“歡迎光臨，進門請掃碼點餐。”在北京一家大型連鎖牛肉面餐飲品牌店鋪中，貝殼财經記者剛進門就被告知需要掃碼點餐。
這家牛肉面店坐落于幾棟寫字樓附近，到了中午飯點，不少白領前來就餐，店中一位難求。與顧客數量形成鮮明對比的是店中服務人員的數量。除了一位負責回收碗筷的人員，以及幾位負責上餐的人員外，店内其他員工和顧客基本零交流。多數員工或是在忙着搬運貨品，或是在忙着外賣出單。店中包括餐具、紙巾、基本調料品等物品均擺放在餐廳的一角，由顧客自助使用。偌大的餐廳内，看不到一張菜單。進門後，幾乎所有的消費者都心照不宣地拿起手機掃碼點餐。
這在很多餐廳已成為常态。
近日，新京報貝殼财經記者就此前引起廣泛關注的掃碼點餐問題進行了實地走訪調查。在實地調查中，貝殼财經記者發現，在商場和大型連鎖餐飲店中，掃碼點餐過度索取個人資訊的現象依舊存在。此外，關注公衆号後才能點餐、添加員工微信後方能檢視完整菜單、僅主動提供掃碼點餐一種點餐形式等現象也時有出現。
一位點餐小程式技術提供商告訴貝殼财經記者，在小程式背景商家可以随意選擇資訊索取程度，“即使不擷取手機号、地理位置等資訊仍不影響顧客點餐”。既然如此，那麼，為何商家還要過度索取手機号、位置等個人資訊？有技術提供商稱，幾乎所有使用掃碼點餐小程式的商家都會提出後續營銷需求，而自家公司不僅提供點餐程式，還提供一系列精準的營銷政策，包括向消費者索要授權以進行使用者畫像，根據使用者畫像精準推送營銷資訊等。
對此，有律師向貝殼财經記者表示，消費者掃碼點餐時被強制過度授權個人資訊侵犯了消費者的公平交易權和自主選擇權。商家在收集消費者個人資訊時應明确告知并對個人資訊進行保密，在消費者明确拒絕的情況下，商家不得向其發送商業性資訊。
今年2月，上海市監局出台首個《餐飲行業“掃碼點餐”規範指引》（以下簡稱《指引》）明确提出，餐廳不應僅提供掃碼點餐一種點餐方式，更不應該通過掃碼點餐強制消費者關注餐廳公衆号，同時點餐時商家不應強制、過度索權。2021年3月，中消協就曾釋出通知：掃碼點餐不應成為“單選題”。2021年12月，騰訊向小程式開發者推送了關于自查“掃碼點餐強制關注公衆号”問題的通知，明确表示，2022年1月17日起違規公衆号将被限制二維碼打開公衆号能力。
掃碼點餐“亂象”仍存，過度索權背後，建構使用者畫像精準營銷
進門提示掃碼點餐、點餐強制授權、餐廳不見紙質菜單、個人資訊删除過程複雜、授權資訊被用于後續營銷......
貝殼财經記者在上述連鎖牛肉面餐廳掃碼發現，想要點餐，消費者必須向小程式授權個人手機号碼、位置資訊、微信昵稱和頭像，其中手機号碼還需要經過短信驗證真實後方可使用。而倘若消費者選擇“允許”授權，根據《第三方使用者資訊授權說明》，即代表消費者預設同意該餐飲品牌的小程式隐私政策。貝殼财經記者查閱隐私政策時發現，點餐小程式開發者可以收集處理的資訊包括使用者微信昵稱、頭像、位置資訊、手機号、相冊權限、麥克風權限、攝像頭權限，甚至包括微信運動步數、發票資訊等内容。而對于取得的資訊，隐私政策顯示，開發者對資訊的儲存期限為“實作處理目的的所必要的最短時間”。此外，隐私政策顯示，如果消費者想要查閱、複制、更正、删除個人資訊，可以聯系所提供的手機号碼。
圖說：上述牛肉面店隐私政策内容。
授權登入後，記者按照隐私政策内容撥打預留電話，想要删除個人資訊，但接電話人員并無資訊删除權限。随後記者又聯系到了該餐廳經理，經理表示隐私政策上預留電話資訊尚未及時更新，餐廳可以提供人工點餐服務。此外，餐廳經理一再強調，小程式搜集的個人資訊僅用于點餐使用。
對于被儲存的手機号等資訊，店中另一位員工則告訴記者，“後續主要是用來營銷”，例如店鋪推出優惠活動會以短信的形式通知消費者前來複購。
在本次走訪調查中，貝殼财經記者一共走訪了23家餐飲店鋪，其中21家店鋪支援掃碼點餐，5家店鋪沒有或不主動提供紙質菜單，20家店鋪掃碼點餐時向使用者索要授權。在向使用者索要授權的店鋪中，掃碼後使用者不提供手機号、地理位置、微信昵稱頭像等資訊仍能繼續點餐付款的僅有5家，分别是快樂檸檬、Manner Coffee、麥當勞、喜茶和奈雪的茶。
23家餐飲店鋪點餐情況調查彙總表格。
其中，麥當勞點餐小程式提供遊客和會員兩種登入模式，同意相關隐私條款後即可以遊客身份點餐付款。而快樂檸檬、Manner Coffee、喜茶和奈雪的茶四家店鋪在後續各個環節仍會不斷跳出索權提示。例如，Manner Coffee前後共跳出5次彈窗，分别用于索取位置資訊、微信登入授權、微信昵稱頭像以及兩次手機号碼。而其他飲品店鋪如茶太飲品、DQ冰淇淋、蜜雪冰城、本宮的茶等在記者拒絕授權個人資訊後均無法繼續使用小程式點餐。不過，這些店鋪均提供人工點餐服務。
Manner coffee小程式結賬界面授權申請。
除小程式過度索權外，關注公衆号後才能掃碼點餐的現象依然存在。“本宮的茶”和“南京大牌檔”兩家店鋪提供的掃碼點餐二維碼均為店鋪微信公衆号，消費者隻有關注公衆号後才能收到點餐連結。
在南京大牌檔店鋪關注微信公衆号後方可獲得點餐連結。
另外一家名為“Bon Cake”的甜品店鋪點餐二維碼則為員工企業微信二維碼，該名員工告訴記者，添加其微信後，自己會将菜單發送過來。
Bon Cake店鋪員工向記者發來的店鋪菜單。
某點餐小程式技術提供商商品介紹界面顯示，自家推出的點餐小程式能以多種方式進行顧客營銷。玩法一就是關注公衆号下單，鎖粉、推廣兩不誤——強制關注公衆号才能點餐，為公衆号強力引流。後續定向推送活動、促銷等優惠資訊，每次推送都是對顧客的一次刺激，海量活動“撲面而來”，讓顧客從心動變行動，再次進店輕而易舉。此外，還有通過授權擷取使用者資訊以便進行後續營銷等介紹。
貝殼财經記者走訪的21家支援掃碼點餐的店鋪中，要求使用者授權個人電話、地理位置以及微信昵稱頭像等資訊的店鋪占比達到了95.2%。那麼這些資訊是否為線上點餐必需資訊呢？
貝殼财經記者以餐飲商家的身份咨詢了上述點餐小程式技術提供商，其告訴記者，商家可以在應用背景自由設定小程式索權程度，“即使不擷取手機号、地理位置等資訊仍不影響顧客點餐”。此外，技術提供商還稱，通過使用者授權商家可以得知顧客經常活動的範圍、年齡、聯系方式以及喜好的餐品等資訊，進而在活動期間精準推送活動資訊，吸引消費者複購。例如，索取地理位置資訊可以獲知使用者經常活動範圍，索取微信昵稱頭像等資訊可以定位使用者個體，記錄點餐偏好，索取電話資訊可以通過短信等方式推送營銷資訊。
而當貝殼财經記者問起使用者對個人資訊隐私的顧慮時，技術提供商則表示，“使用者使用小程式前都會點選預設同意隐私條款，很大程度上我們已經免責了”。
掃碼點餐使用者該不該授權手機号、位置等私人資訊？
有專家向貝殼财經記者表示，消費者掃碼點餐時被強制過度授權個人資訊侵犯了消費者的公平交易權和自主選擇權。也有專家認為，關鍵在于商家應向消費者充分告知索取的這些資訊使用目的，同時給予消費者選擇權。
掃碼點餐商家要求消費者授權個人資訊，如手機号、個人位置等是否合理？消費者個人資訊又該如何保護？
北京盈科律師事務所律師孟澤東表示，大陸《消費者權益保護法》明确規定：經營者收集、使用消費者個人資訊，應當遵循合法、正當、必要的原則，明示收集、使用資訊的目的、方式和範圍，并經消費者同意。而在現實生活中，消費者選擇掃碼點餐的同時經常被強制授權給商家個人資訊，這一方面侵犯了消費者的公平交易權和自主選擇權，另一方面也是對消費者個人資訊的過度收集，加重了個人資訊丢失和個人隐私被洩漏的風險。
此外，目前大多數應用軟體都有收集使用者個人資訊的功能，應大陸《網絡安全法》等相關法律法規的要求，營運商需要制定隐私政策來明确告知其對于個人資訊的收集方式、存儲期限、共享、轉讓等。因小程式的營運模式和應用軟體越來越趨于一緻，大陸對于小程式也提出越來越高的監管要求。而使用者同意隐私政策後，商家一概而論的資訊搜集模式，既不符合大陸《個人資訊保護法》等法律法規的立法初衷，也不利于其自身的持續發展。
南京資訊工程大學法政學院教授蔣潔向貝殼财經記者分析，上海新出台的《指引》規定，點餐小程式授權部分應當按照合法、正當、必要原則，在提供掃碼點餐服務時，應當限于處理目的的最小範圍。也就是說，如果沒有手機号也可以付款，那麼掃碼點餐要求授權手機号超出了實作“點餐”這一目的的最小範圍，是以不得“強制要求”消費者對手機号進行授權。
不過，蔣潔認為，如果掃碼點餐的處理目的是“提升消費者服務體驗的點餐”，比如形成點餐記憶，下次來的時候能夠看到之前自己點過什麼、對什麼表達過好評，則适度索權是可行的。“隻要商家提供了多種點餐方式，就不應過分苛責。”
蔣潔分析，首先，餐飲類商業活動顯然很難達到壟斷程度，從業者與消費者之間在絕大多數場景下是平等關系。其次，商家在點餐問題上提供了傳統菜單、掃碼點餐等多種選擇，對于消費者來說，隻要這些選擇沒有明顯增加自身用餐成本，商家實際上可以任意選擇其中之一提供給消費者（而非全部提供）。最後，對于商家來說，采用掃碼點餐既是出于節省服務人員、提升銷售周期速度的考慮，同樣也是出于擷取更多消費資料、提高服務品質和商業利潤的考慮。
而針對目前市面上消費者反映的點餐小程式“過度索權”的問題，蔣潔認為，與其說是“過度索權”，不如認定為提供商的邏輯結構不夠嚴謹。作為商家，應對授權後的使用範圍和目的進行說明，同時向消費者提供選擇是否授權的自由。此外，針對後續的營銷資訊推送，商家應當事先予以明确提示，給予使用者選擇是否接收後期推銷短信、電話等的選項，并明示退出途徑。也就是說，商家以及技術提供商應該做到兩點，一是說明白，二是要給予選擇權。“消費者擔心的是濫用，是未經允許的資訊轟炸、是無法預期的隐私洩露。是以，政策法規的初衷是形成限制，讓平等自願的商事活動沿着安全可信的可選擇脈絡推進。”
蔣潔指出，大資料分析本身沒有利弊之說，關鍵之處在于如何使用。商業活動之中，使用者畫像本身也不是壞事，精準服務和個性化體驗是人類對于幸福生活的夢想展現。“無論走到哪裡，食物很貼心（沒有會過敏的姜蒜）、服務很及時，這些本是人類對未來社會的理想。”
最後，蔣潔認為，依靠逐利的商家或是專業認知有限的使用者，甚至依賴制度性規範去解決資料使用與資料安全的關系，在一個資料已是核心資産的年代是不可行的。是以，包括《指引》的字裡行間，商家可以要求授權手機号，甚至是位址、微信，但必須簡單清晰地說明，亦必須給予消費者充分選擇權。同時，技術發展的方向，可見的未來，必然是這些資料都會被使用，都會公開透明，但消費者的身份會以極難攻破的匿名方式存在。
新京報貝殼财經記者 李夢涵 編輯 嶽彩周 校對 郭利