1 立法保护
　　
　　1．1　间接立法，间接立法是指不是专门针对图书馆保护用户数据的立法，比如瑞典的《数据法》、法国的《数据处理、档案与自由法》、英国的《数据保护法》、美国的《电子通讯隐私法》、日本的《个人信息保护法》、韩国的《隐私法》等。我国至今没有对隐私权的专门立法，隐私权尚未取得作为一项独立人格权的法律地位，而是把隐私权涵盖于名誉权当中来对待，具体内容包含在《宪法》、《民法通则》、《银行管理暂行条例》、《商业银行法》、《执业医师法》、《刑法》、《人民检察院刑事诉讼规则》等法规之中。用户数据隐私在图书馆受到侵害时，只能依靠这些间接规定来主张权利。
　　
　　1．2 直接立法。直接立法是指专门针对图书馆保护用户隐私制定专门法律。1978年，在美国图书馆协会和其他几个专业协会的推动下，美国第一部州立法《图书馆记录机密法》在佛罗里达州通过。到目前为止，在美国除夏威夷州和肯塔基州外，其他48个州和哥伦比亚特区都有专门的图书馆记录保密法。这类法律有两种形式：一种是明确保护图书馆用户的隐私：另一种是豁免图书馆公开数据或不适用于信息自由法。按照法律规定，用户利用公共图书馆所产生的注册和流通记录信息是机密。除非满足法定条款，否则图书馆不能向任何要求检查的机构或个人公开。
　　
　　2 自律保护
　　2．1　行业指南。美国图书馆学会在专业伦理守则中规定：“保护每位读者的隐私权，对其查寻或获取的信息，咨询、借阅、征集及传递的资源均应予以保密”：英国图书馆学会在专业行为守则规定：“不得泄露或默许他人泄露任何委托的保密资料、信息或行政档案给第三者：同时也不可超越用户最初使用授权范围，将信息运用于其他方面”，还制定了对违反此守则的当事人的处分条款：日本图书馆学会在图书馆伦理纲领指出：“图书馆不得泄露利用者的秘密”，VRD2003年版的网上参考咨询服务质量文件中关于隐私权的保护规定：用户和专家间的通信必须处于完全隐私的环境中。《中国图书馆员职业道德准则》也规定：“维护读者权益，保守读者秘密。”
　　
　　2．2 制定政策。图书馆要制定完善的用户数据隐私权保护政策，并通过一定方式公之于众，使社会广为了解。主要内容包括：其一，收集数据的内容和目的。对敏感数据不予收集，并限于具体、合法的目的，收集和使用个人信息必须征得本人同意。其二，收集个人数据的方法，明确告知用户收集其个人数据的技术手段及其特点，使用户能理解和配合，并主动采取防范措施。其三，用户的拒绝权和选择权。用户的选择权应该是主动的，应该是在用户向图书馆网站提供个人数据之时或图书馆网站向用户收集个人数据时行使的。其四，用户个人数据共享。未经用户明确同意，图书馆不能向第三方提供用户数据，更不能以商业目的与其他人或组织共享用户个人数据。其五，用户数据的变更。图书馆对用户要求修改其数据的申请应及时处理，对于不能按用户要求修改的，要将不能修改的决定及其理由通知用户个人，并告知用户享有进一步反映问题的权利和相关途径。其六，免责条款。
　　
　　2．3 开展认证。数据隐私认证是类似于商标的网上隐私标志，它使得用户更易于识别那些遵守了个人数据收集和利用行为的图书馆，同时便于对图书馆就个人数据隐私权的保护状况作出评估。认证合格的图书馆将会受颁一种标志，即隐私权保护标志，这个标志可以张贴在自己网站的主页上。认证和取消认证是对应的，如果监督管理机构在评估中发现某图书馆违反了个人数据收集和利用的相关规定或遭到用户的投诉，将被警告，或被取消认证。
　　
　　2．4 完善管理。对用户数据的保护，图书馆要有健全和完善的管理制度与监督机制。比如，控制用户数的传播范围，使数量有限的图书馆员在工作之必要范围内接触和使用。又比如，以敏感性为标准对用户数据进行类型上的划分，确定密级和使用规则。
　　
　　2．5　技术防范。近年来保护数据安全的技术有了较大发展，图书馆可以灵活选用。其一，控制接触用户数据的技术，比如，口令技术和问题化技术。其二，控制使用用户数据的技术，这类技术能够防止对用户数据的打印、传播等。其三，保护用户数据完整性的技术，使数据不被修改或篡改。现在，一些专门针对数据隐私保护的技术已得到实用。比如，P3P是一种网络隐私权保护平台，可以有效提高图书馆对用户数据的控制力。
　　
　　2．6 用户教育。保护数据隐私最有效的办法就是提高用户本人的隐私权意识和自我保护技能，这对图书馆的相关工作也会有促进作用。在美国，正是由于用户有较高的保护隐私权的素质和向立法机关不断表达诉求，才导致了国家以及地区层面的立法，并推动了一系列图书馆行业保护隐私权政策的制订和图书馆管理制度的完善。