餐厅电子订餐的合规风险

报告结果

报告显示，在调查期间访问的 60 家本地餐厅中，所有提供手机应用程序点餐服务的 10 家餐厅和提供二维码点餐服务的 50 家餐厅都提供了非电子点餐方式。这确保了顾客可以在不泄露个人资料的情况下点菜。不过，有四家通过二维码点餐服务收集个人数据的餐厅被发现缺乏适当的数据收集声明，解释收集数据的目的和用途。

此外，在提供手机应用程序点餐服务的十家餐厅中，有四家餐厅要求顾客注册账户，收集姓名、电话号码和电子邮件地址等个人信息。这些餐馆的理由是，收集数据的目的超出了堂食点餐的范围，例如外卖送餐服务和会员折扣。

根据受访的 10 家提供手机应用程序订餐服务的餐馆的个人数据收集声明，收集个人数据允许他们跟踪顾客在手机应用程序中的活动，包括 cookie、设备信息、交易记录、位置数据、偏好和行为、活动日志和购买历史记录等数据。

一些餐馆在数据收集声明中表示，他们打算将顾客的个人数据用于直接营销目的。十家餐馆中有九家在顾客注册时提供了是否同意接收促销信息或营销信息的选项，其中七家预设了同意选项。總括而言，80% 受檢討的食肆在使用顧客的個人資料作直接促銷時，會預先取得顧客的同意。隐私专员办公室已对这些餐厅展开调查。

ISO 27701 认证、PIA 和 SRRA 服务如何提供帮助

ISO 27701 认证：

ISO 27701 是国际公认的 ISO 27001 信息安全管理系统 (ISMS) 标准的隐私扩展。该认证表明餐厅致力于保护个人数据并遵守隐私法规。通过实施 ISO 27701，餐厅可以建立健全的隐私管理系统，定期进行风险评估，并确保遵守相关隐私法律。

隐私影响评估（PIA）：

隐私影响评估是对与收集、使用和披露个人数据相关的潜在隐私风险进行的系统评估。在实施新的电子订餐系统之前，进行隐私影响评估有助于餐厅识别和降低隐私风险。通过进行隐私影响评估，餐厅可以确保在电子订餐服务的设计和操作中考虑到隐私因素。

安全风险评估和审计（SRAA）：

SRAA 服务可评估企业 IT 基础设施的安全状况并识别潜在漏洞。通过开展 SRAA，餐厅和应用程序服务提供商可以主动识别安全风险，并能够在未来实施适当的控制措施来保护客户数据。这包括防止未经授权的访问、确保数据传输安全和数据完整性的措施。

公署的调查揭示了餐厅电子订餐的合规风险。为应对这些风险，餐厅运营公司和相关应用程序服务提供商应考虑获得 ISO 27701 认证、开展 PIA 和参与 SRRA 服务。这些措施可帮助企业建立一个强大的隐私管理框架，识别并降低风险，并通过展示其保护个人数据的承诺来建立与客户的信任。通过优先考虑隐私和合规性，餐厅可以确保为客户提供无缝、安全的电子订餐体验。

相关服务：

• DQS 提供认可的ISO 27001 认证和ISO 27701 认证服务
• DQS HK 提供私隱影響評估 (PIA)服務
• DQS HK 提供安全風險評估及審計 (SRAA)服務
• DQS 学堂 提供ISO 27001:2022 内部审核员培训
• DQS 学堂 提供ISO 27701:2019 PIMS 理解培训