情景背景

某地一家只有三名员工的餐饮店为做会员营销，让顾客扫码填写生日、手机号与所在小区，记在店主个人手机备忘录里；后来又把名单交给一名兼职人员录入第三方小程序做抽奖。店铺月营业额约 20 万元，店主一直认为自己规模太小，不归数据合规管。

争议与处理思路

本条（《个人信息保护法》第六条）的适用看行为不看规模。实务中通常认为，只要为经营目的收集、使用可识别到个人的信息，即可能构成个人信息处理者，微小规模并不当然豁免最小必要与告知义务。就本情景而言，生日与小区并非会员营销所必需，索取范围可能已经超出实现目的的最小范围。若再把名单交给第三方小程序，在角色上还可能构成向其他处理者提供，需要另行告知并取得相应同意。

平台提示

小规模经营者容易忽略的是目的与采集字段之间的对应关系。动手之前先问一句：这个字段不采集，业务还能不能跑？跑得下去就先不采。会员台账只留姓名、联系方式这类必要项，抽奖名单用后按期清理，不要长期留存在个人手机里。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查