一、我国法律对个人信息的直接保护

通过全国人大网站中全国法律法规数据库搜索引擎的搜索，我们发现，我国直接对“个人信息”加以保护的法律、法规、规章及司法解释的数量相当有限，其中全国性的法律中仅有《中华人民共和国护照法》、《中华人民共和国身份证法》直接规定了“个人信息”的保护问题。《中华人民共和国护照法》（2006年4月29日通过，2007年1月1日实施）第十二条第三款规定：“护照签发机关及其工作人员对因制作、签发护照而知悉的公民个人信息，应当予以保密。”第二十条规定：“护照签发机关工作人员在办理护照过程中有下列行为之一的，依法给予行政处分；构成犯罪的，依法追究刑事责任：……（五）泄露因制作、签发护照而知悉的公民个人信息，侵害公民合法权益的……”《中华人民共和国身份证法》（2003年6月28日通过，2004年1月1日实施）第六条第三款规定：“公安机关及其人民警察对因制作、发放、查验、扣押居民身份证而知悉的公民的个人信息，应当予以保密。”第十九条规定：“人民警察有下列行为之一的，根据情节轻重，依法给予行政处分；构成犯罪的，依法追究刑事责任：……（五）泄露因制作、发放、查验、扣押居民身份证而知悉的公民个人信息，侵害公民合法权益的。”

在全国范围内具有规范效力的行政法规、部门规章和司法解释直接提及“个人信息”保护问题的主要也仅有如下几项：（1）《2006---2020年国家信息化发展战略》。该《发展战略》第六条第五项提出了“推进信息化法制建设”的要求，并提出：“加快推进信息化法制建设，妥善处理相关法律法规制定、修改、废止之间的关系，制定和完善信息基础设施、电子商务、电子政务、信息安全、政府信息公开、个人信息保护等方面的法律法规，创造信息化发展的良好法制环境。根据信息技术应用的需要，适时修订和完善知识产权、未成年人保护、电子证据等方面的法律法规。加强信息化法制建设中的国际交流与合作，积极参与相关国际规则的研究和制定。；（2）《互联网电子公告服务管理规定》（2000年10月8日通过，同日起施行）。该《管理规定》第十二条规定：“电子公告服务提供者应当对上网用户的个人信息保密，未经上网用户同意不得向他人泄露，但法律另有规定的除外。" （3）《最高人民法院、最高人民检察院关于切实保障司法人员依法履行职务的紧急通知》（法[2005] 173号）（2005年8月25日颁布，同日起施行）。该《通知》第六条“加强司法警察队伍建设和保密工作，做好宣传教育工作”指出：“……强化案件保密工作，严禁违反规定泄露案情以及办案人员的通讯方式、住址等个人信息，对于泄密行为，应当依照《人民法院审判纪律处分办法》、《检察人员纪律处分条例》的有关规定严肃惩处……”另外，少数地方性法规中，也偶有涉及个人信息保护的直接规定，例如：2003年修正的《北京市未成年人保护条例》第四十九条规定：“……任何组织和个人未经未成年人的监护人同意，不得在互联网上收集、使用、公布未成年人的个人信息。”2003年12月23日上海市通过了个人信用信息方面的地方性法规—《上海市个人信用征信管理试行办法》，对个人信用信息的采集、处理、提供等作了较为详细的规定。

需要特别指出的是，中国人民银行2005年通过了有关个人信用信息管理及保护的专门性部门规章—《个人信用信息基础数据库管理暂行办法》（2005年6月16日通过，2005年10月1日起实施）。该办法包括总则、报送和整理、查询、异议处理、安全管理、罚则、附则七章，共45条，对个人信用信息的收集、处理、利用、流通等作了较为详细的规定。从内容方面观察，该办法在很大程度上遵循了个人信息保护的收集限制原则、信息质量原则、目的特定原则、使用限制原则、安全保障原则、公开原则、个人参与原则及责任原则。虽然该办法在内容上还存在一些缺陷和漏洞，例如缺乏争议信息的封存制度、错误信息导致个人损害的民事赔偿制度等，但无论如何，我们可以将该办法视为我国个人信息保护立法史上的一座里程碑，它开创了我国特殊领域的个人信息保护立法。

二、我国法律对个人信息的间接保护

在我国，除了上述直接明确提出对个人信息加以保护的法律法规之外，还存在一些通过规定保护人格尊严、个人隐私、个人秘密等与个人信息相关的范畴进而保护个人信息的法律。在根本大法方面，我国《宪法》（1982年）的“公民的人格尊严不受侵犯”、“公民住宅不受侵犯’，、“公民享有通信自由和通信秘密的权利”、“国家尊重和保障人权”等相关条款均可解释为个人信息应当受到法律保护的宪法依据。在国家的基本部门法中，也或多或少、或明或暗地存在一些与个人信息保护有关的法律条款，例如：《民法通则》（1986年）关于人身权的相关规定中规定了“公民的人格尊严受法律保护”；《刑法》（1997年）在“侵犯公民人身权利、民主权利”的专章中，明确将“非法搜查他人身体、住宅，或者非法侵入他人住宅”、“侵犯公民通信自由”等行为列为犯罪行为；《民事诉讼法》（1991年）规定“对涉及个人隐私的案件应当不公开审理”；《刑事诉讼法》规定“涉及个人隐私的案件不公开审理”、“十四岁以上不满十六岁未成年人犯罪案件，一律不公开审理。十六岁以上不满十八岁未成年人犯罪的案件，一般也不公开审理”。

关于个人信息的间接保护，在渊源上除了上述国家根本大法和基本部门法之外，还有许多容易被忽视的部门法或行政法规、规章、司法解释等。在妇女儿童个人信息的特殊保护方面：《妇女权益保护法》（1992年）规定：“妇女的人格尊严受法律保护”；《未成年人保护法》（1991年）规定：“尊重未成年人的人格尊严”、“任何组织和个人不得披露未成年人的个人隐私”；《母婴保护法》（1994年）规定：“从事母婴保健工作的人员应当严格遵守职业道德，为当事人保守秘密”。在个人医疗信息方面：《执业医师法》（1999年）规定“医生不得披露治疗中获得的健康信息”；《医疗机构病历管理规定》（2002年）要求“除对患者实施医疗活动的医务人员及医疗服务质量监控人员外，其他任何机构和个人不得擅自查阅患者的病历”；《医疗事故处理条例》（2002年）进一步要求“医疗机构在复制或复印病历资料时应当有患者在场”；《传染病防治法》（2004年）禁止“故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料”；《关于对艾滋病病毒感染者和艾滋病病人的管理意见》（1995年）规定：“从事艾滋病病毒感染者和艾滋病病人诊断、治疗及管理工作的人员，不得向无关人员泄露有关信息。任何单位和个人不得将艾滋病病毒感染者和艾滋病病人的姓名、住址等个人情况公布或传播”。在个人通讯信息方面：《邮政法》（1986年）规定：“除法律另有规定外，邮政企业和邮政工作人员不得向任何组织或者个人提供用户使用邮政业务的情况”；《全国人民代表大会常务委员会关于维护互联网安全的决定》（2000年）禁止“非法截获、篡改、删除他人电子邮件或者其他数据资料”；《互联网安全保护技术措施规定》（2005年）规定：“互联网服务提供者、联网使用单位应当建立相应的管理制度。未经用户同意不得公开、泄露用户注册信息，但法律、法规另有规定的除外。”在个人金融信息方面：《商业银行法》规定：“商业银行应当遵循为存款人保密的原则”、“对个人储蓄存款，商业银行有权拒绝任何单位或者个人查询、冻结、扣划，但法律另有规定的除外”；《个人存款账户实名制规定》规定：“除法律法规另有规定以外，金融机构不得向任何单位或者个人提供有关个人存款账户的情况”。在律师执业方面：《律师法》（2001年）规定：“律师应当保守在职业活动中知悉的当事人的隐私”；《律师执业行为规范》（2004年）规定：“律师必须保守委托人的个人隐私”。在档案信息方面，《档案法》规定：“一切国家机关、武装力量、政党、社会团体、企业事业单位和公民都有保护档案的义务。”

三、个人信息保护的信息控制人自律机制

由于现阶段我国缺乏对个人信息保护的专门性、统一性的立法，一些信息控制人为了增强行为相对人的信心，进而促进相关行业通过收集、处理、利用、传递个人信息而获得更大的发展，单方面作出了保护个人信息的承诺或制定了保护个人信息的内部行为规范。这是信息控制人采取的一种典型的保护个人信息的自律措施。我国采取此类自律措施保护个人信息的信息控制人主要集中在非公共部门，特别是一些大型的商业网站，当然也有其他行业如银行业的经营者。以下就列举几个典型的非公共部门信息控制人对个人信息保护采取的自律措施。

知名的综合性网站“新浪网”在其首页即载明了该网站的“隐私保护”政策。该隐私保护政策比较典型地体现了当前网站经营者所采取的自律措施，因此本文对此作一简要介绍。在其隐私保护政策中，新浪网首先表明：“隐私权是您的重要权利。向我们提供您的个人信息是基于对我们的信任，相信我们会负责的态度对待您的个人信息。我们认为您提供的信息只能用于帮助我们为您提供更好的服务。因此，我们制定了新浪网上个人信息保密制度以保护您的个人信息。”新浪网有关个人信息保护的自律措施大致包括以下内容：第一，该网站所收集的个人信息的种类。“通常，您能在匿名的状态下访问我们的网站并获取信息。在我们请求您提供有关信息之前，我们会解释这些信息的用途。我们有些站点需要注册才能加入，在通常情况下，这类注册只要求您提供一个电子邮件地址和一些诸如您的工作，职务一类的基本信息。有时我们也会请您提供更多的信息。我们这样做是为了使我们更好的理解您的需求，以便向您提供有效的服务。我们站点收集的信息包括姓名，地址和电话号码。您有权随时决定不接受来自我们的任何资料。”第二，关于敏感个人信息保护及个人信息的使用。“我们将采取适当的步骤保护您的隐私。每当您提供给我们敏感信息时，我们将采取合理的步骤保护您的敏感信息，我们也将采取合理的安全手段保护已存储的个人信息。除非根据法律或政府的强制性规定，在未得到您的许可之前，我们不会把您的任何个人信息提供给无关的第三方（包括公司或个人）。但是，如果您要求我们提供特定客户支援服务或把一些物品送交给您，我们则需要把您的姓名和地址提供给第三者如运输公司。我们的网站将会提供第三者网站的链接。由于我们不能控制这些网站，所以我们建议您细阅这些第三者网站的个人信息保密制度。”第三，该网站隐私保护的原则。（1）每当新浪网需要识别您的身份或与您联络时，会明确的询问所需的资料，即个人资料。一般而言，当您在网站上注册，要求提供特别服务，或是如参加奖金竞赛，便会被询问到这项资料。可能的话，新浪网会利用一些方法，确认您的个人资料的正确性与时效性。（2）新浪网站及其必要的服务伙伴使用您的个人资料来运作网站和服务，并且会通知您各项新的功能与服务，以及新浪网和其附属公司的各类产品。新浪网也会谨慎地挑选来自其他公司的产品或服务资料传送给您，通常是有关于站点本身的服务，但这并非必要（仅是次要用途）。（3）如果新浪网想要将个人资料用在次要用途上，新浪会提供您如何拒绝这项服务的说明。您可以依照新浪网寄给您的资料或促销信件上的说明，终止这些信件的发送。（4）新浪网也许会因法律要求公开个人资料，或者因善意确信这样的作法对于下列各项有其必要性：符合法律公告或遵守适用于新浪站点的合法程序；保护新浪网的用户之权利或财产；在紧急的情况下，为了保护新浪及其用户之个人或公众安全。（5）任何时候如果您认为新浪没有遵守这些原则时，请利用电子邮件privacy@staff sina.com通知我们，我们会尽一切努力，请合理适当的范围内立即改善这个问题。”第四，Cookies的用途。“新浪网站有时会使用cookies以便我们知道哪些网站受欢迎，使您在访问我们的网站时得到更好的服务。cookies不会跟踪个人信息。当您注册我们的网站程式时，新浪亦会使用cookies。在这种情况下，会存储有用信息，使我们的网站在您再次访问我们的网站时可辨认您的身份。来自新浪网站的cookies只能被新浪网站读取。如果您的浏览器被设置为拒绝cookies您仍然能够访问我们的大多数网站。”第五，关于个人信息的更新及隐私保护政策的更新。“如果您的地址，职务（职称），电话或e-mail地址发生变化，您可以按新浪网站中公布的联系方式通知新浪，以帮助我们保持您的资料的准确性。你也可以通过登陆新浪网用户注册页面的更新会员资料栏的方式自行更新您的个人信息。新浪欢迎您对这项保密制度给予评论并提出质疑。我们将致力于保护您的个人信息，尽全力保证这些信息的安全。由于网上技术的发展突飞猛进，我们会随时更新我们的信息保密制度。”

在银行业方面，一些银行通过制定相关内部规定对客户个人信息进行保护。1999年，中国工商银行发布了《中国工商银行员工行为守则》，规定工商银行员工应当“严守客户秘密。对于客户提供的信息资料，员工有保密的义务，以维护客户的合法权益。除依法可以提供或客户同意提供的信息外，员工无权擅自披露客户信息。非工作需要，不得与同事随意谈论客户情况。以电话、电子手段交流或传递业务信息时，要注意保护客户信息安全。答复有关信用情况咨询，应对咨询者和咨询对象双方负责。提供对方的数据不得超出银行允许的范围。无关人员不能随意接触客户信息，更不得为个人目的利用客户信息。向公安局、检察院、法院等司法机关提供客户信息，须有公安、司法等部门出具的完备手续，并严格按规定程序进行。严禁向亲属、朋友透露或提供客户信息。”2002年，中国建设银行发布了《中国建设银行个人VIP客户服务管理办法（试行）》，该办法规定：“各级行必须为每个VIP客户建立档案，记录客户个人资料和服务信息，不得遗漏。”“各级行必须妥善保管客户档案资料，非依法律规定或客户允许，任何单位和个人不得对外公开或泄露客户的个人资产和账户交易等客户资料。”

四、个人信息保护的行业自律机制

在我国，作为信息产业重要组成部分的互联网行业对个人信息所遭受的日益严峻的威胁有较为密切的关注。我国对个人信息保护采取行业自律机制措施的行业也主要表现为互联网行业。中国互联网协会于2002年公布了《中国互联网行业自律公约》，倡议互联网全行业从业者加入本公约，并要求成员“自觉维护消费者的合法权益，保守用户信息秘密；不利用用户提供的信息从事任何与向用户作出的承诺无关的活动，不利用技术或其他优势侵犯消费者或用户的合法权益”。同时约定，由中国互联网协会负责组织实施该公约，负责向公约成员单位传递互联网行业管理的法律、政策及行业自律性信息，及时向政府主管部门反映成员单位的意愿和要求，维护成员单位的正当利益，组织实施互联网行业自律，并对成员单位遵守本公约的情况进行监督。

行业自律标识作为个人信息保护行业自律机制的重要实施手段，在我国也己出现。我国互联网行业的迅猛发展，但是，行业快速增长的背后也隐藏着一系列不和谐的音符：垃圾邮件泛滥、病毒、恶意软件滋生、网络语言暴力、网络色情等等现象让网民己经无法自由享受互联网生活，网民的基本权益受到严重的侵害。2006年11月1日，中国互联网协会、违法和不良信息举报中心、反垃圾邮件中心、晚报协会、奇虎公司共同正式宣布，首个互联网公益品牌“净蓝丝带”正式启动。净蓝丝带作为杜绝互联网恶意行为的一个标识，用于宣传“净化互联网空间人人有责，打击互联网犯罪人人出力”的信息，并呼吁“拯救网络弱势群体，杜绝网络恶意行为”。蓝丝带象征纽带，将政府有关机构、互联网企业、网民紧紧联系在一起，共同抵抗网络恶意，象征着国家对互联网行业健康发展的关心和支持，象征着网民对互联网热爱和对纯净互联网空间的渴望，象征着互联网企业关注网民感受，恪守自律的承诺。