本报综合消息 近日，工信部直属的中国软件测评中心透露，他们联合30多家单位起草的《信息安全技术、公共及商用服务信息系统个人信息保护指南》已正式通过评审，正报批国家标准。 

　　工信部安全协调司副司长欧阳武介绍说，这个指南能为行业开展自律工作提供很好的参考，为企业处理个人信息制定行为准则。据介绍，我国信息技术保护不容乐观，甚至已形成利用个人信息从事非法获利的黑色链条。特别是去年年底揭露出的中国互联网最大规模的泄密事件，将个人信息保护推向了风口浪尖。 

　　个人信息保护指南的全称是《信息安全技术、公共及商用服务信息系统个人信息保护指南》，标准由工信部直属的中国软件测评中心牵头，联合近30家单位起草。 

　　该中心常务副主任黄子河透露说，指南目前还在等待批准文号，但其最终的发布应是“指日可待”。但这个指南并非国家强制性标准。 

　　4个主要环节

　　在个人信息安全缺少专门法律规范时，一部行业标准成为业内的希望。 

　　《个人信息保护指南》对个人信息的处理包括收集、加工、转移和删除4个主要环节，其中还提出了个人信息保护的原则。 

　　工信部安全协调司副司长欧阳武介绍，“这个原则包括目的明确、最少使用、公开告知、个人同意、质量保证、安全保障、诚信履行和责任明确等八项。” 

　　“最少使用”的原则就是获取一个人的信息量时，只要能满足使用的目的就行。 

　　黄子河举例说，一些网站本是办一个很小的事，却让用户填包括家庭住址、手机号在内等很多信息，这就不符合“最少使用”原则。 

　　“安全保障”则是要个人信息管理者一旦收集了个人信息，就必须建立一套个人信息保护制度，明确责任人和内部管理流程，以及应对个人信息泄露的风险。 

　　中国软件测评中心副主任高炽扬估计，个人信息泄露中70%~80%属内部作案，这是“安全保障”原则没能落实好所致。 

　　依照《个人信息保护指南》，在收集个人信息阶段告知的“使用目的”达到后应立即删除个人信息。 

　　非强制性标准

　　而让人担忧的是，这个指南标准不是强制性标准，甚至也不是推荐性标准，标准通过会对行业起到多大的规范效力，仍待观察。中国软件评测中心主任助理朱璇说，此次个人信息安全国家标准“属于技术指导文件”。国家标准分为三种，一个是强制性标准，一个是推荐性标准，一个是指导性技术文件，标准可以作为参考。而国家强制性标准多在食品安全领域。 

　　不过，黄子河认为，标准适用于除了政府机关等行使公共管理职能以外的各类组织和机构，特别是电信、医疗等涉及个人敏感信息比较多的服务机构。　　

　　（于新京）