《信息安全技术个人信息安全规范》（下称《安全规范》）已经于2018年5月1日开始实施，这是继2013年2月1日实施的《信息安全技术公共及商用服务信息系统个人信息保护指南》（下称《保护指南》）之后，我国个人信息保护领域制定的又一重要国家标准，其出台意味着我国个人信息保护工作进入一个更加规范化的阶段。这对于防范公民个人信息被非法泄露和买卖，保障公民个人信息安全，无疑是一个重要推进。
个人信息保护标准是个人信息安全的“防护甲”
当今时代是一个信息爆炸的时代，也是一个个人信息极易被泄露和滥用的时代。个人信息泄露已经给人们带来了越来越多的负面影响，极大地影响了人们的正常生活。垃圾短信、骚扰电话、垃圾邮件、诈骗短信……很多人几乎每天都在经受类似问题的困扰，不胜其烦。如何保障公民个人信息安全，防范个人信息泄露，已成为人们普遍关注的一个焦点问题。《保护指南》与《安全规范》正是在这种背景下出台的。作为国家标准，它们明确提出了个人信息利用的原则与要求，给我国公民提供了旨在保障个人信息安全的“防护甲”。
自1999年“依法治国，建设社会主义法治国家”被明文载入宪法以来，法治已经成为我国当代社会的主旋律，党的十九大报告再次强调指出：“全面依法治国是中国特色社会主义的本质要求和重要保障。”法治就是规则之治，其基本要求就是社会治理具有明确的规则——无论这些规则最终体现为法律制度、技术操作规程，还是行为指南。就此而言，无论是《保护指南》，还是《安全规范》，其发布与实施对于引导个人信息保护工作以防范个人信息泄露，无疑都将会起到重要的推动作用。这类国家标准的出台，使得公民个人信息收集和利用有了相对统一的标准，其实施可以进一步促进公民对个人信息保护的自觉，增进共识，为个人信息保护立法积累经验，在一定程度上有利于规范个人信息处理行为，推动构建政府引导下的行业自律机制和模式。
理性看待个人信息保护标准的发布与实施
当前，我国个人信息安全保护缺少专门法律规范，只能依赖消费者权益保护法、网络安全法等法律法规中部分零散规定，在此情况下，《保护指南》与《安全规范》作为国家标准给个人信息保护工作提供了规范上的指引。就此而言，其对于强化我国个人信息保护工作以保障个人信息安全的积极意义是毋庸置疑的。然而，另一方面，对于以上国家标准所能够实际发挥的作用，我们也需要保持足够清醒的认识，在某种程度上，其作为国家标准也只是防护个人信息安全的一件“防护甲”。
如果把侵犯个人信息安全的行为比喻为一件“利物”，则作为个人信息保护国家标准的《保护指南》与《安全规范》就是社会为公民提供的一件“防护甲”。从技术上来说，“防护甲”的确有防范“利物”之攻击以保护被攻击者的作用，但被攻击者能否真正得到“防护甲”的保护却不是“防护甲”仅依靠自身就能左右和控制的。因为，“防护甲”是否能够真正起到防护作用，还要看利物攻击的时机、被攻击者的自我防护意识、“防护甲”的保护范围与坚固程度，以及被攻击者除了穿“防护甲”之外是否还拿着盾等各种因素。例如，假如“防护甲”保护范围太小，则在其防范范围之外很难保证不会被伤害；假如“利物”是在被攻击者昏昏欲睡、失去防范意识的情况下攻击，则难保被攻击者不会空有其“防护甲”而受到伤害的情况发生；至于出现“防护甲”的制作存在疏漏而致其自身不够坚固的情况，则客观上更会出现“防护甲”被利物击穿而伤害到被攻击者的可能……
基于此，我们必须理性地看待以上标准的发布与实施，客观、全面地评价其在保护个人信息安全方面所能够起到的实际作用，在依这些标准做好个人信息保护工作的同时，继续推进个人信息安全的国家立法以及公民自我防护教育等其他方面的各项工作，使我国公民个人信息安全最终获得全面的防护和保障。
全面保障个人信息安全需要“软硬兼施”
立足于社会治理的角度，《保护指南》与《安全规范》作为我国个人信息保护的国家标准，尚不具有国家法的强制约束力，它们只是能够起到一定约束作用但又非国家法的“软法”。在当代社会发展越来越强调公共治理，关注他律、互律与自律手段结合发挥治理作用的大势下，这些标准作为软法，作为国家法治所赖以存在的规则之治的重要组成部分，能够矫正和弥补单独依赖国家法防护个人信息安全所必然出现的不足，丰富国家信息保护的方法和手段，以此拓展个人信息保护的法治疆域，应对个人信息安全防护的多面需求。但是，对于个人信息安全保障而言，仅依靠以上软法显然是远远不够的。
对于个人信息安全来说，国家标准只是一件“防护甲”，而法律（即国家法）则是盾，它能够使公民个人信息处于坚固防护之中，并且能够很好地弥补标准偏软而可能会出现的个人信息安全漏洞，使个人信息安全获得更有力的保护。为此，在标准之外，我国依旧应当致力于个人信息安全保障的立法建设，尽快出台专门的个人信息保护法，使标准这类软法能够在国家法的配合之下更有效地发挥作用。也就是说，在个人信息安全的法律保障方面，需要我们软硬兼施。
不仅如此，个人信息的泄露也与公民个人自我防范意识的匮乏有着很大关系。如果每个人都具有良好的自我防范意识，注意对个人信息尤其是个人敏感信息加强自我保护，则各种侵犯个人信息安全的行为就难以得手。所以，加强对公民个人信息安全自我防护意识的培育也是极为重要的。基于此，笔者以为，应当通过广泛利用各种媒体、社区、公共场所等方式，多渠道地开展公民个人信息保护方面的宣传教育，帮助公民学会个人信息安全的自我保护。这些都是防范我国公民个人信息泄露，以保护公民个人信息安全的客观需要。
（作者为上海社会科学院法学所研究员）
