在《个人信息保护法》实施三周年之际，南都大数据研究院对国内15家热门博物馆的线上预约系统进行实测。结果发现，部分博物馆网络预约系统存在个人信息安全隐患，包括未提供隐私政策或政策内容不全、过度采集用户个人信息、个人信息难删除等问题。

近年来，个人信息保护存在漏洞的案例频出，但多发于商业领域，博物馆一类商业属性较弱的主体较少成为公众重点警惕的对象。然而，姓名、身份证、电话、位置等个人核心隐私却在一次次简单的预约中被博物馆“一网打尽”。

据南都报道，除了未提供隐私政策或政策内容不全的问题以外，还有博物馆存在未告知就要收集个人信息的情况。《个人信息保护法》明确，处理个人信息应当取得个人同意，并且要以显著方式、清晰易懂的语言真实、准确、完整地告知信息的处理目的、处理方式、保存期限等。

此外，本次测试的15家博物馆中，只有两家博物馆仅需用户提供姓名和电话号码即可线上购票，其余均要求游客线上填写身份证件号码。《个人信息保护法》有“两个最小”的规定:处理个人信息应当采取对个人权益影响最小的方式，应当限于实现处理目的的最小范围，不得过度收集个人信息。南都报道中提到，实名预约是疫情时期为实现精准防控的一次预约制度升级，“如果单从这一点看，随着疫情防控的降级，实名预约的前提其实已不存在”。

过度收集信息不仅有违相关法规，也加大了博物馆处理信息的难度和工作量。此前，无锡市举行了涉疫个人数据公开销毁仪式，首批销毁数据为10亿条。信息收集的目的带有阶段性，当信息完成了“历史使命”后理应及时删除销毁，相关部门更不应该保留原有的工作习惯持续收集不必要的个人信息。

面对博物馆等带有公共属性的部门，不仅公众的信任度较高、隐私保护敏感度较低，而且往往存在“不得不”的境况。在消费场景中，人们若不满意商家的信息保护强度，尚能换一家消费。而文博场所提供的服务常常带有唯一性，人们旅游的重要目的地之一就是博物馆，甚至不少人为了某件珍贵的展品奔赴一座城市。这种情况下即便游客意识到其信息收集存在瑕疵，也不得不选择忽视。

然而，这些公共部门的信息保护也并非无懈可击。以往曾发生医院内部人员利用工作便利倒卖新生儿、产妇信息的案例。此外，数月前闹得沸沸扬扬的博物馆黄牛抢票事件中，许多黄牛便是专门研发针对博物馆系统的黑客软件完成抢票，预约系统存在漏洞，不免让人产生关于游客信息安全的隐忧。

近来不少人拿起法律武器捍卫隐私，但个人在这类案件中常面临举证能力不足等困境，为此，《个人信息保护法》明确将个人信息保护纳入公益诉讼法定领域。不仅个人维权更加便利，也有监管部门整顿市场秩序的先例。1月，上海市网信办依法对一批未有效履行消费者个人信息保护责任的企业进行了行政处罚。不论是从法律规定还是违规代价来看，相关事务都应该被提上博物馆的工作日程。

保护个人信息安全没有例外。况且这也并非难事，该说的说明白、不该收集的信息及时取消并销毁、打通删改信息和撤回同意的通道，同时强化信息加密与脱敏处理、完善信息分类管理和内部操作规程，不能因为守旧、怕麻烦就任由信息安全隐患持续存在。另外，也期待更多具体标准、指南的出台划清权责边界，进一步提升法律的有效性。