用户画像的法律规制及合规建议｜评海底捞为顾客“贴标签”事件

release time 2022.03.07 author 杨如意、曾梦颖

近期，海底捞被曝在会员系统里给顾客“贴标签”引争议，标签内容涉及顾客体貌特征、消费习惯等隐私信息，诸如“身高1.68 ，戴眼镜，长头发，圆脸型，25 岁左右，喜欢投诉“等内容。舆论普遍认为海底捞为客户“贴标签”的行为侵犯个人隐私，更有法律人士指出海底捞此举违反个人信息保护法的规定。海底捞回应称，该行为是为了持续提升和优化服务质量，满足顾客就餐的个性化需求而进行的客户信息补充，公司于2020年起已明确禁止对顾客个人信息如体貌特征等进行任何备注。在数字经济时代，经营者为提高服务质量、精准获客，利用大数据为顾客“贴标签”等并不鲜见，该等行为应受哪些法律规制，经营者该如何平衡服务或产品优化与用户隐私信息保护的关系？本文拟就此类问题予以探讨，希望能为经营者提供合规方面的启示和参考。

本文主要包括以下内容：

一、海底捞为顾客“贴标签”属于用户画像

二、用户画像的法律规制概述

三、用户画像的使用限制及滥用责任

四、海底捞“贴标签”行为的法律评价

五、经营者为用户画像的合规建议

一、海底捞为顾客“贴标签”属于用户画像

数字经济时代，利用大数据为用户画像并对画像落地应用比较常见。《个人信息安全规范》规定，用户画像是指通过收集、汇聚、分析个人信息，对某特定自然人「1」个人特征，如职业、经济、健康、教育、个人喜好、信用、行为等方面作出分析或预测，形成其个人特征模型的过程。其中，直接使用特定自然人的个人信息，形成该自然人的特征模型，称为直接用户画像。使用来源于特定自然人以外的个人信息，如其所在群体的数据，形成该自然人的特征模型，称为间接用户画像。在商业领域，经营者通过用户画像技术或人工方式收集用户信息进而推送更加精准的产品和服务信息，以实现获客和成交。

用户画像及其落地应用本身属于中立技术，但为画像所进行的信息处理以及对画像的应用则具有相应的法律边界，司法判例对此亦有认定。在(2020)京0491民初9057号王某诉每日优鲜公司案中，北京互联网法院指出，有的用户反感基于用户画像的产品信息推送，有的用户则享受该推送带来的便捷，但互联网平台应当进行事前明确的告知和合理的提示，并根据不同用户的需要提供有效的拒绝方式。就海底捞案来说，海底捞为更好地服务客户，通过技术或人工收集的方式直接获取散客的性别体貌特征等信息予以记录，属于为用户画像及其应用行为；该行为根据经营者采集、控制、应用的用户信息的范围、数量及性质，应遵守不同的法律规则。

二、用户画像的法律规制概述

用户画像涉及对自然人职业、经济、健康、教育、个人喜好、信用、行为等信息的采集和处理。实践中，用户画像收集、处理的信息可能更加丰富和多元化。该等行为应遵循哪些规则，需要根据信息内容及其处理的具体内容来判定。

首先，用户画像采集和使用的信息并非都属于个保法规定的个人信息范畴。比如，经营者实施的间接用户画像，该等信息内容通常已经去个人化或匿名化，且是以优化产品或服务的正当商业目的。笔者认为，对此类信息的处理只要不违反上述使用限制即可，无需按照个保法等法律规定的高标准去约束和调整。

但是，若用户画像采集、处理的信息属于个人信息范畴，特别是涉及个人敏感信息的，不论是出于何种目的的处理，均应遵守个保法、数据安全法等法律法规的规定。按照个人信息判定的标准，判定某项信息是否属于个人信息，遵从两条路径：一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人；二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的信息（如个人位置信息、个人通话记录、个人浏览记录等）。

因此，若画像行为涉及的信息被判定属于个人信息范围，按照《个人信息保护法》（下称“个保法”）的规定，该行为首先应当遵守“合法、正当、必要”的基本原则。此外，基于使用目的、场景及处理信息种类的具体情形，还应区分是否需获得用户同意，以及采取何种同意方式。

三、用户画像的使用限制及滥用责任

用户画像根据其采集使用的个人信息内容不同需遵循不同的法律规制。实施用户画像应遵守哪些具体的限制规则呢？对此，《信息安全技术-个人信息安全规范》（2020年版）明确规定，用户画像的使用限制至少应包括以下三个方面：一是用户画像中对个人信息特征的描述不应包含淫秽、色情、暴力等内容，不应表达残疾、疾病、民族、宗教等歧视内容。二是在业务运营或对外业务合作中使用用户画像不应侵害公民及其他主体的合法权益，不应危害国家、社会利益、社会秩序。三是除在获授权的范围内使用个人信息外，在使用个人信息时应消除明确身份指向性，避免精确定位到特定个人。例如，为准确评价个人信用状况，可使用直接用户画像，而用于推送商业广告目的时，则宜使用间接用户画像。

突破上述使用限制，经营者则可能承担个保法、消费者权益保护法、数据安全法等法律规定的民事法律责任。此前广为议论的“携程大数据杀熟案”，法院认为携程对用户的订单数据进行分析形成用户画像，了解用户偏好收集信息的行为超出了必要范围，携程以此进行差别对待构成消费欺诈，法院遂判令携程向用户承担退一赔三的法律责任。需要注意的是，违反用户画像法律规则及使用限制，经营者还可能遭受网络安全管理机关、市场监督管理等行政机关的行政处罚等。

四、海底捞“贴标签”行为的法律评价

回到海底捞“贴标签”行为本身，海底捞基于为用户提供更好个性化服务的目的，记录顾客体貌特征、用餐习惯、性格特征等备注信息。笔者认为，该行为在主观上具有合法正当善意的目的，没有可责性。客观上，从新闻报道来看，该等“贴标签”的备注信息尚未涉及个人基本资料（姓名、地址、电话等）、个人身份信息（身份证、驾驶证、信用卡等），个人生物识别信息（肖像、掌纹、指纹等）等个保法予以严格保护的个人信息。

基于此，笔者认为，海底捞“贴标签”的用户画像行为尚未进入个保法的规制领域。海底捞“贴标签”行为符合“合法、正当、必要”的基本原则，未违反《个人信息安全规范》关于用户画像使用限制的规定。在评价该行为时应当理性地厘清法律边界，不能动辄举起“个人信息保护”或者“网络安全”的大棒，得咎于经营者的善意商业行为，做好经营行为优化与个人隐私、个人信息保护的平衡。值得注意的是，商家关于客户体貌特征、个性的描述应极力避免对用户的歧视性描述内容（如种族、宗教、长相、性格缺陷），否则将违反规则而涉嫌侵犯个人隐私等用户人身权利。

五、经营者用户画像的合规建议

对于海底捞等经营者来说，为优化产品或服务质量实施用户画像，如其采集和使用的用户信息并不涉及个人基本资料、身份信息、生物识别信息等直接画像信息，或者其采集的相关信息已去个人化或作匿名化处理，其对用户画像的利用只要遵循“合法、正当、必要”的基本原则，不违反《个人信息安全规范》规定的具体使用限制即可。

但是，如果经营者实施的用户画像能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动的情况，则进入个人信息处理的范畴。此时，经营者除遵守前述用户画像规则和限制外，还应遵守以“告知-同意”为核心的个人信息处理规则，遵守个保法及数据安全法等法律的规定。基于个人敏感信息而进行的用户画像，更是应当履行个保法规定的个人信息处理者的特别义务，以免承担行政、刑事等严重法律责任。

【1】除针对自然人的用户画像行为外，经营者对企业（供应商、客户、合作伙伴等）进行画像也较为常见，该等行为涉及反不正当竞争等法律问题，我们会再作文分析，在本文不再赘述。