由于國情、經濟發展階段及東西方文化差異顯著，西方發達國家在信息保護方面展現出更強的意識，這一意識的形成可追溯至上世紀中葉。德國自 60 年代起便建立了全面的隱私信息處理流程，涵蓋安全處置、環保回收、設備可達性、專業銷毀機構運營及回收體系等多個環節，均十分完善。德國企業和政府機構，尤其是銀行和金融機構，在處理客戶資料和交易記錄等敏感信息時，會采用高安全級別的文件破碎機，確保信息廢棄后無法復原。甚至在許多普通商業企業中，辦公桌下方就配備有便捷的涉密文檔和資料銷毀設備。此外，眾多寫字樓還設有專門的公用區域，供企業銷毀涉密資料。

在美國，國防部和眾多軍事設施均使用專業文件銷毀設備處理機密文件，大型科技公司和醫療機構也采取類似措施處理敏感數據。英國政府的一些部門，如內政部、外交部，在處理機密文件時同樣依賴符合政府數據保護標準的專業銷毀設備，確保信息安全銷毀。同時，大型英國企業和金融機構也采取相應措施保護敏感數據。總體而言，發達國家在信息安全方面表現出強烈的保護意識，通過建立完善的信息處理流程和采用先進的文件銷毀設備等實踐措施，將敏感數據的安全保護融入日常生活和工作。

1973 年，美國健康、教育和福利部首次提出《公平信息實踐》，為全球個人信息保護提供了思想淵源與基本框架。歐盟在此方面的立法和實踐更是領先，其 1995 年通過的《個人數據保護指令》嚴格保護個人信息隱私權，核心在于保障個人的信息自主、控制和自決權。

銀行、金融機構和醫療機構因處理大量個人隱私信息，成為信息安全保護的重點。這些機構在日常運營中，對涉及商業秘密和個人隱私的紙質文件、電子存儲介質等，均采取標準化處理流程和嚴密保護措施，以防信息泄露。在數據保護和隱私要求嚴格的國家和地區，專業的文件銷毀設備已成為這些機構的標配，確保信息安全防線不被突破。同時，多樣化的處置方式如移動銷毀服務車也應運而生，為快速、便捷處理敏感信息提供了新的解決方案。

為此，各國紛紛出臺法律法規以規范數據使用，保障用戶數據安全。以下這張圖片顯示了全球不同地區數據安全保護法律的出臺情況，由此可見北美、歐洲以及澳大利亞在這方面的表現相對完善，亞洲地區中國表現突出。

△ 圖2 全球數據安全保護圖

（更新于2024年8月2日）^[2]

在數據立法相當完善的幾個代表國家或區域中，歐盟通過《通用數據保護條例》（GDPR）建立了統一的數據保護標準，該法律于 2018 年 5 月生效，強調個人權利和隱私保護，為世界各地的企業安全地收集、存儲和使用歐盟公民的個人信息提供了依據，對全球數據保護立法產生了深遠影響。美國則采用分散的法律體系，依賴于聯邦、州和地方層面的隱私法律和法規，如《加州消費者隱私法》（CCPA），由聯邦貿易委員會（FTC）和州總檢察長執行。與 GDPR 相比，CCPA 對什么是敏感數據采取了更廣泛的認定標準。這項隱私法確保消費者有權了解公司收集了哪些關于他們的個人信息以及為什么要收集，同時，消費者還可以要求公司刪除他們的相關數據。英國在脫歐后將《通用數據保護條例》（GDPR）轉化為英國 GDPR，并通過《2018年數據保護法》（DPA）進行補充，保持與歐盟 GDPR 的一致性，同時進行了一些必要的技術調整^[3]。中國的數據保護法律體系由《個人信息保護法》（PIPL）、《網絡安全法》（CSL）和《數據安全法》（DSL）三大支柱所構成的法律框架所支撐的，旨在保護個人信息和數據安全，同時具有域外效力。當中包含了對網絡運營者和個人信息處理者在數據處理利用過程中，針對數據銷毀內容的相關規定。

人們對數據泄漏的威脅和風險認識加深，推動了數據安全法規的不斷完善。各國正努力通過法律手段平衡數據自由流動與個人隱私保護。盡管法律體系和實施細節存在差異，但共同目標是確保數據安全，維護公民隱私權益，并促進數字經濟的健康發展。隨著技術和社會的發展，這些法律將繼續演進，以適應不斷變化的全球數據環境。

發達國家在信息安全銷毀領域已經建立起一套相對成熟的技術標準體系。這些標準深入到了數據擦除、物理銷毀、加密處理等多個關鍵環節，確保個人信息在銷毀過程中能夠實現絕對的安全與徹底性。

在這一體系中，歐盟新保密標準《DIN 66399》無疑是最具影響力的。該標準最初由德國標準化主管機關制定（核實），后來晉升為歐盟文件銷毀和磁盤處理的工業標準。它不僅對磁盤等存儲設備的處理和銷毀進行了嚴格規范，還涵蓋了數據的備份、恢復、校驗和驗證等多個環節。這一標準強調企業在處理敏感數據時必須采取嚴格的安全措施，包括使用專業的數據擦除工具、執行物理銷毀操作，并對整個處理過程進行記錄和報告。通過這些要求，它確保了數據在其整個生命周期中都能得到充分的保護。

此外，英國安全粉碎協會（UKSSA）于 2023 年 9 月在英國頒布了一項重要的修訂歐洲標準——《BS EN 15713:2023》。這一新標準旨在更加安全地銷毀機密與敏感材料，涵蓋了從紙質文件到硬盤驅動器等各類機密材料。與 2009 年的舊版標準相比，新標準在內容上更為全面、嚴謹，代表著一次重大的修訂更新。預計它將深刻影響英國乃至整個歐洲的數據銷毀及安全處理流程，為相關行業提供更為堅實的安全保障。該標準定于 2024 年正式實施，屆時將為相關行業提供更為堅實的安全保障。

除了上述標準外，美國國家標準與技術研究所 NIST 發布的《媒介數據清理指南》（以下簡稱《指南》）^[4]，也為信息安全銷毀領域提供了重要的指導。該指南針對不同類型的軟、硬件信息媒介以及不同的密級，給出了具體的銷毀建議和操作流程。下圖是該《指南》中給出的信息清理處置決策流程：

△ 圖 3 媒介處理決策流程圖^[4]

此外，還有一系列其他標準也在信息安全銷毀領域發揮著重要作用。例如，《信息安全管理系統（ISO 27001）》涉及電子廢物的回收、安全數據根除的資產管理以及電氣和電子設備的維修和再利用等多個方面；北美運輸資產保護協會發布的《貨運安全要求標準》則關注貨物運輸過程中的信息保護；而英國國家網絡安全中心發布的《保證服務（消毒）計劃》則為服務提供商提供了一套詳細的安全消毒操作指南。這些經過廣泛驗證和優化的標準共同形成了一套高效的操作規程，為信息安全銷毀領域提供了堅實的保障。

在此背景下，行業協會的作用尤為突出，其中，國家信息銷毀協會（NAID）最具影響力。該協會成立于 1992 年，是一個專門提供信息銷毀服務的非盈利性國際貿易協會^[5]。自 2000 年起，NAID 進一步引進了認證計劃，至今已有來自五大洲的 1000 多家企業從事安全銷毀服務的提供商獲得了 NAID AAA 認證。NAID 定期對會員單位的設施、車輛和運營管理進行審計與培訓，確保服務安全合規。加入 NAID 的企業不僅能共享最佳實踐、獲取最新市場和技術信息，還能參與行業標準制定。

此外，NAID 還致力于提升信息安全銷毀行業的整體利益和福利，推動銷毀服務的高效與改善，助力行業規模的擴大，并倡導各行業及時銷毀信息。協會還進行市場與設備的研究調查，不斷完善銷毀流程，并為業內企業構建一個更廣泛的交流平臺。用戶也更傾向于選擇獲得 NAID 認證的企業，以確保得到安全、可靠的信息銷毀服務。

在英國，也有類似的協會組織在發揮著重要作用。英國安全粉碎協會（UKSSA）致力于發布信息安全銷毀行業的最高標準，提供相關的運營準則和服務標準，并為客戶的選擇提供專業的保證?？蛻艨梢酝ㄟ^協會的官方網站選擇合適的運營商，確保服務嚴格遵循行業準則，提供專業的銷毀服務。UKSSA 成員需通過獨立安全審計，并每兩年重新審核，以確保始終按最高標準提供專業服務。

從我國整體信息安全的法律框架來看，已經構建了以《網絡安全法》、《數據安全法》和《個人信息保護法》為三大支柱的數據安全法律體系，為數據的采集、傳輸、使用、共享以及銷毀等各個環節提供了明確的法律指引，起到了基礎性的支撐作用。然而，這些法律的管理范圍主要針對數據的采集、傳輸、儲存、使用等環節中的使用者以及事后的追溯和追究。在數據載體的全生命周期中，尤其是數據載體完成正常使命后的安全處置環節，目前的法律法規還存在一定的空白。

圖 4 展示了個人信息安全的整體流程。在載體使用期間，個人數據通過手機、電腦、硬盤等數據載體進入數據采集、傳輸、使用、共享的流程，最終按照相關規定進行數據銷毀。在此過程中，數據的采集方、存儲方、使用者、共享者都對數據安全處置負有責任，并受到三大法律支柱的監管和保障。

△ 圖 4 個人數據全生命周期示意圖

然而，當數據載體在正常使用周期結束后，其安全處置問題就面臨多種選擇，包括二手出售、環保回收、載體銷毀或閑置保存等。無論選擇何種方式，都需要先進行一定程度的數據清理，以確保載體上殘留的個人信息不會被泄露或濫用。然而，在數據清理和載體處置這個關鍵環節上，目前還沒有明確的法律法規進行監管和規范。以載體的安全銷毀為例，雖然《國家保密安全法》對涉及國家機密的相關要求和過程進行了嚴格規定，但針對個人信息載體的安全處置流程和標準，尚缺乏專門的法律法規。

因此，為了進一步完善我國的數據安全法律體系，有必要加強對數據載體安全處置環節的監管和規范。這包括制定專門的法律法規，明確數據清理和載體處置的標準和流程，并建立相應的監管機制和處罰措施，以確保個人信息在全生命周期內得到全面有效的保護。

第一，驗證數據擦除的徹底性。在數據擦除環節，應利用專門的軟件程序或委托專門從事 IT 處置的服務機構，確保數據擦除效果達到 99.999% 以上（這是美國國防部、德國聯邦信息安全辦公室以及英國政府信息安全標準第五部分所接受的百分比）。同時，需通過隨機抽樣檢測來驗證擦除的徹底性，并要求服務提供商提供擦除認證報告，作為數據已被安全擦除的證明。

第二，強化運輸安全。隨著貨物盜竊事件的增加，電子產品（及其可能包含的數據）在運輸過程中面臨越來越高的被盜風險。一份 2020 年的報告顯示，電子產品在最易被盜的物品中排名第二。因此，應選擇符合運輸資產保護協會（TAPA）安全標準的運輸服務商，并要求運輸車輛配備 GPS 跟蹤系統，以便實時監控貨物的位置和安全狀態。對于高價值的IT資產，建議購買運輸保險以進一步降低潛在風險。設備在離開公司之前，必須進行嚴格的安全封裝，以減少在運輸途中被非法訪問的可能性。

第三，完善設施與資產監控。處理 IT 資產的設施必須具備高標準的安全特性，包括限制訪問、全天候監控、現場警衛及金屬探測器等。通過實施嚴格的資產接收、存儲和處理流程，并利用序列號、條形碼等技術手段，可以精確地跟蹤資產。同時，應定期對設施進行安全檢查，確保無任何安全漏洞。

第四，再利用流程的道德與合規性驗證。在處理不再使用的電子設備時，回收再利用是一種常用方式。當設備仍具有再銷售價值時，翻新和再營銷服務可以最大化投資回報率，同時也有助于循環經濟的發展?？紤]到數據的安全性，供應商的選擇至關重要?？梢越柚谌秸J證和標準，如《NIST 800-88 r1》，《DoD 5220.22-M》等數據安全標準，以及《R2v3》，《ISO 14001》，《ISO 9001》和《OHSAS 18001》等行業認證，來驗證供應商的資質。在條件允許的情況下，也可對供應商的再利用渠道進行深入的盡職調查乃至實地考察，以驗證其流程和標準的真實性與合規性。

第五，確保報廢資產被安全銷毀與有效回收。如果 IT 資產的所有數據都被銷毀，并且不再具有任何轉售價值，則應當進行安全報廢處置。應選擇持有相關環保認證的報廢資產處理供應商，并要求其提供詳細的報廢處理流程說明，確保報廢資產能夠得到環保且合規的處理。同時，應索取并妥善保存報廢資產的銷毀和回收證書，作為合規性的證明。還應定期對報廢資產處理供應商進行審核，以確保其持續符合環保標準和道德準則的要求。

這種標準的缺失可能會增加數據泄露和設備不當處理的風險，對企業和個人造成潛在的損失。因此，我們需要借鑒國外的先進經驗，結合我國的實際情況，加快制定和完善相關標準，以確保 IT 資產處置的安全性和合規性。同時，還需要加強對處置過程的監管，提高處置服務提供商的資質要求，推動整個行業的健康發展。

以手機為例，國家統計局和中國信息通信研究院的數據顯示，2022 年我國手機產量高達 15.6 億部，國內手機出貨量也達到了 2.72 億部。然而，這也導致了廢舊手機數量的迅速增長。據中國循環經濟協會估算，近五年我國年均產生廢舊手機超過 4 億部。遺憾的是，這些廢舊手機中，僅有約 5% 能夠進入專業的回收平臺或通過“以舊換新”等新型回收渠道得到處理，而超過一半（約54.2%）則被消費者閑置在家中^[7]。賽諾的一份報告指出，在對舊手機回收持保留意見的用戶中，有 71% 是因為擔心舊手機的信息安全無法得到保障^[8]。隱私泄露和信息安全問題已成為制約廢舊手機回收利用的主要瓶頸。因此，安全徹底地銷毀廢棄的信息載體具有巨大的市場潛力和迫切需求。通過有資質的服務商對信息載體進行安全銷毀，是解決這一痛點的有效途徑。

當前，國內的信息數據安全銷毀服務主要集中在政府和機構領域，而針對個人的信息安全銷毀服務仍處于起步階段，市場潛力巨大。為了填補這一市場空白，我們需要深入挖掘并豐富銷毀服務的應用場景，積極推動個人信息安全銷毀產業的發展。

這種在隱私權和數字服務便利性之間的權衡，被學術界稱為“隱私悖論”，它在不同的國家和文化環境中都普遍存在。這一現象不僅存在于數字應用的使用過程中，還延伸至信息存儲設備的退役環節。為了了解用戶在處理舊電子設備時的決策傾向，我們進行了大量的問卷調查。結果顯示，87% 的用戶選擇了“個人信息的安全處理”，而超過 54% 的用戶選擇了“以舊換新力度大”。這反映出信息安全已成為用戶的首要關切，但在回收換購力度足夠大的情況下，它依然是用戶的重要選擇。

然而，當前監管法規尚不健全，電子設備回收產業鏈存在諸多不規范之處。研究表明，二手電子設備中常含有未被徹底刪除的敏感信息。例如，某公司從 eBay 購得的二手驅動器中，有多個仍存有敏感數據。2009 年英國的一項研究也發現，購得的二手硬盤中竟含有關于導彈防御系統的機密信息^[9]。在我國，即使手機用戶嘗試刪除信息和恢復出廠值，專業人士仍能輕易恢復數據，廢舊電子設備回收也存在隱患。網絡上提供的數據恢復服務及其驚人的銷量也證明了這一點，其收費從 5 元到 500 元不等^[10],[11]。這不僅暴露了個人隱私，還可能危及國家安全。因此，培養用戶的隱私安全意識顯得尤為重要。

值得借鑒的是，許多國家和地區已經通過開展隱私保護教育、宣傳活動等方式，積極提升公眾對個人信息保護的認識。例如，歐洲委員會將每年的1月28日定為“數據保護日”，而美國和加拿大則自 2008 年起將這一天作為“數據隱私日”，旨在提高人們對隱私和個人信息保護重要性的認識。通過這些活動，能夠有效幫助民眾了解隱私泄露的風險和后果，加強公眾對信息安全的認識和重視，將信息安全真正融入日常生活的方方面面。

我國數字技術發展已走在世界前列，大數據和人工智能的廣泛應用為經濟社會發展帶來了前所未有的機遇。然而，在個人信息保護，特別是信息安全銷毀產業領域，我國仍存在很大的發展空間。相較于國外，我國在該領域的法律法規體系、技術標準以及市場培育等方面還有待完善。

國外個人信息安全銷毀產業的發展為我國提供了寶貴的經驗和啟示。借鑒國外經驗，我國應加快完善個人信息安全銷毀產業的法律法規體系，明確相關責任和義務，為產業發展提供法律保障。同時，應制定科學的技術標準，確保銷毀過程的安全可控，防止敏感信息的泄露。此外，還應加強市場培育，鼓勵更多企業投身信息安全銷毀產業，推動技術創新和服務升級。最終通過加強公眾的安全意識培養，形成全社會共同關注個人信息安全的良好氛圍。

展望未來，我國個人信息安全銷毀產業將迎來前所未有的發展機遇。隨著數字經濟的蓬勃發展，個人信息保護將成為社會關注的焦點。通過不斷完善法律法規、技術標準和市場機制，我國有望構建起完善的個人信息安全銷毀產業體系，為數字經濟的健康發展提供有力保障。

參考文獻：

[3] DLA PIPER.DATA PROTECTION LAWS OF THE WORLD Full Handbook. March 11, 2024, https://www.dlapiperdataprotection.com/index.html?t=about&c=AL.

[4] National Institute of Standards and Technology. (2014, December). Guidelines for media sanitization (NIST Special Publication 800-88 Revision 1). https://dwz.cn/1Bj5aEX7

[5] NAID certification and information. https://www.accesscorp.com/blog/naid-certification-and-information/

[6] SIMS.Five ways to protect your security during IT asset disposition (ITAD). https://sls-1.s3.amazonaws.com/five-ways-to-improve-itad.pdf

[7] 谷業凱.每年4億部舊手機，都去哪了？[J].資源再生,2023(12):24-25.

[8] 陳婉.隱私安全成為手機回收的絆腳石[J].環境經濟,2018(24):16-17.

[9] White, H. P. (2020, April 29). Why Data Centers Need Formal Data End-of-Life Processes. Infosecurity Magazine. https://www.infosecurity-magazine.com/blogs/data-centers-end-of-life-processes/

[10] 孫飛,印朋,李嘉樂.家里舊手機“堆成山”，數億部“退役”手機“寧閑不賣”何解[J].決策探索(上),2021(05):30-31.

編輯｜段文秀

審核、責編｜楊帆