过度采、强制要、诱导取……近日，华龙网重庆网络问政平台记者调查发现，本该方便消费者的点餐小程序，却被部分商家滥用，不仅没有提升消费体验，还危及个人信息安全。
前不久，重庆市网信办会同相关行业主管部门启动了个人信息保护专项治理行动，停车扫码缴费违规问题整治已取得成效。针对网民反映部分餐饮场所存在违规收集个人信息的行为，问政平台记者先后调查体验了霸王茶姬、一只酸奶牛、德克士、李子坝梁山鸡、周师兄大刀腰片火锅、呼啦面馆、九锅一堂酸菜鱼、库迪咖啡、绿茶中餐、凯鲁亚克咖啡、海底捞、泰香米、DQ饮品、蓉李记等30余家线下实体店。发现部分餐饮门店扫码点餐小程序主要存在强制同意隐私政策、诱导关注公众号、强制获取微信号、诱导获取手机号、隐私政策不完善等问题。
第1个“坑”：强制同意隐私政策
案例1：在照母山某饮品店，消费者扫码之后，小程序弹出隐私政策界面，如果选择“不同意”，小程序再次弹出“温馨提示”界面，如果点击“不同意并退出”，将无法继续使用其功能。
案例2：在照母山某中餐厅，扫码后，小程序弹出隐私政策授权申请界面，如果点击“不同意”，将返回“扫码关注”界面，如果点“跳过”，又会返回要求打开小程序的界面。再次打开该小程序，又会弹出同意隐私政策授权申请界面，如果不同意，小程序又会返回上一界面。
违规违法点：案例1中，消费者不同意其隐私政策，小程序将退出，消费者只有点击“同意”才能使用其功能。案例2中，如果消费者不同意其隐私政策，小程序将返回上一页面，直到消费者点击“同意”，才能继续使用其功能。以上行为均涉嫌强制同意隐私政策。
相关法律条文：《个人信息保护法》第五条和第六条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。《个人信息保护法》第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。《App违法违规收集使用个人信息行为认定方法》第三条第四款规定，以默认选择同意隐私政策等非明示方式征求用户同意，可被认定为“未经用户同意收集使用个人信息”。
第2个“坑”：诱导关注公众号
案例3：在礼嘉某火锅店，消费者扫码之后，即弹出该企业的公众号界面，“关注公众号”处于醒目位置，而点餐功能隐藏在“服务”二级页面，且不易发现。
违法违规点：案例3中，消费者扫码，小程序弹出要求关注公众号的提示，“关注公众号”处于醒目位置，而点餐功能隐藏在“服务”二级页面，该行为涉嫌“诱导关注公众号”。
相关法律条文：《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。《App违法违规收集使用个人信息行为认定方法》第三条第七款规定，以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的，可以认定为“未经用户同意收集使用个人信息”。
第3个“坑”：强制获取微信号
案例4：在观音桥某奶茶店，消费者扫码之后，小程序即弹出获取微信昵称和头像的授权申请，无拒绝选项。点击“去授权”之后，会跳出获取微信昵称和头像的申请，多次点击“取消”，均退回到上一页面，只有点击“允许”，才能进行下一步操作。
违法违规点：案例4中，如果消费者不同意授权获取微信号昵称和头像，将无法继续使用其功能，该行为涉嫌强制收集个人微信号。
相关法律条文：《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。《App违法违规收集使用个人信息行为认定方法》第三条第二款规定，用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用，可被认定为“未经用户同意收集使用个人信息”。
第4个“坑”：诱导获取手机号
案例5：在蔡家某品牌快餐店，当消费者点完餐选择“去结算”时，小程序会弹出“手机验证码登录”的申请，该申请字体较大且位于醒目位置，“跳过”选项字体很小，且不易发现。
违法违规点：案例5中，小程序虽然提供了“跳过”手机验证码的申请，但“跳过”选项字体小，且处于不显眼的位置，该行为涉嫌诱导获取消费者手机号。
相关法律条文：《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。《App违法违规收集使用个人信息行为认定方法》第三条第二款规定，用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用，可被认定为“未经用户同意收集使用个人信息”。
第5个“坑”：隐私政策缺失、不实或者不完整
案例6：在观音桥某火锅店，其点餐小程序的隐私政策为某第三方隐私政策，尚未填充该小程序品牌名称。
违法违规点：案例6中小程序隐私政策实际内容为第三方隐私政策模板，商家尚未对该小程序的条款进行完善，该行为涉嫌隐私政策缺失。
相关法律条文：《个人信息保护法》第十七条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等事项。《App违法违规收集使用个人信息行为认定方法》第三条第九款规定，违反其所声明的收集使用规则，收集使用个人信息，可被认定为“未经用户同意收集使用个人信息”。认定为“未经用户同意收集使用个人信息”。
市民：担心个人信息被泄露
除了对部分餐饮店进行调查体验之外，华龙网重庆网络问政平台记者还随机采访了部分市民。一名网约车司机说，“现在的手机号早都泄露完了。”还有市民认为商家收集个人信息没啥，“只要不打骚扰电话”。另一部分市民认为，过度收集个人信息，不仅造成消费者使用不便，还危及个人信息安全。
在观音桥步街调查市民意见市民
王女士说，扫码点餐要输入个人信息，还要登录，还要输手机验证码，点餐很麻烦，很复杂。市民袁先生说，扫码点餐可以避免排队，提升了就餐体验，他经常用。但是，部分点餐小程序存在收集消费者手机号、微信号等个人信息的现象，让人担心个人信息被泄露，“经常接到骚扰电话，就是与个人信息被违规收集有关！”袁先生担心地说。
在观音桥某购物中心调查市民意见
市民胡女士说，现在很多餐厅都推出了扫码点餐，消费者有时不得不用。她希望点餐小程序操作不要太复杂，直接点餐就可以了，不要收集不必要的个人信息。
商家：扫码点餐更方便
一家餐饮店的店员在介绍如何使用二维码点餐时说，要授权同意隐私政策才能使用小程序，最后的支付环节，也要用手机号登录才行。他说，消费者扫码点餐，对于消费者来说，可以轻松在手机上操作，不用到吧台排队，就餐体验更好。对于商家来说，无需安排较多的点餐员和收银员，可以有更多的时间做好其它服务。
针对扫码点餐收集个人信息的现象，一名业内人士称，点餐小程序收集消费者的微信号、手机号等 ，主要目的是商家用于社群运营，可以及时给消费者推送产品和服务信息。
律师：个人信息被过度收集可能造成这些危害
北京德和衡（重庆）律师事务所律师张志异
“可能造成消费者隐私泄露和个人信息被滥用等危害！”北京德和衡（重庆）律师事务所律师张志异提醒消费者，商家过度收集个人信息，可能给消费者造成多方面的危害。
这些危害包括：隐私泄露，商家过度收集的个人信息可能因管理不善、技术漏洞等原因被泄露，导致消费者个人信息被未经授权的第三方获取；滥用个人信息，商家可能会将收集到的个人信息用于未经消费者同意的目的，如营销推广、数据分析等，侵犯消费者的隐私权和选择权；诈骗风险，个人信息被不法分子获取后，可能会用于诈骗、身份盗用等犯罪活动；数据安全风险，商家如果未能妥善保护收集的个人信息，可能会遭受黑客攻击，导致大量个人信息泄露；不公平交易，商家可能会利用收集到的个人信息进行价格歧视，对不同消费者提供不同的价格和服务，违反公平交易原则；商家通过分析消费者的个人信息，可能会推送定制化的广告和内容，影响消费者的自由决策。
这些行为涉嫌违反必要原则收集个人信息
张志异律师介绍，《中华人民共和国消费者权益保护法》第二十九条规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。
餐饮店服务员在引导使用扫码点餐小程序
张志异律师还剖析了几种涉嫌过度收集个人信息的行为，包括但不限于：收集与服务无关的信息；要求提供过多的权限，如一个简单的游戏应用要求获取用户的联系人列表、位置信息、相机权限等；在用户使用服务过程中，频繁要求用户更新个人信息，或者不定期地要求用户提供新的个人信息；在收集个人信息时，不明确告知用户收集这些信息的目的或用途；在收集个人信息时，不提供用户选择是否提供某些非必要信息的选项；不提供用户删除自己信息的选项，或者虽然提供删除选项，但实际上并未真正删除用户信息等。
网信办：将重点整治四类问题
市网信办安全处相关负责人介绍，重庆市网信办正在开展为期3个月的个人信息保护专项治理行动，聚焦停车、餐饮、商超购物三类扫码消费场景中过度采集、强制收集、诱导索取、违规使用等问题开展治理工作。
此次专项治理行动将重点整治四类问题：第一类，违反“公开”原则，未公开个人信息收集使用规则，未明示收集使用的目的、方式、范围；第二类，违反“同意”原则，未经用户同意收集使用个人信息，非法向他人提供个人信息；第三类，违反“必要”原则，收集与提供的服务无关的个人信息；第四类，违反“安全”原则，未履行保护责任，未对用户个人信息采取必要保护措施，发生个人信息安全事件。
遇到过度收集个人信息 消费者可以这样做
一名顾客在某咖啡店扫码点餐“遇到商家违法违规收集个人信息，消费者可以说不！”张志异律师支招，消费者遇到过度收集个人信息的行为时，可以采用这几招应对：拒绝提供非必要信息；审慎授权权限；在注册或使用服务前，仔细阅读隐私政策，了解信息收集和使用情况，并决定是否接受；定期检查授权，撤销不必要的权限和信息收集授权；使用匿名或化名；如果发现个人信息被滥用或非法收集，可以通过相关的投诉和举报渠道进行投诉；寻求法律援助；选择信誉良好的服务提供商。
来源：华龙网重庆网络问政平台
