兼谈《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》

健全完善扫码点餐个人信息保护制度

——兼谈《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》

　　党的二十大报告提出，加快数字中国建设，加强个人信息保护。党的二十届三中全会通过的《中共中央关于进一步全面深化改革、推进中国式现代化的决定》提出，建设全国统一的法律法规和规范性文件信息平台。信息化时代，个人信息保护已成为公众最关心最直接最现实的利益问题之一，以《中华人民共和国个人信息保护法》为核心的顶层设计，为保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用提供了基础性法律遵循。然而，基于个人信息应用目的、场景的不同，个人信息保护制度需要结合具体场景予以细化、落实，对个人信息加以动态的、有针对性的保护。

　　扫码点餐作为数字经济时代餐饮消费的高频场景，在便利消费者并节省商家人工运营成本方面效果显著。然而，部分餐饮商家超范围收集个人信息等引发公众不满与担忧。为指导餐饮商家规范扫码点餐服务个人信息处理活动，减少因扫码点餐造成的个人权益损害问题，近日，全国网络安全标准化技术委员会秘书处发布《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》（以下简称《征求意见稿》），向社会公开征求意见。《征求意见稿》聚焦扫码点餐这一微观场景，为个人信息保护提供标准化实践指引，规定了一系列商家可操作、用户可感知、监管可参考的实践准则。

　　个人信息处理原则的场景化

　　个人信息保护法等既有法律规范确立的个人信息处理基本原则，是实现个人信息保护与合理利用相平衡的制度基础。《征求意见稿》结合扫码点餐场景对基本原则予以细化阐释，使其具备更明确的指引性与更切实的操作性，筑牢了个人信息保护安全防线。

　　明晰一般处理原则的实践性判断标准。《征求意见稿》指出，扫码点餐服务应遵循合法、正当、必要和诚信原则。即处理个人信息应有合法、正当、必要理由，不得通过强制关注公众号、注册会员等误导、欺诈、胁迫等方式处理个人信息。坚持公开、透明原则。即扫码点餐服务要以明确、易懂、合理的方式向餐饮用户公开其处理个人信息的范围、目的、规则等，收集使用个人信息的实际行动应与公开的个人信息处理规则保持一致。严格遵守目的明确原则。即强调扫码点餐服务应具有明确、清晰、具体、合理的个人信息处理目的，且与扫码点餐涉及的线下消费功能直接相关。这类指向明确的行为准则弥合了法律原则与具体实践之间的缝隙，为实现好、维护好、发展好个人信息权益提供精细化的行动指南。

　　构建最小必要原则的实质性识别标准。最小必要原则限定了扫码点餐服务应仅收集实现服务所必需的最少个人信息种类、数量和频度，不得过度收集个人信息。作为说明，《征求意见稿》对“必要个人信息”作出特别提示性规定，确认仅“订单信息”与“支付信息”因其承载着点餐、结账的功能而成为扫码点餐服务所必需的必要个人信息。对于实践中普遍存在的收集“手机号”“位置信息”“小程序账号信息（昵称、头像等）”等行为，《征求意见稿》对其必要性予以否认。这对“必要个人信息”的内涵进行了澄清，划定了商家收集个人信息行为的明确界限，回应了公众对于个人信息被过度收集的普遍焦虑，提示商家不可以随意收集用户个人信息。

　　个人信息处理规则的具象化指引

　　个人信息处理活动应遵循必要的行为规则，协调个人信息权益保护与个人信息合理利用。综合扫码点餐服务应当避免的行为类型以及服务相关方个人信息保护要求的规定来看，《征求意见稿》为个人信息处理规则适用提供了细致的操作规范。

　　基于知情同意规则的行为约束。建立知情同意规则行为规范，通常可以分为三个层次：一是正面引导。尊重用户的知情权，要求商家应在用户使用小程序时以弹窗的方式明示个人信息处理规则，具体包括处理个人信息的目的、方式、种类、保存期限等，并由用户主动勾选同意个人信息处理规则保证用户自愿、明确作出同意。二是负面警示。规定商家不得未经用户同意处理个人信息，包括收集个人信息用于用户授权以外的目的或未经用户同意向第三方提供用户个人信息。三是特别规定敏感个人信息处理原则。要求商家对此类信息予以明确标识或突出显示。《征求意见稿》遵循该规律，对此进行系统规定，有利于矫正一揽子授权、强制同意等失范行为，维护信息主体的自由意志。

　　超范围或强制收集信息行为的排除。《征求意见稿》明确，扫码点餐服务应避免强制收集或通过小程序频繁弹窗提示收集用户平台账号信息、手机号、位置等非必要个人信息；应避免强制以关注公众号、注册会员等为由收集餐饮用户手机号、生日、性别等信息。这类规定将点餐、结账等必要核心功能与会员注册、身份验证等非必要附加功能进行隔离，防范商家对用户个人信息的过度收集。

　　未提供个人信息删除功能行为的拒斥。被遗忘权作为一种基于个人信息权的人格权利，其本质在于数据主体有权要求数据控制者永久删除有关数据主体的个人数据，有权被互联网所遗忘，除非数据的保留有合法理由。对此，《征求意见稿》指出，不得在提供账号注册功能及收集用户个人信息时，未提供有效的注销账号途径；不得在餐饮用户注销账号时，未及时对其个人信息进行删除或匿名化处理。这蕴含着对用户撤回同意、删除信息等权利的承认，有利于保护用户在扫码点餐场景下的信息自决权。

　　区分落实个人信息保护要求

　　个人信息处理者是个人信息保护的第一责任人，应当对其个人信息处理活动负责。要通过自我规制，切实履行合规管理和保障个人信息安全等义务。同时，现代数字服务往往涉及多元主体，责任链条复杂，鉴于此，要清晰划分扫码点餐服务供给的运作环节。对此，《征求意见稿》对餐饮商家、餐饮商家委托第三方及小程序平台各方的责任进行了明晰。

　　压实委托关系中的责任分配。商家自行开发运营扫码点餐小程序时，作为安全责任承担者，应当制定并向用户明示个人信息处理规则，供用户自行勾选同意规则；采用弹窗的形式向餐饮用户明示权限申请目的、使用场景；向餐饮用户收集满足所提供服务所需的最少必要个人信息；建立个人信息投诉举报管理机制和跟踪流程，并在不超过15个工作日内对投诉进行响应等。在餐饮商家委托第三方开发小程序时，《征求意见稿》明确商家作为委托人和个人信息处理者需承担主体责任，而第三方开发者作为受托人，必须在约定范围内处理用户信息并接受监督。这些规定环环相扣，构建了严密完整的个人信息保护框架。

　　强化平台的“守门人”义务。小程序平台以其特殊地位以及阻却违法行为的天然优势，理应承担更高的安全保障义务。对此，《征求意见稿》对小程序平台作出更高水平的个人信息保护要求，包括履行事前审核（资质审核、个人信息处理规则审核）、安全检测和事后持续监督的义务，并提出了对违规小程序采取下架、整改等处置措施。这实质上要求平台发挥其在个人信息处理活动中的枢纽优势，从源头上遏制违规小程序的产生和传播，落实在个人信息收集处理活动全过程中的安全保障义务。

　　（作者单位：西南政法大学行政法学院）