文化和旅游部近日起草《關于推動在線旅游市場高質量發展的意見（征求意見稿）》，征求意見稿提出，加強游客“行蹤軌跡”等個人敏感信息保護，防止超出合理經營需要收集游客個人信息，采取切實措施避免大數據殺熟、虛假宣傳、虛假預訂等侵害游客權益行為。

個人敏感信息保護應該涉及兩個方面，首先是收集，哪些信息可以被收集，哪些不能；其次是保護環節，信息收集之后不能被泄露，不能被用于其他目的或者過度使用。

工信部等4部門曾列舉了什么是旅游服務類app可以收集的“必要個人信息”，包括注冊用戶移動電話號碼；出行人旅游目的地、旅游時間；出行人姓名、證件類型和號碼、聯系方式?？梢?，在監管的態度上，是把平臺對個人信息收集的范圍僅僅限定在正常交易場景中，保持線上線下一個標準。

由于在線旅游平臺橫跨互聯網信息服務和文旅兩個領域，因此不同主管部門的規范各有側重。從文旅部的征求意見稿來看，企業出于“合理經營需要收集的個人信息”和工信部要求的“必要個人信息”在范圍上還是有所不同，至少“合理經營需要”留出了操作空間。而收集哪些信息是合理的，在個人和商家那里必然會有不同的理解。比如，平臺提出收集個人信息是為了提供更好的服務和體驗，算不算合理經營需要？再具體一些，收集用戶的學歷、性別、年齡、個人愛好，再以此推薦相似特征的旅行“團友”，算是一種合理經營需要的信息還是敏感的個人信息，不同的人或許有不同理解。

對于類似這樣的現實問題，主管部門恐怕也很為難，因為可能確實有人愿意用這些個人信息換取一次更好的旅行體驗。所以，文旅部要著手的也許是，強調平臺在基于合理經營需要收集個人信息的基礎上，必須為不同的用戶提供選擇權，不得將主推功能作為基礎功能的前置流程，或者將基礎功能的入口置于不容易發現的角落。

在敏感信息保護方面，在線旅行平臺具有自身特殊性。從訂火車票、機票，到酒店民宿，再到景區門票，旅游app為人們出游提供了全方位配套服務，但鑒于訂車票、住酒店、進景區基本上都要求實名制，因此必要個人信息實際也是個人敏感信息。而就“行蹤軌跡”來說，不僅僅是去了哪兒，還包括住了哪兒，玩了哪兒，只有全面理解了行蹤軌跡所涉甚廣，才能在個人敏感信息受到侵害時迅速反應。

現實中，個人敏感信息面臨的挑戰有泄露的風險與濫用的麻煩。人們講究儀式感，于是app在年末整理了你一年坐了幾次火車，去了哪些城市，在出行上花費多少金錢，等等。拋去儀式感，類似的個人信息經處理后，用戶的消費能力、出行習慣一覽無余，而這些經過授權的個人信息存儲在哪兒，之后是否還會二次使用都將成為隱憂。最重要的是，根據個人信息保護法的規定，平臺原本無權處理這些個人敏感信息，但在儀式感的加持下，經過個人授權，處理就有了依據。在這個層面上，敏感信息保護應該如何發力，還有待進一步實踐。