马玉凤

　　近日,工信部直属的中国软件测评中心透露,他们联合30多家单位起草的《信息安全技术、公共及商用服务信息系统个人信息保护指南》已正式通过评审,正报批国家标准。指南提出“最少够用原则”、个人信息用后应立即删除。但这个指南并非国家强制性标准。
　　现实生活中,多数民众都感受过个人信息“被泄露”的困扰,当个人信息泄露愈演愈烈,“谁来保护我的信息安全”成为公众的揪心之问时,“指南”的即将出台,无疑彰显了相关行业对个人信息保护的重视,为企业提供了“技术指导”,对保护个人信息将起到积极作用。
　　然而,“指南”既不是强制性标准,也不是推荐性标准,仅是为行业开展自律而提供的参考依据,它到底对行业起到多大的规范效力,又对保护个人信息起到多大作用,仍是公众心中挥之不去的疑虑。
　　我们知道,通过技术“指南”,期望行业自律,初衷是好的,但是,如果企业不按照标准执行,又该如何钳制?而无数事实让我们看到,如果仅有行业规范,而缺乏严格的监管、严厉的惩戒措施,仅靠行业自律,那很难让一些单位或个人成为公众期盼的“乖孩子”。比如,一些在“老家”规规矩矩的大型外企,在我们这里,却一再“耍花招”公然违法；每年英语四六级考试,甚至是考研等全国性重要考试,漏题事件时有发生等等,都是有力佐证。更何况,对于“很多钱装在纸糊的银行里”的个人信息,更是无数黑客、无良单位或个人想尽办法偷吃的“唐僧肉”。因而,期盼“指南”这样的行业规范,能筑起保护个人信息的“防盗墙”,未免难以服众,难除公众心中焦虑。
　　从众多案件来看,个人信息泄露事件之所以频发,一是,黑客偷盗,二是,在很大程度上,并非企业不知道如何保护个人信息,而是缺乏自觉保护个人信息的压力,甚至是在“高收益、零风险”情况下的有意为之。而其背后往往都涌动着巨大的利益链条。
　　因而,要想筑起保护个人信息的铜墙铁壁,不能仅靠不带电、没有任何威慑作用的“指南”,而应筑起谁非法触碰“个人信息”就让谁触电的“高压线”,让触碰者付出高昂的代价。只有这样,才能让黑客或其他非法之徒望而却步。