过度采集、隐私难删……保护个人信息安全，博物馆到位了吗？
2021年11月1日，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）正式施行，为我国个人信息保护提供了更具系统性、针对性和可操作性的法律遵循。三年来，各类数据处理者采取了哪些措施强化个人信息保护，面对人工智能等技术带来的新挑战，有哪些应对举措？
南都大数据研究院推出“《个人信息保护法》落地三周年”系列报道，从案例调查、应用实测、企业对话等方面，探讨近年个人信息保护领域的新变化与新实践，展望未来技术发展方向与挑战。
第四期，对国内多家热门博物馆预约系统进行实测，看文博场馆是否满足相关法规要求，确保游客个人信息安全。
近年“博物馆热”持续升温，据国家文物局数据，2023年全国备案博物馆接待观众12.9亿人次，创历史新高。海量的参观人次，意味着海量的游客数据。而网上预约进馆，仍是目前不少热门博物馆把控人流的方式之一。那么，各家博物馆的参观预约系统是否满足《个人信息保护法》等相关法规要求，能否确保游客个人信息安全？
在《个人信息保护法》实施三周年之际，南都大数据研究院联合北京捷兴信源信息技术有限公司，共同对国内15家热门博物馆的线上预约系统进行实测。结果发现，部分博物馆网络预约系统存在个人信息安全隐患，包括未提供隐私政策或政策内容不全、过度采集用户个人信息、个人信息难删除等问题。
南越王博物院等
未提供《隐私政策》
今年暑期以来，陆续有博物馆取消预约进馆要求。但故宫博物院、南京博物院、广东省博物馆等不少热门博物馆出于控制客流等原因对全部或部分展区保留了线上实名预约机制，游客必须提供身份证号、手机号码等个人信息方可进馆参观。
南都大数据研究院选取了广东省内及省外15家知名度较高、保留实名预约机制的博物馆，作为个人信息安全测评对象，于10月下旬与北京捷兴信源信息技术有限公司联合开展测试。本次测试主要涉及两大部分：一是考察博物馆隐私政策中关于收集、使用、存储和保护个人信息的描述是否清晰、准确和全面；二是检测馆方在收集、传输、删除等重点环节中的个人信息安全风险。
15个测试对象中，7家博物馆以网页形式提供预约服务，8家博物馆以微信小程序形式提供预约服务。结果显示，无论网页还是小程序，博物馆预约系统的隐私政策披露情况都存在一定问题。
其中，以网页形式提供预约服务的7家博物馆中，南越王博物院、鸦片战争博物馆、汕头市博物馆、佛山市祖庙博物馆、清晖园博物馆，以及省外的秦始皇帝陵博物院，共6家未能提供隐私政策。唯一设有隐私政策阅读链接的陈家祠，内容全文也不到100字，仅表示个人信息的收集、使用和管理按照《广州市网络数据安全工作指引（试行）》办理，未直接明示个人信息的具体去向和处理方式。
小程序方面，由于微信要求涉及处理用户个人信息的小程序开发者，均需按标准化模板填写《小程序隐私保护指引》，多数博物馆预约小程序可在“设置-更多资料”中找到该指引文本。上海博物馆虽未提供《小程序隐私保护指引》，但在预约小程序内公示了自行制定的《隐私说明》。
此外，故宫博物院等5家博物馆不仅有《小程序隐私保护指引》，还自定了更详细的《隐私协议》《数据隐私安全声明》等隐私政策文本。不过，浙江省博物馆、湖南博物院的《数据隐私安全声明》仅在用户首次登录账号时提供跳转链接，已登录的用户无法在小程序内无法找回该隐私政策的阅读入口。
预约河南博物馆
未告知就要收集身份证号
测评团队还发现，部分博物馆的《小程序隐私保护指引》填写情况较为简单，仅列出手机号、微信昵称等通过微信接口直接获取的个人信息的场景和用途，但对真实姓名、身份证号等需用户手动输入的个人信息保护情况只字不提。
以河南博物院为例，其《小程序隐私保护指引》中提及收集的个人信息仅有微信昵称、头像、手机号、照片或视频信息。但在实际预约过程中，游客还必须在小程序中额外填写真实姓名和身份证件号码。馆方如何存储和保护游客姓名和证件信息，其未做任何说明。
河南博物院未在《小程序隐私保护指引》中提出收集用户身份证件信息。
而浙江省博物馆、湖南博物院、四川广汉三星堆博物馆虽在自行制定的隐私政策中提出个人信息收集范围包括身份证等个人证件信息，但也都未在《小程序隐私保护指引》提出此点。四川广汉三星堆博物馆还在《小程序隐私保护指引》额外提出收集用户位置信息，用于提供景点推荐服务，存在数据使用规则混淆情况。
广东省博物馆
查公益讲解表都要填个人信息
《个人信息保护法》明确，收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。国家网信办《移动互联网应用程序信息服务管理规定》也提出，不得因用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务。
本次测试的15家博物馆中，佛山市祖庙博物馆、清晖园博物馆收集的个人信息最少，用户只需提供姓名和电话号码即可线上购票。其余博物馆无论是否免费，均要求游客线上填写身份证件号码。
其中，南越王博物院在王墓展区的购票页面中还要求用户填写自己“是否党员”。但南都记者查阅馆方公示的票务细则，发现并没注明关于填写该项信息的用途。
此外，广东省博物馆的预约小程序中几乎所有功能都必须完成实名登记后方可使用，无论是举报黄牛，还是查看公益讲解安排表，都强制要求登记个人信息。
身份证件号码是否属于预约进馆参观的必要个人信息？南京旅游职业学院党委书记叶凌波介绍，文旅景区实施预约制的基础来自《旅游法》第四十五条，是一种控制游客数量，防止超过景区最大承载量的方法。“在新冠疫情暴发后，许多景区将预约制度升级为实名制，可以在疫情发生时迅速确认风险人群，实现精准防控。如果单从这一点看，随着疫情防控的降级，实名预约的前提其实已不存在。”
泰和泰（深圳）律师事务所洪瑞成律师表示，《个人信息保护法》确定了个人信息收集的“最小必要原则”。通常情况下，游客到文博场馆参观，馆方只需要查验其是否购票，或统计人流量，并没有收集身份证号等敏感个人信息的必要性。当然，对于部分享受优惠票价的游客，馆方可以要求其出示相关证件进行核对，但也没有储存游客个人信息的必要。广东卓信律师事务所合伙人邝敏维律师也认为，文博场馆应尽可能减少个人信息的采集和存储，有助于降低信息泄露方面的不必要风险，更好地保护游客的隐私权。
秦始皇陵博物院等
个人信息难删
此外，本次测试的多数博物馆不允许用户自行删除历史预约参观记录和已登记的个人信息。
《个人信息保护法》提出，基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。何为“便捷的撤回同意的方式”？根据国家标准《信息安全技术个人信息处理中告知和同意的实施指南（GB/T 42574-2023）》，个人信息处理者对撤回同意的机制设计需充分考虑个人操作的便捷性。通过交互式界面提供产品或服务的，可直接设置可操作的功能界面；没有交互式界面的，可提供电话、邮箱等方式响应个人撤回同意的诉求。
各家博物馆的预约网页和小程序都属于交互式界面，应当设置可操作的功能界面。然而，测评发现仅有浙江省博物馆、湖南博物院、上海博物馆、四川广汉三星堆博物馆在小程序内提供彻底注销账户的功能入口。秦始皇陵博物院、河南博物院等无法自行删除预约记录。广东省博物馆的预约小程序虽提醒可在“常用参观人”页面删除个人信息，但实测发现无论“常用参观人”还是“个人信息”页面，其中的个人信息都无法自行修改。
广东省博物馆预约小程序“常用参观人”和“个人信息”页面均无法修改个人信息。
此外，微信虽在“小程序-设置-小程序已获取的信息”中，为用户提供通知开发者删除手机号等个人信息的功能。但此功能仅适用于开发者调用微信接口获取的个人信息，用户手动输入的个人信息无法通过此功能通知开发者删除。换言之，如果用户希望博物馆删除全部个人信息，只能通过《小程序隐私保护指引》登记的联系方式，向馆方提出诉求。
在洪瑞成律师看来，文博场馆通过网页、小程序等方式收集、处理游客个人信息，便应当允许游客撤回个人信息处理同意，允许游客行使删除权，删除联系电话、身份证号、参观记录等个人信息，并且应当以“便捷”的方式提供此功能。
叶凌波建议，景区或预约平台应规范数据采集，遵循《个人信息保护法》等法律法规要求，控制数据访问，确保只有授权人员才能访问游客的个人信息，设定合理的数据存储期限，对超出期限后应及时删除或匿名化处理。此外，还应对游客的个人信息进行加密，确保存储和传输过程中的信息安全，对敏感信息进行脱敏处理。
出品：南都大数据研究院
采写：研究员 李伟锋 实习生 纪依
设计：林泳希
更多报道请看专题：《个人信息保护法》落地三周年
banquan@nandu.cc，020-87006626。