德勤中国金科：建议企业或组织建立较完善的风险管理和内控体系

hb火博体育官网

隐私政策是保护用户个人信息不被滥用的重要手段。不少咖啡企业的小程序或APP的隐私政策晦涩难懂，普通用户难以理解其内容。更令人担忧的是，一些咖啡企业在隐私政策中过度采集用户信息，如姓名、联系方式、消费习惯等。这种做法不仅违反了隐私保护原则，还可能通过过度采集和滥用用户数据进行“大数据杀熟”和动态定价。

合法原则是指，个人信息处理者在对个人信息进行收集、存储、加工、使用、提供、公开、删除等处理活动时，应严格遵循法律、行政法规的规定，采取合法的方式，不得违法处理个人信息。之所以如此，是因为对于个人信息的任何处理活动，客观上都是对自然人的个人信息权益的干扰或破坏，故此，必须有法律的依据或正当化事由。否则，该等处理行为就是对个人信息权益的侵害，属于非法行为。

《个人信息保护法》从正反两方面对于合法原则作出了规定。义务性规定为《个人信息保护法》第5条hb火博体育官网，要求处理个人信息应当遵循合法原则。禁止性规定就是该法第10条，即任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供、公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。

咖啡企业有必要提高隐私政策的透明度，便于用户理解个人信息如何被收集、使用和保护，以及他们的权利和选择。此外，定期进行合法性检查，确保个人信息处理活动符合最新法律法规，及时更新隐私政策以反映变化。通过明确违反隐私政策的法律责任，包括对用户赔偿和可能面临的行政处罚，在合法原则的指导下改进隐私政策，确保个人信息处理合法，增强用户信任。

正当原则，也称公正原则（fairness），是指处理个人信息的行为必须是正当的，处理者不应当通过不公正的方法，如通过欺骗或者在信息主体完全不知情的情况下来处理其个人信息。正当（fairness）是各国个人信息保护立法中所确立的一项基本原则。欧盟《一般数据保护条例》第5条第1款（a）规定，应当“以合法、公正、透明的方式处理”个人数据。日本《个人信息保护法》第3条规定：“在尊重个人人格的理念下，个人信息应被慎重对待，鉴于此，应当实现个人信息之正当处理。”第17条第1款规定：“个人信息处理业者不得以虚假及其他不正当手段获取个人信息。”

正当原则要求个人信息处理必须出于特定、明确、合理的目的。在咖啡场景下，这意味着咖啡企业处理顾客个人信息的目的应当是正当的，且与咖啡服务直接相关。实践中，不少APP运营者就是通过误导、欺诈等不公正的方式来收集用户的个人信息，如在非服务所必需或无合理场景的情形下，以所谓积分、奖励、优惠等方式欺骗误导用户提供身份证号码以及个人生物特征等个人信息。

第三，咖啡企业应提供用户控制其个人信息的手段，明确解释其持有用户数据的用途和处理方式，即履行对用户所承担的算法解释义务。这一点在《个人信息保护法》第24条中已有明确规定——事实上《个人信息保护法》整个第二章有关个人信息处理规则都在贯彻对个人信息处理者就个人信息处理时应向个人明确、合理、合法展现其个人信息的获取与使用时应遵守的法定义务，如允许用户访问、更正、删除其个人信息，以及撤回同意，确保个人信息处理的合理性和安全性。