据《中国青年报》报道，不久前，工业和信息化部信息安全协调司副司长欧阳武公开表示，中国首个“个人信息保护”专项国家标准《公共及商用服务信息系统个人信息保护指南》已制订完成，正按程序报批。但参与调研制订的一位专家日前对媒体说，“《指南》不具有强制性，只是一个推荐实施的国家标准，网站、商家违反了也不会受到任何处罚。”
　　这位专家的话如果属实，那就未免太让人失望了。作为专项保护个人信息的国标，只是告诉别人怎么做，而无任何惩处条款，无异于一个花瓶，那些见利忘义的商家会对《指南》顶礼膜拜吗？保护公民个人信息仍然是嘴上的“唱功”？让人忧心。
　　如今，以牟利为目的的贩卖个人信息行为已经相当严重，今年央视3·15晚会曝光上海罗维邓白氏营销服务有限公司出售1.5亿条个人信息，每条要价0.3到1.5元。如今公民个人信息被“裸体”司空见惯，你去售楼处买房，出不了三天，家装公司就会打电话向你推销装修。你去车市买车，很快就会有人向你促销保险。或许你感到惊讶，家装公司、保险公司怎么知道我的信息？秘密就在于商家将你“卖”了。
　　公众对个人信息被商家出售很烦心，又很无奈。2009年2月28日颁布的《刑法修正案(七)》，增设“非法获取公民个人信息罪”，规定“情节严重的，处三年以下有期徒刑或者拘役。”这一定罪在执行中存在着较大空间的“自由载量权”，首先“情节严重”是一个不确定概念；其次“情节不严重”自然就不构成犯罪，怎么处罚？没了下文。而现实中大量的买卖个人信息行为都属于“情节不太严重”，但对个人的危害却很严重。
　　这类情况该怎样处罚？不妨借鉴他山之石。比如德国，早在1977年就制定《联邦数据保护法》，以后两度修法，明确手机用户拒绝商业广告短信，可与运营商签订一份合同，运营商违规滥发短信，投诉一次最高可罚五万欧元。笔者想，如果有10人、100人投诉，电信商可能要被罚得倾家荡产。再如英国《通信管理条例》规定，未经收信人同意发送兜售产品的垃圾信息，属于违法，法院受理起诉并查实后，每次罚运营商5000英镑。
　　可见，国外处罚垃圾短信和出售个人信息行为，对未构成犯罪的，一律施以严厉的罚款，让商家芒刺在背，不敢越雷池半步。窃以为，保护个人信息必须从源头抓起，对泄密的商家处以“严刑”，公民个人信息被泄露并造成损失，有权起诉商业机构要求赔偿，这正是保护公民个人信息的抓手。