【问题引入】
"扫一扫点餐"如今几乎成了餐厅的标配，但不少消费者发现：扫码之后不关注公众号就看不到菜单，不留手机号就下不了单，有的还要授权获取位置、通讯录甚至相册权限。一顿饭没吃上，个人信息先交出去一大堆。有人觉得"反正只是个手机号，无所谓"，也有人反感"吃饭为什么要给我推广告"。问题在于，商家把"提供个人信息"设置成消费的前置条件，究竟有没有法律依据？消费者又能不能拒绝？
【法条原文】
- 《中华人民共和国个人信息保护法》第六条（2021-11-01 施行，现行有效）：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
- 《中华人民共和国个人信息保护法》第十三条（2021-11-01 施行，现行有效）：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
- 《中华人民共和国个人信息保护法》第十六条（2021-11-01 施行，现行有效）：个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
- 《中华人民共和国消费者权益保护法》第二十九条（2014-03-15 施行，现行有效）：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。
【深度理解】
第一，判断的基准是"最小必要"。个人信息保护法第六条确立了目的明确、直接相关、影响最小、范围最小四项要求。点餐这一场景的处理目的是"完成下单与结算"，围绕这一目的，必要的个人信息通常只包括桌号、菜品与支付所需的信息。手机号、生日、位置、通讯录与完成点餐并无直接关联，属于超出最小范围的收集，落入第六条所禁止的"过度收集"。
第二，"不授权就不让点餐"的捆绑，是法律明确禁止的。第十六条直指这类做法：除处理个人信息属于提供产品或者服务所必需的情形外，处理者不得以个人不同意或撤回同意为由拒绝提供服务。换言之，商家可以设计两种不同的点餐路径，但不能只允许"交出信息才能吃饭"这一种路径。是否构成"必需"，应当是客观判断——如果同一服务在不收集该信息时仍能正常提供，就难以认定为必需。
第三，同意必须是真实、自愿、知情的。第十三条把"取得个人同意"列为处理个人信息的首要合法性基础，这意味着同意本身要符合自愿原则。以"不关注公众号就无法看菜单"的方式取得的同意，实质上剥夺了消费者的选择空间，难以构成有效的同意。消费者即使当时点了"同意"，事后仍可撤回，商家不得因此拒绝继续提供服务。
第四，消费者还有一层经营者义务层面的保护。消费者权益保护法第二十九条要求经营者遵循合法、正当、必要原则，明示目的、方式和范围，公开收集使用规则，并对信息严格保密、防止泄露；未经同意或消费者明确拒绝的，不得发送商业性信息。这意味着"扫码点餐后天天收到营销短信"本身就构成独立的违规点，与前端的强制收集是两个可以分别主张的问题。
第五，实务中的维权路径并不复杂。消费者可以当场拒绝非必要授权，要求商家提供人工点餐或菜单；已提交信息的，可以要求商家说明用途、删除或撤回同意；遭遇持续骚扰的，可留存截图向市场监管部门、网信部门投诉举报。需要注意的是，投诉时尽量提供具体的页面截图、跳转路径、时间地点与商家名称，形成可核验的材料链，比单纯陈述"被强制"更有说服力。
第六，商家一侧也有合规的改造空间。把点餐小程序做成"游客可用"模式、把手机号收集改为"送达需要时才填"、把会员权益与点餐功能解耦、在隐私政策中用通俗语言说明收集字段及用途，都是成本低而效果明显的调整。合规并不等于放弃数字化，而是把"必需"和"营销"两条通道分开。
【相关案例】
示例情形：李先生到某连锁餐厅用餐，扫码后页面提示"请先关注公众号并授权手机号"。他在未关注的情况下无法查看菜单，询问店员，被告知"扫码就得这样，您可以看纸质菜单但只有部分菜品"。李先生按提示完成授权后发现，该公众号此后每周推送营销信息，且无法一键退订。李先生向属地市场监管部门投诉，并提交了扫码页面截图、授权流程录屏与营销推送记录。监管部门核查后认为，商家将关注公众号、提供手机号作为点餐的前置条件，超出提供餐饮服务所必需的范围，责令其整改，增加无需授权即可使用的点餐入口，并对营销推送设置便捷退订方式。（本示例为说明性虚构情形，非真实案件）
【律师提醒】
消费者遇到强制授权，可以先做三步：一、要求商家提供不扫码也能点餐的替代方式，并保留被拒绝的录音或录像；二、对确实不必要的字段拒绝填写，如已在不知情下授权，及时在小程序或公众号中撤回同意、解除绑定；三、留存页面截图、时间点、商家名称与推送记录，通过 12315 平台或网信部门举报渠道反映。
也要提醒经营者和平台方：把"收集信息"等同于"数字化"是常见的误区。判断标准是所收集字段与当前服务目的是否直接相关、是否为提供服务所必需，以及是否保留了不授权也能获得服务的通道。一旦被认定为变相强制，除了行政层面的整改要求，还可能因信息泄露、非法提供承担民事赔偿责任。
【特别声明：本文仅供个人学习使用，不作为任何决策依据，任何人参考或采用本文或本文观点引发的任何后果由当事人自行承担！】
