論個人信息法的基本原則

高志明 張亞明

（1.燕山大學 文法學院，河北秦皇島 066004；2.燕山大學 經濟管理學院，河北秦皇島 066004）

個人信息法是調整個人信息本人與個人信息相對人之間的，因個人信息收集、處理、傳輸與利用或其他特定的法律事實而形成的個人信息法律關系，保障個人信息權利，協調個人信息保護與利用關系的法律規范的總稱。①高志明：《個人信息法的基本界定》，《燕山大學學報（哲學社會科學版）》2013年第2期。個人信息法最基本的原則是合法合理原則，即個人信息的收集、處理、傳輸與利用等必須符合法律規定，應當符合基本社會公理，符合社會基本價值判斷。對此，聯合國《個人數據檔案指針》規定：應當以合法、合理的方式收集和處理個人信息，不得與聯合國憲章規定的目的和原則相違背。②UN，Guidelines Concerning Computerized Personal Data Files，1990，A.1.而各國家或地區的個人信息法均直接或間接要求個人信息的收集、處理、傳輸與利用等環節合法合理，比如，英國《數據保護法》規定，個人信息應當正當而合法地加以處理，而確定個人信息處理是否正當時，應當考查獲取個人信息的方式，尤其包括作為信息來源的個人在信息處理的目的上是否遭到欺騙或誤導；個人信息的處理應當依據制定法的授權，或者依據英國所承擔的國際義務做出規定的制定法或公約或其他文件的要求。①UK，Data Protection Act，1998，Schedule 1.

通過對有關國際組織、國家或地區的個人信息相關立法例進行橫向比較，加上學理分析，作為總括性的合法合理原則進一步展開的個人信息法的一般原則包括：目的特定原則、知情同意原則、信息質量原則、個人參與原則、程序公開原則、安全保障原則等。有些研究者②如齊愛民教授、洪海林博士、蔣坡教授等。認為限制收集、限制利用也是個人信息法的一般原則，對此筆者持否定看法，因為這兩項規范其實是個人信息流轉環節（包括收集、利用等）的具體規則，在規范的邏輯層級上還達不到個人信息法一般原則的位階。上述一般原則基本上都是從義務角度設定的保障個人信息權利的規范，這與個人信息法發展初期其實就是“個人信息保護法”（注重個人信息相對人在個人信息保護中的義務）的狀況有很大關系。個人信息法的一般原則在個人信息法中具有統領地位，各項具體規則的制定應當遵循一般原則；一般原則還具有“造法”功能，在個人信息法對某些事項沒有規定或規定存在漏洞的情況下，可以參照一般原則適用法律。

一、目的特定原則

目 的 特 定 原 則 （purpose specification principle），也稱為目的明確原則或目的拘束原則，是指個人信息收集、處理、傳輸與利用等的目的必須正當合法，并應當事先予以明確、限定，在個人信息流轉各環節中不得超出該特定目的。這里的“特定”是法定或約定的明確限制，“目的”必須受此限定，要在個人信息本人與相對人之間予以明確，而且要合法正當。該原則是個人信息法中的首要原則，在個人信息法的原則體系中居于核心地位。③齊愛民：《拯救信息社會中的人格——個人信息保護法總論》，北京大學出版社2009年1月版，第252頁。對此，聯合國《個人數據檔案指針》提出了目的特定原則，要求所編輯的個人信息檔案的保存和使用應當具有特定的、合法的目的。④UN，Guidelines Concerning Computerized Personal Data Files，1990，A.3.

具體而言，目的特定原則的內容包括：

第一，必須有特定目的。特定目的是進行個人信息收集、處理、傳輸與利用的前提條件，不允許沒有目的而進行個人信息的收集、處理、傳輸與利用，這樣有利于最大限度地保護個人信息本人的權利。比如，德國《聯邦數據保護法》規定，在收集個人信息的時候必須有明確、特定的目的，禁止公務機關和非公務機關超出原有目的而收集、儲存個人信息，個人信息的控制者因為執行其主管職務的必要，可以為了收集時的目的儲存、變更和利用個人信息；如果沒有在先的收集，則僅限于儲存的目的變更和利用該個人信息。⑤Germany，Federal Data Protection Act，2003 （Amended），Section 14.

第二，目的必須合法、特定。除了個人信息本人主動提供外，收集是獲取個人信息的主要方式。就公務主體而言，收集、獲取個人信息必須出于法律明確規定的履行職責的目的。比如，美國《隱私法》規定，聯邦機構只能收集、保存與該機構職責有關的個人信息。⑥US，Privacy Act，1974，（e）.（1）&（e）.（6）.就非公務主體而言，收集、獲取個人信息應當出于法律規定或合同約定的明確目的。比如，荷蘭《個人數據保護法》規定，個人信息收集的目的應當清楚、明確，而且有合法的限制；個人信息的處理要按照法律的規定，以適當的和仔細的方式進行。⑦Netherlands，Personal Data Protection Law，1998，Article 6-7.

第三，達到目的的方式或手段必須正當、特定。收集、處理、傳輸與利用個人信息應當出于善意，采取的方式或手段必須正當，不能違背法律與公序良俗。比如，英國《數據保護法》規定了個人信息只能為了一個或更多個特定的合法目的而獲取，而且不能用任何與此目的不相符的方式對該信息進行處理。①UK，Data Protection Act，1998，Schedule 1.中國澳門地區《個人資料保護法》規定信息處理者應當善意地只為特定、明確、正當及與信息處理者的活動直接有關的目的而處理信息，不得偏離有關目的。②中國澳門地區《個人資料保護法》，第5 條。

第四，特定目的不可逾越。在收集、處理、傳輸與利用個人信息的過程中，不得超出預先明確設定的目的；在特定目的達到或消失后，應當停止相關的收集、處理、傳輸與利用個人信息的行為；即使要變更具體目的，也不得超出原先設定目的的合理范圍。比如，日本《個人情報保護法》規定，個人信息處理業者在處理個人信息時，必須盡可能地限定其使用目的，如要變更使用目的，則不能超出可以被合理地認定為與變更前的使用目的具有相當關聯性的范圍。③日本《個人情報保護法》，第15 條。

二、知情同意原則

知情同意原則（awareness and consent principle），是指對個人信息的收集、處理、傳輸與利用等操作行為，應當充分告知個人信息本人，并征得個人信息本人的明確同意。該原則實際上主要對應的是個人信息本人的知情權與選擇權，即個人信息本人對其個人信息在流轉中的事項享有了解、知悉的權利，對此，個人信息相對人應當履行相應的告知義務，進而，個人信息本人對其個人信息的收集、處理、傳輸與利用有同意或反對的權利。而即使信息本身不是秘密、即使被公開也毫無辦法，但在本人不知情的情況下被收集、處理、傳輸與利用，個人信息權利就受到了侵犯。④參見[日]小林麻理：《IT 的發展與個人信息保護》，夏平、王俊紅、周偉民譯，經濟日報出版社2007年11月版，第5頁。知情同意原則可分解為知情原則與同意原則，知情原則側重強調個人信息相對人的告知義務，同意原則側重強調個人信息本人的主觀意思表示。但由于知情與同意往往是高度相關或緊密相連的行為，因而知情原則與同意原則一般合起來稱作知情同意原則。

展開來講，知情同意原則的基本邏輯為：

首先，個人信息相對人的事先告知。在收集、處理、傳輸與利用個人信息前，個人信息相對人須采取正式的方式，將收集、處理、傳輸與利用的有關事項告知個人信息本人。比如，意大利《數據保護法》規定，在收集個人信息時，應當將有關信息告訴個人信息本人：使用的目的和方式；提供的個人信息是基于義務還是自愿；不按照要求可能產生的后果；個人信息的主體或種類，包括可以向誰披露、在什么范圍內傳播等；管理者、使用者的身份信息，包括姓名、單位或商號、公司名稱、住址、居住地或登記地以及命名的時間等。當個人信息不是從個人信息本人處直接收集時，上述規定的通知應當在個人信息被收錄時告知該個人信息本人。⑤Italy，Data Protection Act，2003，Article 10.

其次，個人信息本人的知情。經過個人信息相對人告知的結果是，個人信息本人對與個人信息收集、處理、傳輸與利用的目的、方式等有關信息明確知悉，實現了個人信息本人的知情權，而這又是做出是否同意個人相對人對其個人信息進行相關操作行為的前提。進而，個人信息本人可以行使選擇權，即可以做出同意或拒絕的意思表示。比如，歐盟《個人數據保護與流通指令》規定個人信息本人有權拒絕控制者為了直接營利的目的對其個人信息進行處理，或在其個人信息首次為直接營利的目的向第三方披露前或使用前得到有關的通知，此項權利可以明確地取得，而且不承擔任何費用。⑥EU，Directive 95/46/EC，Article 14.

再次，個人信息本人做出同意的意思表示。個人信息本人同意個人信息相對人對個人信息進行收集、處理、傳輸與利用的意思表示必須完全出于自愿，并且以明確的、正式的形式做出。否則，該特定的意思表示可能無效。比如，意大利《數據保護法》規定，非公共性實體或盈利性的社會團體對個人信息的使用，個人信息本人明確表示同意的情況下，才被認為是合法使用；個人信息本人同意的表示可以發生在整個使用過程中，也可以在一個或幾個使用操作過程中；如果個人信息相對人已經按照規定履行了告知義務，只有在個人信息本人自愿地以詳盡的方式書面表示同意時才有效。①Italy，Data Protection Act，2003，Article 11.

當然，知情同意原則也存在例外，即不需要個人信息本人知情同意的情況有：第一，法律的特殊規定，即使用的個人信息是依照法律特殊規定所收集到的信息；第二，履行合同義務的需要，即因履行合同義務所使用的個人信息，其中個人信息本人是合同的一方，或是應個人信息本人的請求收集信息而達成協議的一方，或是為履行法定義務而使用的一方；第三，通過公共渠道獲得，即使用的個人信息是從公眾注冊的名單、公文或可公開獲得的有關記錄中摘錄的；第四，出于社會公益目的，即使用信息是為了科學研究或統計目的，并且符合相關規定和特定職業道德；第五，出于新聞報道的需要，即在新聞行業并以此為單一目的的范圍內使用；第六，為了本人或他人的利益，即為了保護個人信息本人或他人的生命、身體健康，本人由于身體原因或法律規定或精神不正常等不能表示同意的情況；第七，執行公務的需要，即為了特定調查的執行與協調，或者按照刑法的規定，或者為了執行法律而使用。②See Italy，Data Protection Act，2003，Article 12.

三、信息質量原則

信息質量原則（information quality principle），或稱為信息品質原則或信息完整正確原則，是指個人信息管理者、控制者應當保證個人信息完整（complete）、精確（accurate）和及時更新（up-todate）。“精確”是要求個人信息相對人對管理、控制個人信息的內容應當做到與實際情況相符合，不得存在偏差，否則可能對雙方的利益都會造成影響甚至重大損害。比如，公務部門的工作人員在辦理社會保險業務時，如沒有認真核實，導致張三個人信息中的身份證號錯成李四的，就會導致李四將來難以支取社會保險費。再如，銀行工作人員在辦理儲蓄業務時如未認真核實儲戶的身份證號與填寫的身份證號是否一致，結果導致二者不一致，就可能會導致儲戶取款時遭拒的麻煩。③參見《存單上身份證號出錯 取款遭拒儲戶告銀行》，新浪網，http://news.sina.com.cn/o/2008 -07 -31/054314244307s.shtml，2008年7月31日發布。“完整”是要求個人信息的內容就特定目的而言是周全的，要求個人信息在流轉中應當盡量保持完整，如因特定原因而出現不完整的情況，應當在嗣后加以補充。須指出的是，完整并不是指在個人信息流轉中相關主體要時刻擁有本人的所有個人信息，而是強調基于特定目的范圍內個人信息的完整。比如，在高校貧困生申請助學金的過程中，如只獲取到某些學生家庭貧困的信息，但沒有獲取到相關學生已經享受過助學金待遇的信息，而助學金分配受比例限制，這就會影響到沒有獲得過助學金學生的申請成功率。④參見洪海林：《個人信息的民法保護研究》，法律出版社2010年9月版，第152-153頁。“及時更新”或簡單稱作“時新”，是指個人信息要反映個人最新的實際情況。隨著個人信息本人工作、學習與生活的變化，有些個人信息也會發生變化，有些個人信息陳舊過時，需要替換、更新成最新的個人信息，以保持個人信息的質量。

該原則在國際組織的規范當中多有體現。比如，聯合國《個人數據檔案指針》規定，負責個人信息編輯和保存的人員或機構有義務對所記載的個人信息的準確性和相關性進行定期檢查，以保證所編輯和保存的個人信息完整無缺，并且要保證這些個人信息是最新的。⑤UN，Guidelines Concerning Computerized Personal Data Files，1990，A.2.經合組織《隱私保護與個人數據流通指針》規定，個人信息應當和被使用的目的有關聯，且應當是準確的、完整的和不過時的。⑥OECD，Guidelines on the Protection of Privacy and Transborder Flows of Personal Data，1980，Part Two，8.歐盟《個人數據保護與流通指令》要求各成員國規定個人信息進行處理時必須公平而且精確地得到處理，應當根據需要適時更新，應當考慮收集的目的或進一步處理的目的，采取合理的措施確保不精確或不完整的信息被刪除或更正。①EU，Directive 95/46/EC，Article 6.

該原則在各國家或地區個人信息法中更多有體現。比如，美國《隱私法》規定，聯邦機構保存的個人信息數據必須做到具有精確性、相關性、完整性和公平性。②US，Privacy Act，1974，（e）.（5）&（e）.（6）.澳大利亞《隱私法》規定，檔案保管人應在使用個人信息之前檢查信息的準確性；擁有和控制包含個人信息檔案的檔案保管人，應當采取合理的步驟，確保個人信息被使用目的的實現，以及確保個人信息的準確性、新穎性和完整性。③Australia，Privacy Act，Information Privacy Principles（IPPs），1988，Principle 8，“Record-keeper to check accuracy etc of personal information before use”.中國澳門地區《個人資料保護法》規定，個人信息應當準確，當有需要時做出更新，并應當基于收集和之后處理的目的，采取適當措施確保對不準確或不完整的信息進行刪除或更正。④中國澳門地區《個人資料保護法》，第5 條。

四、個人參與原則

個人參與原則 （individual participation principle），是指個人信息本人有權向個人信息管理者、控制者確認是否持有自己的個人信息，并就被持有的自己的個人信息享有查詢、更正、補充等權利。該原則有利于保證個人信息本人對自己個人信息的控制，有利于保證個人信息流轉中的安全。

較早明確規定個人參與原則的是經合組織《隱私保護與個人數據流通指針》，體現為個人信息本人對相對人享有的權利，包括：查詢權與知情權，即從信息控制者處知悉控制者是否保有關于自己的信息，在合理的期間內，在必要的情況下，以不過度的費用、合理的方式、自己了解的形式知悉有關自己的信息；異議權，在根據以上要求獲得個人信息而被拒絕時，提出異議；更正權，對有關自己的信息提出異議并認為是合理的時候，對信息進行刪除、修改、完善或補正。⑤OECD，Guidelines on the Protection of Privacy and Transborder Flows of Personal Data，1980，Part Two，13.該原則在各國家或地區的個人信息法中多有體現。比如，英國《數據保護法》規定，個人信息應當根據該個人信息本人依本法所享有的權利進行處理。⑥UK，Data Protection Act，1998，Schedule 1.美國《隱私法》規定，個人對檔案記錄的權利主張包括查閱權、取得復制本權、更正權等權利。⑦US，Privacy Act，1974，（d）.中國香港地區《個人資料（私隱）條例》規定了個人信息本人有權確定使用者是否持有自己的個人信息，并在合理時間內，支付并非超乎適當的費用（如果存在的話），以合理的方式，并采用清楚明白的方式查閱個人信息，且有權改正其個人信息。

個人參與原則體現在個人信息流轉的各個環節。比如，在個人信息收集環節，如果某項決定會對個人產生法律影響或造成其他重大影響，如果某項決定僅僅是以某些涉及其個人的信息（如個人的信用度、可靠性、行為等信息）作為基礎時，本人有權不接受該項決定，并采取適當的措施來保護自己的合法權益。⑧See EU，Directive 95/46/EC，Article 15.在個人信息處理環節，任何提供個人身份證明的個人都有權知道和了解有關自己的信息是否正在被進行處理，有權以合法的途徑免費、及時取得該信息，有權對非法的、不必要的或者不準確的信息進行適當的修改或刪除。⑨See UN，Guidelines Concerning Computerized Personal Data Files，1990，A.4.在個人信息傳輸環節，當與本人有關的個人信息被用于商業目的或其他的市場行為時，管理者有告知的義務，告知的時間不能晚于個人信息被傳輸的時間，本人有反對權，并有權收取費用。在個人信息利用環節，個人信息被他人利用時，個人信息本人有權獲得通知，并對特定信息有權收取費用，在有合理理由的情況下，可以完全或部分反對與自己有關的個人信息的利用。個人參與原則也存在例外情況，即存在特定的限制，相關情形包括：國家機關執行法律、公共政策，非營利公共管理部門從事單純的公共管理活動，維護公共利益、他人利益且情況緊急等。

五、程序公開原則

程序公開原則，也稱為公開程序原則，簡稱公開原則（openness principle），是指相關主體關于個人信息收集、處理、傳輸與利用的程序性事項應當公開。須強調的是，公開原則的“公開”指的是程序性信息的公開，包括向個人信息本人公開和向社會公眾公開；“公開”并不是指將個人信息的內容公開，恰恰相反的是，個人信息的內容不僅不能擅自公開，而且應當妥善保管，不能隨意泄露。就公務主體而言，這其實是政務公開在個人信息流轉領域的一種體現。而就非公務主體而言，這是其涉及個人信息保護規范透明度的一種體現。比如，中國澳門地區《個人資料保護法》的規定，個人信息的處理應以透明的方式進行，并尊重個人生活的隱私和《澳門特別行政區基本法》、國際條約和澳門現行法律規定的基本權利、自由和保障。①中國澳門地區《個人資料保護法》，第2 條。就程序公開原則的重要性而言，該原則是個人參與原則的先決條件②The Openness Principle may be viewed as a prerequisite for the Individual Participation Principle.See OECD，Guidelines on the Protection of Privacy and Transborder Flows of Personal Data，1980，Explanatory Memorandom，57.，沒有該原則，個人信息本人的諸項權利將很難實現。

程序公開的內容是相關主體收集、處理、傳輸與利用個人信息的程序性信息，包括策略、方式、工具、范圍、種類、目的、時間、期限、地點、空間、人員、身份、權利、義務等諸多方面。比如，歐盟《個人數據保護與流通指令》要求歐盟各成員國規定，當從個人信息本人處直接收集取得信息時，個人信息的控制者或其代理人必須向其所收集的個人信息本人，至少提供以下信息：控制者的身份，如有代理人，該代理人的身份；該個人信息處理的目的；其他信息，諸如個人信息的接收者或接收者的分類，對問題的回答是義務的還是自愿性的，以及未回答的可能結果，是否存在對有關個人信息的存取權和糾正權。③EU，Directive 95/46/EC，Article 10.如果個人信息是從非個人信息本人處直接取得的，成員國應當規定，控制者或其代理人應當在記錄個人信息時，或者在擬向第三人披露時，不遲于該個人信息被第一次披露時，至少應當向該個人信息本人提供以下信息，除非該個人信息主體已經知悉此類信息：信息處理者、控制者和其代理人的身份；信息處理的目的；其他更多信息，如相關信息的種類、信息接收者或接收者的種類、取得和修改與其相關信息的權利等。④EU，Directive 95/46/EC，Article 11，1.程序公開原則也存在例外，這主要是關涉到需要保密的事項，比如國家安全、刑事偵查、內部事務、科學研究等。

程序公開的方式不外乎有兩種：直接告知與公告。針對特定人的公開，考慮到特定信息存在一定的保密性，一般采取直接告知的方式。直接告知的具體形式很多，一般以書面形式為準，比如通過信函、文字短信、電子郵件等形式，而情況緊急時也可以采用口頭形式直接告知。針對不特定多數人的公開，考慮到涉及大范圍的公眾利益，也是出于效率和成本考量，一般采取公告的方式，而公告的媒介可以是公文、報紙、網絡等。比如，中國臺灣地區《個人資料保護法》規定，公務機關應將個人信息文件名稱、保存機關的名稱及聯絡方式、個人信息檔案保存的依據及特定目的、個人信息的類別公開于信息網站，或以其他適當方式供公眾查閱，如有變更，亦同。⑤中國臺灣地區《個人資料保護法》，第17 條。

六、安全保障原則

安全保障原則（security safeguards principle），是指鑒于個人信息數字化、自動處理后面臨的較大安全風險，個人信息應當獲得安全保障，以避免被非法泄露、意外滅失或不正當利用。該原則是制定個人信息法諸多規則的一個重要目的，即個人信息法要實現的一個重要目標就是保障個人信息的安全。為保障個人信息安全，個人信息相對人負有采取合理、適當的安全措施，避免個人信息丟失、被盜、損毀、濫用、泄露等風險的作為義務，因而從這種意義上來講，安全保障原則也被稱作安全保障措施原則，即強調的是個人信息相對人采取安全保障“措施”的原則。比如，經合組織《隱私保護與個人數據流通指針》規定，個人信息應當以合理的安全措施予以保護，防止有遺失、不法的接觸、破壞、使用、修改或者泄露的危險。①OECD，Guidelines on the Protection of Privacy and Transborder Flows of Personal Data，1980，Part Two，1.歐洲理事會《個人數據處理保護協定》規定，應當采取適當的安全措施保護在自動化信息檔案中的個人信息，防止未授權的破壞、意外丟失和未授權的接觸、改動和散播。②Council of Europe，Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data，1981，Article 7.

從宏觀層面來看，安全保障措施包括：國家制定個人信息安全規范，設置個人信息行政監管機構、加強個人信息保護中的監管，行業形成個人信息保護自律機制，構建個人信息保護認證機制、評價機制，社會加強個人信息保護的監督等。從微觀層面來看，安全保障措施包括組織措施、技術措施和物理措施等。比如，美國《隱私法》規定，創設適當的行政性（組織性）、技術性及物理性的安全措施，藉以保障檔案記錄的安全性與機密性，并應防止對這些檔案記錄安全性及完整性的任何預期性的威脅或危險，以免對該等信息記載的任何個人造成相當的損害、不便或不公平的后果。③US，Privacy Act，1974，（e）.（10）.英國《數據保護法》規定，必須采取包括技術和組織等安全措施，以防止個人信息未經許可被擴散、更改、透露或銷毀。④UK，Data Protection Act，1998，Schedule 1.德國《聯邦數據保護法》規定，處理個人信息的公務機關和非公務機關為了自己或他人的利益應當采取技術上和組織上的必要措施來保證遵守本法的規定，只要有關措施與達到期待的保護水平有關而且是合理的，就應當予以采用。⑤Germany，Federal Data Protection Act，2003 （Amended），Section 9.

組織措施，是指個人信息管理、控制的組織制度設置，包括組織機構設置、領導者的職責、專門人員的資格、保密義務等“管人”的措施。比如，澳大利亞《隱私法》規定管理和控制包含個人信息的檔案的保管人必須確保采取合理的安全措施，以防止個人信息的流失、未經授權的進入、使用、修改、泄露以及其他濫用行為；有必要為檔案設置一個保管人和服務條款，可以做其權限內一切合理的事情，以防止個人信息濫用和泄露。⑥Australia，Privacy Act，Information Privacy Principles（IPPs），1988，Principle 4，“Storage and security of personal information”.中國臺灣地區《個人資料保護法》規定，公務機關保存個人信息檔案者，應當指定專人辦理安全維護事項，防止個人信息被竊取、竄改、毀損、滅失或泄露。⑦中國臺灣地區《個人資料保護法》，第18 條。為落實個人信息安全保障的組織措施，個人信息管理者、控制者應當加強個人信息風險管理，包括識別、分析、評估潛在的風險因素，制定風險應對策略，采取風險控制措施，監控風險變化，對個人信息處理過程中可能出現的泄露、丟失、損壞、篡改、不當使用等事件制定預案，制定個人信息保護的教育培訓計劃并組織落實，建立個人信息保護的內控機制等。⑧參見中華人民共和國國家標準：《信息安全技術個人信息保護指南》（草案），第5 條。

技術措施，是指信息處理系統、操作流程、加密技術等方法性、程序性的措施，旨在確保信息系統持續穩定運行，確保個人信息在數據庫中的保密、完整。在個人信息安全保障的技術措施中，信息加密技術是核心，目前流行的加密體制和加密算法有RSA 算法和CCEP 算法等，而為了防止破解密碼，加密程序還采用硬件加密方法。但“道高一尺，魔高一丈”，各種破解手段也日益猖獗，比如，個人銀行賬戶密碼被破譯的案件就時有發生，因而還要“魔高一尺，道高一丈”，不斷提高加密技術水平，比如現在一些網上銀行采取的短信加密等措施就頗為有效。

物理措施，是指確保個人信息存儲場所、設備、媒介的安全等“管物”的措施，應當防止對個人信息存儲場所與存儲媒介的未授權造訪、破壞和干擾。比如，聯合國《個人數據檔案指針》規定，應當采取適當的措施來保證數據檔案免受自然的危險，如意外的毀損；免受人為的危險，如未經授權的進入、欺騙性的錯誤使用信息、計算機病毒的侵害等。①UN，Guidelines Concerning Computerized Personal Data Files，1990，A.7.除了采取有效的防范措施外，對于數字化的個人信息數據庫，還應當加強備份工作，以避免萬一數據存儲媒介受到損害而造成的大規模信息損失。