某餐饮企业变相强制消费者同意收集个人信息案

【案件背景】
2025年11月28日，上海市网信办和上海市市场监管局联合通报了一批个人信息保护执法典型案例。其中某知名连锁餐饮企业因在门店全面推行扫码点餐过程中变相强制收集消费者个人信息，受到行政处罚。近年来，扫码点餐在国内餐饮行业快速普及，但部分企业以此为名过度收集个人信息，已成为监管部门重点关注的领域。该案是网信和市场监管部门在消费者个人信息保护领域开展联合执法的一个典型案例。

【违法事实】
1. 唯一渠道锁定：该企业在所有门店取消人工点餐服务，仅提供扫码点餐一种方式，消费者若不扫码授权则完全无法完成点餐和消费，构成以拒绝提供服务的方式强制收集个人信息；
2. 捆绑收集非必要信息：消费者扫码后必须授权微信登录，系统自动收集消费者的微信昵称、头像、手机号码、地理位置等多项个人信息，其中微信昵称、头像等信息与餐饮消费没有任何必要关联；
3. 捆绑授权无法拆分：授权界面采用一键授权方式，消费者无法单独选择仅授权手机号而拒绝其他信息的收集——要么全盘接受，要么无法点餐；
4. 撤回同意即无法使用：消费者在授权后若进入微信设置撤回部分授权，App即报错并拒绝提供任何服务，撤回同意的权利被实质性架空；
5. 隐私政策缺失：扫码后跳转的H5点餐页面没有明确的隐私政策链接，消费者不知道其信息将被如何使用、是否会被共享给第三方、存储期限多久等关键信息。

【处罚依据】
《个人信息保护法》第六条（最小必要原则）、第十三条至第十七条（告知同意规则）、第四十四条至第四十七条（个人在个人信息处理活动中的权利）；《消费者权益保护法》第二十九条。

【处罚决定】
上海市网信办联合市场监管局依法对该企业作出警告、责令限期改正的行政处罚，要求企业立即恢复人工点餐选项，修改扫码点餐流程以满足最小必要原则，并建立完善的个人信息保护合规制度。

【典型意义】
该案反映了一个普遍存在的合规盲区：线下服务场景的数字化不等于可以突破个人信息保护的法律底线。扫码点餐本身是便利消费者的技术手段，但不能成为变相强制收集个人信息的工具。核心启示：点餐服务的合同必要信息仅限于点餐内容，与微信昵称、头像无关；消费者必须拥有不使用扫码点餐的替代选择（如人工点餐），否则同意就不是自由作出的。