中國消費者報報道（記者武曉莉）家住北京知春路的毛毛今年過年回國坐地鐵時發現，出國前辦理的北京市政交通一卡通（以下簡稱北京一卡通App）不能充值了，必須進行實名認證，他只好在自動售票機上購買，結果也被要求輸入真實姓名、手機號碼乃至身份證號碼，否則無法進入支付頁面。

公交卡必須實名升級才能使用、地鐵購票須提供乘客身份信息，這些是否于法有據？《中國消費者報》記者對此進行了采訪。

多數乘客被迫接受實名制

春節前的一天，記者在北京某地鐵站看到，兩位在機器上購票未果的外地游客前往人工窗口買票，因為不能接受買地鐵票提供身份證信息，他們跟站內工作人員發生了爭執。

在地鐵永豐南站工作的京港地鐵員工楊曉對記者說，她經常遇到這種情形。“乘客不愿提供身份證，我們也沒辦法。”楊曉說，每當遇到這種爭執，他們也很委屈，但沒有解決方案。

記者在北京地鐵9號線白堆子站也有同樣的遭遇。記者此前下載的北京一卡通App余額不足，想充值時才發現必須填寫完整的個人信息并經過手機驗證，否則無法充值。即便是現金購票，也需要輸入身份證號。

北京市民田女士告訴記者，由于大雪無法開車，她在西土城地鐵站乘車時，發現無論是現金買票還是給北京一卡通App充值，都要實名制。

針對地鐵實名制乘車，很多乘客提出異議或向相關部門舉報申訴。北京市民吳女士到交通運輸部、工業和信息化部、網信辦等部門，就北京一卡通App過度收集個人信息、變相強迫用戶實名制乘車，以及北京市地鐵運營有限公司強制實名制乘車等問題進行了申訴。上述部門非常重視，都給與了及時回訪。“但實際上并不解決問題。”吳女士說，各部門的回復大同小異，稱“這是根據有關部門的規定”。

到目前，在北京公交車站和地鐵站，乘客都會聽到廣播提醒大家下載和更新北京一卡通App以便乘車，這就意味著乘客的每次乘車行為都是實名的。但無論是在售票機還是人工柜臺，記者都沒有看到相關隱私協議或者提示。

記者了解到，在北京市內乘坐公交或地鐵還有另外的乘車方式，如支付寶乘車碼。吳女士說：“這其實還是一種變相的實名制，因為支付寶是實名制的。”

記者隨機采訪了幾位乘客。年輕的乘客多半都使用支付寶乘車碼。一位每天往返東直門和西二旗的乘客對記者說：“如果不使用APP就無法上班了，也花不起時間成本去理論，多數人只能被迫接受了。”年齡較長的乘客則多半在家人幫助下，對北京一卡通APP進行了實名升級。

屬非必要過度處置個人信息

“某種行為是否涉嫌侵犯個人信息，要看是否遵循了個人信息保護的6個原則，即：個人信息受法律保護、個人信息的處理應當取得法律授權或個人同意、處理個人信息應當屬于必要而不得過度處理、個人信息處理者合法處理個人信息應當保密、個人對自己的個人信息處理享有知情權和決定權、違法處理個人信息應當依法承擔民事、刑事和行政責任。”北京實現者律師事務所律師呂曉晶對記者說。

呂曉晶認為，按照《個人信息保護法》規定，公交部門處理的乘客個人姓名、身份證號碼、手機電話號碼等屬于個人信息范圍，處理這些個人信息時應遵循上述法律規定。簡而言之，公交部門在其APP或自動售票機強制要求乘客提供個人姓名、身份證號碼、手機號碼等個人信息，必須依法取得個人同意或者法律授權。《個人信息保護法》規定，“個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外”，也就是說，如果沒有法律強制授權，個人有權不同意提供且公交部門不得拒絕其乘坐公交。

呂曉晶表示，《個人信息保護法》針對 “提供產品或者服務所必需”也有明確規定，其中包括“突發公共衛生事件或緊急避險的必要”。顯然，公交部門在非疫情管控或緊急避險的情況下，仍強制要求乘客提供上述個人信息，不屬于“必需”范圍。

呂曉晶認為，既非因疫情管控和緊急避險又無法律法規明確授權的情況下，公交部門無權要求乘客提供上述個人信息，且不得拒絕為不同意提供個人信息的乘客提供乘車服務。正常情況下，乘客不提供個人信息既不影響公共安全，也不會影響公交服務的正常運營，公交部門強行要求乘客提供個人信息于法于理都有點說不過去。

強制實名乘車正當性存疑

對于北京市內實名乘車本身是否合規，TalkingData法務總監兼數據合規官葛夢瑩認為要看是否有對應功能，從而判斷其是否具備必要性。“需要梳理一下從法律層面關于消費者乘車和地鐵信息收集的正當性和必要性，與現在北京一卡通APP、地鐵的實際做法之間有哪些差異。”葛夢瑩對記者說。

葛夢瑩認為，原則上，線下場景需要在現場顯著位置，如問訊處、柜臺等向用戶展示相關個人信息處理規則。線上場景需通過《隱私政策》《服務協議》等在線文檔履行明確的告知義務。但在目前實踐中，針對線下購票的場景，工作人員并未告知相關個人信息處理規則，也沒有提供相關查詢途徑，而是直接要求乘客提供身份證號碼和姓名，否則無法購票。未履行個人信息處理的告知義務，用戶難以得知個人信息的處理目的、方式等重要內容，存在不合規之處。

葛夢瑩說，針對線上場景，北京一卡通App會先通過《隱私政策》等文檔履行明確的告知義務，在用戶勾選同意之后才會處理相關個人信息。雖然《隱私政策》已告知是為了實現身份認證目的而收集身份證號碼，但依據《信息安全技術個人信息安全規范》規定，個人身份證信息屬于敏感個人信息，收集這類信息還需按照《個人信息保護法》要求告知處理敏感個人信息的必要性以及對個人權益的影響。而該項內容卻沒有在《隱私政策》中體現。此外，《信息安全技術個人信息處理中告知和同意的實施指南》還指出，要求個人主動提供敏感個人信息宜進行增強告知，但是在北京一卡通App填寫身份證號碼的頁面也沒有相關增強告知內容。

“針對身份信息收集，在線下購票場景中，必須提供身份證號碼和姓名的目的存在一定模糊性。工作人員回應是為了實現軌道交通的安全防護功能，但無法進一步解釋說明實名認證對于安全防護的必要性，所以，這個安全防護目的的正當性需要進一步論證。”葛夢瑩說，“此外，在處理目的合理性方面，北京一卡通App《隱私政策》指出，為了市民公共交通乘車防疫安全需要收集身份證信息，以便在疫情防控需要時予以配合，這確實屬于維護社會公共利益的目的。但依據目前的實際情況，理論上并不再需要收集身份證信息和追蹤個人的行蹤，因此，現在收集目的的正當性也存疑。”