評測框架與標準
個人資料保護已成為選擇娛樂城平台時不可忽略的重要考量。本文以歐盟《一般資料保護規則》（GDPR）及香港《個人資料（私隱）條例》（PDPO）為雙重標準，對十五個主流娛樂城平台的資料保護措施進行系統性評測。
評測框架涵蓋以下四大範疇：
- 私隱政策質素：政策文件的清晰度、完整性及可讀性
- 資料加密措施：傳輸中及靜態資料的加密標準
- 刪除權落實：玩家能否有效行使資料刪除權利
- 第三方資料分享：平台與外部機構分享玩家資料的範圍及透明度
每個範疇均以百分制評分，綜合計算得出總評分。以下逐一分析各範疇的評測結果及發現。
私隱政策質素評測
一份優質的私隱政策應清晰說明平台收集哪些資料、如何使用、與誰分享、儲存多久，以及玩家享有甚麼權利。我們以此標準審閱了十五個平台的私隱政策文件，發現以下問題：
語言與可讀性：僅六個平台提供繁體中文版本的私隱政策，其餘均只有英文版本。對於以中文為母語的香港玩家而言，這無疑增加了理解難度。此外，多數政策文件充斥法律術語，普通玩家難以理解其真正含意。
資料收集範圍的透明度：
- 表現最佳的平台以列表形式清楚列明收集的每項資料及其用途
- 約半數平台使用含糊措辭如「我們可能收集與您使用服務相關的資訊」，未有具體說明
- 三個平台的私隱政策超過兩年未有更新，內容或已過時
Cookie政策：GDPR要求網站在放置非必要Cookie前取得用戶明確同意。我們發現僅四個平台設有符合規定的Cookie同意橫幅，其餘平台在用戶首次造訪時便自動放置追蹤Cookie。
兒童保護條款：所有受測平台均聲明不向十八歲以下人士提供服務，但僅七個平台在私隱政策中具體說明了識別及處理未成年用戶資料的程序。
資料加密措施
資料加密分為兩個層面：傳輸中加密（in-transit）及靜態加密（at-rest）。前者保護資料在網絡傳輸過程中的安全，後者保護儲存在伺服器上的資料。
傳輸中加密：十五個平台中有十三個採用TLS 1.2或以上標準，表現尚算理想。然而，兩個平台在部分API端點仍使用較舊的加密協議，存在被攔截的風險。
靜態加密：此項較難從外部直接驗證，我們主要依據平台的技術文檔及對客服的查詢結果進行評估。結果如下：
- 七個平台聲稱使用AES-256加密儲存所有敏感資料
- 四個平台表示僅對財務資料進行加密，一般帳戶資料則否
- 兩個平台的客服無法回答有關資料加密的問題
- 兩個平台未有提供任何加密相關資訊
資料庫分離：表現較佳的平台將玩家的身份資料、財務資料及遊戲紀錄儲存在不同的資料庫中，即使其中一個資料庫被入侵，攻擊者亦無法獲取完整的用戶畫像。我們發現約四成平台已實施此做法。
備份加密：資料備份同樣需要加密保護。部分平台雖然對主資料庫進行了加密，但備份資料卻以未加密形式儲存，形成安全漏洞。此項目在評測中較難驗證，但我們透過查詢技術團隊獲得了部分平台的回覆。
資料刪除權落實情況
GDPR賦予用戶「被遺忘權」（Right to Erasure），即有權要求機構刪除其個人資料。雖然香港PDPO並未有完全對等的規定，但作為良好做法的指標，我們仍以此標準進行測試。
我們向十五個平台提出資料刪除要求，並記錄整個過程：
回應時間：
- 五個平台在七天內回覆並開始處理
- 四個平台在十四天內回覆
- 三個平台在三十天內回覆
- 三個平台在測試期間（六十天）內未有回覆
刪除範圍：即使平台同意刪除資料，刪除的範圍亦有差異。部分平台表示因法規要求須保留交易紀錄至少五年，因此只能刪除帳戶基本資料而非全部紀錄。此做法雖有法律依據，但平台應在刪除前向玩家清楚解釋保留的資料類型及原因。
刪除確認：僅四個平台在完成刪除後發出確認通知，讓玩家確知其資料已被處理。其餘平台的刪除過程缺乏透明度，玩家無從得知要求是否已被執行。
帳戶停用vs資料刪除：需注意「停用帳戶」與「刪除資料」是兩個不同概念。部分平台在收到刪除要求後僅停用帳戶，但實際上保留了所有資料。玩家應明確要求刪除資料而非僅停用帳戶。
第三方資料分享
娛樂城平台可能基於多種原因與第三方分享玩家資料，包括支付處理、身份驗證、廣告推廣及法規合規。此範疇的透明度直接影響玩家對平台的信任。
支付合作夥伴：所有平台均需與支付服務供應商分享部分財務資料以處理入數及提款。表現較佳的平台僅分享完成交易所需的最少資料，並在私隱政策中列明所有支付合作夥伴。
廣告及營銷合作：此為最具爭議的範疇。我們的調查發現：
- 六個平台承認與廣告網絡分享用戶行為數據
- 四個平台將用戶電郵地址提供予營銷合作夥伴
- 僅三個平台在分享資料前明確徵求用戶同意
數據經紀商：最令人憂慮的發現是，有兩個平台被懷疑向數據經紀商出售用戶資料。雖然我們無法完全確認此指控，但這兩個平台的私隱政策中確實包含措辭含糊的條款，允許其「與商業夥伴分享匿名化數據」。所謂「匿名化」的標準是否足夠，值得懷疑。
資料外洩事件紀錄
一個平台過往的資料外洩紀錄是評估其安全性的重要參考。我們查閱了公開資料及安全社區的報告，整理出以下發現：
在十五個受測平台中，有三個在過去三年內發生過已確認的資料外洩事件。其中一個平台的外洩影響超過五十萬用戶，洩露的資料包括電郵地址、電話號碼及加密後的密碼。
事後處理質素：平台在外洩事件後的處理方式同樣重要。表現較佳的平台會在發現外洩後四十八小時內通知受影響用戶、強制重設密碼、聘請獨立安全公司調查成因，以及發佈詳細的事件報告。反之，部分平台試圖淡化事件嚴重性甚至延遲通知用戶，此做法嚴重損害玩家信任。
KYC資料處理
KYC（認識你的客戶）驗證要求玩家提交身份證明文件，是娛樂城合規的必要程序。然而，這些高度敏感的文件如何被處理及儲存，往往缺乏透明度。
我們的評估發現：
- 驗證方式：七個平台使用第三方KYC服務供應商處理驗證，而非自行處理。此做法的優點是專業KYC供應商通常具備更完善的資料保護措施。
- 儲存期限：僅五個平台明確說明KYC資料的儲存期限。表現最佳的平台在驗證完成後僅保留加密的驗證結果而非原始文件。
- 存取控制：部分平台的客服人員可直接查閱玩家的KYC文件，而表現較佳的平台限制僅合規團隊可在特定條件下存取。
建議玩家在提交KYC文件時，在文件上加註水印（如「僅限XX平台KYC驗證使用」），以防文件被挪作他用。
總結與平台排名建議
綜合四大範疇的評測結果，十五個平台中有三個在資料保護方面表現優秀，六個表現中等，四個表現欠佳，兩個表現不合格。個人資料保護並非一次性工程而是持續過程，玩家應定期留意所用平台的私隱政策更新及安全事件報告，方能有效保障自身權益。選擇平台時，將資料保護水平納入考量，與遊戲質素及優惠著數同等重視。