为了指导企业科学地构建个人信息使用及保护业务,笔者采用规范研究的方法,从业务环境、业务目标与内容、业务模式与绩效评价、业务风险与管控方法四个方面提出了一个企业个人信息使用及保护业务规划与设计框架。研究结果显示,随着个人信息安全呼声的日益高涨以及经济全球化的迅速发展,个人信息的使用与保护工作越来越受到全社会的重视,企业作为国家经济的基本单元,有义务承担保护个人信息的社会责任;企业开设该项业务的短期目标在于取得个人信息所有者的信任,为顺利开展其他业务打下基础,长期目标在于取得良好的社会声誉,培育企业的战略性资产;该项业务的内容涵盖个人信息的收集、使用、转移和删除四种活动;依据自身条件和所处环境的特点,企业可以分别采用自营或外包、独立或嵌入等不同模式开展该项业务,平衡积分卡方法适用于该项业务的绩效评价;该项业务存在着过度和非法收集个人信息、擅自使用和转移个人信息的风险,企业可以采用内部控制的方法管控这些业务风险。