近日,迪奥(上海)公司因三项个人信息处理违法事实被依法处罚,此事件再度将个人信息保护话题推至公众视野。
在日常消费场景中,点一碗米线,为什么要开放十几项手机权限?扫一次码,为何非得交出手机号和位置信息?这些所谓“必要授权”,有多少实际超出了法律规定的“最小必要”边界?
过度索权界面
几乎成点餐小程序标配
“我只是想点一碗米线,为什么要给它摄像头等十几项权限?”消费者张女士打开某牛肉米线店的线上点单小程序后,无意间点开的隐私政策里,一连串权限请求瞬间让她犯了难。
通过张女士提供的截图可以看到,该小程序“开发者处理的信息”清单本质就是一份权限索取列表:不仅要获取微信昵称、头像、大致位置和手机号,还试图访问手机摄像头、麦克风、相册(仅写入)、加速传感器,甚至剪切板内容——这些权限基本都超出了正常点餐的需求范畴。并且在该小程序的界面中,“允许获取微信公开信息”“接受个性化推荐”等选项的开关均被默认开启。
张女士的遭遇并非个例。记者随机查阅多家餐饮点餐小程序发现,类似过度索权界面几乎成为标配,不同商家索要的权限项目或许略有差异,但要求用户让渡多项非必要信息的操作模式却惊人一致。
然而,个人信息一旦被过度收集,其滥用方式便层出不穷。今年7月,网友小林在消费某奶茶后,她的微信突然收到一条令人后怕的好友申请:“我是××奶茶店的,看你挺可爱的……”对方自称是她刚消费过的奶茶店店员,小林感到非常震惊:“我从没留联系方式,他怎么能直接加我微信?”在她追问下,对方才坦言“是小程序(点餐)”。
无独有偶,网友“吃大米”在某餐厅扫码点单后因给出了3.5星的中评,次日便接到店家电话。对方直言不讳地施压:“扫码点单能看到你的个人信息,能不能把差评删了?”
除了被商家主动联系,消费者的信息还可能被“精准抓取”。市民栾女士和朋友在某川菜馆扫码点单时,系统界面直接跳出了“栾××,欢迎进入点餐”的提示。“我们来这儿吃饭从没给过真实姓名,他们怎么知道的?”面对质问,商家仅含糊其辞地回应“可能是微信授权带来的”,但栾女士检查自己的微信授权记录后发现,她仅允许该商家获取“昵称和头像”,并不包含真实姓名。
多数权限并非必需
过度索取背后有啥算计
在实际体验中,记者尝试了多家餐厅的点餐系统。结果显示,在大多数餐厅中,当拒绝提供位置信息时,系统仍允许手动选择门店;拒绝一键授权手机号、昵称等信息时,也可通过输入取餐号完成订单。这些操作虽稍费时间,但完全不影响点餐流程。仅有极少数餐厅在未获取权限的情况下无法继续点餐。事实证明,商家宣称的“必要权限”中,绝大部分并非完成点餐所必需。
那么,为何商家还要如此执着地索取这些权限?某连锁餐饮品牌公关部负责人齐先生道出了实情:“如今餐饮行业的竞争已经从前端的菜品口味,延伸到后端的数据运营。”他进一步解释,“一旦一个店掌握了海量数据,其带来的长期价值可能比客单价翻番都重要。”
据介绍,商家通过获取用户信息,可以构建用户画像,分析消费习惯和偏好。“知道你喜欢什么口味、什么时间段用餐、消费频率如何,就能精准推送优惠券,甚至与第三方合作开展交叉营销。”齐先生表示,一条完整的用户数据链条,其商业价值可能远超单笔订单的利润。在他看来,像米线店这样索取摄像头、麦克风权限,本质上是为后续可能的“增值服务”(如用户行为分析、互动营销)铺路,而非单纯服务于点餐需求。
值得警惕的是,许多餐厅将扫码点餐与关注公众号捆绑在一起。用户一旦关注,商家就获得了长期触达用户的渠道,可以反复推送营销信息。从一次性消费变成长期流量,这才是商家真正看重的。
最小必要原则是法律底线
消费者该咋办
从法律层面,商家处理消费者个人信息需严守“最小必要原则”这一底线。北京大成(青岛)律师事务所律师许磊波指出,《个人信息保护法》明确要求,收集个人信息应限于实现处理目的的最小范围,不得过度收集。在扫码点餐场景中,消费者扫码的核心需求是点餐或结账,商家索要与餐饮服务无关的摄像头、麦克风权限,或超出必要限度收集头像、昵称、地区等信息,既不合理,也不合法。若存在“不授权非必要权限就无法点餐”,或对非必要权限的收集未明确告知用途的情况,即属于过度索权或变相收集个人信息,违反法律规定。消费者可向网信部门举报,或通过法律途径主张权益。
许磊波以北京市第三中级人民法院审结的一起典型案例为例,强调扫码点餐场景中的法律边界。该案中,消费者孔某在某餐饮公司就餐时,商家要求其扫码关注公众号并授权获取微信昵称、头像、手机号等信息,否则无法点餐。孔某取消关注后发现个人信息仍被存储且无法自行删除,最终法院认定商家行为违反个人信息保护法中“明示同意”和“最小必要”原则,判决商家停止侵权、删除信息并赔偿公证费用5000元。
面对扫码点餐中的信息风险,消费者并非毫无招架之力。许磊波建议,要学会“主动拒绝”:遇到非必要权限请求(如摄像头、麦克风),应坚决点击“拒绝”;对于手机号、位置信息,可询问商家“不授权是否影响核心服务”,若不影响则同样拒绝。
在微信授权环节,消费者还可利用“虚拟身份”功能,点击“使用其他头像和昵称”,创建一个临时虚拟身份,以此隔绝真实信息的泄露。同时,定期清理手机中与点餐小程序相关的缓存数据,也能在一定程度上减少信息泄露的风险。
编辑：刘丹
