由于国情、经济发展阶段及东西方文化差异显著，西方发达国家在信息保护方面展现出更强的意识，这一意识的形成可追溯至上世纪中叶。德国自 60 年代起便建立了全面的隐私信息处理流程，涵盖安全处置、环保回收、设备可达性、专业销毁机构运营及回收体系等多个环节，均十分完善。德国企业和政府机构，尤其是银行和金融机构，在处理客户资料和交易记录等敏感信息时，会采用高安全级别的文件破碎机，确保信息废弃后无法复原。甚至在许多普通商业企业中，办公桌下方就配备有便捷的涉密文档和资料销毁设备。此外，众多写字楼还设有专门的公用区域，供企业销毁涉密资料。

在美国，国防部和众多军事设施均使用专业文件销毁设备处理机密文件，大型科技公司和医疗机构也采取类似措施处理敏感数据。英国政府的一些部门，如内政部、外交部，在处理机密文件时同样依赖符合政府数据保护标准的专业销毁设备，确保信息安全销毁。同时，大型英国企业和金融机构也采取相应措施保护敏感数据。总体而言，发达国家在信息安全方面表现出强烈的保护意识，通过建立完善的信息处理流程和采用先进的文件销毁设备等实践措施，将敏感数据的安全保护融入日常生活和工作。

1973 年，美国健康、教育和福利部首次提出《公平信息实践》，为全球个人信息保护提供了思想渊源与基本框架。欧盟在此方面的立法和实践更是领先，其 1995 年通过的《个人数据保护指令》严格保护个人信息隐私权，核心在于保障个人的信息自主、控制和自决权。

银行、金融机构和医疗机构因处理大量个人隐私信息，成为信息安全保护的重点。这些机构在日常运营中，对涉及商业秘密和个人隐私的纸质文件、电子存储介质等，均采取标准化处理流程和严密保护措施，以防信息泄露。在数据保护和隐私要求严格的国家和地区，专业的文件销毁设备已成为这些机构的标配，确保信息安全防线不被突破。同时，多样化的处置方式如移动销毁服务车也应运而生，为快速、便捷处理敏感信息提供了新的解决方案。

为此，各国纷纷出台法律法规以规范数据使用，保障用户数据安全。以下这张图片显示了全球不同地区数据安全保护法律的出台情况，由此可见北美、欧洲以及澳大利亚在这方面的表现相对完善，亚洲地区中国表现突出。

△ 图2 全球数据安全保护图

（更新于2024年8月2日）^[2]

在数据立法相当完善的几个代表国家或区域中，欧盟通过《通用数据保护条例》（GDPR）建立了统一的数据保护标准，该法律于 2018 年 5 月生效，强调个人权利和隐私保护，为世界各地的企业安全地收集、存储和使用欧盟公民的个人信息提供了依据，对全球数据保护立法产生了深远影响。美国则采用分散的法律体系，依赖于联邦、州和地方层面的隐私法律和法规，如《加州消费者隐私法》（CCPA），由联邦贸易委员会（FTC）和州总检察长执行。与 GDPR 相比，CCPA 对什么是敏感数据采取了更广泛的认定标准。这项隐私法确保消费者有权了解公司收集了哪些关于他们的个人信息以及为什么要收集，同时，消费者还可以要求公司删除他们的相关数据。英国在脱欧后将《通用数据保护条例》（GDPR）转化为英国 GDPR，并通过《2018年数据保护法》（DPA）进行补充，保持与欧盟 GDPR 的一致性，同时进行了一些必要的技术调整^[3]。中国的数据保护法律体系由《个人信息保护法》（PIPL）、《网络安全法》（CSL）和《数据安全法》（DSL）三大支柱所构成的法律框架所支撑的，旨在保护个人信息和数据安全，同时具有域外效力。当中包含了对网络运营者和个人信息处理者在数据处理利用过程中，针对数据销毁内容的相关规定。

人们对数据泄漏的威胁和风险认识加深，推动了数据安全法规的不断完善。各国正努力通过法律手段平衡数据自由流动与个人隐私保护。尽管法律体系和实施细节存在差异，但共同目标是确保数据安全，维护公民隐私权益，并促进数字经济的健康发展。随着技术和社会的发展，这些法律将继续演进，以适应不断变化的全球数据环境。

发达国家在信息安全销毁领域已经建立起一套相对成熟的技术标准体系。这些标准深入到了数据擦除、物理销毁、加密处理等多个关键环节，确保个人信息在销毁过程中能够实现绝对的安全与彻底性。

在这一体系中，欧盟新保密标准《DIN 66399》无疑是最具影响力的。该标准最初由德国标准化主管机关制定（核实），后来晋升为欧盟文件销毁和磁盘处理的工业标准。它不仅对磁盘等存储设备的处理和销毁进行了严格规范，还涵盖了数据的备份、恢复、校验和验证等多个环节。这一标准强调企业在处理敏感数据时必须采取严格的安全措施，包括使用专业的数据擦除工具、执行物理销毁操作，并对整个处理过程进行记录和报告。通过这些要求，它确保了数据在其整个生命周期中都能得到充分的保护。

此外，英国安全粉碎协会（UKSSA）于 2023 年 9 月在英国颁布了一项重要的修订欧洲标准——《BS EN 15713:2023》。这一新标准旨在更加安全地销毁机密与敏感材料，涵盖了从纸质文件到硬盘驱动器等各类机密材料。与 2009 年的旧版标准相比，新标准在内容上更为全面、严谨，代表着一次重大的修订更新。预计它将深刻影响英国乃至整个欧洲的数据销毁及安全处理流程，为相关行业提供更为坚实的安全保障。该标准定于 2024 年正式实施，届时将为相关行业提供更为坚实的安全保障。

除了上述标准外，美国国家标准与技术研究所 NIST 发布的《媒介数据清理指南》（以下简称《指南》）^[4]，也为信息安全销毁领域提供了重要的指导。该指南针对不同类型的软、硬件信息媒介以及不同的密级，给出了具体的销毁建议和操作流程。下图是该《指南》中给出的信息清理处置决策流程：

△ 图 3 媒介处理决策流程图^[4]

此外，还有一系列其他标准也在信息安全销毁领域发挥着重要作用。例如，《信息安全管理系统（ISO 27001）》涉及电子废物的回收、安全数据根除的资产管理以及电气和电子设备的维修和再利用等多个方面；北美运输资产保护协会发布的《货运安全要求标准》则关注货物运输过程中的信息保护；而英国国家网络安全中心发布的《保证服务（消毒）计划》则为服务提供商提供了一套详细的安全消毒操作指南。这些经过广泛验证和优化的标准共同形成了一套高效的操作规程，为信息安全销毁领域提供了坚实的保障。

在此背景下，行业协会的作用尤为突出，其中，国家信息销毁协会（NAID）最具影响力。该协会成立于 1992 年，是一个专门提供信息销毁服务的非盈利性国际贸易协会^[5]。自 2000 年起，NAID 进一步引进了认证计划，至今已有来自五大洲的 1000 多家企业从事安全销毁服务的提供商获得了 NAID AAA 认证。NAID 定期对会员单位的设施、车辆和运营管理进行审计与培训，确保服务安全合规。加入 NAID 的企业不仅能共享最佳实践、获取最新市场和技术信息，还能参与行业标准制定。

此外，NAID 还致力于提升信息安全销毁行业的整体利益和福利，推动销毁服务的高效与改善，助力行业规模的扩大，并倡导各行业及时销毁信息。协会还进行市场与设备的研究调查，不断完善销毁流程，并为业内企业构建一个更广泛的交流平台。用户也更倾向于选择获得 NAID 认证的企业，以确保得到安全、可靠的信息销毁服务。

在英国，也有类似的协会组织在发挥着重要作用。英国安全粉碎协会（UKSSA）致力于发布信息安全销毁行业的最高标准，提供相关的运营准则和服务标准，并为客户的选择提供专业的保证。客户可以通过协会的官方网站选择合适的运营商，确保服务严格遵循行业准则，提供专业的销毁服务。UKSSA 成员需通过独立安全审计，并每两年重新审核，以确保始终按最高标准提供专业服务。

从我国整体信息安全的法律框架来看，已经构建了以《网络安全法》、《数据安全法》和《个人信息保护法》为三大支柱的数据安全法律体系，为数据的采集、传输、使用、共享以及销毁等各个环节提供了明确的法律指引，起到了基础性的支撑作用。然而，这些法律的管理范围主要针对数据的采集、传输、储存、使用等环节中的使用者以及事后的追溯和追究。在数据载体的全生命周期中，尤其是数据载体完成正常使命后的安全处置环节，目前的法律法规还存在一定的空白。

图 4 展示了个人信息安全的整体流程。在载体使用期间，个人数据通过手机、电脑、硬盘等数据载体进入数据采集、传输、使用、共享的流程，最终按照相关规定进行数据销毁。在此过程中，数据的采集方、存储方、使用者、共享者都对数据安全处置负有责任，并受到三大法律支柱的监管和保障。

△ 图 4 个人数据全生命周期示意图

然而，当数据载体在正常使用周期结束后，其安全处置问题就面临多种选择，包括二手出售、环保回收、载体销毁或闲置保存等。无论选择何种方式，都需要先进行一定程度的数据清理，以确保载体上残留的个人信息不会被泄露或滥用。然而，在数据清理和载体处置这个关键环节上，目前还没有明确的法律法规进行监管和规范。以载体的安全销毁为例，虽然《国家保密安全法》对涉及国家机密的相关要求和过程进行了严格规定，但针对个人信息载体的安全处置流程和标准，尚缺乏专门的法律法规。

因此，为了进一步完善我国的数据安全法律体系，有必要加强对数据载体安全处置环节的监管和规范。这包括制定专门的法律法规，明确数据清理和载体处置的标准和流程，并建立相应的监管机制和处罚措施，以确保个人信息在全生命周期内得到全面有效的保护。

第一，验证数据擦除的彻底性。在数据擦除环节，应利用专门的软件程序或委托专门从事 IT 处置的服务机构，确保数据擦除效果达到 99.999% 以上（这是美国国防部、德国联邦信息安全办公室以及英国政府信息安全标准第五部分所接受的百分比）。同时，需通过随机抽样检测来验证擦除的彻底性，并要求服务提供商提供擦除认证报告，作为数据已被安全擦除的证明。

第二，强化运输安全。随着货物盗窃事件的增加，电子产品（及其可能包含的数据）在运输过程中面临越来越高的被盗风险。一份 2020 年的报告显示，电子产品在最易被盗的物品中排名第二。因此，应选择符合运输资产保护协会（TAPA）安全标准的运输服务商，并要求运输车辆配备 GPS 跟踪系统，以便实时监控货物的位置和安全状态。对于高价值的IT资产，建议购买运输保险以进一步降低潜在风险。设备在离开公司之前，必须进行严格的安全封装，以减少在运输途中被非法访问的可能性。

第三，完善设施与资产监控。处理 IT 资产的设施必须具备高标准的安全特性，包括限制访问、全天候监控、现场警卫及金属探测器等。通过实施严格的资产接收、存储和处理流程，并利用序列号、条形码等技术手段，可以精确地跟踪资产。同时，应定期对设施进行安全检查，确保无任何安全漏洞。

第四，再利用流程的道德与合规性验证。在处理不再使用的电子设备时，回收再利用是一种常用方式。当设备仍具有再销售价值时，翻新和再营销服务可以最大化投资回报率，同时也有助于循环经济的发展。考虑到数据的安全性，供应商的选择至关重要。可以借助第三方认证和标准，如《NIST 800-88 r1》，《DoD 5220.22-M》等数据安全标准，以及《R2v3》，《ISO 14001》，《ISO 9001》和《OHSAS 18001》等行业认证，来验证供应商的资质。在条件允许的情况下，也可对供应商的再利用渠道进行深入的尽职调查乃至实地考察，以验证其流程和标准的真实性与合规性。

第五，确保报废资产被安全销毁与有效回收。如果 IT 资产的所有数据都被销毁，并且不再具有任何转售价值，则应当进行安全报废处置。应选择持有相关环保认证的报废资产处理供应商，并要求其提供详细的报废处理流程说明，确保报废资产能够得到环保且合规的处理。同时，应索取并妥善保存报废资产的销毁和回收证书，作为合规性的证明。还应定期对报废资产处理供应商进行审核，以确保其持续符合环保标准和道德准则的要求。

这种标准的缺失可能会增加数据泄露和设备不当处理的风险，对企业和个人造成潜在的损失。因此，我们需要借鉴国外的先进经验，结合我国的实际情况，加快制定和完善相关标准，以确保 IT 资产处置的安全性和合规性。同时，还需要加强对处置过程的监管，提高处置服务提供商的资质要求，推动整个行业的健康发展。

以手机为例，国家统计局和中国信息通信研究院的数据显示，2022 年我国手机产量高达 15.6 亿部，国内手机出货量也达到了 2.72 亿部。然而，这也导致了废旧手机数量的迅速增长。据中国循环经济协会估算，近五年我国年均产生废旧手机超过 4 亿部。遗憾的是，这些废旧手机中，仅有约 5% 能够进入专业的回收平台或通过“以旧换新”等新型回收渠道得到处理，而超过一半（约54.2%）则被消费者闲置在家中^[7]。赛诺的一份报告指出，在对旧手机回收持保留意见的用户中，有 71% 是因为担心旧手机的信息安全无法得到保障^[8]。隐私泄露和信息安全问题已成为制约废旧手机回收利用的主要瓶颈。因此，安全彻底地销毁废弃的信息载体具有巨大的市场潜力和迫切需求。通过有资质的服务商对信息载体进行安全销毁，是解决这一痛点的有效途径。

当前，国内的信息数据安全销毁服务主要集中在政府和机构领域，而针对个人的信息安全销毁服务仍处于起步阶段，市场潜力巨大。为了填补这一市场空白，我们需要深入挖掘并丰富销毁服务的应用场景，积极推动个人信息安全销毁产业的发展。

这种在隐私权和数字服务便利性之间的权衡，被学术界称为“隐私悖论”，它在不同的国家和文化环境中都普遍存在。这一现象不仅存在于数字应用的使用过程中，还延伸至信息存储设备的退役环节。为了了解用户在处理旧电子设备时的决策倾向，我们进行了大量的问卷调查。结果显示，87% 的用户选择了“个人信息的安全处理”，而超过 54% 的用户选择了“以旧换新力度大”。这反映出信息安全已成为用户的首要关切，但在回收换购力度足够大的情况下，它依然是用户的重要选择。

然而，当前监管法规尚不健全，电子设备回收产业链存在诸多不规范之处。研究表明，二手电子设备中常含有未被彻底删除的敏感信息。例如，某公司从 eBay 购得的二手驱动器中，有多个仍存有敏感数据。2009 年英国的一项研究也发现，购得的二手硬盘中竟含有关于导弹防御系统的机密信息^[9]。在我国，即使手机用户尝试删除信息和恢复出厂值，专业人士仍能轻易恢复数据，废旧电子设备回收也存在隐患。网络上提供的数据恢复服务及其惊人的销量也证明了这一点，其收费从 5 元到 500 元不等^[10],[11]。这不仅暴露了个人隐私，还可能危及国家安全。因此，培养用户的隐私安全意识显得尤为重要。

值得借鉴的是，许多国家和地区已经通过开展隐私保护教育、宣传活动等方式，积极提升公众对个人信息保护的认识。例如，欧洲委员会将每年的1月28日定为“数据保护日”，而美国和加拿大则自 2008 年起将这一天作为“数据隐私日”，旨在提高人们对隐私和个人信息保护重要性的认识。通过这些活动，能够有效帮助民众了解隐私泄露的风险和后果，加强公众对信息安全的认识和重视，将信息安全真正融入日常生活的方方面面。

我国数字技术发展已走在世界前列，大数据和人工智能的广泛应用为经济社会发展带来了前所未有的机遇。然而，在个人信息保护，特别是信息安全销毁产业领域，我国仍存在很大的发展空间。相较于国外，我国在该领域的法律法规体系、技术标准以及市场培育等方面还有待完善。

国外个人信息安全销毁产业的发展为我国提供了宝贵的经验和启示。借鉴国外经验，我国应加快完善个人信息安全销毁产业的法律法规体系，明确相关责任和义务，为产业发展提供法律保障。同时，应制定科学的技术标准，确保销毁过程的安全可控，防止敏感信息的泄露。此外，还应加强市场培育，鼓励更多企业投身信息安全销毁产业，推动技术创新和服务升级。最终通过加强公众的安全意识培养，形成全社会共同关注个人信息安全的良好氛围。

展望未来，我国个人信息安全销毁产业将迎来前所未有的发展机遇。随着数字经济的蓬勃发展，个人信息保护将成为社会关注的焦点。通过不断完善法律法规、技术标准和市场机制，我国有望构建起完善的个人信息安全销毁产业体系，为数字经济的健康发展提供有力保障。

参考文献：

[3] DLA PIPER.DATA PROTECTION LAWS OF THE WORLD Full Handbook. March 11, 2024, https://www.dlapiperdataprotection.com/index.html?t=about&c=AL.

[4] National Institute of Standards and Technology. (2014, December). Guidelines for media sanitization (NIST Special Publication 800-88 Revision 1). https://dwz.cn/1Bj5aEX7

[5] NAID certification and information. https://www.accesscorp.com/blog/naid-certification-and-information/

[6] SIMS.Five ways to protect your security during IT asset disposition (ITAD). https://sls-1.s3.amazonaws.com/five-ways-to-improve-itad.pdf

[7] 谷业凯.每年4亿部旧手机，都去哪了？[J].资源再生,2023(12):24-25.

[8] 陈婉.隐私安全成为手机回收的绊脚石[J].环境经济,2018(24):16-17.

[9] White, H. P. (2020, April 29). Why Data Centers Need Formal Data End-of-Life Processes. Infosecurity Magazine. https://www.infosecurity-magazine.com/blogs/data-centers-end-of-life-processes/

[10] 孙飞,印朋,李嘉乐.家里旧手机“堆成山”，数亿部“退役”手机“宁闲不卖”何解[J].决策探索(上),2021(05):30-31.

编辑｜段文秀

审核、责编｜杨帆