1. 个人信息的概述与挑战
1.1. 定义
作为个人信息保护法的基石，在有关法律规范的贯彻实施中，个人信息的定义是一个前提。对于个人信息的内涵和外延，我国法律采用的是统一的定义模式予以明确。准确界定个人信息及其涵盖范畴，对于构建和完善国家层面的个人信息监管法律体系具有决定性意义。根据法无明文规定不为罪、法无明文规定不处罚的原则，只有当所涉及的数据被认定为个人信息时，相应的保护法律规范才能够被准确应用[1]。
法律对个人信息的定义，主要源于《中华人民共和国公民权益保护法》和《中华人民共和国个人信息保护法》两部法律对个人信息的法律定义，个人信息可以单独或结合其它信息对特定自然人的所有资料进行电子或其它形式的记录。这种信息是受法律保护的，它的处理必须在事先得到信息主体或其监护人同意的前提下，遵循合法、正当和必要的原则。
1.2. 分类
在学术领域，专家们普遍认为可以将个人信息划分为直接个人信息与间接个人信息两大类别，这一分类基于的核心标准是能否直接识别出具体个人[2]。
国内学术界对个人信息分类进行了广泛探讨，其中根据信息内容，将其细分为私隐信息、公开信息、可辨识特定个人身份信息以及日志信息四大类，并着重指出后两类信息在社会管理中占据重要地位[3]。
此外，数字化发展在交易市场更为突出。消费交易过程中，消费者的记录信息同样值得关注，其中包含不限于交易对象、时间、地点以及消费订单号等关键要素[4]。这些消费记录信息不仅反映了交易的基本概况，也是个人信息保护的重要一环。
1.3. 价值
数据是数字经济时代生产的核心内容，其通过凝聚个人信息进而形成大数据，加速传统产业的数字化转型[5]，通过个人信息加工过的大数据具有针对性和准确性，进而推动产品根据数据的创新和经营策略变革，因此有效提升企业核心竞争力，推动实体经济与大数据的完美融合。
不仅如此，深度挖掘和有效利用公民个人信息的治理价值，更为管理者指明了维护城市发展的路径。这种运用使政府在制定更加科学的决策、提升公共服务效率、实现社会治理精准化的基础上，能够更有效做到个人信息的安全开发和妥善保护二者平衡[6]。
2. 刑法对于个人信息保护的作用与局限性
2.1. 作用
2.1.1. 增设侵犯个人信息刑法罪名，强化个人信息权益保护
人民共和国刑法修正案(九)将贩卖、非法提供、非法获取公民个人信息的罪名统称为侵犯公民个人信息罪，将上述法律规定整合在一起，从而对这类行为予以刑事处罚，这是我国现行刑法修正案对上述法律规定的一种统一。在网络专门立法层面上，对于需要保护的公民个人身份电子信息、隐私电子信息，2012年《全国人大常委会关于加强网络信息保护的决定》明确界定。随后，《网络安全法》在2016年出台，个人信息保护规则得到进一步强化。2021年颁布的《中华人民共和国个人信息保护法》详细的解释了个人信息保护和处理原则，优化了个人信息保护机制，建立了严格的法律责任体系，从而全面提升个人信息保护的标准[7]。
《刑法修正案(九)》为更有效地保障公民信息安全，对相关法律条文作了重要修改。首先，在犯罪主体方面，该修正案显著扩大了范围，对比之前采用列举法将犯罪主体局限“金融、电信、交通、教育、医疗等国家机关或工作人员”，致使主体范围在司法实践中界定不统一，有的地区对个人信息的保护力度受到过于狭隘的解读，仅限于列举内容[8]。《刑法修正案(九)》对此列举方式进行了取消，使犯罪主体范围得到了广泛的覆盖，为公民的信息安全提供了一个较为全面的法律屏障，同时也为市民的信息安全提供了法律上的保障，为市民提供了更加全面的法律保障[9]。除此之外修正案还对个人信息侵权行为进行了扩充，将“将公民个人信息卖给他人或提供给他人”予以界定，并对非法获取、买卖个人信息的黑色产业链予以严厉打击。因此对于公民个人信息的买卖或者违规提供，只要情节严重都会受到法律的严惩。
2.1.2. 针对性地加大侵犯个人信息犯罪的监管和打击强度
我国加大了对个人信息侵权的打击力度，以应对其密集性、隐蔽性、技术性等特点。自2019年起，我国对322万款移动互联网APP进行了严格检测，通报并下架了近3000款存在违法违规行为的APP，这一系列的措施切实保障了百姓的个人信息安全。在防范与惩治侵犯个人信息犯罪的过程中，核心在于健全法律法规体系并强化执法效能。为了构建协同作战的格局，公安、检察院及法院需加强紧密协作。
2.1.3. 大数据时代个人信息《刑法》保护的必要性
大数据的时代背景之下，个人信息被侵犯的罪名不断增多，这种犯罪行为严重威胁了个人合法权益以及国家各方面的安全，进一步加强法律层面对个人信息的保护刻不容缓。只有加大法律制裁力度，严惩侵犯个人信息的不法行为，才能有效遏制犯罪行为的蔓延，同时防止个人信息的泄露，使信息安全在根源上得到保护，公民个人本身应当增强保护自身的意识。通过法律与自我保护的结合，共同构建更加安全有序的社会环境。
2.2. 局限性
2.2.1. 滞后性
刑法作为事后法，往往只能对已经发生的犯罪行为进行制裁，难以预防个人信息泄露和滥用问题的发生。随着互联网技术的快速发展，个人信息面临空前安全威胁，刑法作为保护个人信息的措施，却常常由于滞后性特征造成法益得不到及时的保护。
一方面，刑法对于个人信息的界定在法律上并不统一，使得犯罪行为难以被准确界定，给司法实践带来困扰。对信息安全进行刑法保护，一般仅是在概念上的措施，而信息安全发展的现实需求很难通过单项法律条文予以满足。面对复杂多变的网络环境，刑法在保障个人信息安全方面的保护速度和处理方面都略显不足。
另一方面，在刑法中对个人信息的定义比较狭窄，但是个人信息的内涵和外延也在不断扩张。将个人信息犯罪的对象限定为公民的隐私权，这是传统刑法的规定，其重点往往是保护公民的隐私权。而在数字时代的今天，包括个人行为、偏好等多个方面在内的个人信息所涵盖的范围早已远远超出了隐私范畴。
如此的矛盾使得刑法在应对新型个人信息犯罪时无法全面保护公民的个人信息权益，一些新型的个人信息犯罪行为无法得到有效的制裁。此外，即使刑法能够对这些行为进行制裁，但由于缺乏相应的司法解释和配套措施，使得执法和司法实践面临诸多困难。
2.2.2. 惩罚力度有限
尽管刑法对侵犯公民个人信息罪已做出部分相关规定，但在实际执行中，受到一些现实与法律层面障碍限制，比如取证困难、量刑不一等问题导致惩罚力度有限。
目前刑法对公民信息侵害的惩罚，在某种程度上存在一定局限性。对于潜在的犯罪份子而言，现行的惩罚措施不足以有效遏制其犯罪行为；一些非法获取和出售个人信息的行为，尽管危害严重，但所面临的惩罚往往不足以匹配其造成的社会伤害，起不到相应的震慑力。因此，为确保社会秩序和公民权益得到有效保障，需要进一步修改完善相关法律，加大对公民个人信息侵权行为的惩处力度[10]。
2.2.3. 保护范围模糊
在刑法保护范围备受关注的今天，公民个人信息在社会中的地位越来越重要。然而，对于这一问题，学界往往过于偏重于法律条文的解释和司法机关的立场，而忽略了更深层次的反思。侵犯公民个人信息的刑罚在我国刑法第263条之一中已有规定，但对个人信息的范围却没有明确的规定。但是，在最高人民法院、最高人民检察院联合发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中，对个人信息的不同等级进行了具体划分，并将其全部纳入刑法保护范围，具体规定了“侵犯公民个人信息刑事案件”。而这种分类更多的是将侵犯行为进行规整，所以在当前的刑法体系下，仍然对公民个人信息刑法保护存在偏差问题，需要对刑法保护范围进行进一步审慎的评估和纠正。
从个人信息的价值和重要程度出发，对刑法保护的范围进行重新审视和调整，不同级别的个人信息根据不同程度对个人隐私和社会安全的影响进行不同程度的保护和处罚，才能更有效地维护公民个人信息安全和隐私权。公民个人信息的刑法保护不应该仅仅限于对侵害行为的处理，要对信息本身的重要程度、敏感程度等进行综合考虑，以调整完善相关的法律条文和司法解释，只有这样才能更好地保护公民个人信息，维护个人隐私权[11]。
3. 关于个人信息保护与刑法界定的热点探讨
3.1. 侵犯公民个人信息罪的认定标准
对于侵犯公民个人信息罪中的“情节严重”如何认定是执法实践的难题：公民个人信息侵权行为的认定标准、如何界定公民个人信息被出售或提供数量、影响范围等，均需要有明确的界定。为打击对于公民个人信息的非法出售、提供或非法获取行为，建立统一的认定标准和量刑标准，既需要各方面共同努力，更需要法律法规明文规定与细化，否则，很难有统一的认定标准和量刑标准。
当前的法律对于“情节严重”判定的标准虽有规定，但多是量化的，即从侵权数量、非法所得等“量”的方面进行判断，不便于考察侵权行为的使用目的和造成的危害，难以全面评价社会危害程度，会出现“情节严重”的判断无效化和形式化问题。司法解释应明确“情节严重”的具体情形，比如信息数量、违法所得、后果影响等，尽可能通过解释的方法将其详细化，减少理解上的偏差，避免模糊，确保法律在个人信息保护中得到公正适用。
3.2. 个人信息跨境传输的法律规制
在信息化时代，个人信息跨境传递是不可避免的，但是由于各国和地区关于个人信息保护法律法规存在差异，可能导致企业在利用个人信息进行跨境传输时面临合规的风险；不仅如此，数据安全与个人信息隐私保护是核心问题，跨境传输增加数据泄露、篡改的各种风险，但接收国安全保障能力可能不足。此外，国际合作中标准不统一加剧有关信息保护层面的法律冲突、信任机制确实等造成个人信息跨境传递的法规面临挑战。
所以为了更好地解决个人信息跨境传输的法律规制问题，需要从完善国内立法、明确跨境传输规则、加强监管机制、健全个人信息跨境传递的法律框架和监管机制等多方面入手。同时，为了更好地协调全球范围内关于个人信息保护的法律法规，应该加强国际合作与交流。只有这样，才能在全球化浪潮中更好地保护个人信息，推动信息安全共同发展，形成系统化、协同化的法律框架。
3.3. 大数据背景下的个人信息保护
大数据时代背景下的个人信息保护既面临机遇，也遭遇不小的挑战，二者相互交织，处于动态平衡之中。
通过大数据技术能够有效的追踪犯罪线索，迅速锁定嫌疑人，遏制犯罪行为，使犯罪分子无法在数字化社会中逃避抓捕，通过技术的进步对精准保护提供可能，如欧盟《通用数据保护条例》(GDPR)等法规推动企业在利用个人信息构建合规体系，从而倒逼隐私保护的技术革新。但是，大数据技术的运用同时会引发个人隐私的问题，数据流通的需求与保护目标之间产生矛盾：企业为追求商业价值过度收集数据，但是跨境传输中法律差异导致合规成本过高，如Tiktok需要同时遵守中美欧等多地的法律法规[12]。此外，技术的快速发展面临滥用的风险，使得生物识别信息被篡改的风险加大。因此，我们应当注重保护与利用并重。过度限制会阻碍数字经济发展，放任则会威胁隐私安全，只有通过法律完善(如《个人信息保护法》中确认的“最小必然”原则)，不断加大《刑法》层面对个人信息的保护，方能维护社会安宁和国家安全。
4. 个人信息保护视角下刑法界定的完善措施
4.1. 明确公民个人信息的主体和范围
在大数据时代下，对个人信息主体及其涵盖范围的清晰界定显得尤为关键。个人信息主体不应仅仅局限于拥有中国国籍的公民，无国籍人员以及外国人也应被纳入其中。依据《刑法》所确立的空间效力原则，无论犯罪行为所侵害的对象是本国公民、外国人，还是无国籍人士，只要个人信息犯罪行为发生于我国领土范围之内，均需依照我国刑法予以惩处。
4.2. 加重对侵犯公民个人信息犯罪的刑罚处罚
掌握大量个人信息的主体主要集中在专门技术领域，比如电信和互联网服务提供商、金融机构等，这些从业者基于自身工作需要，能够接触到大量个人信息。一旦监管环节出现疏漏，或者行为人为牟取个人利益非法出售、倒卖个人信息，极有可能引发信息泄露事件，造成公民个人相关权益受到侵害[13]。
因此，资格刑是针对相关从业人员最好的警示。通过充分利用禁止从业的资格处罚，可以起到有效的预防作用，促使他们履行法律义务，保护个人信息安全。不仅如此，加重对侵犯公民个人信息犯罪的刑罚处罚既能够消除部分预备犯的犯罪心理，也能够使得造成信息泄露的相关犯罪人员得到应有的惩罚。
4.3. 增加对公民个人信息犯罪的刑事救济途径
公民个人信息遭受侵害的途径呈现多元化的趋势，侵害范围也在不断扩大，鉴于此，进一步拓展侵害公民个人信息犯罪的刑事救济途径，扩大个人信息保护的刑事覆盖面是符合效率与实际的最佳做法。比如，针对犯罪情节较轻、社会危害性相对较小的侵犯公民个人信息犯罪案件，可以考虑增加自诉救济途径，发挥自诉效率高、针对性强的特点，从而使公民个人信息安全得到更有效的保障。增加其他各种形式救济途径不仅满足公民对于个人信息权益保护的诉求，同时更有效地利用司法资源，提升司法对于公民个人信息保护的效率。
5. 结论
大数据时代背景之下，个人信息保护问题备受关注。数据信息技术快速发展，个人信息的泄露与滥用对公民的隐私权及社会乃至国家信息安全均构成了严重威胁。通过刑法对侵害个人信息的行为予以严厉的打击，针对刑法及其他法律法规在个人信息保护方面的不足与局限性，相应地加强个人信息的保护立法及执法，采取更全面、更有效的措施来应对日益严峻的个人信息安全挑战。只有通过法律、社会、个人等各方共同努力，才能更好地保护个人信息安全权益，更便捷地使用个人信息从而促进经济发展、社会进步。
NOTES
*第一作者。