點個餐也要提供個人資訊？沒有必要！

左圖為某餐飲店餐桌上張貼的點餐碼。

右圖為消費者透過小程式支付賬單時仍被索取手機號等資訊。均 慄思 攝

1月11日中午，李女士和朋友相約在“PUTIEN（陸家嘴中心）店”就餐。看到桌面上張貼的點餐碼，她熟練地掏出手機，開啟微信掃碼，一條“關注公眾號”的提醒就彈了出來。回想起手機微信裡五花八門的餐廳公眾號，李女士不由得嘆了口氣，雖無奈但還是按下了“關注”按鈕，開始選擇菜品。

逢年過節，手機裡接收的除了親友祝福，還有來自形形色色公眾號的“問候”，李女士不勝其擾。更讓她擔憂的是，掃碼點餐背後還暗藏著資訊收割的陷阱。

去年4月起，上海市消保委就多次呼籲“餐廳應該不收集或者儘可能少收集消費者的資訊”，騰訊公司也向開發者推送了關於自查“掃碼點餐強制關注公眾號”問題的通知。據悉，騰訊已於今年1月17日起對此類問題進行核查，違規的商家將被限制透過掃碼開啟公眾號的功能。1個多月過去了，餐廳自查的整改情況如何？記者去滬上多家餐廳開展了調查走訪。

個人資訊是“香餑餑”

記者走訪了幾家商場，掃描了佬肥貓、新白鹿、避風塘、百春原、湯小罐、小滿手工粉等近20家餐廳的點餐碼，觀察商戶收集個人資訊情況。總體來看，走訪的所有餐廳在掃碼點餐時都無需關注公眾號，使用小程式即可實現點餐功能，其中有不少使用的是來自同一個第三方平臺開發的點餐系統。此外，大部分餐廳也提供了除掃碼點餐外的紙質選單。

不過，記者留意到，即便不強制消費者關注公眾號，但用各種環節套取消費者資訊的情況仍存在。在北外灘來福士的米桃江南蘇錫菜餐廳，記者用手機掃桌上的點餐碼，立刻跳出了“儲值1000送100”的提示。記者並不想充值，可如果不翻過這個廣告，就沒法點餐，且頁面上只有一個“點我授權”的選項。不得已，記者只能點了“點我授權”，結果就被要求提供微信暱稱、頭像。還好，這個環節有“拒絕”選項，記者選擇“拒絕”後，發現也能進入點餐頁面，並完成點餐。但奇怪的是，在結賬頁面，該小程式又申請獲取點餐人的手機號碼，如果取消，就不能結賬。也就是說，從點餐到結賬，這個小程式總共3次索取消費者個人資訊，且最後仍成功獲取了手機號碼。

微信暱稱、頭像、地理位置等個人資訊，在商戶眼中是“香餑餑”。百春原（世紀百聯店）、湯小罐（世紀百聯店）、南翔小籠饅頭（世紀百聯店）在掃碼點餐前仍要求消費者授權提供微信暱稱、頭像等，佬肥貓則要求獲取位置資訊。此外，記者試圖登出曾在一餐飲店授權給“一店一購”小程式的個人資訊，但遲遲未找到登出入口。更值得注意的是，過度收集個人資訊的問題不僅存在於餐飲領域。不少市民致電12345市民服務熱線反映，開具電子發票、選擇配送服務等其他事務，“索要個人資訊”也已成了商家統一的操作。2月初，杜先生前往金橋路600號泡溫泉，進門取號時被要求關注公眾號並提供手機號碼。“這不是強制收集使用者資訊嗎？為什麼不能提供非掃碼的方式呢？”

屢禁不止為後續營銷

餐廳等服務企業能不能提供不索取個人資訊的小程式、App呢？答案是肯定的。

記者瞭解到，這類服務企業使用的點餐結賬資訊服務大多來自第三方軟體服務商，相關服務商會提供對應的模組，包括推送廣告、是否索取個人資訊、索取哪些個人資訊等。“這些模組不是固定不變的，而是根據客戶需求可以增刪。只要客戶表示不需要這些服務，完全可以滿足他們的需求。”某點餐服務軟體商的工程師說，大部分服務企業都會或多或少地收集使用者資料，“都是為了後續營銷”。他舉例說，如果要求使用者關注公眾號，那麼意味著餐飲企業能夠提供豐富的推送內容，包括產品資訊、優惠資訊等；如果獲得了使用者的手機號碼，那麼可以透過簡訊的形式傳送廣告，“現在都講究精準營銷、私域流量，透過一次消費來積累自己的客戶群體，已成為慣例”。

常見的掃碼點餐系統大多基於開原始碼，開發難度並不高，這大大增加了消費者資訊洩露的風險。通常情況下，消費者提供的個人資訊會被儲存在系統後臺，並接入商戶自己的系統。由於市場上第三方軟體服務商數量眾多，服務水平良莠不齊，不能保證相關資料是否被妥善保管或是否會被“二次售賣”。

技術人員表示，透過技術手段來改變過度索取消費者資訊的現象不難，關鍵是要明確商戶能否索要使用者資訊，以及一旦違法索取使用者資訊、洩露使用者資訊後，需承擔怎樣的法律責任，“只有充分認識到個人資訊保護的重要性，才能從源頭上杜絕商家過度索取個人資訊”。

“過度收集”涉嫌違法

對於零售企業透過二維碼點餐、結算時索取個人資訊的行為，上海市消保委和相關法律人士均表示反對。

上海市消保委副秘書長唐健盛說，掃碼點餐能提高服務效率，但“只要能知道是哪張桌子點菜、點什麼菜就可以了。至於坐在這張桌子前的是張三還是李四，以及他們的手機號碼、微信使用者名稱等資訊，餐廳沒有必要了解，餐廳應該不收集或者儘可能少收集消費者的資訊。”

上海市消保委公益律師、上海海若律師事務所合夥人律師陸珊菁指出，商家為掃碼點餐設定“同意獲取個人資訊”“同意獲取使用者位置資訊”“同意第三方獲取資訊”等條件，是一種“形式上自願、實質上強制”的交易行為。《消費者權益保護法》第二十六條規定，經營者不得以格式條款、通知、宣告、店堂告示等方式，作出排除或者限制消費者權利、減輕或者免除經營者責任、加重消費者責任等對消費者不公平、不合理的規定，不得利用格式條款並藉助技術手段強制交易。若商家強制要求消費者掃碼點餐，消費者有權拒絕，或向市場監管部門投訴。同時，商家要保障消費者的個人資訊，如若消費者發現個人隱私資訊受到侵犯，應及時透過法律途徑維權。

北京觀韜中茂（上海）律師事務所葛志浩律師認為，餐飲消費的本質是消費者向商家購買餐飲服務的行為，這一關係的建立，並不以消費者提供個人資訊為必要前提。因此，餐廳要求消費者透過App或微信小程式的方式進行下單或買單，進而對消費者的個人資訊進行收集，這一做法明顯超出了必要限度，除客戶自願行為外，通常來說，此類行為應歸類為《個人資訊保護法》中所禁止的“過度收集”行為。

與此同時，依據《個人資訊保護法》的相關規定，商家收集消費者個人資訊的，還必須遵循一系列規則，包括將收集行為的目的、資訊處理的規則以及資訊處理的方式等向消費者進行明確的告知；消費者若不同意收集行為的，商家還應當配合進行撤回收集行為，已經收集並使用的，應當根據消費者的要求進行及時、有效的清除等。不過目前來看，大部分商家並沒有提供或告知這類服務。

至於商家收集個人資訊用於“智慧推送”的自動化決策行為，《個人資訊保護法》同樣作出規定，賦予消費者可自由選擇或拒絕被“智慧推送”的權利。 記者 慄思 任翀