扫码点餐中的个人信息侵权风险与法律规制

　　外出就餐时，你是否遇到过这些情况——不扫码无法点餐、点餐必须关注公众号、频繁弹窗要求收集位置信息等，令人不堪其扰。扫码点餐作为数字化餐饮服务的重要形式，已广泛应用于各类餐饮场景中，因扫码点餐引发的隐私安全担忧逐渐引发公众关注。7月22日，全国网络安全标准化技术委员会秘书处发布《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》，进一步规范扫码点餐中的个人信息处理行为。本文从扫码点餐的个人信息侵权风险切入，通过对相关主体的法律关系和权利义务分析，探讨对扫码点餐中个人信息处理的法律规制。

　　扫码点餐中的个人信息侵权风险

　　扫码点餐是通过扫描餐饮商家提供的点餐二维码，获取菜单、线上点餐和结算的新兴消费方式。与传统点餐模式相比，扫码点餐高效、便捷，可以减少点餐等待时间，节省人力成本，但也存在有的商家过度收集个人信息和信息处理不透明等侵权风险。这些风险主要表现在三个方面：

　　其一，扫码点餐平台大多存在过度收集用户信息现象。扫码点餐系统的运作依赖二维码编码、图像识别、数据解码与网络通信等多个环节的技术支持，实践中，餐饮商家多委托第三方平台搭建点餐系统，用户扫码后被要求登录社交账户、绑定手机号，甚至位置信息等与点餐服务无直接关联的敏感数据也被系统收集。这严重违反了《中华人民共和国个人信息保护法》第六条第二款关于“不得过度收集个人信息”的规定。

　　其二，扫码点餐平台的用户授权机制大多存在“同意”形式化问题。实践中，用户扫码点餐时，往往只能通过勾选已设定的授权选项进入点餐界面，无法选择其他数据处理形式，也难以查阅详细的隐私政策或知情说明，这种“强制捆绑授权”行为剥夺了消费者的知情权与自主决定权，构成对其个人信息处理权的侵害。

　　其三，许多扫码点餐系统在技术设计与数据管理上缺乏有效的安全保障措施。部分中小平台在开发过程中未对数据传输与存储过程进行充分加密，且缺乏访问权限控制与日志记录机制，易导致用户信息在网络传输或系统遭受攻击时被非法获取、篡改或泄露。此外，一些平台在未依法告知并取得用户同意的情形下，将收集的信息用于用户画像、广告推送，甚至与第三方企业共享，进一步扩大了侵权风险。

　　扫码点餐中的相关主体及其法律关系

　　扫码点餐服务通常涉及消费者、餐饮商家、技术平台三类法律主体，他们围绕个人信息的收集与使用形成了不同的法律关系，厘清这些关系，有利于构建扫码点餐监管规则机制。

　　首先，消费者与餐饮商家之间形成服务合同关系。在扫码点餐场景中，消费者通过扫码进入点餐界面，与餐饮商家形成餐饮服务合同关系。消费者在点餐过程中所提供的姓名、电话、位置信息、支付数据等个人信息，受个人信息保护法及消费者权益保护法的保护，餐饮商家作为数据的“实际控制者”或“共同控制者”，负有信息最小化、告知义务、用户选择权保障等法定责任。然而，实践中，许多商家通过委托第三方技术平台部署扫码系统，导致消费者的数据并非由商家直接处理，而是由平台接收和管理，增加了个人信息保护环节的复杂性。

　　其次，餐饮商家与技术平台之间形成委托关系。技术平台为扫码点餐提供系统开发、数据接口、后台管理等服务，属于法律意义上的“个人信息处理者”。根据《中华人民共和国个人信息保护法》第二十一条和第五十九条关于委托和受托处理个人信息的规定，餐饮商家作为数据处理任务的委托方，应就数据安全、用途范围、责任划分等与受托平台签订协议，并对平台的处理活动承担监督义务，平台必须采取必要措施保障所处理个人信息的安全。然而，实践中，有的技术平台往往在授权页面直接要求用户同意隐私政策，甚至在后台保留用户数据，将用户数据用于广告投放、用户画像等非委托目的。这实际使平台从“受托方”转变为“共同控制者”，需承担更高程度的信息安全与合法性义务。

　　最后，消费者与平台之间存在个人信息处理和保护的法律关系。当消费者通过扫码跳转至平台小程序或页面时，平台与用户之间形成了事实上的隐私授权与数据处理关系，应受《中华人民共和国民法典》第一千零三十二条和《中华人民共和国个人信息保护法》有关规定的规制。如果平台在用户不知情的情况下擅自收集用户的精确定位、消费习惯等敏感信息，或将数据共享给第三方，将构成对用户隐私权或个人信息权益的侵犯。

　　扫码点餐中个人信息处理的法律规制

　　由前述分析可见，扫码点餐个人信息处理行为的法律规制应侧重于法律实施机制的完善。具体来说，在大数据时代，由于数据利用被经济利益驱动，信息控制者往往具有强烈的个人信息利用激励，而缺乏同等程度的保护激励，单纯依靠个人信息保护法的基本规定，无法激发信息控制者保护个人信息的自觉。一方面，个人信息滥用的受害者是信息主体，不是信息控制者，信息控制者缺乏主动保护个人信息的动力；另一方面，科技发展带来多元化的行业变革，在新兴产业领域或面对新型经营模式，有些信息控制者缺乏独立完善的保护个人信息机制的能力。鉴于此，个人信息保护法的有效实施，不能单纯依靠事后追责，而应将培育信息控制者内部数据治理机制与构筑有效的外部执法威慑结合起来，引导信息控制者主动合规。

　　对于扫码点餐中的个人信息保护问题，建议从信息安全风险管理角度切入，从以下几个方面予以完善：第一，细化“必要信息”范围与处理边界。通过法律法规或规范性文件，明确规定扫码点餐所能收集的最少信息的范围，避免信息过度收集。第二，加强“明示同意”机制建设。禁止设置默认同意、强制跳转技术路径，应要求平台提供真实、可分级选择的授权选项。第三，推动平台落实“隐私保护设计”。鼓励平台在系统架构中嵌入权限控制、数据加密、自动删除等合规机制，贯彻“保护嵌入式”思维。第四，健全监督机制与责任追究制度。加强对扫码点餐平台的数据处理备案、日志审查与合规评估，并在侵权发生后依法追究侵权主体的法律责任。

　　全国网络安全标准化技术委员会秘书处发布的《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》，对于规范扫码点餐中的个人信息处理具有重要意义。该文件对扫码点餐服务各方主体的法律责任予以明确区分与界定，对扫码点餐服务必要个人信息范围进行了明确列举规定。这些具有可操作性的细化规定，为信息控制者完善信息处理机制提供了参照标准，为监管部门依法监管提供有力指引，有利于实现个人信息保护的内部合规管理，为监管部门执法提供更准确的依据。

　　（作者单位：广东外语外贸大学法学院）