向会员提供福利的会员制应关注哪些隐私法律问题---从美国CCPA执法检查报告谈起

在中国，我们已经习惯了被各种会员包围，各种商家特别是互联网企业都在推行会员制。很多出海企业也把会员制（以下亦称“忠诚度计划（Loyalty Program）”）充分复刻到海外运营当中。当会员制成为最流行的消费者关系模式，为会员提供经济激励（financial incentives）时应关注哪些隐私法律问题，美国加州在今年的一次《加州消费者隐私法案》（California Consumer Privacy Act, CCPA）执法检查报告中给了我们一些提示。

美国加州针对用户忠诚度计划进行CCPA隐私执法检查

在2022年1月28日国际数据隐私日（Data Privacy Day）当天，加州总检察长 Rob Bonta 公布了一项针对在加州开展用户忠诚度计划的企业的数据收集情况的隐私执法检查，并向零售、家居装修、旅游和食品服务行业的一些大公司发出违规通知。Rob Bonta此称，类忠诚度计划向用户提供“经济激励”，例如折扣、免费物品和其它奖励（discounts, free items, and other rewards），以换取用户的个人信息，但并未按照CCPA的要求落实合规义务。

Rob Bonta还提到：“在数字时代，我们很容易忘记我们的数据不仅会在我们上网时被收集。当我们在超市输入我们的电话号码换取折扣时，当我们在当地咖啡店使用奖券获取免费咖啡时，当我们赚取积分在我们最喜欢的服装店购买商品时，虽然我们可能没有意识到，但这些实体店正在收集我们的数据——他们正在寻找从中获利的新方法。”

为会员提供折扣、免费物品和其它奖励的忠诚度计划将会被认定为“以经济激励换取个人信息”

在CCPA的定义中，“经济激励”被定义为与收集、保留或出售个人信息相关的计划、福利或其它好处（program, benefit, or other offering），包括向消费者付款（payments to consumers）。

在CCPA刚颁布的时候，市场上对向会员提供福利的用户忠诚度计划是否可能被视为CCPA定义下的“经济激励”存在困惑，因为虽然用户忠诚度计划往往为其会员提供商品或服务的价格优惠，但大多数忠诚度计划的目的不是为“收集个人信息”而提供好处，而是为了提高会员的复购率。因此，有一种观点认为大多数为会员提供相关福利的用户忠诚度计划不属于CCPA定义下的“经济激励”，从而不需要满足CCPA下对于“经济激励”的合规要求。

然而，在隐私执法报告公布后，我们可以看出CCPA执法机构的执法态度非常明确，即为会员提供折扣（包括通过可兑换积分、优惠券等）、免费物品和其它奖励的忠诚度计划将会被认定为“以经济激励换取个人信息”。

CCPA下为会员提供“经济激励”应关注的隐私合规要求

尊重用户知情权，在用户加入忠诚度计划前向其提供经济激励通知（Notice of Financial Incentive）。

如果“经济激励”是通过线上提供，经济激励通知可以设置为在线隐私政策的一个条款，但经济激励通知必须醒目显示、易于阅读并清楚地向用户描述经济激励计划的重要条款，包括：

（1）经济激励计划（如向会员提供优待的价格或服务）的摘要；

（2）涉及的个人信息类别；

（3）用户随时退出该计划的权利和方式；

（4）经济激励如何与用户数据的价值合理相关。

用户在加入忠诚度计划时应提供明确同意（opt-in）。

一般而言，如果不涉及“经济激励”，美国CCPA对获取16岁以上用户的个人信息处理同意的要求为默认同意（opt-out）；但如果涉及“经济激励”，则隐私政策里不仅要加入“经济激励“条款，同时该计划也需要得到用户的明确同意（opt-in），而不仅仅是默认同意（opt-out）。形式上可以是主动勾选相关协议。

另外，需要注意，根据即将于2023年1月1日生效的CCPA修正案《加州隐私权利法案》（California Privacy Rights Act,   CPRA)，如果用户拒绝提供明确同意，则企业应等待至少 12个月，才可再邀请用户加入忠诚度计划，除非用户自行主动要求加入。

尊重用户随时退出的权利。

“经济激励”计划的设计不得在实质上对拒绝接受该计划的用户造成歧视，不得采取“本质上不公正、不合理、强制性或收取高利”（unjust, unreasonable, coercive, or usurious in nature）的经济激励措施。

以上合规要求不仅适用于用户在网络上加入忠诚度计划，也适用于在实体门店加入忠诚度计划。

总结：

无论是互联网企业还是实体企业，在海外运作会员制并提供相关会员福利时都需要注意当地运营的一系列法律问题。从最佳实践而言，企业应充分尊重用户对个人信息处理的知情权和控制权，实现企业和用户的共赢。