焦点访谈丨扫码消费：要“便捷”更要“边界”(2)

　　门店越多，产生的数据也越多，有时甚至达到了惊人的地步。比如，某知名连锁奶茶品牌每收到一笔订单，就会产生87条数据，目前已累计产生超过100亿条。其中，涉及消费者姓名、电话、位置等个人敏感信息的就达6.7亿条。专家表示，在数字经济时代，数据通常被用于经营管理，这有利于提高工作效率、提升经济效益，因此个人信息是可以被采集并使用的。但在采集信息的过程中，必须遵循“合法、正当、必要”三原则才行。

　　据了解，要搭建一个收集消费者个人信息的技术平台，门槛很低，费用也不高。在一些电商平台上，有大量开发扫码点餐小程序的个人或技术公司在兜售这种业务。网络安全专家表示，扫码点餐存在一定的风险性，尤其是在小商家扫描那些来路不明的二维码则更无法保障其安全性。

　　那么，这些被商家用扫码点餐、诱导提交等手段收集来的信息是否得到妥善保管了呢？调查发现，不少企业在保管用户信息时，存在一定的隐患。比如，前面提到的那家知名的奶茶店采集的数据量巨大，根据《网络安全法》和《数据安全法》，应该按照三级标准进行等级保护，但是这家企业却没有做这些工作。时隔一个月，这家企业整顿得怎么样了呢？

　　某科技企业总经理朱炎：“后续我们已经联系了相关的等级保护单位，基本定在12月份完成所有的保护工作。”

　　至于点一杯奶茶产生的87条信息，记者在后台数据库上看到了。这些信息大多是企业正常运营所需的生产信息，而非个人隐私信息，公众不必因此恐慌。跟公众最直接相关的是姓名和手机号码。记者看到，绝大多数人留下的是昵称或者姓氏，而不是全名；至于手机号码，记者随机抽取了一个当天的订单进行检查。

　　上海市信息安全测评认证中心创新研究院副院长徐御：“中间做了掩码变化，不会把整个个人信息泄露出去，还是符合要求的。”

　　但是很快执法人员发现了一个完整的手机号码，商家告知是虚拟手机号。这真的是虚拟号码吗？记者立刻拨打了过去，经过确认并非客户真实手机号。据了解，虚拟号码是为了方便商家或外卖小哥与客户联系使用的，可以拨打，但并非真实号码，并且24小时后会自动失效。随后，记者又选取了几天前的订单再次验证，结果所有号码全部失效，并非真实手机号。

　　此外，隐私权政策也是本次检查的重点内容之一。所谓隐私权政策，就是信息收集方就如何收集个人信息所发布的声明。简单讲，就是告诉用户采集个人信息的目的、用途以及如何保管等。执法人员发现，不少企业要么没有隐私权政策，要么不完善，比如，前面提到的网红奶茶店，就没有清晰地告知用户相关内容。

　　记者调查发现，还有些企业虽然制定了隐私权政策，但过于冗长，用户体验非常不友好。比如某咖啡连锁店的隐私权政策，洋洋洒洒近万字，这让消费者如何阅读？与其说是为了告知用户，倒不如说是为了保护企业自己。

　　为了加强个人信息保护，上海市消保委自7月起针对扫码点餐、停车缴费、少儿培训和共享充电宝等四种消费场景，分别出台了合规指引、自律承诺和合规清单。未来，还将针对房产中介、商超购物等主要消费场景作出相应指引。