每年临近“双十一”，很多人都会遭受网购平台商家促销短信的“狂轰滥炸”。而近日发布的国家标准《信息安全技术 网上购物服务数据安全要求》（下称《网购国标》）有望规制这一现象——它提出，未经用户单独同意，网购平台不应使用用户因下单提供的个人信息进行营销活动。
针对此前饱受诟病的平台默认展示用户购物记录功能，《网购国标》还要求，如网购平台基于网购服务数据提供用户个人主页展示功能，需由用户自主选择开启。除非经过用户单独同意，否则不应公开其购买、收藏、关注、浏览记录等。
未经同意，平台不应将用户个人信息用于营销
《网购国标》将常见的网购服务形式分为网上商城购物、直播购物、社交购物、线上线下融合购物四大类。根据网购服务提供商品和服务的特性，网购服务还包括餐饮外卖、交通票务、酒店服务及演出票务等。涉及的相关方则包括平台、买卖双方和第三方（支付、物流等）。
根据《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》，网购平台的必要个人信息可能涉及：姓名，手机号，身份证号，地址，交通工具班次，入住酒店名称等，既有一般个人信息，也有敏感个人信息。
因此，在数据收集和存储方面，《网购国标》提出，网购平台应对不同类型的个人信息进行标识和分类管理；存储时，应将实名认证环节收集的身份信息与其他个人信息分开存储，还要将个人身份信息、订单数据、个人生物识别信息分开隔离存储。
为了向用户展示其可能感兴趣的商品/服务或联系人，网购平台可能会根据用户个人基本资料、联系人信息、位置信息等进行推荐。《网购国标》提出，相关功能需征得用户单独同意后开启并提供关闭渠道，且关闭后不应使用此前收集的相关个人信息。
此外，在进行广告推送、商品推荐等个性化推荐时，网购平台应向用户提供重置画像信息的功能，且重置后不应再次基于之前用于画像的个人信息进行个性化推荐。
所谓用户画像，是指根据用户的基本属性、用户偏好、生活习惯、用户行为等信息抽象而成的标签化用户模型。根据《网购国标》，网购平台不应根据用户的购买记录等操作/行为或用户画像等特征，在交易价格等方面实行不合理的差别待遇。
针对令用户不堪其扰的骚扰电话和短信，《网购国标》要求，未经用户单独同意，网购平台不应使用用户因下单提供的个人信息进行营销活动。
平台不应默认公开用户的购买记录
目前，很多网购平台都推出了社交功能，用户可以在个人页面展示自己购买过的商品、发布的评价等等。然而，此前不少类似功能都是默认开启，用户的网购信息在其不知情的情况下被公开分享，引发用户不满。
对此，《网购国标》要求，如网购平台基于网购服务数据提供用户个人主页展示功能，需由用户自主选择开启。除非经过用户单独同意，否则不应公开其购买、收藏、关注、浏览记录等。
在社交购物的场景下，用户是通过即时通信平台进入网购平台。《网购国标》提出，网购平台应对购买隐私商品或服务的用户昵称进行去标识化处理后展示；用户主动分享包含其个人信息的页面时，不应允许其他用户转发；未经用户单独同意，不应公开用户的浏览状态、购买的商品信息。
而在线上线下融合购物的场景下，《网购国标》要求网购平台向卖家/线下商户提供用户数据前，应向用户告知并取得用户同意，且不应提供用户的网购平台使用记录。如需电话沟通，应使用虚拟号码。
值得注意的是，根据《网购国标》，在用户拒绝接收营销信息后，网购平台不应将用户数据继续提供给卖家/线下商户用于营销。
据南都记者此前报道，网购流程中还涉及物流、订单管理服务商等多个第三方，它们都有能力获取和存储网购平台的订单信息，却长期存在于用户的感知之外。这些第三方服务商因缺乏直接监管，信息安全能力薄弱，屡屡成为黑客和内鬼的攻击目标，用户的个人信息因此屡遭泄露，进而引发诈骗。
因此，《网购国标》对订单数据导出也作出要求。它提出，可以要求卖家绑定电话号码或邮箱，导出时进行验证，并且应对订单数据导出操作进行日志记录。使用订单数据时，不应在物流面单上显示订单的商品属性信息。
