安全评估和申报义务，存在非常大的行政违法风险，甚至有可能构成《中华人民共和国刑法》第二百八十六条之一规定的【拒不履行信息网络安全管理义务罪】，根据属地管辖原则，即使StepN高层远在国外且已经变更国籍，我国依然可追究其刑事责任。

究其原因就在于利用利用计算机网络实施的犯罪的特殊性。根据《最高人民法院关于适用〈中华人民共和国刑事诉讼法〉的解释》第二条之规定，针对或者主要利用计算机网络实施的犯罪，犯罪地包括用于实施犯罪行为的网络服务使用的服务器所在地、网络服务提供者所在地、被侵害的信息网络系统及其管理者所在地、犯罪过程中被告人、被害人使用的信息网络系统所在地，以及被害人被侵害时所在地和被害人财产遭受损失地等。

所以，从合规经营、降低法律风险的角度来看，此次StepN壮士断腕也就不难理解了。

03 StepN项目在国内可能涉及刑事犯罪问题

StepN清查中国大陆用户公告发布后，消息迅速发酵，中文社区恐慌中传播StepN项目团队被抓的消息。对此，StepN联合创始人Yawn表明，StepN中国大陆并没有团队，被带走调查是无稽之谈。这里涉及几个问题：

第一，StepN在我国是否涉及刑事犯罪？不涉及刑事犯罪就不存在所谓的国内项目团队带走这一可能性的。

对此，因目前了解到信息资料有限，无法轻易判断，只能结合web3.0常见的一些罪名来进行分析，即假设如果符合某些特定条件，StepN可能涉嫌何种犯罪。

(1) 如果StepN发行的代币被认定为是金融产品，在我国擅自发行可能构成《刑法》第二百二十五条规定的非法经营罪；如果发行的代币被监管机构明确认定是股票、基金、债券，则可能构成《刑法》第一百七十九条规定的擅自发行股票、公司、企业债券罪。

(2) 如果成立时没有合法资质，并通过不属实的方式利诱社会公众参与，扰乱金融秩序的，项目方还可能涉嫌非法集资类犯罪，主要是《刑法》第一百七十六条规定的非法吸收公众存款罪；如果项目方还具有非法占有目的，项目钱款未如约用在项目上而是私自转移使用，则可能构成《刑法》第一百九十二条规定的集资诈骗罪。

(3) 如果未履行数据出境安全评估和申报义务，且监管部门责令其采取改正措施而拒不改正的，还可能构成《刑法》第二百八十六条之一所规定的拒不履行信息网络安全管理义务罪。

第二，StepN如果涉嫌犯罪，但国内没有团队，是否可能带走国外相关人员？这涉及刑事管辖和司法协助问题。

根据《最高人民法院关于适用〈中华人民共和国刑事诉讼法〉的解释》第二条之规定，针对或者主要利用计算机网络实施的犯罪，犯罪地包含的内容很广，包括被害人使用的信息网络系统所在地，以及被害人被侵害时所在地和被害人财产遭受损失地等。基本可以理解为只要有国内用户，我国就具有管辖权。如果我国与犯罪嫌疑人所在国达成了相关司法协助及引渡等条约，即可根据条约提出司法协助申请，要求对境外的犯罪嫌疑人进行引渡。当然，根据案件具体情况，是否提起及最终是否成功都另当别论。

第三，StepN如果在国内真的有项目团队，且StepN涉及刑事犯罪，国内团队是否可能被带走？

这虽然只是个假设问题，但却是个值得关注的真问题。如果真的涉及刑事犯罪，往往会被认定共同犯罪，首当其冲的其实就是国内团队的主管或直接责任人员。国内团队被直接“一窝端”的情况也并不罕见，并不会仅仅因为国外主犯不到案，或者某人只是负责技术或研发工作就免责。