喝咖啡前，要如何“走流程”？小程序监管已来
（本图片由Midjourney生成）
引言
也许你对这样的场景并不陌生：
喝咖啡（或吃饭/交停车费）前，先打开微信扫二维码；
“滴\~”
（烦躁地）勾选、同意、跳过、登录、关掉弹窗、哎呀点错了进广告了……
一套流程走完，终于可以开始买东西了。对于这样的流程，除了经常感到烦躁之外，不知道你会不会偶尔心有余悸……我买个东西而已，这一通操作下来，我到底把什么东西给授权出去了？
但这是当前小程序使用场景下非常常见的现象，在这套流程里，消费者往往不知不觉地，就把自己的各类个人信息授权了出去。但这个流程，合规吗？作为小程序运营者，如何让这个流程更加规范，真正地将保护个人信息的责任落实到位？
近日，在上海网信办和上海市监局开展的“亮剑浦江·2024”专项执法行动中，咖啡消费场景下个人信息权益保护问题受到关注。两部门对24家连锁咖啡企业开展了普法培训和合规指导工作，上海网信办也发布了《咖啡消费场景违法违规收集使用个人信息案例解析》，以案释法，引导咖啡企业落实个人信息保护有关规定。
上海网信办的这份案例解析虽说针对“咖啡行业”，实际上能够反映当前企业用【小程序】向消费者提供服务时常见的违法违规问题，我们以本文做一次归纳和分享。
最小必要原则是个人信息保护的基本原则之一，《个人信息保护法》规定“收集个人信息应当限于实现处理目的的最小范围”。近年来，APP及小程序超范围收集、过度索取等侵害个人信息的现象层出不穷。在执法行动中，咖啡企业索要非必要个人信息的情况时有发生，在消费者使用咖啡点单小程序时，不乏有小程序多次通过弹窗申请非点单所必要的精准位置信息权限，这有悖于个人信息收集的最小必要原则。
关于必要个人信息范围。《常见类型移动互联网应用程序（App）必要个人信息范围》，为规范App收集个人信息行为，对常见类型App的必要个人信息范围作出明确规定，指出餐饮外卖类APP基本功能服务所需必要个人信息仅包括注册用户移动电话号码，以及收货人姓名（名称）、地址、联系电话。《网络安全实践指南——移动互联网应用基本业务功能必要信息规范》也依据“最少够用”原则的指引，针对16类基本业务功能给出保障其正常运行所需收集的个人信息，其中餐饮外卖企业收集位置信息的基本使用范围仅限于向用户展示所在位置周边的外卖店铺信息，及便于用户选择外卖收获地址。上述通知和指南为解决APP“过度索权”问题提供了有效指引。
“告知-同意”是《个人信息保护法》确立的个人信息处理核心规则，是保障个人对其个人信息处理知情权和决定权的重要手段。个人信息处理者是个人信息保护的第一责任人，应当对其个人信息处理活动负责，保障个人信息主体对信息处理的同意在充分知情前提下，自愿、明确地作出。
1.“告知”：以个人充分知情为要件
法律对个人信息处理者科加以特别的告知义务，要求其告知应能够使个人信息主体充分知情。然而，现实中确存在企业对用户的告知流于形式的情况，默认同意隐私政策以及隐私政策不完整的问题层出不穷。在执法行动中，咖啡企业暴露出没有充分告知用户隐私协议的问题，消费者使用点单小程序时，有的小程序出现了弹窗提示消费者阅读的隐私政策仅为某第三方隐私政策模板，隐私政策包含“微信小程序第三方SDK目录”一节但未列出具体的第三方SDK清单目录，以及下单页面默认勾选0元入会按钮且默认“我已阅读并同意《会员服务协议》”的情况。
（以上图片均来源于“网信上海”公众号）
在上述情况中，用户无法通过阅读隐私政策充分了解详情，甚至并未阅读隐私政策条款，用户的知情权难以得到保障。与此同时，隐私政策条款中往往包括个人信息处理者设置的一些免责条款，此时用户对勾选更多发挥着“只要个人信息主体同意就可以处理个人信息”的免责作用，隐私协议沦为个人信息处理者的免责工具。《个人信息保护法》第17条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等事项。《App违法违规收集使用个人信息行为认定方法》第3条第4款规定，以默认选择同意隐私政策等非明示方式征求用户同意，可被认定为“未经用户同意收集使用个人信息”。
2.“同意”：以个人自愿为前提
同意是个人信息处理的正当性基础，然而个人信息主体仍面临“难以自愿、自由作出同意决定”的现实困境，实践中强制同意隐私政策以及隐私政策不实的问题屡见不鲜。在对咖啡企业开展的执法活动中发现，消费者首次使用某咖啡点单微信小程序时，该小程序弹窗提示消费者阅读隐私政策且未提供拒绝选项，或隐私政策承诺外送订单功能会在“消费者授权同意前提下”收集精准地理位置信息，但实际使用该功能将强制消费者授权精准地理位置信息。
“自愿”同意意味着个人信息主体应当能在不受损害地拒绝作出同意的前提下，真正遵从内心意愿、自由地作出同意。上述“强制同意隐私政策行为”及“强制收集地理位置信息”的行为实际上剥夺了用户在自愿基础上作出同意的权利。《移动互联网应用程序信息服务管理规定》第十二条明确要求应用程序提供者处理个人信息“不得以任何理由强制要求用户同意个人信息处理行为，不得因用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务”。《App违法违规收集使用个人信息行为认定方法》第3条第9款亦规定，违反其所声明的收集使用规则，收集使用个人信息，可被认定为“未经用户同意收集使用个人信息”。
随着移动互联网的进一步发展，“超级APP+小程序”模式日益兴起，小程序中的个人信息保护问题值得关注。早在2022年至2023年工信部发布的《关于侵害用户权益行为的APP（SDK）通报》中，屈臣氏、小象充电等常见的微信小程序纷纷因侵害用户个人信息权益而被点名。上海本次对咖啡行业的普法工作和案例指引来看，某种程度上可以说明监管部门已经开始以行业的视角，进一步开展针对小程序的合规监管工作。企业应该尽早地针对小程序的合规开展自查，重视对个人信息的保护，避免在合规监管中遭受处罚。
如果在数据合规的问题上遇到困难，欢迎联络我们聊聊。
---
参考资料：
[1]《专项整治！星巴克、瑞幸、COSTA COFFEE等被约谈》，载《中国消费者报》。
[2]网信上海：《亮剑浦江｜防治个人信息随“咖”乱“啡” 上海市网信办、市市场监管局联合举办咖啡行业合规指导和普法培训》，载澎湃新闻网。
[3]网信上海：《亮剑浦江丨上海市网信办发布《咖啡消费场景违法违规收集使用个人信息案例解析》（一）》，载澎湃新闻网。
[4]网信上海：《亮剑浦江丨上海市网信办发布《咖啡消费场景违法违规收集使用个人信息案例解析》（二）》，载澎湃新闻网。
[5] 全国信息安全标准化技术委员会：《网络安全实践指南——移动互联网应用基本业务功能必要信息规范》
[6] 《个人信息保护法：构建以“告知-同意”为核心的处理规则》，载《人民法院报》。
[7] 易江鹏：《个人信息保护中的知情同意原则：困境与出路》。
[8] 少楚：《“告知同意”规则是个人信息保护的支点》，载《人民法院报》。
[9] 李雨桐：《明理之辨丨知情同意原则对侵犯公民个人信息罪司法裁判的校准》，载北京市第二中级人民法院网。
[10]中国信通院：《小程序个人信息保护研究报告》。
[11]大成南宁办公室：《个人信息保护的合规应对——以微信小程序为例》。
[12]程啸：《大型网络平台违反守门人义务的民事责任》，载《法律科学》。
[13]周学峰：大型网络平台的个人信息保护特别义务，载《数字法治》。
---
创作团队
作者：唐卌贰 白心怡
审核：有鲤Legal
往期文章推荐
人工智能
深夜重磅！OpenAI突然发布SearchGPT，AI 搜索的合规怎么卷？| 附内测申请链接
AIGC律师｜AI水平大幅逼近美国，生成物标识的合规监管还会远吗?
律师测评 | 用户创建AI虚拟人角色，平台有哪些责任？
寡姐要告OpenAI：律师评山寨名人声音的商业模式
律师测评 | ChatGPT-4o，让人机之恋走进现实
AI生成声音第一案，给AIGC创业项目的3点教训
律师评测 | 华为手机“AI一键脱衣”
数字经济
数据资产 | 数据资源入表，到底应该如何开展工作？
数据圆桌｜数字化智能化改造最新税收优惠政策解读
数据资产 | 公交领域数据入表案例盘点与分析
限期实缴制下出资新方式探索——数据“入表+入股”是否具有可行性？
数据资产新篇章丨隆安广州“数据资源入表实战沙龙”在南沙圆满落幕
---
陈焕
《法律人ChatGPT应用指南》作者
隆安湾区人工智能法律研究中心主任
隆安广州数字经济部副部长
\*扫描添加作者微信，请备注姓名+单位。