工业和信息化部信息安全协调司副司长欧阳武5日接受新华社记者专访时透露，《信息安全技术 公共及商用服务信息系统个人信息保护指南》目前正在国家标准委进行最后的技术审批，预计今年上半年正式出台。
欧阳武表示，这个标准是非强制性的，是政府组织及推动个人信息保护工作的一部分。这个标准正式出台后，还将有一系列的配套标准，包括技术保障、管理规范、认证和审计细则等。“现在每个企业都说自己对个人信息的保护工作做得很好，但如果去查，肯定都有问题，都保护得不好。这些系列标准出台后，就可以形成一个闭环，明确责任，推动企业遵照执行。”
该指南在个人信息保护原则中包括，目的明确、最少使用、公开告知、个人同意、质量保证、安全保障、诚信履行和责任明确等八项。“最少使用”的原则就是获取一个人的信息量时，只要能满足使用的目的就行。在收集个人信息阶段告知的“使用目的”达到后，应立即删除个人信息。“安全保障”则是要个人信息管理者一旦收集了个人信息，就必须建立制度，明确责任人和内部管理流程，以及应对个人信息泄露的风险。
欧阳武介绍说，我国从2003年就开始进行《个人信息保护法》的研究、制定工作，但这个课题在业界一直难以达成共识，对于那些是需要保护的个人信息，学界看法不一。“这导致我国只有在很多专门法里笼统地提一句不能泄露个人信息、侵犯个人隐私，但如何保护，却没有具体、详细的规定和技术措施，导致这些提法形同虚设。”
欧阳武透露，下一步政府部门还将培养、扶持独立的第三方专业机构，对企业保护个人信息的工作进行全方位审查，保证系列标准的落实。
保护个人信息立法新趋势：预防为主
据欧阳武介绍，目前在保护个人信息方面国际立法界有个新的趋势，即“以预防为主”。“在互联网信息时代，个人信息安全的侵犯者和被害人是不对等的，首先是有时难以找到具体的侵权方，其次侵害后果已经形成，事后即使追究也无法消除影响。所以民法‘民不举官不究’的原则恐怕就不能适应信息时代的需求，而必须运用刑事法的原则，立足于事前防范，明确个人信息管理者的一整套法定责任。 ”
