企业构建“用户画像”系统，应遵循必要知情安全三原则

正文共1976字

阅读约需4分钟

文丨王琳（政邦智库研究员 、凤凰网政能亮特约评论员）

近日，“海底捞被曝私下给顾客打标签”这则旧闻又被网民捞出。虽时隔不长但仍再次引发网络热议。

2月24日，针对此话题海底捞方面回应称，为了持续提升和优化顾客的个性化服务需求，门店管理人员可以在会员系统中对顾客就餐的个性化需求进行补充（如麻辣锅去葱段、柠檬水加冰等）。且公司已于2020年起对相关内容进行持续优化，明确禁止对顾客个人信息如体貌等特征等进行任何备注。并于2021年1月全部排查整改完毕，所有新增信息均需要通过严格审核。

引发消费者焦虑的，并非某餐饮企业对顾客就餐的个性化需求进行备注。

在网传的一些短视频中，不仅有消费者的到店次数、就餐时段、常点菜品、平均单次消费等大数据，也有明显与餐饮服务无关的体貌特征等。一则视频还显示，有顾客被备注“喜欢在APP上投诉”。

这一备注的作用，不知是用来提醒服务人员更谨慎对待挑剔的消费者，还是直接将该顾客打入了“不受欢迎黑名单”？

对消费者来说，在ABC（人工智能AI、大数据Big Date、云计算Cloud）时代，面对以机器算法并辅以人工分析、备注为基础的“用户画像”逃无可逃。

你爱，或者不爱，一张张用户画像就在那里。登录购物网站，它向你推送“你可能对以下商品也感兴趣”；刷几条新闻，它向你推送的广告恰好是你刚和朋友在社交媒体上讨论的某款数码产品。

用户画像致力于在企业和用户之间进行嫁接，在很多情况下它是精准和有效的。这也是线上线下企业纷纷引入用户画像的源动力之所在。

但在企业和消费者带来便利的同时，用户画像也挑战了被画像人的知情权、隐私权以及消费领域的平等权。

企业对用户信息的搜集、保存和利用，也相应产生了个人信息保护问题。正因为此，对用户画像进行法律规制尤为显得重要。

不怀疑有些企业在宣称“尊重每位用户隐私”的真诚；同样不能否认的是，也有企业利用手中的用户画像实施了“大数据杀熟”“价格歧视”“服务歧视”等恶行。一些个案近年来屡屡引发舆论热议。

有一种颇具代表性的观点认为，对用户画像不应一棒子打死，而应在助力企业发展、提升服务质量和保护个人隐私之间保持平衡。但在公开的讨论中，绝对禁止用户画像的声音，从来没有发生过。

依法规制用户画像，不是要封杀用户画像，更不是要在企业发展和个人隐私保护之间维系平衡。两项合法的权利之间，才能谈及平衡。如果用户画像要搜集和利用的个人信息侵犯了个人隐私，就应以个人隐私权保护优先。在这种冲突发生时，不存在所谓的“平衡”。

对于用户画像的法律规律，在大原则上法学界还是基本共识的。

首先，用户画像应遵循必要原则。

对用户个人信息，非必要不采集。这一原则已为《个人信息保护法》所采纳。这部法律对个人信息的收集范围、处理方式、保存期限等作了严格限制。收集个人信息，应当限于实现处理目的的最小范围。处理个人信息应当采取对个人权益影响最小的方式。

除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需。

依此立法精神，餐饮企业固然可以备注顾客就餐的个性化需求，但这种信息采集和备注应限于实现更好为消费者服务的目的。如饮料去冰、锅底去葱段、不要香菜等，多数消费者都能理解。但备注消费者圆脸、有耳钉、爱投诉，这跟提升服务是否有必然联系就大可质疑。

其次，用户画像应遵循对象知情原则。

何谓隐私权，就是公民所享有的私人生活安宁与私人信息依法受到保护，不被他人非法侵扰、知悉、搜集、利用和公开等的一种人格权。在权利人同意的范围内，企业知悉、搜集并利用，就是合法行为。

当然，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。知情原则同样是《个人信息保护法》所明确规定的个人信息处理活动最重要的合法性基础。

在知情并同意的基础上，个人有权要求进行用户画像的企业对其个人信息处理予以公开和说明，并有权对自己的信息进行修正。

最后，用户画像应遵循安全保障原则。

有权就有责，权责相匹配。有采集个人信息，就有泄露或被滥用的风险。企业对顾客进行用户画像，可以说既是为企业，也是为消费者服务，但无疑首先是为企业服务的。

进行用户画像的主体应对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全；根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取相应的保护措施，以打消被画像用户的后顾之忧。

在上述三原则之外，合法、平等、诚信等当然也是企业必须遵循的法治底线。

用户画像有助于精准的营销和服务的提升，能大幅提高推广效率和服务质量。用之得当，的确会给消费者以便利和实惠。

但用之不当，也可能带来灾难性的后果，造成企业与消费者的双输。

对用户画像的法律规制，已有《个人信息保护法》等相关法律法规为框架，但要实现有效规制，尚需实务与立法在良性互动中不断调整、完善。