1.5亿条会员信息“裸奔”，知名火锅品牌被罚
内容提要
上海市网信办对知名企业进行行政处罚，包括某火锅连锁品牌。该品牌在个人信息收集和存储中存在违法行为，未加密存储会员和员工信息。专家指出，未加密的个人信息易被盗取，可能导致信息泄露和电信诈骗。此外，该品牌设置过多的“超级管理员”账号，增加了信息泄露风险。上海市网信办呼吁企业提高个人信息安全保护合规意识。
延伸解读
未加密存储：信息泄露的直接风险
该火锅品牌将1.5亿条会员个人信息和18万条员工信息未加密存储，使数据长期处于“裸奔”状态。专家指出，未加密信息易被“内鬼”盗取，泄露的手机号等可被用于分析消费习惯，结合暗网数据能精准画像用户，甚至用于电信诈骗。这提醒企业，存储环节的加密措施是保护个人信息的基本要求，缺失将直接放大泄露后果。
超级管理员泛滥：权限管理失范加剧风险
该品牌会员运营管理平台的“超级管理员”账号超过20个，而行业通常仅设1-2个且专人专责。过多超级管理员意味着不受限制的完全访问权被分散，信息泄露概率大幅增加。企业解释为系统测试需要，但显然权限分配不合理。这警示企业，最小权限原则和账号管控是防止内部泄露的关键。
强制索取位置：收集环节的合规漏洞
该品牌外送微信小程序在填写收货地址时，强制用户同意打开位置权限获取精准位置信息，否则无法添加地址，属于强制索取非必要权限。目前该问题已完成整改，用户可手动选择或填写地址。这反映出部分企业在收集环节仍存在过度索权，消费者应警惕并拒绝非必要授权。
监管常态化：企业合规意识亟待提升
此次处罚是“亮剑浦江”专项行动的一部分，该行动已检查企业6043家，约谈520余家，查处案件50余件。上海市网信办强调，企业收集信息越多越敏感，法律责任越严格，合规意识缺失会加大消费者泄露风险。未来监管将持续加强，对问题严重、屡教不改的企业坚决查处，企业需主动提升个人信息保护合规水平。
Q&A
为什么知名火锅品牌会被上海市网信办处罚？
该品牌因未有效履行消费者个人信息保护责任，存在严重违法行为被行政处罚。具体包括：外送微信小程序强制索取精准位置信息；1.5亿条会员个人信息和18万条员工信息未加密存储；设置过多的“超级管理员”账号，增加信息泄露风险。
未加密存储个人信息可能带来哪些风险？
未加密的个人信息易被“内鬼”等盗取，可能导致信息泄露和电信诈骗。泄露的真实手机号码可被用于分析消费习惯，结合暗网数据可精准画像用户，电诈人员还能判断用户是否属于易上当人群。
什么是“超级管理员”账号？该火锅品牌设置了多少个？为什么这很危险？
“超级管理员”是拥有最高权限和不受限制完全访问权的账号，通常严控在1-2名。该火锅品牌设置了20余个，远超正常数量，导致会员个人信息泄露概率大幅增加（1:20以上），加剧了信息泄露风险。
该火锅品牌在收集个人信息环节存在什么违规行为？是否已整改？
其外送微信小程序在填写收货地址时强制用户同意打开位置权限获取精准位置信息，否则无法添加收货地址，属于强制索取非必要权限。目前该行为已完成整改，用户可手动选择地点或填写收货地址。
“亮剑浦江”专项行动是什么？取得了哪些成效？
“亮剑浦江”是上海市网信办等部门开展的个人信息权益保护专项执法行动，于2023年6月启动。截至通报时，已累计检查企业6043家，约谈520余家企业，查处各类个人信息保护案件50余件。
消费者在日常点餐中如何保护个人隐私？
上海市网信办提出“六不”建议：隐私政策不告知不继续；非必要个人信息不提供；一键要号码不允许；“被”会员诱关注不冲动；定向推营销广告不接受。消费者可积极落实这些建议。
