第三十一条

上海市消费者权益保护条例 第三章 经营者的义务 第三十一条 经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，征得消费者同意。经营者履行明示义务和征得消费者同意的证明资料至少留存五年。经营者不得要求消费者提供与消费无关的个人信息，不得违反法律、法规的规定和双方的约定收集、使用信息。
经营者应当建立健全信息保密和管理制度，制定信息安全事件应急预案，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，经营者应当立即启动应急预案，采取补救措施，及时通知消费者。