消費者在餐廳刷碼點單已經是非常常見的操作。但是餐廳在提供給消費者刷碼點單便利的時候，務必要特別注意保護消費者個人信息，嚴禁收集非必要個人信息，并對已經收集的合理必要信息采取嚴格保密措施，否則很可能會遭受行政處罰，若出現個人信息買賣或重大泄漏等事件，甚至會產生刑事責任。以下案例是個很好的警示：

今年十月，上海普陀區市場監督管理局查處了某某餐飲公司（ “A 餐飲公司 ” ）違反消費者個人信息保護的案例。 A 餐飲公司在其管理的餐廳內提供掃碼點餐服務，具體是在餐廳餐桌上張貼綁定對應桌號的二維碼，消費者通過微信等軟件的掃一掃功能，實現點菜、下單等交易功能。但是， A 餐飲公司通過軟件設置， 要求消費者必須授權手機號碼才能完成掃碼點餐 ，且未告知消費者收集手機號的目的。

經執法機關核實，收集手機號并非完成掃碼點餐功能的必要環節，且A餐飲公司也沒有向消費者明示收集、使用手機號碼的目的、方式和范圍。另外，A餐飲公司將在經營過程中收集的消費者個人信息，在其使用的餐飲管理軟件相應模塊中可以查閱、下載和使用，而具備賬號權限進行軟件對應操作的人員并無針對性保密義務要求；在日常運營過程中，存在直接交由第三人對軟件進行操作的情況，未簽訂保密協議，未約定泄密責任，未制定數據泄露處置等應急預案；在該管理軟件中可以批量導出“會員ID、卡號、卡類型、有效期、卡狀態、售卡時間、售卡終端號、售卡門店、姓名、性別、手機號碼、卡余額”等包含消費者個人信息的Excel文檔，在導出過程無安全驗證，導出的文檔也未加密。綜合來看，A餐飲公司對其儲存在餐飲管理軟件系統內的消費者個人信息怠于履行安全管理義務，存在安全隱患，沒有采取技術措施和其他必要法律措施，確保信息安全，防止消費者個人信息泄露、丟失。

圖片來源：攝圖網

對此，上海普陀區市場監督管理局認定A餐飲公司違反了《消費者權益保護法》第二十九條規定“經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規則，不得違反法律、法規的規定和雙方的約定收集、使用信息。經營者及其工作人員對收集的消費者個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供。經營者應當采取技術措施和其他必要措施，確保信息安全，防止消費者個人信息泄露、丟失。在發生或者可能發生信息泄露、丟失的情況時，應當立即采取補救措施”。為此，執法機關對A餐飲公司做出了警告另加人民幣5萬元罰款的決定。

本案對于餐飲公司具有很大的警示意義，即餐廳在設置刷碼點單的時候，務必避免搜集和存儲消費者個人信息，特別是姓名、手機號碼、身份證號碼、地址等信息。對于確有合理必要搜集和存儲的信息，要采取必要安全技術措施，嚴格控制接觸信息的人員，并和相關人員簽署完善的保密協議，設置有效處罰規定，嚴防相關人員可以輕易導出用戶個人信息。《個人信息保護法》已于2021年11月1日生效，其處罰金額的上限也遠遠高于《消費者權益保護法》的規定，這是經營者需要特別注意的。