某咖啡企业违法违规收集使用个人信息案

【案件背景】
2025年11月28日，上海市网信办公布了一批个人信息保护执法典型案例，其中某知名咖啡连锁企业的App因违法违规收集使用个人信息被依法处罚。该企业在全国拥有数千家门店，为提升运营效率推广线上点单和会员服务，但其App在个人信息收集使用方面存在多项违法行为，侵害了广大消费者的个人信息权益。

【违法事实】
1. 默认勾选捆绑授权：App在首次启动时以默认勾选方式请求获取用户位置权限、相机权限、存储权限等多达6项系统权限，用户需要逐一取消勾选才能拒绝——但多数用户在快速点单场景下不会仔细查看，实质上构成利用默认选项替代用户主动授权的违规操作；
2. 隐私政策可读性差、表述模糊：App隐私政策长达8000余字，但关于您的个人信息将如何被使用的关键内容使用了大量可能、或将、等等模糊表述，用户无法清楚了解其消费行为数据将被用于精准营销、用户画像和第三方广告投放等具体用途；
3. 消费行为数据用于精准营销未明示：企业收集的点单记录、消费频次、口味偏好、消费金额等数据被系统性地用于个性化推荐和精准营销（包括App推送和短信营销），但App仅在隐私政策中以改善服务体验的笼统措辞一笔带过；
4. 账号注销功能藏匿过深：注销入口被设置在五层路径下，且在注销时要求用户上传身份证正反面照片，额外收集敏感个人信息作为注销条件；
5. 第三方SDK接入管理缺失：App内集成了十余个第三方SDK（数据分析SDK、广告SDK、地图SDK等），隐私政策中仅笼统列出名称，未说明各SDK收集个人信息的具体类型、目的和方式。

【处罚依据】
《个人信息保护法》第六條（最小必要原则）、第十三条至第十七条（告知同意规则）、第四十七条（注销账号后的信息删除义务）。

【处罚决定】
上海市网信办依法对该公司作出警告、责令限期改正的行政处罚，要求企业在30日内完成App合规整改并提交整改报告。

【典型意义】
该案反映了零售消费行业数字化转型中普遍存在的数据合规问题：企业往往将线上渠道视为理所应当收集消费者数据的途径，而忽视了告知同意的基本原则——默认勾选不是同意、模糊表述不构成充分告知。在餐饮消费场景下，消费者买一杯咖啡与接受精准营销之间没有天然的关联。