齐鲁晚报·齐鲁壹点记者 张子慧

如今，扫码点餐确实省去了招手喊服务员的麻烦，不少人偏爱这种无需等待、自主选择的便捷方式。然而，伴随而来的却是“点份米线需授权十几项权限”“喝杯奶茶先填手机号”等层出不穷的隐私困扰。事实上，商家宣称的“必要权限”中，绝大部分都并非完成点餐所必需。

此前，齐鲁晚报·齐鲁壹点报道的《扫码点餐狂要十几项手机权限，合理吗？》一文，引发了不少消费者共鸣。事实上，这类问题早已被媒体多次曝光，行业也发出自律呼吁，监管层面也曾点名批评——今年6月通报的64款问题应用中，喜茶、霸王茶姬、星巴克等品牌赫然在列，其小程序普遍存在2至4项违规索权行为。中国消费者协会也曾明确指出，仅提供扫码点餐不仅侵害消费者的公平交易权与知情权，还对老年人等群体造成实际点餐障碍。

然而，尽管监管持续关注、消费者质疑不断，但扫码点餐过度索取个人信息现象为何屡禁不止？不少消费者感到困惑：过度索取隐私该如何维权？这事儿到底该谁管？到底该如何让扫码点餐回归便捷本质，而非成为“索权隐私工具”？

投诉易解决难 违规成本低成商家“护身符”

从消费者实际维权经历来看，经常遭遇“投诉易、解决难”。事实上，绝大多数人即便对过度索权感到不满，也往往因过程繁琐而放弃维权——除非涉及重大损失，真正坚持追究的消费者少之又少。“觉得心有不满，真要维权又嫌麻烦”，这种心态相当普遍。记者梳理社交平台上的消费者反馈发现，即使在少数发起投诉的案件中，结果也多停留在“商家承诺整改”或“双方调解”层面，鲜见商家被实质性追责。

此外，部分地市虽开展过联合专项行动，但多为阶段性举措，缺乏长期监管机制。

经营奶茶店的齐先生直言，维权流程往往耗时数日，若不是重大纠纷，消费者很容易因时间推移淡忘诉求，大概率商家口头整改或赠送代金券就能了事。这大幅“稀释”了违规成本，使商家缺乏主动整改的动力。

此前报道中，有业内人士指出，其数据带来的长期价值远超单品利润。在“数据至上”的逻辑下，有商家即便面临投诉也无意真正整改。

长期关注消费维权的北京金诚同达（济南）律师事务所律师姜思宇表示，扫码点餐涉及网信、市场监管、商务等多部门，权责分散导致监管滞后。更深层的矛盾在于“执法依据不足”与“违法成本低”：尽管《个人信息保护法》确立了“最小必要”原则，但实践中商家因过度索权被严厉处罚的案例仍较为少见。

姜思宇表示，要破解这一困局，不能仅依赖消费者的主动维权。虽然通过固定证据、拨打12315投诉等方式在一定程度上有其作用，但现实中真正愿意持续维权、甚至走向诉讼的消费者仍是少数——多数人或因一时气愤发起投诉，却难以坚持下去。因此，根本出路在于推动商家自觉整改，变“被动应对投诉”为“主动规范行为”，这才是可持续的治理之道。

标准缺乏强制力 “软倡议”难敌逐利冲动

当前，对扫码点餐过度索权的处罚力度与覆盖范围明显不足，缺乏普遍约束力。记者注意到，9月15日，《网络安全标准实践指南——扫码点餐个人信息保护要求》正式发布，规定了扫码点餐服务个人信息保护的总体要求和具体要求，适用于规范餐饮商家扫码点餐服务中的个人信息处理活动。虽然该指南明确将订单信息和支付信息列为“最少必要信息”，禁止强制索取手机号、位置等，为商家划清了索权的“红线”，也给消费者维护隐私权益提供了明确的参考依据。然而记者走访时发现，绝大多数需要扫码点餐的商家表示“没听说过这份指南”，甚至直言“不扫码授权就点不了餐”。

对此，姜思宇分析认为，该指南的核心短板在于缺乏强制法律效力。它既非强制性国标，也非推荐性国标，仅为行业最佳实践总结，商家即便不遵守也不会面临行政处罚。商家坦言“指南只是建议，可选择不听”，凸显出“软倡议”难以遏制逐利冲动的治理困境。

借鉴“刷脸”治理，扫码点餐也得戴上“紧箍咒”

破解这一困局可借鉴“强制刷脸”从必选项转为可选项的治理经验。姜思宇认为关键在于两点：一是将指南中的技术要求转化为具有强制力的法规条款，明确“非必要信息不得收集”的刚性约束；二是配套建立“投诉-核查-处罚”快速响应机制。“关键是‘强制条款+快速处罚’形成了震慑。”她补充道，此前不少地方成立“网信+公安+市场监管”联合执法组，接到投诉后即可上门核查——这种“短平快”的执法模式若能被稳定推行、形成长效机制，正是扫码点餐治理应当借鉴的方向。

“扫码点餐应是可选项，不能成为唯一选项，应当由消费者决定是否扫码点餐，而不是由商家‘一刀切’。因此消费者需要的是‘长牙’的规则。”姜思宇强调，没有强制力支撑，再清晰的标准也无济于事，唯有将“软倡议”变为“硬规则”，扫码点餐才能回归“服务本质”。

山东大学法学院（威海）教授刘经靖提出，应从多层面协同发力。在监管层面，需重点提升执法协同性，可依托检察机关公益诉讼职能发挥牵头作用，推动网信、市场监管等部门联动开展专项整治，对经督促仍拒不整改的商家依法从严查处。

在消费者权益保护层面，消费者协会应进一步强化公益诉讼职能，参考上海等地的合规指引，推动确立“不强制关注公众号、不超范围收集个人信息”的行业合规基准。

在立法层面，应加快推进相关立法进程，明确扫码点餐场景下的个人信息必要范围清单，并将超出订单生成、支付结算等必要范围的信息收集行为推定为违法，从制度源头遏制商家过度索权的冲动。