到店里吃饭，扫码点餐先跳出一份授权协议：获取你的手机号、位置、通讯录，不同意就不能下单；办张会员卡，身份证号成了必填项；手机上的营销短信一条接一条，回复「TD」却退订不掉。这些场景的共同点是：消费者想要的只是商品或服务，经营者拿走的却是个人信息。2024 年 7 月 1 日施行的《中华人民共和国消费者权益保护法实施条例》第二十三条、第二十四条，把消费场景里的信息收集规则写实了——经营者收集个人信息禁止行为有哪些？过度收集、概括授权、默认勾选、退订无效——哪些做法被明令禁止、哪些信息碰不得、营销信息怎么停，一条条对着查。
先看这三个要点
- 不得过度收集：收集范围以提供商品或服务的实际需要为限，点餐不必须通讯录，办卡不必须行程。
- 不得概括授权、默认授权：不能「一次同意、全部打包」，不能把同意设成默认勾选，更不能不同意就不让用。
- 营销信息要单独同意＋可退订：未经同意不得发商业性短信、打推销电话；同意了的也必须给明确、便捷的取消方式，消费者一取消就要立即停。
一、条文原文
- 《中华人民共和国消费者权益保护法实施条例》第二十三条
- 经营者应当依法保护消费者的个人信息。经营者在提供商品或者服务时，不得过度收集消费者个人信息，不得采用一次概括授权、默认授权等方式，强制或者变相强制消费者同意收集、使用与经营活动无直接关系的个人信息。
- 经营者处理包含消费者的生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息以及不满十四周岁未成年人的个人信息等敏感个人信息的，应当符合有关法律、行政法规的规定。
- 《中华人民共和国消费者权益保护法实施条例》第二十四条
- 未经消费者同意，经营者不得向消费者发送商业性信息或者拨打商业性电话。消费者同意接收商业性信息或者商业性电话的，经营者应当提供明确、便捷的取消方式。消费者选择取消的，经营者应当立即停止发送商业性信息或者拨打商业性电话。
二、禁止清单对照
| 要件·行为 | 条例定性 | 常见场景 |
|---|---|---|
| 过度收集 | 明令禁止 | 扫码点餐索要通讯录、地理位置 |
| 一次概括授权 | 明令禁止 | 一份协议打包授权「信息＋营销＋共享给第三方」 |
| 默认授权（默认勾选同意） | 明令禁止 | 注册页「已为您勾选同意」 |
| 强制、变相强制索取无关信息 | 明令禁止 | 不填生日、职业就无法下单 |
| 处理敏感个人信息（生物识别、医疗健康、金融账户、行踪轨迹、十四周岁以下未成年人） | 须符合个人信息保护法等规定 | 人脸识别进小区门禁、儿童手表定位 |
| 未经同意发商业短信、打推销电话 | 明令禁止 | 购物后莫名接到装修、贷款推销 |
| 同意后无便捷退订、取消后继续发 | 明令禁止 | 回复 TD 无效、退订后照发 |
这张表是本条的主干。立法技术上是「一般禁止＋敏感加严＋营销单独管」三段式：一般信息按「必要性」卡，敏感信息按「特别法」卡，营销信息按「单独同意＋随时可停」卡。经营者自查就从这三段过。
三、「与经营活动无直接关系」怎么判断
这是第二十三条的核心标尺。判断标准不是经营者「想要什么」，而是提供这项商品或服务「需要什么」：点餐需要菜品、桌号、支付信息，不需要通讯录；网约车需要位置与手机号（安全联系），不需要相册；会员卡需要联系方式与消费记录，身份证号在法律没有特别要求的行业就不属必需。经营者若主张某项信息「直接相关」，要能说明不收集就无法提供或明显影响服务质量，说不出这个因果，就落入过度收集。
敏感个人信息的第二段把标准抬得更高：人脸、医疗健康、金融账户、行踪轨迹、儿童信息，除「必要」外还必须满足个人信息保护法的单独同意、告知等专门要求。消费场景里的典型红线是强制人脸识别——不能因为消费者拒绝刷脸就拒绝提供服务，应当提供替代方式。
四、边界与误区
- 误区一：「我点了同意，经营者就随便用」。同意的效力只覆盖明示的范围；概括授权条款本身无效，超出必要范围的使用仍属违法。
- 误区二：「退订是优惠，不退是常态」。第二十四条给的是立即停止的义务，取消后再发，每一条都是新的违法。
- 误区三：「信息是第三方收集的，与我无关」。门店扫码点餐背后是第三方服务商，经营者作为信息收集的共同参与者，照样担责，不能用「技术是外包的」抗辩。
- 不适用：法律明确规定必须收集的信息（如实名制购票乘车的身份证件）；消费者主动、自愿提供的与交易有关的信息。
五、实操建议
- 消费者：授权前看有没有「不同意仍可使用」的路径，没有的当场截图并向 12315 举报；发现被过度收集的，行使删除权；营销短信保存号码与内容，退订一次、再犯即投诉；给孩子的设备检查是否收集了未成年人信息。
- 经营者：做一张「服务→信息」对应表，逐项论证必要性；注册流程改为「默认不同意、主动勾选」；营销信息单独征得同意并提供一键退订，退订指令实时生效；涉及人脸、健康、金融信息的，先过个人信息保护法合规审查再上线。
一句话总结：点餐不要通讯录，办卡不要行程——收集以「用得上」为限，同意必须主动给出，营销信息随时可停；三条红线（过度收集、概括默认授权、不可退订）条例白纸黑字，撞线就是违法。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合授权页面取证与相关平台规则，咨询执业律师后主张。