“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。个人信息更详细的可以分为一般个人信息、主要个人信息和保密个人信息。一般个人信息多是关于个人的基本信息，可以通过媒体或者网络合法获取。而主要个人信息是指与个人的身份和财产安全相关的信息，比如地址、手机号码、身份证号码等。此类信息遭到泄露可能对公民造成物质或者人身的伤害。保密个人信息是指只能依照法定程序，通过核准才能够获取的信息，比如公民的手机通话记录、支付密码等。如果这些信息被不法分子获取和使用，严重的情况可能构成犯罪 [ 1 ] 。

在我国，“个人信息”的相关权利是由民事法律进行保护，但由于当时的经济发展水平较为落后，有关“个人信息”的保护并未收到太多的重视，学界只是将其归于“隐私权”的范畴。随着科技的进步与经济的快速发展，公民对于个人信息的观念发生了变化，对个人信息保护的要求也在提高，个人信息与隐私权的差异慢慢显现，要求将个人信息作为独立的权利进行保护的呼声也越来越多。《刑法修正案(七)》回应了公众的呼声，将侵犯公民个人信息的行为纳入刑事制裁范围，但是却没有明确界定“个人信息”的概念。《关于加强网络信息保护的决定》¹将个人信息界定为“能够识别公民个人身份和涉及公民个人隐私的电子信息”，之后的《刑法修正案(九)》又对相关罪名进行了修改，进一步明确了“个人信息”的内涵与外延。《关于依法惩处侵害公民个人信息犯罪活动的通知》²将其定义为“能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。”而2016年通过的《网络安全法》³将“个人信息”定义为，“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”，这一规定再次将“个人信息”的范围扩大。《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》⁴在《网络安全法》规定的基础上继续对“个人信息”的概念与范围进行扩张，增加了“账号密码”、“财产状况”、“行踪轨迹”三种信息类型，公民的个人信息得到进一步的保护。2021年施行的《个人信息保护法》对于个人信息的界定范围相对于上述各法而言，进一步扩大了界定范围，将个人信息界定为，只要已经被识别或者有被识别的可能性就属于个人信息。

《宪法》的人格尊严条款和通信自由条款对于个人信息保护作出了原则性的保护，尽管这些条款并没有明确界定对个人信息保护的范围，但是对于个人信息权利的保护有着非常大的价值。

在《民法典》第111条⁵将自然人的个人信息纳入民法保护范围之内以前，我国民法中关于个人信息的保护更多的是处于对公民隐私权的保护，而在我国民法中，关于隐私权的定义并不是很清晰，主要是参照对公民名誉权保护的相关规定，这样做的后果就是相对忽略其他财产权利和人格权利的保障。《民法典》第111条规定，使得个人信息成为了民事权利的一种，从隐私权保护的范畴独立出来，对于个人信息的保护有着重大意义。

行政法对个人信息的保护体现在行政机关处理公民个人信息的时候，处理行为牵涉到对信息的获取、使用、存储和保密等，行政法必须规范行政机关的相关行为，既是为了促使行政机关便捷高效的履行职责，还应对公民的个人信息，尤其是对其最关键的隐私信息进行严密的保护，《政府信息公开条例》不允许行政机关公开与公民私人生活密切相关或可能影响第三方合法权益的国家信息。另外，在行政复议、行政处罚、行政诉讼等方面，还对公民的个人信息进行了专门的保护。然而，行政法规更注重保护信息网络的公共安全而不是个人信息的自由，导致其在保护个人信息的方面并不完善。行政机关是个人信息的重要处理者，他们需要收集大量的个人信息，以履行其在社会管理方面的各种职能，而公民从出生到死亡的所有信息都牢牢掌握在公共行政机关手中。这就导致实践中，很多合法收集的个人数据被非法披露给他人，而对行政机关工作人员的处罚却过于轻微，难以有效解决此类行为。

整体看来，刑法与司法解释、刑法与民法、行政法等相关法律条文间仍然存在着界限模糊、难以有效衔接的问题，这种分散的保护具有很大局限性，为处理侵犯公民个人信息问题造成了许多困难。在其他法律保护不足以有效保护个人信息时，有必要让刑法发挥严厉作用。

宪法对个人信息的保护规定过于原则化，并没有在某一条文中明确的界定个人信息的概念，以及对个人信息如何进行保护，使得现实生活中的个人信息权利难以得到贯彻落实。

民法对于侵犯个人信息的行为，主要是通过经济补偿的方式来进行处罚，单纯注重财产补偿，很难对个人信息进行全面的保障。公民的个人信息与公民的人格有密切的关联，不能只是通过单纯的经济补偿来处罚个人信息受到的侵害，无法通过金钱计算个人信息受到侵害时人格遭受的损害。在现实生活中，大部分情况下，对信息主体的侵权只是程度较小的的侵权，信息主体只会受到一些的骚扰短信和骚扰电话等，并不会对其日常的生活产生太大的干扰。但也不乏一些严重的情况，信息主体因信息遭受侵害而使得其人格受到极大影响，这种影响是金钱无法衡量的，就比如山东单县的高考志愿篡改案⁶。

行政法律处罚侵犯个人信息的行为主要通过行政处罚，《治安管理处罚法》所规定的上限十五天行政拘留处罚，适用于上述对信息主体具有轻微影响的情况是完全没有问题的，但对于严重侵害主体利益，对主体造成重大影响的案件来说，这种处罚的力度过轻。仍以篡改高考志愿为例，如果仅以行政手段对行为人的侵害行为进行制裁，那么十五天的行政拘留相对于被害人所受的终生的负面影响明显不合理，在对行为后果进行处罚时，刑法的介入具有不可避免性。

在各法律的功能定位方面，私法自治是一直民法的基本原则；行政法则更强调效率、秩序；而刑法更加重视对法益的保护。三者在功能定位上的差异性使得公民个人信息的刑法保护相对于民法及行政法的保护具有一定的优势，刑法能够实现对法益的强力保护。目前我国较重视民法和行政法在公民个人信息保护领域的应用，对法益的有效保护往往是欠缺的。在当今社会，个人信息蕴含着的经济价值，当行为对信息主体造成轻微的、无关紧要的侵害时，作为民法赋予权利的信息主体根本不屑于花费时间和精力来为维护自己的利益。互联网企业是当之无愧的信息泄露大户，为了自身的经济利益，这些企业常常无视行政法的处罚，在缴纳着罚款的同时，仍不停止泄露信息获取收益。可见，民法的原则和行政法的目标在信息保护领域不是万能的，必须通过刑法保护，对行为人非法侵犯个人信息安全的行为逐一考量评价，才能加强对个人信息安全的保障。

在信息网络给人们生活带来便利的同时，也使得个人信息可能遭受侵害，侵犯个人信息对公民的日常生活、社会的和谐稳定造成了潜在威胁，面对频频发生的个人信息遭受侵犯现象，迫使刑法将其纳入规制范围。

在2009年之前，我国刑法中还没有侵犯公民个人信息犯罪的单独罪名，而是在一些零散的规定中体现出对个人信息的保护例如侵犯通信自由罪保护公民合法的通信权利等等。直到2009年，《刑法修正案(七)》才将个人信息的非法获取、出售、提供行为明确纳入法律条文，这一修订直接有力地保护了公民的个人信息权利。但此规定也存在不足之处，对于主体的规定，范围限定为国家机关或者者金融、电信、交通、教育、医疗等单位的工作人员，对“单位”的列举虽然较为全面，但是随着社会不断变化发展，出现了新的工作类型和性质，此限定范围遗漏了部分个体，不利于保护个人信息权利。

2015年《刑法修正案(九)》的出台，一定程度上弥补了《刑法修正案(七)》存在的不足。将犯罪主体的范围从特定的“单位”扩展到一般自然人，只要其身份符合一般犯罪主体的条件，就能够构成侵犯公民个人信息罪，更有利于对个人信息的权利的保护。同时，最新的修正案将该罪行的最高法定刑罚提高到七年有期徒刑，并根据犯罪情节确定具体的处罚类型和期限，使犯罪者得到与其行为造成的危害相称的惩罚。在这方面，本次刑法修正案在这一刑事犯罪方面取得了较大进展。

《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》》第一次将个人信息的概念定义为兼具可识别和综合性的实体，目的是在科学的基础上进一步合理处理与个人信息有关的犯罪，尽可能强调概念的一致性。尽可能地明确“非法获取”等所包含的犯罪形式、侵犯公民个人信息的处罚情形等情况的具体解释。解决了《刑法修正案(九)》中需要解决的问题，用明示方式说明了司法适用中需要解决的某些难题，使个人信息保护在刑法保护方面取得更好的发展趋势。

现有的非法获取、提供等行为方式已不能满足目前打击信息犯罪的需要 [ 4 ] 。非法使用、利用个人信息的行为同样会对公民个人信息权利造成侵害，非法使用、利用行为处于非法获取、出售及提供行为之后，是信息犯罪的后续行为，对他人的信息权益造成二次伤害，是目的性的行为，更具社会危害性。骗子往往利用个人信息去进行非法活动，比如利用别人的信息，伪造成为自己的身份，以此来达到欺骗的效果。除此之外，有学者指出，犯罪分子违法利用公民个人信息，有利于隐藏自己的犯罪活动，逃避警方的侦查，妨碍案件的侦破，扰乱治安秩序，为警方精准打击犯罪制造困难和障碍 [ 5 ] 。

非法篡改、毁损公民个人信息的行为当今社会越来越常见，网络技术的飞速 展促使人们的个人信息以数据的形式保存与计算机中，这为不法分子侵犯公民个人信息的形式提供了一种新的思路，公民的个人信息在网络交流和储存的过程中极易被非法篡改或损毁。实务中出现有篡改同学高考志愿，导致该名考生错过了自己心仪大学的案件⁹，虽然篡改同学志愿的行为对其同学的个人信息造成了严重的侵犯，但最终检察院对行为人作出了不起诉的决定，原因是刑法缺乏对该行为的明确的处罚规定，因此不承担刑事责任。为尽量减少实务中类似现象的发生，亟需刑法对计算机中的个人数据安全予以保护，将篡改、毁损个人信息的犯罪行为方式归入侵犯公民个人信息罪的制约。如再发生上述案件，可以对侵犯个人信息的行为做单独评价，与侵犯计算机系统类的犯罪数罪并罚，增强对个人信息和数据的保护。

针对司法救济方式单一的问题，可以考虑让政府相关部门或者司法机关提前介入，在发现公民个人信息权利受到侵害的同时着手处理，或者通过政府协商的方式，使公民在不用诉讼的情况下，获得相应的补偿，以此捍卫自己的权利。在实践中可以通过明确合理收集信息的范围，一旦抄超出限定的范围，就可以启动公法路径下的执法程序，对违法者予以惩戒。或者通过缩短诉讼程序期限，减少公民为了维护个人信息权利所花费的金钱与时间，提升公民保护权利的积极性。

在《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》采用违法所得数额标准，但违法所得数额是判断经济类犯罪的主要依据，侵犯个人信息并非经济类犯罪，而且违法所得数额并不能直接反映法益受到侵害的程度，直接采取这一标准或存在不妥之处。在实践中，该标准容易对侦查取证方向造成错误的导向，导致个案量刑的不均衡等问题。关于特定主体身份的标准，《刑法》对执行公务或者提服务的主体侵犯个人信息的要“从重处罚”，使得特定主体需要承担了更加严厉的刑事责任，《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》将此类犯罪主体的犯罪门槛予以降低，与我国现行的刑事立法存在着矛盾。关于恶劣社会影响的认定标准。“恶劣社会影响”的内涵很难明确，其认定依据的基本事实常常超越了侵害人的犯罪要件，造成了对主观因素的误认。侵害公民个人信息罪有被故意放大的危险。以“情节严重”为要件的本来就存在着一些不确定因素，用这种模棱两可的定义去阐释刑法中的含糊不清的观念，在方法上也并非明智之举。本文认为，应当采取一个综合性的认定标准，《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》采取的是单一认定标准，存在不足。在实际生活中，个人信息的性质、范围以及侵权的手段都是多样的，有些行为采取一种判断方式不一定准确，所以，可以采用以单一标准为主，综合性标准为辅的原则，共同服务于“情节严重”的认定。统一的准则必须以判断一项罪行的行为是否达到统一的准则为基础。单一性标准应优先考虑，当某行为不符合单一标准，且按照综合性的指标，该行为的社会危害性被认为与犯罪相当，则应根据综合标准进行评估。由于适用范围广，法官的自由裁量权大，综合标准应受到严格限制，以防止刑事制裁的范围任意扩大 [ 6 ] 。