不扫码不能点单付款？法院：过度搜集个人信息涉及侵权！

不扫码就不能点单买单？小程序过度收集消费者线下交易信息如何认定？方便使用与保护个人信息之间怎样平衡？

二维码扫一扫，自助点单、下单、结账——如今“扫码点单”在许多消费场景中普及，甚至成为“标配”。虽然扫码点单在一定程度上可以提升点单效率、降低人力成本，但也引来不少差评和争议。

不少消费者反映，扫码点餐对不能熟练使用智能手机的老年人非常不友好，还有些餐馆在“扫码”和“点餐”之间增加了关注微信公众号、加入粉丝群等程序，不仅麻烦，而且还存在侵犯个人隐私的风险。

不扫码就不能点单买单？这类生活中常见的小事，折射的却是消费选择权、知情权，以及个人信息保护等深层次的法律问题。

如何在保护好个人信息权益的同时，促进个人信息的合理利用？

北京互联网法院集中审理北京市辖区内应当由基层人民法院审理的涉网个人信息保护案件，昨天（30）日发布了此类案件审理情况报告。

北京互联网法院发布的数据显示：

去年10月至今年10月，共受理个人信息保护纠纷案件113件，已审结104件，是2018年至2023年五年受理此类纠纷数量的近两倍。从侵权主体来看，涉及的行业领域较为广泛。

北京互联网法院副院长 赵瑞罡：除社交、电商、金融等互联网企业外，另有部分案件的被告为物业公司、房屋中介等服务行业主体，在这些案件中，以互联网企业为被告的案件最多的，占到了84%。

主张被侵害的个人信息类型多样，涉及姓名、身份证号、手机号等账号注册信息占比超过七成，除了这些基础个人信息，还有多种衍生信息，如企业对个人信息的访问记录，还包括大量法律未明确列举的个人信息，如电子商务平台上形成的用户订单交易详情、客服沟通记录，以及视频浏览、消费、就医、社交平台浏览量等数据记录、读书信息等用户使用痕迹信息。从侵权形态来看，涉及侵害个人信息的知情权与决定权的案件最多。

北京互联网法院副院长 赵瑞罡：这一类案件主要侵权形式为未经同意收集、公开、提供个人信息，或超范围收集个人信息，这类案件有73件，占比64.6%。

被超范围收集个人信息，在生活中并不少见，而消费者可能都意识不到。在法院审理的一起隐私权、个人信息保护纠纷中，小马在一家由青岛某公司实际运营的线下商店购物，微信扫码结账时却跳转到了与商店同名的微信小程序，小马将小程序的运营者北京某电子商务公司起诉到了法院。

北京互联网法院综合审判三庭法官 王红霞：2021年10月10日，原告小马在线下商店购物，在收款台自主扫描商品条形码形成商品订单后自主结账，收款台屏幕出现“扫一扫支付”二维码，显示付款方式有支付宝、微信和商店小程序，小马就使用微信扫一扫功能扫描这个二维码，然后屏幕就跳转至商店微信小程序，小程序随即显示这笔交易的交易店面、交易时间、商品名称等信息，小马就点击了“立即支付”，然后就支付成功了。

小马认为，被告作为微信小程序的运营主体，非法获取了自己的线下购物信息，侵害其个人信息权益，起诉要求被告赔礼道歉。被告辩称自己获取原告订单交易信息是基于原告的授权，不存在侵权。

法院经审理认为，小马在交易活动中产生的信息，属于个人信息。

北京互联网法院综合审判三庭法官 王红霞：《个人信息保护法》第十三条规定，个人信息处理者取得个人的同意，或为订立、履行个人作为一方当事人的合同所必须，方可处理个人信息。被告运营的微信小程序在《用户服务协议》《隐私政策》中均未明示涉案小程序将获取消费者的线下交易订单信息，且线下交易时也未向消费者告知并取得同意。被告未经原告同意，也非订立、履行合同所必需，构成对原告个人信息权益的侵害。法院判决被告向原告小马书面赔礼道歉。

毋庸讳言，当前网络用户深度参与、依赖在线服务等各类网络活动，加大了个人信息暴露风险，很少有人像小马这样关注个人信息保护问题。

北京互联网法院综合审判三庭庭长 颜君：从案件反映的情况来看，有人在社交媒体分享日常生活，无意识泄露了个人信息甚至个人隐私；有人为了领取线上平台提供的优惠券或小礼物，随意提供自身敏感个人信息；还有人在注册和使用App过程中，不仔细阅读服务协议中的个人信息保护条款，不了解隐私设置的基本操作方法，导致个人信息被过度收集和处理。尤其是未成年人、老年人，对钓鱼网站、垃圾短信、病毒程序等识别防范意识和能力不足，导致个人信息被非法收集，甚至遭遇网络诈骗。

法院认为，大型互联网服务平台、电子商务平台等重点行业的个人信息处理者掌握着大量自然人的个人信息，有义务采取必要措施确保个人信息处理活动符合法律、行政法规的规定，并保障所处理个人信息的安全。

北京互联网法院副院长 赵瑞罡：个人信息处理者要明示个人信息处理规则，确保自然人在充分知情的情况下作出明确同意，并建立已收集个人信息清单，充分保障个人对其个人信息享有的查阅复制、更正删除等权利。

法院指出，个人信息处理者要着力完善内部管理机制。

北京互联网法院副院长 赵瑞罡：充分采取访问控制、技术加密、去标识化等安全技术措施，防止未经授权的访问以及个人信息泄露、篡改、丢失。

法院认为，个人信息保护涉及对象多、领域广，多个部门职责交叉或者职权定位不够明晰，需形成监管合力。

北京互联网法院综合审判三庭庭长 颜君：我们建议不断健全个人信息保护制度体系，制定和完善个人信息保护国家标准，加强各部门工作联动，强化对个人信息处理行为的事前审查、事中监管和事后追责，以满足人民日益增长的网络信息安全新需要。