武丹/制图

扫码点餐中的个人信息侵权风险与法律规制

作者|刘洪华

责编|薛应军

正文共2657个字，预计阅读需8分钟▼

外出就餐时，你是否遇到过这些情况——不扫码无法点餐、点餐必须关注公众号、频繁弹窗要求收集位置信息等，令人不堪其扰。扫码点餐作为数字化餐饮服务的重要形式，已广泛应用于各类餐饮场景中，因扫码点餐引发的隐私安全担忧逐渐引发公众关注。7月22日，全国网络安全标准化技术委员会秘书处发布《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》，进一步规范扫码点餐中的个人信息处理行为。本文从扫码点餐的个人信息侵权风险切入，通过对相关主体的法律关系和权利义务分析，探讨对扫码点餐中个人信息处理的法律规制。

扫码点餐中的个人信息侵权风险

扫码点餐是通过扫描餐饮商家提供的点餐二维码，获取菜单、线上点餐和结算的新兴消费方式。与传统点餐模式相比，扫码点餐高效、便捷，可以减少点餐等待时间，节省人力成本，但也存在有的商家过度收集个人信息和信息处理不透明等侵权风险。这些风险主要表现在三个方面：

其一，扫码点餐平台大多存在过度收集用户信息现象。扫码点餐系统的运作依赖二维码编码、图像识别、数据解码与网络通信等多个环节的技术支持，实践中，餐饮商家多委托第三方平台搭建点餐系统，用户扫码后被要求登录社交账户、绑定手机号，甚至位置信息等与点餐服务无直接关联的敏感数据也被系统收集。这严重违反了《中华人民共和国个人信息保护法》第六条第二款关于“不得过度收集个人信息”的规定。

其二，扫码点餐平台的用户授权机制大多存在“同意”形式化问题。实践中，用户扫码点餐时，往往只能通过勾选已设定的授权选项进入点餐界面，无法选择其他数据处理形式，也难以查阅详细的隐私政策或知情说明，这种“强制捆绑授权”行为剥夺了消费者的知情权与自主决定权，构成对其个人信息处理权的侵害。

其三，许多扫码点餐系统在技术设计与数据管理上缺乏有效的安全保障措施。部分中小平台在开发过程中未对数据传输与存储过程进行充分加密，且缺乏访问权限控制与日志记录机制，易导致用户信息在网络传输或系统遭受攻击时被非法获取、篡改或泄露。此外，一些平台在未依法告知并取得用户同意的情形下，将收集的信息用于用户画像、广告推送，甚至与第三方企业共享，进一步扩大了侵权风险。

扫码点餐中的相关主体及其法律关系

扫码点餐服务通常涉及消费者、餐饮商家、技术平台三类法律主体，他们围绕个人信息的收集与使用形成了不同的法律关系，厘清这些关系，有利于构建扫码点餐监管规则机制。

首先，消费者与餐饮商家之间形成服务合同关系。在扫码点餐场景中，消费者通过扫码进入点餐界面，与餐饮商家形成餐饮服务合同关系。消费者在点餐过程中所提供的姓名、电话、位置信息、支付数据等个人信息，受个人信息保护法及消费者权益保护法的保护，餐饮商家作为数据的“实际控制者”或“共同控制者”，负有信息最小化、告知义务、用户选择权保障等法定责任。然而，实践中，许多商家通过委托第三方技术平台部署扫码系统，导致消费者的数据并非由商家直接处理，而是由平台接收和管理，增加了个人信息保护环节的复杂性。

其次，餐饮商家与技术平台之间形成委托关系。技术平台为扫码点餐提供系统开发、数据接口、后台管理等服务，属于法律意义上的“个人信息处理者”。根据《中华人民共和国个人信息保护法》第二十一条和第五十九条关于委托和受托处理个人信息的规定，餐饮商家作为数据处理任务的委托方，应就数据安全、用途范围、责任划分等与受托平台签订协议，并对平台的处理活动承担监督义务，平台必须采取必要措施保障所处理个人信息的安全。然而，实践中，有的技术平台往往在授权页面直接要求用户同意隐私政策，甚至在后台保留用户数据，将用户数据用于广告投放、用户画像等非委托目的。这实际使平台从“受托方”转变为“共同控制者”，需承担更高程度的信息安全与合法性义务。

最后，消费者与平台之间存在个人信息处理和保护的法律关系。当消费者通过扫码跳转至平台小程序或页面时，平台与用户之间形成了事实上的隐私授权与数据处理关系，应受《中华人民共和国民法典》第一千零三十二条和《中华人民共和国个人信息保护法》有关规定的规制。如果平台在用户不知情的情况下擅自收集用户的精确定位、消费习惯等敏感信息，或将数据共享给第三方，将构成对用户隐私权或个人信息权益的侵犯。

扫码点餐中个人信息处理的法律规制

由前述分析可见，扫码点餐个人信息处理行为的法律规制应侧重于法律实施机制的完善。具体来说，在大数据时代，由于数据利用被经济利益驱动，信息控制者往往具有强烈的个人信息利用激励，而缺乏同等程度的保护激励，单纯依靠个人信息保护法的基本规定，无法激发信息控制者保护个人信息的自觉。一方面，个人信息滥用的受害者是信息主体，不是信息控制者，信息控制者缺乏主动保护个人信息的动力；另一方面，科技发展带来多元化的行业变革，在新兴产业领域或面对新型经营模式，有些信息控制者缺乏独立完善的保护个人信息机制的能力。鉴于此，个人信息保护法的有效实施，不能单纯依靠事后追责，而应将培育信息控制者内部数据治理机制与构筑有效的外部执法威慑结合起来，引导信息控制者主动合规。

对于扫码点餐中的个人信息保护问题，建议从信息安全风险管理角度切入，从以下几个方面予以完善：第一，细化“必要信息”范围与处理边界。通过法律法规或规范性文件，明确规定扫码点餐所能收集的最少信息的范围，避免信息过度收集。第二，加强“明示同意”机制建设。禁止设置默认同意、强制跳转技术路径，应要求平台提供真实、可分级选择的授权选项。第三，推动平台落实“隐私保护设计”。鼓励平台在系统架构中嵌入权限控制、数据加密、自动删除等合规机制，贯彻“保护嵌入式”思维。第四，健全监督机制与责任追究制度。加强对扫码点餐平台的数据处理备案、日志审查与合规评估，并在侵权发生后依法追究侵权主体的法律责任。

全国网络安全标准化技术委员会秘书处发布的《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》，对于规范扫码点餐中的个人信息处理具有重要意义。该文件对扫码点餐服务各方主体的法律责任予以明确区分与界定，对扫码点餐服务必要个人信息范围进行了明确列举规定。这些具有可操作性的细化规定，为信息控制者完善信息处理机制提供了参照标准，为监管部门依法监管提供有力指引，有利于实现个人信息保护的内部合规管理，为监管部门执法提供更准确的依据。

（作者单位：广东外语外贸大学法学院）

健全完善扫码点餐个人信息保护制度——兼谈《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》

作者|林钰兰 杨尚东

责编|薛应军

正文共2736个字，预计阅读需8分钟▼

党的二十大报告提出，加快数字中国建设，加强个人信息保护。党的二十届三中全会通过的《中共中央关于进一步全面深化改革、推进中国式现代化的决定》提出，建设全国统一的法律法规和规范性文件信息平台。信息化时代，个人信息保护已成为公众最关心最直接最现实的利益问题之一，以《中华人民共和国个人信息保护法》为核心的顶层设计，为保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用提供了基础性法律遵循。然而，基于个人信息应用目的、场景的不同，个人信息保护制度需要结合具体场景予以细化、落实，对个人信息加以动态的、有针对性的保护。

扫码点餐作为数字经济时代餐饮消费的高频场景，在便利消费者并节省商家人工运营成本方面效果显著。然而，部分餐饮商家超范围收集个人信息等引发公众不满与担忧。为指导餐饮商家规范扫码点餐服务个人信息处理活动，减少因扫码点餐造成的个人权益损害问题，近日，全国网络安全标准化技术委员会秘书处发布《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》（以下简称《征求意见稿》），向社会公开征求意见。《征求意见稿》聚焦扫码点餐这一微观场景，为个人信息保护提供标准化实践指引，规定了一系列商家可操作、用户可感知、监管可参考的实践准则。

个人信息处理原则的场景化

个人信息保护法等既有法律规范确立的个人信息处理基本原则，是实现个人信息保护与合理利用相平衡的制度基础。《征求意见稿》结合扫码点餐场景对基本原则予以细化阐释，使其具备更明确的指引性与更切实的操作性，筑牢了个人信息保护安全防线。

明晰一般处理原则的实践性判断标准。《征求意见稿》指出，扫码点餐服务应遵循合法、正当、必要和诚信原则。即处理个人信息应有合法、正当、必要理由，不得通过强制关注公众号、注册会员等误导、欺诈、胁迫等方式处理个人信息。坚持公开、透明原则。即扫码点餐服务要以明确、易懂、合理的方式向餐饮用户公开其处理个人信息的范围、目的、规则等，收集使用个人信息的实际行动应与公开的个人信息处理规则保持一致。严格遵守目的明确原则。即强调扫码点餐服务应具有明确、清晰、具体、合理的个人信息处理目的，且与扫码点餐涉及的线下消费功能直接相关。这类指向明确的行为准则弥合了法律原则与具体实践之间的缝隙，为实现好、维护好、发展好个人信息权益提供精细化的行动指南。

构建最小必要原则的实质性识别标准。最小必要原则限定了扫码点餐服务应仅收集实现服务所必需的最少个人信息种类、数量和频度，不得过度收集个人信息。作为说明，《征求意见稿》对“必要个人信息”作出特别提示性规定，确认仅“订单信息”与“支付信息”因其承载着点餐、结账的功能而成为扫码点餐服务所必需的必要个人信息。对于实践中普遍存在的收集“手机号”“位置信息”“小程序账号信息（昵称、头像等）”等行为，《征求意见稿》对其必要性予以否认。这对“必要个人信息”的内涵进行了澄清，划定了商家收集个人信息行为的明确界限，回应了公众对于个人信息被过度收集的普遍焦虑，提示商家不可以随意收集用户个人信息。

个人信息处理规则的具象化指引

个人信息处理活动应遵循必要的行为规则，协调个人信息权益保护与个人信息合理利用。综合扫码点餐服务应当避免的行为类型以及服务相关方个人信息保护要求的规定来看，《征求意见稿》为个人信息处理规则适用提供了细致的操作规范。

基于知情同意规则的行为约束。建立知情同意规则行为规范，通常可以分为三个层次：一是正面引导。尊重用户的知情权，要求商家应在用户使用小程序时以弹窗的方式明示个人信息处理规则，具体包括处理个人信息的目的、方式、种类、保存期限等，并由用户主动勾选同意个人信息处理规则保证用户自愿、明确作出同意。二是负面警示。规定商家不得未经用户同意处理个人信息，包括收集个人信息用于用户授权以外的目的或未经用户同意向第三方提供用户个人信息。三是特别规定敏感个人信息处理原则。要求商家对此类信息予以明确标识或突出显示。《征求意见稿》遵循该规律，对此进行系统规定，有利于矫正一揽子授权、强制同意等失范行为，维护信息主体的自由意志。

超范围或强制收集信息行为的排除。《征求意见稿》明确，扫码点餐服务应避免强制收集或通过小程序频繁弹窗提示收集用户平台账号信息、手机号、位置等非必要个人信息；应避免强制以关注公众号、注册会员等为由收集餐饮用户手机号、生日、性别等信息。这类规定将点餐、结账等必要核心功能与会员注册、身份验证等非必要附加功能进行隔离，防范商家对用户个人信息的过度收集。

未提供个人信息删除功能行为的拒斥。被遗忘权作为一种基于个人信息权的人格权利，其本质在于数据主体有权要求数据控制者永久删除有关数据主体的个人数据，有权被互联网所遗忘，除非数据的保留有合法理由。对此，《征求意见稿》指出，不得在提供账号注册功能及收集用户个人信息时，未提供有效的注销账号途径；不得在餐饮用户注销账号时，未及时对其个人信息进行删除或匿名化处理。这蕴含着对用户撤回同意、删除信息等权利的承认，有利于保护用户在扫码点餐场景下的信息自决权。

区分落实个人信息保护要求

个人信息处理者是个人信息保护的第一责任人，应当对其个人信息处理活动负责。要通过自我规制，切实履行合规管理和保障个人信息安全等义务。同时，现代数字服务往往涉及多元主体，责任链条复杂，鉴于此，要清晰划分扫码点餐服务供给的运作环节。对此，《征求意见稿》对餐饮商家、餐饮商家委托第三方及小程序平台各方的责任进行了明晰。

压实委托关系中的责任分配。商家自行开发运营扫码点餐小程序时，作为安全责任承担者，应当制定并向用户明示个人信息处理规则，供用户自行勾选同意规则；采用弹窗的形式向餐饮用户明示权限申请目的、使用场景；向餐饮用户收集满足所提供服务所需的最少必要个人信息；建立个人信息投诉举报管理机制和跟踪流程，并在不超过15个工作日内对投诉进行响应等。在餐饮商家委托第三方开发小程序时，《征求意见稿》明确商家作为委托人和个人信息处理者需承担主体责任，而第三方开发者作为受托人，必须在约定范围内处理用户信息并接受监督。这些规定环环相扣，构建了严密完整的个人信息保护框架。

强化平台的“守门人”义务。小程序平台以其特殊地位以及阻却违法行为的天然优势，理应承担更高的安全保障义务。对此，《征求意见稿》对小程序平台作出更高水平的个人信息保护要求，包括履行事前审核（资质审核、个人信息处理规则审核）、安全检测和事后持续监督的义务，并提出了对违规小程序采取下架、整改等处置措施。这实质上要求平台发挥其在个人信息处理活动中的枢纽优势，从源头上遏制违规小程序的产生和传播，落实在个人信息收集处理活动全过程中的安全保障义务。

（作者单位：西南政法大学行政法学院）