在扫码点餐过程中，哪些信息是商家合理需要的，哪些属于过度收集范围？

必要性原则和知情同意原则。以下是常见的分类分析，结合《个人信息保护法》《消费者权益保护法》等规定：

一、商家合理需要的信息

以下信息通常可视为扫码点餐功能的必要信息，需以最小必要为原则收集：

• 桌台号/取餐号：用于送餐或叫号。
• 菜品选择与数量：完成订单的核心数据。
• 订单金额与支付信息（支付环节通常由第三方支付平台处理，商家不应直接收集银行卡密码等敏感支付详情）。

• 手机号：用于线上排队通知、外卖配送等，但应提供“无需手机号直接点餐”的选项。
• 微信/支付宝昵称或头像（通过授权登录时）：部分场景下用于身份识别，但应允许匿名登录。

• 发票抬头（如开发票需收集企业名称或个人信息）。
• 用餐人数（部分餐厅为食品安全追溯要求记录）。

二、可能构成“过度收集”的信息

以下信息若强制获取且与点餐无直接关联，则涉嫌过度收集：

• 强制关注公众号、注册会员后才能点餐。
• 强制收集手机号、生日、性别等个人信息作为点餐前提。

• 收集职业、居住地址、消费习惯等与分析点餐无关的信息。

• 人脸识别、身份证号、精确地理位置（如非外卖必需）。

• 在用户未充分知情的情况下，通过扫码收集设备信息（如IMEI、MAC地址）。
• 默认勾选“同意营销推送”或“共享信息给第三方”。

三、法律与监管要求

处理个人信息应具有明确、合理的目的，并限于实现处理目的的最小范围。

• 扫码点餐的主要目的是“完成餐饮服务”，超出的信息收集需另获同意。

经营者收集、使用消费者个人信息，应明示目的、方式和范围，并经同意。

• 2023年《餐饮行业扫码点餐合规指引》指出，不得强制消费者关注公众号或授权个人信息，应提供“直接点餐”选项。

四、消费者应对建议

• 向当地市场监管部门举报（强制关注公众号等行为）。
• 向网信部门投诉违规收集个人信息行为（通过App举报渠道）。

总结：合理与过度的关键界限

• 合理：信息与“实现点餐、结账、配送”直接相关，且提供匿名选项。
• 过度：强制收集与消费无关的信息，或将信息用于用户画像、营销推广且未明确告知。

商家应在扫码界面清晰说明信息用途，并确保用户能自主选择是否提供额外信息。消费者也应主动保护个人信息，对不必要的授权保持警惕。