扫码诱导加入会员、强制索取位置信息都是违规的！上海500多家企业已被约谈

  打开一款饮品小程序远程点单，等饮品做好后再取餐，这样的扫码下单已是稀松平常的消费场景。然而，在上海网信办执法人员的眼中，部分商家设定的点单过程暗藏玄机：扫码后一通行云流水的授权，个人信息可能在“即刻消费”中被过度收集，在不知不觉中遭到泄露，成为网络黑灰产、电信诈骗的源头。

  今年6月以来，“亮剑浦江·消费领域个人信息权益保护专项执法行动”对扫码点餐、停车缴费、少儿学习培训、网络理财小贷、共享充电宝、商超购物、房产中介、汽车4S店等八大消费场景开展个人信息保护综合整治和专项执法，近半年来，累计检查企业6043家，依法对520余家企业进行约谈，查处各类个人信息保护案件50余件。日前，上海市网信办、市市场监管局执法人员集中在北外滩来福士广场进行“回头看”。原本违法违规收集个人信息的商家是否整改彻底了？新的问题是否会出现？记者跟随执法人员、市人大代表进行突击检查。

  信息泄露存隐秘诱导

  在各色餐饮门店林立的商场B2楼，市人大代表詹婷婷在餐饮企业“蔡澜港式点心”的一个桌角扫码，一条“用户隐私政策提醒”弹窗出现。她点击了不同意，换来的却是无法打开菜单。詹婷婷眉头一紧，被迫选择了“同意并继续”，弹窗又提示要申请获取位置信息。扫码点单时，小程序出现“一键成为会员”尊享特权的提示；扫码结账时再次出现加入会员的提示。“这是明显的诱导。”詹婷婷感叹，餐饮企业保护用户隐私的意识不够，扫码点餐问题仍亟待解决。

  “原来我已注册过这家店了。”在鲜果茶企业“7分甜”门店前，詹婷婷扫码点单，竟发现自己因在其他门店消费过该品牌，不经过注册登录就直接可以点单。她想要注销信息，却怎么也找不到入口。再仔细翻看密密麻麻的隐私条款协议，竟发现该企业将用户授权第三方以及多种场景使用。“没有便捷的个人信息退出机制，个人信息保护很难说是完整的。”詹婷婷说。

  随后，执法人员来到星巴克门店，对于此前在小程序上个人信息收集环节诱导消费者加入会员的问题，经技术人员检测，已彻底整改。“企业必须要意识到，要允许游客模式下的点单权限。即便用户选择加入会员，相关个人信息使用去向、范围都要明确告知。”上海网信办执法人员朱涛说。

  要分类分级守好防线

  一家“童画森林创新美术教育”的少儿培训机构引起执法人员的注意。门店外竖立着不少主题研学游、线上线下课程的小程序咨询及报名入口的广告牌。扫码后，机构要求填写儿童姓名、年龄、性别、联系方式、微信号等信息。

  执法人员提出，要对后台个人信息收集情况进行检查。机构负责人连忙称：“只有校长、教务级别的老师可以查看，普通老师看不到家长电话。”但从检查结果看，这类敏感内容的查看权限仍过低。

  对于培训机构的客户信息数据保护问题，市人大代表、上海市信息服务业行业协会秘书长陆雷认为，此类机构掌握着消费者较敏感的个人信息，因此在敏感信息的查看权限、存储环节上需要格外注意，特别重要的要放在保险箱里。“守好两条底线：第一，确保不贩卖；第二，做好相应的保护。”在陆雷看来，中小企业信息泄露问题大多是由于企业内的相关人员出于私利而进行倒卖产生的，因此数据保护很大程度上依赖于企业如何严格控制内部人员倒卖的管理制度。

  本次“回头看”涉及停车缴费、租借充电宝的企业，均没有发现问题，整改效果明显。在来福士广场地下车库，“纯净版”停车付款码标识被放大后张贴醒目、引导指示清晰。记者扫码后，看到了输入车牌号码的界面，可直接跳转支付界面。“成为会员，缴费更便捷”的选项被放在下方，降低被误导点击的可能性。

  上海网信办执法人员表示，通过“回头看”检查，不少企业能按照个人信息保护法要求规范个人信息的收集、存储等行为。但有些企业仍存在违法违规情形。一方面需要监管部门持续加大普法培训、合规指引和行政执法力度，另一方面也需要凝聚社会共识。