近年來，個人信息安全問題已經成為全民關注的話題，個人信息泄露成為困擾網民的難題。近日，工信部直屬的中國軟件測評中心透露，其聯合30多家單位起草的《信息安全技術、公共及商用服務信息系統個人信息保護指南》（以下簡稱《指南》）已正式通過評審，正報批國家標準。消息一出，再度引發公眾對個人信息安全的熱議。

有關部門起草的“個人信息保護指南”，很多人表示很期待，但是這個“指南”并不具強制性的標準。北京市盛峰律師事務所主任于國富告訴IT商業新聞網記者，國家標準有強制性標準和建議性標準，而這個《指南》不具備強制性，對于全面保護個人信息作用不大。

北京市德和衡律師事務所陳浩律師在接受IT商業新聞網記者采訪時表示，作為我國關于個人信息保護的第一個國家標準，在個人信息被大規模非法傳播的當前，標準的制定具有良好的開端作用，明確了確立了個人信息應該受到法律保護以及如何進行保護。但是，因為《指南》不是強制性標準，只具有引導作用，因此，在當務之急，應該制定具備強制力的保護措施，嚴厲打擊個人信息泄露泛濫這一頑疾。

個人信息保護指南無法律效力 信息安全仍難監管

個人信息泄露嚴重 網民深受其害

3月15日下午，在2012年中國個人信息保護大會上，主辦方之一的中國軟件測評中心發布了《2012年網站個人信息保護政策測評報告》。這份報告中的“2011年個人信息保護政策網站分類平均得分排名”顯示，銀行網站得分僅31.98分（滿分100分），成為電子商務、招聘網站、婚戀網站和游戲網站等7個測評分類中得分最低的網站類型。

而中國青年報做過的一項社會調查顯示，有88.8%的人表示有過個人信息泄露而遭遇困擾的經歷。據了解，CSDN泄露的600萬用戶信息，若其中10%有效，那么就有60萬網絡用戶信息被黑客掌握。

一般而言，單純倒賣用戶數據庫并不賺錢，有些數據庫經過多次交易后，幾百個賬號的價格只有幾分錢，因此不少黑客盜取用戶數據庫之后，會直接侵入別人賬號、郵箱獲取有用的信息進行詐騙；也會在網上打包銷售，轉賣給黑公關或競爭對手等多種途徑完成利益最大化的變現；購買信息的人主要會用于網絡推銷、電信垃圾廣告、電商垃圾郵件。

在我國，侵犯個人信息的事件非常嚴重，相關法律亟待出臺，而這個《指南》的出臺讓網民看到一線希望。

工信部這一《指南》面對企業，推出了“目的明確、最少使用、公開告知、個人同意、質量保證、安全保障、誠信履行和責任明確”等八項原則的標準，涉及個人信息處理的收集、加工、轉移和刪除等四個主要環節，若嚴格遵守這些標準，必將更有力地保障個人信息。

IT法律專家，中國互聯網協會信用評價中心法律顧問趙占領指出，個人信息保護這塊我們已經有很多的法律，但是隱私權的具體范圍沒有界定。只有互聯網協會，還有這次的國家標準，對個人信息，才做了第一次的界定。

個人信息無強有力的法律保護

專家指出，《指南》能夠為社會提供指導性意見，而國家標準則能夠統一社會對于某一具體問題的差異，最終趨向達到一致。但是，在強制性、權威性與震懾力上，指南和國家標準都不可能替代法律法規的作用。

實際上，我國早已經認識到個人信息保護問題，目前，有近40部法律、30余部法規，以及近200部規章都有涉及。陳浩指出，比如《護照法》規定，泄露因制作、簽發護照而知悉的公民個人信息，侵害公民合法權益的，依法給予行政處分；構成犯罪的，依法追究刑事責任。另外，《身份證法》規定，國家機關或者金融、電信、交通、教育、醫療等單位的工作人員泄露在履行職責或者提供服務過程中獲得的居民身份證記載的公民個人信息，構成犯罪的，依法追究刑事責任。

除此以外，大多數個人信息保護的規定散見于各種行政法規、部門規章或司法解釋。2009年，刑法修正案（七）確定了“出售、非法提供公民個人信息罪”、“非法獲取公民個人信息罪”罪名，首次把對個人隱私和信息保護上升到刑法層面。

但是，這一罪名的犯罪主體僅是“國家機關或者金融、電信、交通、教育、醫療等單位的工作人員”。而網絡、房地產、物管、汽車廠商、賓館酒店等各類中介服務機構卻無法懲治；其次，這一罪名側重于事后救濟，無法事先防范違法者竊取和傳播個人信息。

趙占領就指出了《刑法修正案七》中存在局限性，第一個局限是主體范圍有限。這個刑法修正案就只有國家機關：金融機構、電信、教育、醫療這些單位的工作人員泄露信息才可能適用這樣一個刑法的罪名。另外一個就是只包括了非法的提供和出售個人信息；除了這兩種行為之外非法處理個人信息無法適用刑法修正案。從處罰力度來講，可能還是比較輕的：一個是最高刑罰是三年以下有期徒刑。

實踐中，對個人隱私竊取者的追究難度仍然很大，出了事之后，信息保管單位的法律責任也偏輕：去年，CSDN等網站發生 600多萬用戶信息泄露案件，也只是受到行政警告了事。

也就是說，這些法律、法規與工信部的《指南》一樣，要么法律層次太低，要么各自為戰，僅涉及本部門的問題，要么較籠統，沒有規定責任部門和懲處措施，雖林林總總，卻難以周全保護個人信息。

《個人信息保護法》亟待出臺

趙占領認為，應該給信息主體存儲賦予一些法律義務，增強這些信息主體主動保護個人信息主動性，通過行政處罰賦予相關機構一些執法權，那么對于用戶個人來講，還可以依據這些法律，來追究網站的民事賠償責任。因此，應繼續推動《個人信息保護法》。

據了解，2005年《個人信息保護法》專家意見稿已經提交，但迄今為止這一立法建議一直未進入正式的立法程序。

趙占領IT商業新聞網記者，2003年前后，國務院信息辦工作辦公室負責起草《個人信息保護法》，但是，后來大部制改革被并入工信部，智能由工信部的信息安全協調司承擔，因此，個人信息保護法一直就沒有列入立法計劃。

趙占領認為，由于立法資源有限，立法機構缺乏足夠重視，《個人信息保護法》短期內也沒有希望列入國務院的立法計劃，所以工信部選擇先以國家標準的形式發布。

雖然《指南》有一定指導性作用，但是只有法律法規的出臺才具有強制性和威懾性。專家希望《個人信息保護法》法律能盡快啟動立法程序，同時在立法中針對目前個人信息被侵犯的嚴峻態勢制定全方位的保護措施，對泄露或出賣個人信息者予以懲戒。

---