在國家網信辦執法局指導下，“亮劍浦江·消費領域個人信息權益保護專項執法行動”6月中旬啟動后，上海市網信辦、市市場監管局會同市商務委等相關部門重點聚焦餐飲行業普遍存在的過度收集、頻繁誘導甚至強制索取消費者非必要個人信息的違法違規行為開展集中整治。通過征集舉報線索、現場執法、約談指導、教育培訓、合規指引、“回頭看”檢查、媒體監督等多種方式，推動本市主要餐飲企業不斷提升個人信息保護意識，全面履行個人信息保護義務。
在集中整治階段，市區兩級網信部門會同市場監管部門統一行動、集中攻堅，針對各區主要商圈、主要路段，重點檢查咖啡店、奶茶店、火鍋店、快餐店、燒烤店等各類餐飲經營者2187戶。同時根據消費者喜好，對各細分領域主要餐飲連鎖企業的點餐小程序開展重點檢測，對巡查發現、網民舉報等各類問題線索開展全面核查并指導企業整改，約談相關餐飲經營者45戶，目前問題線索涉及到的35000余家全國連鎖餐飲門店已完成整改。期間，上海市網信辦、市市場監管局還對部分收集存儲消費者個人信息數量較大的餐飲企業開展了網絡安全檢查和問題整改“回頭看”檢查，進一步督促指導企業采取有效措施確保個人信息處理活動符合法律、行政法規的規定，防止消費者個人信息泄露、篡改和丟失等安全隱患。
在前期組織開展連鎖餐飲企業個人信息保護普法培訓的基礎上，上海市網信辦、市市場監管局和市商務委支持上海市消保委會同市餐飲烹飪行業協會制定發布《上海市網絡點餐服務消費者個人信息保護合規指引》（詳見附件），針對網絡點餐不同場景下餐飲經營者收集、使用、保管消費者個人信息等提出了具體的合規要求和操作準則，以切實提升餐飲行業對消費者個人信息保護水平。
為了更好地幫助消費者在掃碼點餐時加強個人信息防護，上海市網信辦提出以下“六不”建議，希望社會公眾共同提高個人信息權益保護意識，同時也對相關涉嫌違法違規行為進行線索舉報。
01
隱私政策不告知不繼續
消費者第一次使用掃碼點餐服務，掃描二維碼后跳轉到小程序頁面點餐，但小程序并沒有通過彈窗等顯著方式向消費者告知隱私政策；或者在下單、登錄等頁面默認勾選隱私政策，默認允許向餐飲企業提供個人信息。消費者可以選擇線下點單方式，或在后續掃碼點餐服務中盡量避免提供個人信息。
02
非必要個人信息不提供
消費者在到店點餐過程中（包括排隊取號、每次加菜等環節）或買單頁面，小程序要求或誘導消費者填寫與餐飲服務無關的個人信息（包括姓名、生日、性別、手機號碼、家庭住址、身份證號、銀行賬號等）。消費者對商家索取與餐飲服務無關的個人信息要警惕。
03
一鍵登錄要號碼不允許
消費者掃碼點單后出現“微信手機號一鍵登錄”獲取手機號、“微信一鍵登錄”獲取昵稱和頭像等彈窗提示，或者買單時要求提供手機號。消費者可以選擇“拒絕”或“取消”按鈕不提供。
04
誘導給精準定位不同意
消費者掃碼點單后，小程序以便利消費者選擇附近門店等為由，申請位置權限以獲取精準位置信息。消費者可以選擇使用門店搜索功能完成下單。
05
“被”會員誘關注不沖動
消費者掃碼點單后，小程序以優化服務體驗、提供會員折扣等名義，反復出現彈窗申請，誘導消費者授權精準位置或手機號等個人信息，或者誘導消費者關注企業公眾號。消費者可以根據自身選擇服務的需要謹慎提供個人信息。
06
定向推營銷廣告不接受
消費者掃碼點單后，小程序以提供便利、推送促銷信息等名義，誘導消費者同意接受定向推送的廣告營銷信息。消費者可以拒絕或者根據自身需要選擇同意，事先了解此類營銷廣告信息退訂方式。
下一階段，上海市網信辦將會同市市場監管局等有關部門繼續深挖違法線索，加強監督指導，推動餐飲經營者規范提供網絡點餐服務，切實履行個人信息保護主體責任。同時根據“亮劍浦江”專項行動部署安排，主辦單位還將圍繞停車掃碼、少兒學習培訓、網絡理財小貸、房產中介、租借充電器、商超購物、汽車4S店等消費場景，針對個人信息“過度采、強制要、誘導取、違規用”等問題開展綜合整治和專項執法。歡迎廣大網民積極參與，通過以下渠道據實提供線索。
上海市互聯網違法和不良信息舉報中心
網址：http://www.shjbzx.cn
郵箱：shjbzx@126.com
電話：12345、12315
【附件】
上海市網絡點餐服務消費者個人信息保護合規指引
第一章 總則
第一條 目的和依據
為強化本市餐飲領域消費者個人信息保護，有效提升餐飲經營者合規經營水平，在上海市網信辦、市市場監管局和市商務委的支持下，上海市消費者權益保護委員會和上海市餐飲烹飪行業協會依據《中華人民共和國個人信息保護法》、《中華人民共和國消費者權益保護法》、《上海市消費者權益保護條例》、《App違法違規收集使用個人信息行為認定方法》等法律法規，根據本市餐飲行業發展現狀，結合社會監督調查結果，制定本指引。
第二條 適用范圍
本指引適用于本市行政區域內的各類餐飲經營者，作為餐飲經營者開展網絡點餐服務消費者個人信息保護合規管理的指導建議。
第三條 基本概念
本指引所稱的餐飲經營者，是指從事飲食的加工、烹飪及消費服務經營活動，包括但不限于餐館、飯店、酒店、快餐店、小吃店、飲品店、賓館、度假村等單位。
本指引所稱的網絡點餐，是指餐飲經營者通過二維碼掃碼跳轉小程序或直接以小程序等方式向消費者提供在線自助點單服務。
本指引所稱的小程序，是指餐飲經營者供消費者直接獲取餐廳信息、菜單、在線點餐、結賬等功能的應用程序，包括但不限于通過微信/支付寶小程序、微信公眾號、h5頁面等。
第四條 基本原則
餐飲經營者開展網絡點餐服務經營活動，應當自覺遵守法律法規、商業道德和公序良俗，收集、使用消費者個人信息應當遵循合法、正當、必要、誠信的原則。
第二章 消費者個人信息保護
第五條 餐飲經營者應當在消費者首次使用網絡點餐服務時，以彈窗或其他顯著方式向消費者提示隱私政策。彈窗信息描述清楚，文字大小合適，條款內容簡潔明了，應當清晰、準確地明示收集、使用、儲存消費者個人信息的具體規則，便于消費者閱讀和理解，并征得消費者明確同意，不得默認勾選同意隱私政策或是僅提供同意選項。
第六條 餐飲經營者應當嚴格按照其申明規則收集、使用消費者個人信息，收集的個人信息或打開的可收集個人信息權限不得超出消費者授權范圍。
第七條 餐飲經營者收集的個人信息應與當前餐飲消費場景密切相關，并根據線下堂食、到店自取、外賣配送等消費場景區分索取相適應的權限和信息，不得在消費者登錄、點餐、取號、加菜、結賬等環節誘導索取與餐飲服務無關的個人信息，包括但不限于姓名、生日、性別、手機號碼、家庭住址、身份證號、銀行賬號等。
第八條 小程序使用微信一鍵登錄獲取微信昵稱、微信頭像或手機號碼等信息，或需要獲取精準位置以提供附近門店服務的，應當征得消費者明確同意，不得以消費者拒絕授權為由停止提供服務或限制使用功能，應當向消費者提供其他服務方式。
第九條 餐飲經營者不得以任何形式和理由強制或誘導消費者關注經營者微信公眾號，不得以任何形式和理由強制或誘導消費者同意餐飲經營者收集其與餐飲服務無關的個人信息。
第十條 網絡點餐服務期間，小程序不得頻繁彈窗申請消費者同意，干擾消費者正常使用功能。
第十一條 未經消費者同意或者請求，或者消費者明確表示拒絕的，餐飲經營者不得將消費者個人信息共享至第三方使用或推送商業營銷信息。推送商業營銷信息應當提供退訂或拒絕選項。
第十二條 餐飲經營者應當保障消費者可以根據意愿注銷賬號、刪除個人信息，不得設置不必要、不合理條件。
第三章 責任與監督
第十三條 餐飲經營者提供線下網絡點餐服務的，應當同時備紙質菜單，紙質菜單供應的服務產品須與線上產品保持一致性。
第十四條 餐飲經營者應當建立健全消費者個人信息保護合規管理機制，完善個人信息收集、使用、儲存、加工、傳輸、刪除等各環節管理流程和操作要求，提升個人信息管理規范性。
第十五條 餐飲經營者承擔個人信息保護主體責任，保證其小程序或委托第三方在設計、開發、運行、維護等各環節的安全性，并采取相應的技術措施和其他必要措施，確保消費者個人信息儲存安全，規避信息泄露、數據被竊取、濫用、丟失等安全隱患。
第十六條 餐飲經營者應當定期組織開展門店消費者個人信息保護教育培訓，明確個人信息保護合規職責。
第十七條 上海市消費者權益保護委員會與上海市餐飲烹飪行業協會將不定期對餐飲行業網絡點餐服務合規情況開展暗訪抽查和社會監督。
第四章 附則
第十八條 本指引自2023年7月18日起實施。
