过度收集、一次概括授权、默认勾选：个人信息这几条线不能踩

去餐厅扫个码点餐，小程序要求读取通讯录；办张会员卡，要刷脸、要身份证正反面、要填家庭住址。你问「不填行不行」，对方说「不填办不了」。最近问「拒绝提供个人信息商家能不卖吗」的人不少，本文讲清规则。2024 年 7 月 1 日起施行的《中华人民共和国消费者权益保护法实施条例》第二十三条规定：经营者不得过度收集消费者个人信息，不得采用一次概括授权、默认授权等方式，强制或者变相强制消费者同意收集、使用与经营活动无直接关系的个人信息。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌​‌‌‌​​‌‌​‌​​‌​‌‌‌‌​‌​‌​‌​‌​‌‌​​⁠

先看这几个要点

一、条文原文

二、哪些信息要给，哪些可以不给

判断标准是「直接相关」：这项信息对完成本次商品交付或服务提供是否必需。不是必需的，就不能作为交易前提。

三、「一次概括授权」「默认授权」长什么样

一次概括授权：隐私政策把信息收集、共享、营销推送、第三方合作全部打包，只给一个「我已阅读并同意」，不能逐项选择。

默认授权：勾选框预先打钩；不点开就能继续；协议里写「继续使用即视为同意」。

变相强制：不给权限就不能用；拒绝后反复弹窗；把拒绝按钮做成灰色小字。

合规做法：分项告知、逐项同意、默认不勾、可随时撤回、提供不使用该信息的替代方案。

四、敏感信息的特殊要求

第二款列的敏感信息包括：生物识别（人脸、指纹、声纹）、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息。

处理这类信息，应当符合个人信息保护法等法律、行政法规的规定，核心要求是：单独同意、告知必要性与影响、采取严格保护措施、非必要不收集。其中不满十四周岁未成年人的信息，还须取得监护人同意。

典型违规：以「提升体验」为由强制刷脸；把人脸作为唯一验证方式且不提供替代；收集精确行踪用于商业画像而未告知。

五、边界与常见误区

误区一：「不授权就不能用，是行业规则」。与经营无直接关系的信息，不能作为使用前提；确有必要时，也应提供替代方式。

误区二：「点了同意就没问题」。默认勾选、一次概括授权不构成有效同意；可主张该授权不成立并要求停止处理。

误区三：「信息给了就收不回来」。可以要求查阅、复制、更正、删除，也可以撤回同意（个人信息保护法赋予的权利）。

误区四：「只有 App 才涉及」。线下门店办卡、刷脸进门、扫码点餐、快递实名，都在范围内。

不适用本条的情形：法律法规明确要求收集的信息（如实名寄递、金融开户的身份核验）；为履行合同所必需的信息；经单独同意且属于服务核心功能所需的敏感信息。

六、遇到过度收集怎么办

第一步，问用途。 直接问「这项信息用来做什么、不提供能不能消费」。对方答不上来，往往说明不是必需。

第二步，拒绝并留证。 截图权限请求页面、隐私政策、弹窗；录屏记录「拒绝后无法使用」的过程。

第三步，要求删除。 依据个人信息保护法，书面向经营者提出删除或撤回同意，保留提交记录。

第四步，投诉。 向网信部门（违法收集个人信息）、市场监管部门（侵害消费者权益）、12315 投诉；App 违规收集可通过 App 违法违规收集使用个人信息举报渠道反映。

第五步，起诉。 因信息泄露造成损失的，可主张赔偿；涉及人格权侵害的，可请求停止侵害、赔礼道歉。

一句话总结：个人信息只给「与这次消费直接相关」的部分——点餐不必给通讯录、办卡不必给身份证正反面、支付不必给相册权限；一次概括授权、默认勾选、不授权就不给用，都是第二十三条禁止的；敏感信息要单独同意，拒绝提供无关信息不应影响正常消费，遇到过度收集就截图、要求删除、投诉。

---

以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合权限页面截图、隐私政策与沟通记录，咨询执业律师后主张。