上海市消保委在今年315期间开展餐饮领域扫码点餐个人信息保护暗访监督的基础上，依据《上海市消费者权益保护条例》赋予的法定职责，会同市餐饮烹饪行业协会制定发布《上海市网络点餐服务消费者个人信息保护合规指引》，《指引》得到了上海市网信办、市市场管理局和市商务委的大力支持与指导，针对网络点餐不同场景下餐饮经营者收集、使用、保管消费者个人信息等提出了具体的合规要求和操作准则，以切实提升餐饮行业对消费者个人信息保护水平。
根据《指引》，餐饮经营者在进行网络点餐服务时，需在消费者首次使用时以弹窗或其他显著方式向消费者提示隐私政策，并征得消费者明确同意。同时，餐饮经营者也需严格按照其申明规则收集、使用消费者个人信息，收集的个人信息或打开的可收集个人信息权限不得超出消费者授权范围。
《指引》强调了几个重点：
1
消费者个人信息收集和使用需合法、正当、必要和诚信，《指引》要求餐饮经营者在收集和使用消费者个人信息时，必须遵守相关法律法规，并获得消费者的明确同意。
2
根据消费场景区分索取相适应的权限和信息。《指引》要求餐饮经营者需根据消费者登录、点餐、取号、加菜、结账等不同消费场景，合理索取相应的权限和信息，不得收集与餐饮服务无关的个人信息。
3
不得强制或诱导消费者关注公众号或推送商业营销信息。《指引》要求餐饮经营者不得以任何形式和理由强制或诱导消费者关注经营者微信公众号，不得以任何形式和理由强制或诱导消费者同意餐饮经营者收集其与餐饮服务无关的个人信息。推送商业营销信息应当提供退订或拒绝选项。
4
保障消费者可以根据意愿注销账号、删除个人信息。《指引》强调，餐饮经营者应当保障消费者可以根据意愿注销账号、删除个人信息，不得设置不必要、不合理条件。
此外，《指引》还规定了以下内容：
1
餐饮经营者应当建立健全消费者个人信息保护合规管理机制，完善个人信息收集、使用、储存、加工、传输、删除等各环节管理流程和操作要求，提升个人信息管理规范性。
2
餐饮经营者承担个人信息保护主体责任，保证其小程序或委托第三方在设计、开发、运行、维护等各环节的安全性，并采取相应的技术措施和其他必要措施，确保消费者个人信息储存安全，规避信息泄露、数据被窃取、滥用、丢失等安全隐患。
3
餐饮经营者应当定期组织开展门店消费者个人信息保护教育培训，明确个人信息保护合规职责。
对于近期社会关注的不使用智能手机的消费者无法扫码点餐的问题，《指引》也要求餐饮经营者提供线下网络点餐服务的，应当同时备纸质菜单，纸质菜单供应的服务产品须与线上产品保持一致性。
为了确保《指引》的实施效果，上海市消保委和市餐饮协会将不定期对餐饮行业网络点餐服务合规情况开展暗访抽查和社会监督。
此《指引》的实施将进一步提升上海市餐饮行业在保护消费者个人信息方面的合规水平，同时也为消费者在网络点餐服务中提供了更加安全和放心的环境。这不仅反映了上海市在保护消费者个人信息方面的高度重视，也体现了上海作为国际大都市在维护消费者权益方面的积极努力。
上海消保委和上海餐饮协会呼吁所有餐饮经营者积极响应并遵守这一《指引》，共同努力提升上海市网络点餐服务消费者的个人信息保护水平，为消费者提供更安全、更优质的服务。同时，上海市消保委也呼吁广大消费者提高个人信息保护意识，关注自身信息的保护情况，如遇个人信息被侵犯的情况，应及时向有关部门举报投诉，以维护自身权益。
这一《指引》的发布和实施，无疑将推动上海市网络点餐服务的健康发展，为消费者提供更安全、更便捷的服务体验。同时，也将有力推动上海市餐饮行业个人信息保护向着更加规范、更加透明的方向发展，为行业的长期发展奠定坚实的基础。
上海市网络点餐服务
消费者个人信息保护合规指引
第一章 总则
第一条 目的和依据
为强化本市餐饮领域消费者个人信息保护，有效提升餐饮经营者合规经营水平，在上海市网信办、市市场监管局和市商务委的支持下，上海市消费者权益保护委员会同上海市餐饮烹饪行业协会依据《中华人民共和国个人信息保护法》、《中华人民共和国消费者权益保护法》、《上海市消费者权益保护条例》、《App违法违规收集使用个人信息行为认定方法》等法律法规，根据本市餐饮行业发展现状，结合社会监督调查结果，制定本指引。
第二条 适用范围
本指引适用于本市行政区域内的各类餐饮经营者，作为餐饮经营者开展网络点餐服务消费者个人信息保护合规管理的指导建议。
第三条 基本概念
本指引所称的餐饮经营者，是指从事饮食的加工、烹饪及消费服务经营活动，包括但不限于餐馆、饭店、酒店、快餐店、小吃店、饮品店、宾馆、度假村等单位。
本指引所称的网络点餐，是指餐饮经营者通过二维码扫码跳转小程序或直接以小程序等方式向消费者提供在线自助点单服务。
本指引所称的小程序，是指餐饮经营者供消费者直接获取餐厅信息、菜单、在线点餐、结账等功能的应用程序，包括但不限于通过微信/支付宝小程序、微信公众号、h5页面等。
第四条 基本原则
餐饮经营者开展网络点餐服务经营活动，应当自觉遵守法律法规、商业道德和公序良俗，收集、使用消费者个人信息应当遵循合法、正当、必要、诚信的原则。
第二章 消费者个人信息保护
第五条 餐饮经营者应当在消费者首次使用网络点餐服务时，以弹窗或其他显著方式向消费者提示隐私政策。弹窗信息描述清楚，文字大小合适，条款内容简洁明了，应当清晰、准确地明示收集、使用、储存消费者个人信息的具体规则，便于消费者阅读和理解，并征得消费者明确同意，不得默认勾选同意隐私政策或是仅提供同意选项。
第六条 餐饮经营者应当严格按照其申明规则收集、使用消费者个人信息，收集的个人信息或打开的可收集个人信息权限不得超出消费者授权范围。
第七条 餐饮经营者收集的个人信息应与当前餐饮消费场景密切相关，并根据线下堂食、到店自取、外卖配送等消费场景区分索取相适应的权限和信息，不得在消费者登录、点餐、取号、加菜、结账等环节诱导索取与餐饮服务无关的个人信息，包括但不限于姓名、生日、性别、手机号码、家庭住址、身份证号、银行账号等。
第八条 小程序使用微信一键登录获取微信昵称、微信头像或手机号码等信息，或需要获取精准位置以提供附近门店服务的，应当征得消费者明确同意，不得以消费者拒绝授权为由停止提供服务或限制使用功能，应当向消费者提供其他服务方式。
第九条 餐饮经营者不得以任何形式和理由强制或诱导消费者关注经营者微信公众号，不得以任何形式和理由强制或诱导消费者同意餐饮经营者收集其与餐饮服务无关的个人信息。
第十条 网络点餐服务期间，小程序不得频繁弹窗申请消费者同意，干扰消费者正常使用功能。
第十一条 未经消费者同意或者请求，或者消费者明确表示拒绝的，餐饮经营者不得将消费者个人信息共享至第三方使用或推送商业营销信息。推送商业营销信息应当提供退订或拒绝选项。
第十二条 餐饮经营者应当保障消费者可以根据意愿注销账号、删除个人信息，不得设置不必要、不合理条件。
第三章 责任与监督
第十三条 餐饮经营者提供线下网络点餐服务的，应当同时备纸质菜单，纸质菜单供应的服务产品须与线上产品保持一致性。
第十四条 餐饮经营者应当建立健全消费者个人信息保护合规管理机制，完善个人信息收集、使用、储存、加工、传输、删除等各环节管理流程和操作要求，提升个人信息管理规范性。
第十五条 餐饮经营者承担个人信息保护主体责任，保证其小程序或委托第三方在设计、开发、运行、维护等各环节的安全性，并采取相应的技术措施和其他必要措施，确保消费者个人信息储存安全，规避信息泄露、数据被窃取、滥用、丢失等安全隐患。
第十六条 餐饮经营者应当定期组织开展门店消费者个人信息保护教育培训，明确个人信息保护合规职责。
第十七条 上海市消费者权益保护委员会与上海市餐饮烹饪行业协会将不定期对餐饮行业网络点餐服务合规情况开展暗访抽查和社会监督。
第四章 附则
第十八条 本指引自2023年7月18日起实施。
