網上投稿
法界
個人信息保護國家標準即將出臺
來源：?望 日期：2012-03-26 閱讀：42,995次
多管齊下加強個人信息保護
在個人信息保護法進入立法程序前，開展個人信息保護行業自律成為當然選擇
文/《?望》新聞周刊記者董瑞豐
60%的被調查對象遇到過個人信息被盜用等問題，66%以上認為應加大力度打擊非法獲取個人信息的行為，近75%希望進一步立法來加強個人信息保護。
一項受工業和信息化部安全協調司委托的調查，對2500多份問卷進行分析后，得出上述結論。《?望》新聞周刊記者采訪了解到，與調查結果顯示的立法訴求相比，目前針對個人信息保護的法律依據，失之于分散和疏漏；出臺一部專門的個人信息保護法，則尚無具體時間表。
“2003年4月，國務院信息辦專門對個人信息的法律研究課題進行部署，大概在2004、2005年，專家的建議稿就出來了。”3月15日在北京召開的2012中國個人信息保護大會上，工信部領導表示。
知情人士稱，連續多年，全國人大代表和政協委員就個人信息保護立法問題，提出一批議案提案。
政府部門寄望先制定相關標準，以填補空缺，促進自律。上述大會公布了即將出臺的個人信息保護國家標準。“對個人信息處理的過程作出一些明確規范，對個人信息的擁有者如何保護個人信息，也提供了借鑒。”會議主辦方介紹。
雙重困惑
對個人信息保護現狀常見的一個困惑是：知道信息被泄露，卻不知道在何處泄露。
工信部科學技術情報研究所2011年下半年開展的調查顯示，30%的被調查對象認為可能是通過網站泄露，30%認為可能是通訊公司，另有30%不清楚到底是在哪個地方泄露。而在個人信息被濫用后，因取證困難，不足10%的調查對象采取了相應維權措施。
互聯網安全廠商360公司總裁齊向東表示，手機短信包含很私密的信息，因此通訊運營商要制定嚴格的查詢手續。但一些網站服務商，同樣保存著用戶的姓名、地址、電話甚至銀行密碼等各種信息，卻沒有在傳、存、使用和銷毀等環節建立起保護隱私的完整機制。
“比如有的網站收集個人信息很隨意，只需一份信息，卻收集上傳了十份，個別網站甚至把過期的、多余的信息隨意丟棄。”齊向東說，“同時，網站還要面臨黑客攻擊，有的黑客就是為了惡意竊取個人信息。”
網站之外，也有銀行、保險、通訊等行業員工出于牟利目的，出賣客戶信息。本刊記者日前即接到讀者來函，稱其所持的某國有大型銀行信用卡被異地盜刷，公安機關初步調查認為，這種卡未離身卻被盜刷的情況，很可能是銀行內部掌握客戶征信信息的人員監守自盜。
利益驅動下，非法使用個人信息已經出現黑色產業鏈。中央電視臺“3?15”晚會曝光的上海羅維鄧白氏公司，其非法獲取、買賣公民個人信息不僅數量龐大，而且相當詳細精準。部分廠商購買這些信息，通過群發短信等渠道進行廣告投放。
一方面個人信息泄露事件多發，另一方面，哪些信息需要保護，需要如何保護，怎樣查處追責，還沒有明確標準。前述科學技術情報研究所調查發現，大部分企業已采取不同程度保護個人信息的措施，但很難保證在各個業務環節落實。該所副所長劉九如說，企業在調查中也反映了若干困惑，首先是“沒有明確的法律義務和參照依據”。
劉九如表示，現有涉及個人信息保護的法規制度中，金融、電信等領域相關規定最為具體，而職業中介活動引入的個人信息，其保護規定比較缺失。
“個人信息保護不是某一方可以獨立完成的事，”齊向東說，“一家網站可以標榜，用戶信息放在自己這里很安全，但說起來容易，做起來難。”
“即使歐美國家，法規制度相對更健全，仍然經常發生大量個人信息泄露的事件。”中國社科院法學院研究員周漢華說，“國內目前曝光的這些案例，可能還僅僅是冰山一角。”
立法難題
周漢華認為，目前國內關于個人信息保護的法規分散，既缺乏對個人信息的界定，也缺乏可操作之標準，執法主體缺位，執法力度不足。
“分散立法不是不行，但要求有很強的法制統一能力，以及很高的執法能力。”周漢華介紹，同是個人信息保護立法，美國采用分散立法的形式，歐盟則要統一立法。
研究者統計，目前約有40部法律、30部法規和近200項來自工信部、銀監會、保監會等部門的規章涉及個人信息保護。全國人大頒布的法律，較有代表性的是民法通則；國務院出臺的法規，則有個人存款賬戶實名制規定，互聯網信息管理辦法等；此外還有一些地方法規，如江蘇省2011年出臺的信息化條例，以及深圳市正在制定的個人信息保護條例。
相關部門規章更多。銀監會信息科技風險管理處處長駱絮飛表示，銀監會正著力加強銀行業監管，制定有關銀行的網上安全規范，以客戶數據為重點對銀行信息安全進行檢查，同時指導銀行加強對外包服務機構的數據安全管理。
但據本刊記者采訪了解，各類法規章程的操作細則仍不夠周全。如前述的信用卡盜刷事件、垃圾短信“精準投放”現象，查處追責均存在較多困難。
對于個人信息保護的難題，業內討論認為主要有三方面：保護程度界定，難以區別正當或非法使用個人信息；信息泄露取證，難以確定個人信息是在哪個環節發生泄露；執法力度統一，難以確保多個監管主體執法的寬嚴尺度一致。
“出臺一部專門法律，上述問題可迎刃而解。”周漢華是個人信息保護法專家建議稿的起草者之一。他同時表示，國際上公認個人信息保護是一項基本權利，是憲法權利，而不僅僅是民事權利，民法中的隱私權，這意味著個人信息保護不僅僅是私領域的事項，不僅僅是民不舉、官不究的事項，而是需要公共權力介入，強制要求相關主體承擔法定義務的事項。
周漢華介紹說，目前已有38個地方制定了個人信息保護的相關法規。
但是，地方立法的先行先試也難免有一些負面作用。比如各地標準不統一，法律適用存在較大困難。
周漢華建議，要推“大法”，先做好頂層設計，各地可再據此制定具體實施細則。
在他看來，立法是一個要解決的難題，同樣關鍵的，還要保證法律出臺之后得到有效實施。有三點不可或缺：
其一，注重平衡原則。個人信息具有不同程度的價值，既要保障信息充分流通，推動信息社會進步，也要避免濫用個人信息。其二，他律與自律結合。不可能全部交給政府部門監管，要設置有效機制，讓企業自我管理。其三，要有一定程度的執法威懾。
寄望自律
原國務院信息辦是個人信息保護法的積極推動者。2008年大部門制改革后，工信部信息安全協調司繼續承擔著推進個人信息保護的職責。
該司副司長歐陽武表示，對個人信息保護最好的辦法還是立法，要通過法律明確組織和個人在處理信息過程中的責任，建立個人信息的監管體制，明確濫用他人個人信息的行政處罰制度和責任。
在法制成型之前，則倡導行業自律。“由行業組織依據個人信息保護的規則，照顧行業特點，制定行業信息保護的規范，采取行業自律的方式，不僅在當下，而且在未來法律制度完善之后，都是一種非常好的選擇。”歐陽武說。
據悉，2011年工信部曾委托中國軟件評測中心，選取電子商務，論壇博客，銀行、保險、游戲等共7類105家網站的隱私政策進行測評。經測評發現，隱私政策執行情況不明，包括政策適用范圍、信息收集的方式、處理過程等關鍵問題闡述不清。
工信部同期啟動了個人信息保護標準的編制工作，據悉，《公共及商用服務信息系統個人信息保護指南》年內即將出臺。“為行業開展自律工作提供很好的參考”，歐陽武說。
中國軟件評測中心常務副主任黃子河表示，即將出臺的國家標準對相關定義、角色、職責、操作規范等都予以明確，提出了保護過程中的若干基本原則。
比如“最少夠用原則”。通俗而言，在網上辦一件很小的事，結果填了一大堆信息，包括家庭住址、手機號碼等等，就不符合“最少夠用原則”。
又有“安全保障原則”。個人信息的管理者一旦收集了信息，就要建立起一整套信息保護制度，明確責任人、嚴格內部管理流程、應對風險等等。
“標準適用于除了政府機關等行使公共管理職能以外的各類組織和機構”，黃子河說。
但該標準仍僅是從宏觀上對個人信息保護提供框架性指導，具體的技術性保護指南有待進一步研究制定。歐陽武表示，今后還將從管理、技術、評測等方面制定相關規范，形成一系列標準體系。尤其要建立第三方測評機制，不僅能夠促進行業自律，而且要推動全社會的個人信息保護意識。
黃子河提出，還可以考慮建設個人信息保護的技術手段，建設個人信息的非法采集及濫用事件的投訴通道和監測手段，為保護個人信息提供技術解決方案。
多管齊下成為了破解個人信息保護難題的共識。“推動立法，行業自律，公眾維權與監督，努力在個人信息保護方面盡快取得實際進步。”工信部副部長楊學山這樣說。
滬公網安備 31010402007129號
