个人信息保护指南2月起实施：八项原则如何落地

12月24日，十一届全国人大常委会第三十次会议听取了《加强网络信息保护的决定(草案)》的说明。据了解，草案在保护公民个人信息、治理垃圾电子信息、网络身份管理等方面做出了规定。

本报记者同时获悉，工信部联合其他部门起草的《信息安全技术公共及商用服务信息系统个人信息保护指南》(以下简称《指南》)将于2013年2月起实施。与从制度上进行监管的《草案》相比，该《指南》是从技术、信息系统上进行监管。

“此前，关于网络安全监管的呼声频频，这一次形成立法草案，表明大家对网络安全越来越关注。”知识产权专家、知名IT界律师赵占领告诉记者，自3Q大战以后，网络安全的问题就暴露出来；2011年12月，互联网用户信息泄漏事件再次将网络安全置于聚光灯下。

技术与制度双管齐下

今年11月5日正式发布的《指南》，对贯穿于收集、加工、转移和删除等四个环节的个人信息处理进行了详细规定。比如，在进行个人信息的收集时，“要采用个人信息主体易知悉的方式，向个人信息主体明确告知和警示”。在加工阶段，要“不违背收集阶段已告知的使用目的，或超出告知范围对个人信息进行加工。”在转移过程中，个人信息不被个人信息获得者之外的任何个人、组织和机构所获知。在删除阶段，个人信息主体有正当理由要求删除其个人信息时，及时删除个人信息。删除个人信息可能会影响执法机构调查取证时，采取适当的存储和屏蔽措施。

《指南》还提到了个人信息保护的“目的明确、最少够用、公开告知、个人同意、质量保证、安全保障、诚信履行和责任明确”等8项原则，每一条原则都做了详细的解释。其中，“最少够用”的原则指“处理与处理目的有关的最少信息，达到处理目的后，在最短时间内删除个人信息”。

“《指南》中的公开告知、个人同意两个原则强调了个人的知情权。无论是哪个阶段，个人信息主体的权利要得到尊重。”赵占领说道。

“《指南》这个标准是一个整体性的技术标准，指导企业依照什么样的原则去处理个人信息。”据《指南》标准主要编制人、中国软件测评中心研究员刘陶介绍，目前，中国软件测评中心已经承接了发展和改革委员会的几个标准类项目，拟起草几个关于个人信息保护的执行条例。“接下来的几个标准，可以逐步将《指南》中的各项框架性标准进行完善。”

关于个人信息保护，在这次人大法案当中也有提及。《草案》规定，网络服务提供者为用户办理固定电话、移动终端等入网手续时，为用户提供信息发布服务，与用户签订协议时，要求用户提供真实的身份信息。未经电子信息接收者同意或者请求，不得向其手机或个人电子邮箱发送商业性的电子信息。

“人大法案是从制度上进行监管，《指南》是从技术、信息系统上提出监管。”刘陶告诉记者，这个标准是用来指导实施的，本身不具有法律效应。但是通过主管部门的推动，可以提高标准的贯彻和推动，以及执行。(责任编辑：admin)