1. 问题的提出
大数据时代彰显了个人信息的价值，也促使人们重新审视和衡量个人信息权作为一项利益的重要性。随着我国立法、司法部门对个人信息保护的不断周延，一套日益完善的个人信息保护体系逐渐为社会公众所知，并在刑事立法活跃化现象的影响下，对于个人信息的刑法规制愈发受到重视[1]。在众多个人信息的民事、刑事立法过程中，尤为值得注意的是，《民法典》第一千零三十六条涉及了对已公开个人信息处理的规制规则，而2021年出台的《个人信息保护法》第27条进一步对此加以明确。既然已公开个人信息已经被相关法规纳入到个人信息的保护体系中去，作为个人信息法益保护的最后一道防线刑法又应当如何作出反应。然而，大量的司法实践告诉我们，就该问题司法实务部门并不能达成一致意见，并对已公开个人信息的属性、范围与体系定位的问题存在认定上的困难[2]。因此，大量针对已公开个人信息刑法规制的讨论接踵而至，围绕着“已公开个人信息是否属于刑法上的个人信息”以及“已公开个人信息处理行为的规制范围”两大问题加以讨论。
主流的学说观点已经向我们揭示，已经公开个人信息的刑法规制在理论上可行[3] [4]，关键在于如何在适用范围上实现限缩。对此，学者指出如果对已公开个人信息的处理仍然以二次授权为要，则会导致在该问题上的处罚范围过宽[5]，情景化的类型规制成为了已公开个人信息刑法构建的主流思潮[6]，并在类型化的基础上寻找已公开个人信息保护的边界。
笔者承认对于已公开个人信息的规制较一般个人信息而言需要更进一步地作实质合理性的判断1[4]，赞同目前理论对已公开个人信息的类型化探索，但是认为现有研究的类型化探索反而一定程度上混淆了已公开个人信息与一般意义上的个人信息。如部分学者主张根据“公开”方式，将已公开的个人信息划分为违法公开，(政务)强制公开与自愿公开。然而，对于违法公开的信息本质上就是信息在信息所有人尚无法益处分的情形下导致了信息进入流通领域，对此后的信息处理行为的规制所作出的实质性判断是否因此具有特殊性，笔者存有疑虑。换言之，目前绝大多数的类型化工作均是从形式上展开，而缺少对已公开个人信息的规范评价。对于法学尤其是刑法学而言，规范性对构建类型时要素的提取也具有决定性的意义，从而出现了规范性和经验性要素共同构建类型的情形，卡尔·拉伦茨教授对此称之为“规范性的真实类型”[7]。
因此，本文拟从个人信息刑法规制的基本逻辑出发，阐明公民个人信息的保护重点，并在现有研究的基础上进一步推进已公开个人信息的体系构建，找寻对相关处理行为的刑法界限。
2. 个人信息刑法规制的基本逻辑
2.1. 具体人格权：传统个人信息的权利基础
笔者认为，已公开的公民个人信息应该作为个人信息项下的一种类型加以理解。因此，对已公开个人信息的把握，离不开对个人信息的认识。因此在对已公开个人信息展开详细讨论之前，仍然需要解答一个前提性的问题，即公民个人信息的权利属性为何，这一问题决定了对公民个人信息的处理边界。一般而言，目前无论是民法学界还是刑法学界，都认同本罪为一种区分于隐私权的新兴权利[8]，但是并未对其进行系统性地结构。对此，笔者拟从个人信息的权利逻辑视角出发，尝试解构侵犯公民个人信息权这一庞大的权利群。
信息的价值需要发挥于特定的场域。具体而言，信息价值在流动的过程中得以实现。例如，社会中的某个公民甲给自己取名或更名，单独来看，这件事情根本没有任何意义，因为当甲在独处时，他对于自己的认知是清晰的，不需要通过这个名字将自身标识出来。只有当他将其更改过后的名字告诉自己身边的其他社会公民或组织时，该姓名的沟通功能便以以下形式凸显了起来：其他的社会公民或组织，可以通过将该姓名与甲的生理特征结合，并以此为基础将该公民标记出来。因此，只有当信息处于一个互动的过程当中，信息的主人才能被识别。
事实上，这便是简单社会中识别与被识别的模式。但是现实世界的信息传递与人际沟通往往更加复杂，同一个信息的互动过程永远连接着两端，因而通过符号交流的方式进行的进一步的传递。还是以上文所举的改名行为为例，甲将自己的姓名信息告知好友乙后，乙当然可以通过叫甲之姓名以获得其回应。但乙也可以做出另一个决定，就是告诉另一位朋友丙关于甲之特征与姓名，从而实现该姓名信息的进一步传递。所以说，信息的传递在互动的过程中可能会渐渐呈现出一种以信息所有人为原点的链状结构，节节延伸，这导致的结果是可能远离信息所有人的某人可能在某日就会迅速地识别到信息所有人，而这种识别可能并非基于信息所有人的本意，那么此时当然可以认为信息所有人的人格自由受损(除非存在基于行政目的的被动公开)。
基于此，为了保护自身人格权益，信息所有者会有两个选择：第一，是在信息尚且无人所知时，即可以做出一个决定，即是否愿意将有关信息传递出去，以实现自身被他人识别；第二，是当信息已经被别人所知的时候，主动切断后续传播的链条，来维护自身生活的安宁，彰显自身人格上不被他人识别的自由。所以相应地，个人信息权也恰具备两个面向，第一个面向就是体现出信息权的积极权能，即公民有权同意自己的信息进入流通领域，在流通过程中实时对自己信息进行查阅、监督，了解自己信息的流向，并在可能的情况下获得收益；第二个面向是一种消极面向，信息主体可以通过各种手段排除外部对自己信息的侵害，就比如说个人信息保护法第四十七条规定的删除权。
上述个人信息权的双重面向的构建表明，个人信息权是公民基于自身人格自由与尊严衍生的权利，民法典第四编第六章的规定也让个人信息权成为了一项具体人格权。同时，从民法权利构建的角度上看，有学者指出公民的个人信息权为绝对权[9]，这样就意味着该权利针对一切人产生效力，但不以对客体的支配为前提[10]。笔者认为，上述观点恰恰印证了上文“信息价值发挥于流通领域”的观点，之所以信息不是支配权而是绝对权，就是考虑到后续信息的流通性。
2.2. 公民个人信息的刑法规制逻辑
而从刑法第253条之1的规定来看，侵犯公民个人信息罪的行为模式，主要可以概括为不得非法提供和不得非法获取，前者是行为人行使信息自决权的积极权能，在知晓或了解信息的使用路径后，允许自己的信息进入到信息的流通领域。这其实是一种法益处分行为，在此基础上，当后续对法益的使用超出了处分人的认知范围时，上述的处分效力便不复存在。换言之，当互动的另一端违背了行为人法益处分的范围且到达一定的客观处罚条件后，即具备违法性。就此公民信息自决权的消极权能在此被刑法所保护，即阻止信息传递的链条不随信息主体的意愿进一步延伸。而后者，即“不得非法获取”是刑法对信息自决权的积极全能进行保护，阻止一些非自愿的信息流通，在这种意义上，“非法获取”的行为模式不涉及法益处分。以上是对于刑法上侵犯公民个人信息行为的一个基本脉络梳理。
综上所述，刑法对上文构建的个人信息的权利行使逻辑一脉相承。一方面，公民可以通过“知情同意”这一基本标准，决定信息进入流通领域的正当性与否，而一旦违背该标准就会引发刑法的关注；另一方面，信息在进入流通领域之后，所有的收集、储存、使用、加工、传输、提供、公开、删除行为也需要尊重信息所有人的意志，信息处理者需要及时地根据信息所有者的意志实现信息的消极权能，因此对于个人信息的刑法规制而言，也基本遵循上述的二元谱系结构。
最后，需要补充的一点是，本罪的构建看似基于个人对自身信息的控制权，导致本罪的法益似乎向“信息自决权说”[11]倾斜。但是从两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(下称《个人信息解释》)第5条第2款的规定来看，本罪“情节特别严重”的考量情节之一，是行为人的人身和财产属性是否受到损害。由此可见，刑法不仅将行为人干涉他人信息自决权的程度作为入罪情节的考量，更将信息持有人的“人身、财产安全等个体社会交往利益”[12]纳入到了考量范围之中。因此，笔者认为将刑法第二百五十三条之一的保护法益仅仅认作为信息自决权过于片面，也不符合个人信息权作为具体人格权的丰富内涵，应当将本罪法益认定为基于信息自决权、兼顾人身财产安全的复合法益。
3. 侵犯公民个人信息罪体系构建与规制边界
3.1. “已公开”个人信息的本体构建
1. 个人信息保护法第27条第1分句“公开”之理解
恰如上文所言，大量的信息随时在流通领域流转，行为人对流通领域中的任意数据进行处理时，该数据是否属于已公开的个人信息？换言之，对于“已公开”的教义学解读是实现已公开个人信息刑法规制的重要前提。对此《个人信息保护法》第二十七条第一分句对于已公开个人信息的范围作出了初步的划定：“个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息……”从对该分句的解读可以看出，信息公开的方式具有两种，一种为信息所有者“自行公开”，另一种为“其他已经合法公开”。因此，在对已公开个人信息加以认定时，应当排除所谓“违法公开”的情形。因为对于刑法而言，所有违法获取的个人信息在进入信息的流通领域之初，便没有获得公民的法益处分，因此已经可以认定其在流通领域内的传播损害了公民的信息自决权，当然也包括后续的信息处理行为。
此外，从公开的范围来看，需要进一步对个人信息保护法第27条第1分句中的“公开”进行进一步的解释。目前学者采用了“客观开放程度”[4]标准，认为已公开的个人信息可以划分为完全开放个人信息、限制开放个人信息与被违法开放个人信息。上述标准试图论证已公开个人信息的开放范围具有类型性。笔者认为，这种划分方法错误地将“公开”理解为“开放”，后者在外延上被前者所包含，“公开”除了“开放”应有的“解除限制”之意，还指出了开放的范围性；另外，“客观开放程度”说忽视了信息的本就在流通领域中对特定或不特定多数人开放的客观属性，过度的划分导致“已公开个人信息”的“已公开”特征被完全抹除殆尽。此处的“公开”应当理解为“客观开放程度”中的“完全开放”标准，即对社会中的不特定多数人公开，这样既符合“公开”的文义，也同样满足《个人信息保护法》的规范保护目的：在保护个人信息权的同时促进信息流通。
综上所述，“已公开个人信息”是合法公开能够为不特定第三人所访问的信息[13]，它在方式上存在主动公开和其他合法方式公开，这种公开方式笔者认为系基于政务目的或法律要求的公开；在公开范围上对不特定多数人进行公开，在此基础上，下一步便可以进行已公开个人信息刑法规制的体系构建。
2. 已公开个人信息的特殊性与体系构建
基于上文的论述，已公开的个人信息作为个人信息的一种类型，它存在自己的差异性：第一，是在法律规定中的特殊性。结合《个人信息保护法》第十三条的规定，此时法律的任务不再是关注个人信息的传播链条是否依照信息主体的意志继续延伸，而是仅仅阻止信息传递的链条不当延伸。第二，是已公开个人信息进入流通领域的特殊性。不同于“非法提供”和“非法获取”，“已公开的公民个人信息”中存在着“法益处分”和“无法益处分”的交织。“公开”是信息进入流通领域的一种方式，它标志着公民信息自决权的积极面向已经用尽。恰如上文所言“公开”具有两种不同的方式，即信息主体自愿公开，以及公权力主体基于行政权力被动公开。对于被动公开而言，“合理处分”的合理性是比较容易判断的，因为此处不存在个人的法益处分，此时“合理”只需要结合一种行政意义上的“合理”判断即可，这个问题就被化归了。最关键的问题在于，“自愿公开”情形下，行为人存在法益处分，如何对“合理处分”进行判断的问题。有学者指出，在公民完全自愿地公开自身的个人信息时，不应当对后续的利用进行刑法层面的评价[4]。笔者在此持不同意见。一方面，《个人信息保护法》第13条与第27条的规定在形式上要求信息处理行为具备合理性，而第二百五十三条之一的空白罪状规定要求刑法在价值判断时将其纳入考量范围；另一方面，“公开”二字的加入只是使得行为人向特定人行使积极的信息处分权，变为向不特定人行使积极的信息处分权，虽然法益处分的存在不可否认，导致人们在判断行为人对于行使积极权能造成的后果是否明确时，无法像“向特定人提供”的情形那么严格，但是后续的信息处理行为还是有可能造成实质的社会危害性。举例而言，假设某有夫之妇甲在微博平台发出精美自拍一张，此时人人对此具有转发的权利，这时候转发的人中可能有欣赏其美貌之人，也有通过转发方式储存美女照片之“色狼”，对于此类怀有恶意之徒，刑法并无法对其进行处罚。但是当大量相亲网站恶意转发甲之照片，以其照片来吸引各种男士来其旗下相亲，行为人就断然是会否定的，法律也不会认可这种合理性，因为即便是以一种最严苛的标准来评价信息主体的主张，也无法得出信息主体允许自己的照片流入相亲领域。这种行为在一定程度上严重侵犯了信息主题的人格利益，因此具有实质违法性。这也恰恰印证了上文指出本罪法益不仅仅是一种信息自决权，更是一种涵盖人身、财产等多重面向的复合法益。
通过上文的论述，已公开个人信息的刑法规制基于公民对其个人信息存在“法益处分”这一特征，来加以识别与规制，笔者并以此构建出了涉已公开个人信息刑法规制的判断思路。当然，由于承认了在自愿公开情形下，对已公开个人信息的刑法规制仍有构成犯罪的可能性，从而造成本罪的过度适用，因此下一步的问题便是如何基于《个人信息保护法》中关于“合理”使用的相关规定对本罪进行适用上的限缩。
3.2. “自愿公开”情形下已公开个人信息的规制边界
上文的论述简要地表明对“自愿公开”个人信息的处理行为具备相应的社会危害性，但是并没有明确指出刑法应当在何种程度上进行介入。笔者认为，刑法应该将该情形下的个人信息与一般意义上的个人信息加以区分对待。一方面，侵犯公民个人信息罪采用空白罪罪状，对侵犯公民个人信息行为需要结合其他法律的规定，而《个人信息保护法》对已公开个人信息有专门的规定；另一方面，侵犯公民个人信息罪中的法定犯要素和超个人法益要素也更进一步地提示人们将目光聚焦于信息的利用与流转上，从而只对部分严重侵犯个人利益的信息处理行为加以刑法层面的规制。
《刑法》第二百五十三条之一采用了“违反国家有关规定”这一空白罪状的表述。对于已公开个人信息而言，应当将目光聚焦之《个人信息保护法》第27条之规定。有学者指出，“该规定一方面释放出立法者意图促进个人信息合理利用的信号，另一方面能够培养人们对公开个人信息的行为偏好，形成一种制度粘性。”[14]笔者认为，该表示准确地表述了第27条的规范保护目的，旨在减少“知情同意”标准对于信息流通的阻碍，强调“二次授权”应当尽可能少地适用于信息流转的全过程。因此，判断相关对已公开个人信息处理行为是否超出信息所有人的法益处分范围时，应当尽可能地转变方法论上的思路，从对信息治理的“控制”模式转变为信息的“利用模式”[15]。正如上文所述，随着信息技术的迅猛发展，个人信息的公开性日益凸显。在这一背景下，我们需要对已公开的个人信息进行刑法规制，并将其视为我国数据犯罪方法论转变的一次绝佳尝试。只有在信息处理者提供个人信息用于犯罪活动，或者提供个人信息用于其他违法行为并造成严重后果的情况下，才应通过侵犯公民个人信息罪对其进行规制。信息的公开性与社会发展和信息传播的需求密切相关。个人信息的公开对于信息处理者来说具有正当性，一定程度上他们在信息处理过程中并没有违法性认识。
截至上文，笔者对已公开个人信息的刑法规制问题的论述便到此结束。但是由此带来的追问并未停止。尤其是基于上文所指出的规制模式的方法论转换，折射到侵犯个人信息罪的基本问题时，便显得尤为有意义。
第一，是追问侵犯公民个人信息罪的法定犯因素。侵犯公民个人信息罪是自然犯还是法定犯，尚属学界争论不休的议题之一。当然，多数观点基于本罪的体系位置、保护法益等原因，坚持本罪属于自然犯[2] [8] [16]。但是多数学者对《个人信息解释》以“条数”和“违法所得”加以入罪的方式避而不谈。这些入罪门槛很难说是从自然犯的视角予以设置。这一现象终究需要回到条文本身来加以反思。根据刑法第253条之1的规定，侵犯公民个人信息的犯罪行为，一方面需要在形式上符合《民法典》《个人信息保护法》等前置法中的有关规定，另一方面需要具备实质的法益侵害性。这种“形式 + 实质”的规定模式最终将判断法益是否被侵害的任务交给了司法实践。虽然通过解释，可以得出即使不具备相应的“数量”规定而仅仅是具备严重的人身危险性，少数的侵犯公民个人信息行为也可以入罪[17]，但是对于绝大多数的侵犯个人信息行为，更像是一种轻微违法性“量”的累积，而这种通过积累而产生质变(构成犯罪)的标准，是由有权机关所制定，从而具备一定的法定犯色彩。所以在侵犯已公开个人信息的刑法规制中，笔者也是基于这样的法定犯色彩，从而认定多数的已公开个人信息处理者不具有违法性认识，而可以予以免责。
第二，是追问侵犯公民个人信息罪的超个人法益属性。目前学界基于本罪为自然犯，从而进一步论证了本罪的法益属性是上文对个人信息权能的体系构建也以具体人格权为基础，在论证逻辑上也体现出本罪的保护法益为个人法益的倾向。笔者在解释论层面，将侵犯已公开个人信息的犯罪行为尽可能限缩在那些严重侵害个人法益的信息处理行为上，事实上便是担忧刑法可能会将部分达到“数额”信息处理行为规定犯罪。这也就意味着，司法解释一定程度上将“法益侵害性”中的“个人法益”突破至“社会/集体法益”。然而，作为规定于侵犯公民人身、民主权利罪一章中的罪名，向“集体法益”的突破显然表现了立法与司法之间存在的逻辑矛盾，因此从立法视角看，有必要在相关前置法规中进一步完善已公开个人信息合理使用制度，为刑法聚焦于保护个人信息这一“个人法益”提供有效的限缩路径。
笔者在此无意亦无力对前人的观点进行批判，只是试图指出侵犯公民个人信息犯罪中“超个人法益”与“法定犯属性”的客观需求，或许将此诉诸后续立法可以更进一步地实现对个人信息的周密保护。
4. 结论
侵犯公民个人信息罪的保护法益不仅是公民的信息自决权，而是一种复合权利，在民法定位上应当为具体人格权。从本罪的逻辑构造上看，本罪需要保护公民信息自决权的双向权能，既要防止公民的个人信息随意地进入到流通领域之中，也要能够遵循公民的个人意志切段信息在流通领域中进一步流转。已公开个人信息“已公开个人信息”是合法公开能够为不特定第三人所访问的信息，它在公开方式上可以基于个人的法益处分，也可以基于相关公共利益的需要；在公开范围上应当面对全社会的不特定多数人。对侵犯公民个人信息罪的刑法规制模式中，最关键的类型特征在于行为人是否存在“法益处分行为”。已公开的个人信息的特殊之处在于“自愿公开”情形下的“法益处分”范围不具有特定性，且行为人对于信息处理的后果不具有明确的认识性，因此导致在此类型下的处罚范围容易过于宽泛，需要结合《个人信息保护法》第十三条中的合理条款，对此类型下本罪的适用作进一步的限缩。
对已公开个人信息刑法规制的探索，可以成为我国数据犯罪方法论转向的一次绝佳尝试。因此，应当尽可能转变思路，承认信息处理者的信息处理行为的正当性，只有当信息处理者提供于犯罪适用，或者提供于其他违法行为并造成严重后果时，方可通过侵犯公民个人信息罪加以规制。解释论所得出的各项结论，也可以进行进一步的立法论反思。笔者在解释论层面，将侵犯已公开个人信息的犯罪行为尽可能限缩在那些严重侵害个人法益的信息处理行为上；那么反过来看，目前侵犯公民个人信息犯罪行为存在一定的法定犯属性和超个人法益性。笔者认为这是社会的客观需求，进一步的立法完善是解决当下理论冲突的更佳选择。
NOTES
1从《刑法》第二百五十条之一的规定来看，立法者采取了“形式 + 实质”的立法规制模式，即通过对违反“违反国家法规”这一形式要件以及“情节严重”这一实质要件对侵犯公民信息的行为进行刑法规制。对此，有学者指出对于已公开个人信息的处理规制上，需要更进一步地论述其实质违法性。