一、  问题的提出

在数字文明与法治文明的交融进程中，个人信息保护已从技术议题演化为关涉现代国家治理的核心命题。在我国，随着《网络安全法》《民法典》《个人信息保护法》的陆续颁布，逐步完善的规范体系虽已形成公私法协同治理的基本格局，但刑法第253条侵犯公民个人信息罪的规范效力始终面临法益定位失焦的诘问。这种规范效力与价值定位的张力，在刑法介入个人信息保护领域时呈现出双重悖论：一方面，前置法确立的个人信息自决权在刑法场域面临保护限缩的困境；另一方面，司法实践中普遍存在的秩序法益扩张倾向，又导致刑法谦抑性边界不断被突破。

关于侵犯公民个人信息罪所保护之法益的本质，争议主要围绕个人利益、集体利益以及混合法益三大立场展开。传统权利本位论者主张将个人信息自决权作为唯一保护法益，但难以解释为何刑法要赋予自主控制利益如此高的保护强度；纯粹秩序法益论虽契合风险社会预防性刑法的特征，却可能消解个体权利保护的宪法根基；折中论提出的“个人法益+超个人法益”的模式虽获司法解释的隐性支持，但未能建构具有规范约束力的法益位阶体系。这种理论分歧直接导致司法实践中出现入罪标准模糊化、保护对象泛化、刑法功能错位等现实困境。

在此情形下，充分解释和有效规范该体系的核心概念，具有承前启后的重要意义。“承前”意义在于从恰当的法益观出发，可以搭建起不同部门法间的枢纽，将《网络安全法》等前置法纳入侵犯公民个人信息罪的出入罪适用框架中。“启后”意义则在于揭示当今规范与实践之不足，为打破本罪“刑法滞后”的立法困境提供指引。因此，唯有突破现有的理论窠臼，重新诠释该体系在刑法语境中的法益本质，方能在学理层面破解“权利平移”现象所带来的风险挑战。为公民个人信息自决权在公法与私法领域实现差异化保护机制提供支撑的同时，推动我国个人信息保护法律体系的完善与发展。

二、  现状与反思：侵犯公民个人信息罪的规制路径探析

对于侵犯公民个人信息罪的法益理解，学界观点经历了从“隐私权”到“个人信息自决权”，再到“社会交往受保护权”等偏秩序型法益的演变。当前，“风险控制理论”占据主导地位。然而，尽管将本罪保护的法益视为信息秩序的观点为该罪名适用范围的扩展提供了合法性基础，该解释却失于阐明个人信息向社会属性全面转化的正当性依据。因此，亟需重构侵犯公民个人信息罪的规制逻辑，具言之，应当依据本国宪法中公民与国家的利益关系模式，重新界定刑法法益的实质内涵^[1]，并贯彻刑法旨在保护其他手段无法保障的法益之特殊使命^[2]，以此为本罪法益的确立提供坚实的理论支撑。

（一）  法益内涵的转变：从绝对的个人自决到相对的风险控制

对于侵犯公民个人信息法益内涵的厘定，学界观点分呈，其争论焦点集中在如何明确公民个人信息的内涵、不同信息的性质与类别区分，以及如何实现前置法中个人信息标准与刑法法益的有效衔接。

首先，对于个人信息的内涵及信息性质界分而言，我国目前盛行隐私说、识别说、关联说与新识别说四种立场，隐私说赞成个人隐私与个人信息的等同看待，是一种针对单一主体的绝对保护模式^[3]；可识别说认为，个人信息与信息主体存在某一客观确定的可能性^[4]；与识别说所倡导的信息至个人识别路径相对立，关联说提出了一种逆向的识别方法，即从既定个人出发，进而探寻和搜集与该个体相关的其他信息^[5]；新识别说则对个人信息进行层级界分, 形成由内自外的同心圆结构，分别基于直接识别信息、间接识别信息以及不可识别信息逐层展开^[6]。随着《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》^①《民法典》^②《个人信息保护法》^③的相继出台，法域协调下对于“公民个人信息”的官方定义可理解为：包括身份识别信息, 也包括体现特定自然人活动情况的信息。由此看见，我国现已基本明确了公民个人信息是指具有可识别性信息的立场，并将个人信息的认定标准从“直接识别”扩展至“直接识别+间接识别”，乃至“识别+关联”，其保护范围呈现出逐步扩大的特点。

而“从绝对的个人自决到相对的风险控制”也正是基于前述个人信息内涵的演进，所催生出的，为适应信息流通性质而被众多学者采纳的刑民衔接方式。所谓个人自决，全称为“个人信息自决权”，即个人对其信息的主导权和自主决策权，其根源可追溯至1983年德国联邦宪法法院在人口普查案中的判决，旨在通过私权视角抵御公权力对公民个人信息的过度搜集，确保“个人数据不受无限制的搜集、储存、使用和披露”^[7]。其不仅奠定了我国《个人信息保护法》中知情同意原则的论调，更是侵犯公民个人信息罪个人法益观的核心内容，亦是部分集体法益观支持者以“出于公共利益的考量”为由进行驳斥的对象。与之对立，所为风险控制^[8]，指的是以防控社会风险为目的，立足于个人信息的工具性，保护信息秩序流通而采取的新型规制方式。支持风险控制观点的学者认为，信息非排他性、非损耗性的特征，兼具流通和控制双重价值，如若采取单一的赋权保护模式，则会严重阻碍信息共享，进而限制信息本身的价值发挥，不符合数字社会纵深发展的需要^[9]。故应当采取集体法益观，以信息管理秩序作为本罪的保护法益。此外，还有学者认为应当同时考量信息的人身属性和公共属性^[10]，在信息自决与信息秩序中进行取舍，从而衍生独立于纯粹个人法益与集体法益的混合法益观：应当首先确保信息自决权的保护，而后根据信息的公开程度考虑信息秩序法益的保护，从而形成圈层式的法益保护格局。

（二）  依据与反思：法秩序统一视角下侵犯公民个人信息罪的法益识别

从部门法衔接来看，刑法对侵犯公民个人信息罪规制的理论基础植根于“权利——权利束——法益”这一逐级深化的层次结构。其中，三者的相互衔接分别来源于宪法权利与部门法权利的互动性，以及部门法权利与刑法法益的高度同源性。首先，《中华人民共和国宪法》第38条明文规定“公民的人格尊严不受侵犯”，尽管学界对于该条款究竟指向人的尊严还是一般人格权存在诸多争议^[11]，然将个人信息保护纳入该条款所涵盖的基本权利范畴，已逐渐成为共识。据此，宪法的规定从根本上奠定了个人信息保护的论调：其核心在于维护信息处理过程中个人的主体尊严，而非单纯涉及信息主体对个人信息的占有、使用、收益与处分。同时，这一规定也昭示着以功能主义替代目的主义的模式转变，及构建出法秩序中个人所拥有的行政法上的权利的逻辑需求，从而为个人信息受保护权下的“权利束”概念的派生提供了坚实的法理支撑，亦为个人信息保护的法律规范得以在各部门法之间实现有效衔接提供了理论依据。其次，随着时代进步，权利和法益持续吸纳多元利益以扩展其概念边界，这也与个人信息保护中权利束的应用形成了呼应，而这三大概念的贯通，除了前述宪法与部门法的权利互动外，在另一方面上则得益于权利与法益的同源。具体而言，在实在法层面，权利观念被民法所采用，而法益观念则被刑法所吸收。尽管如此，该二者在各自的领域内仍展现出共通的逻辑架构：权利与法益在本质上均为法律规范所确证之利益。民法中的权利概念为刑法中的法益保护提供了方向。因此，在判定是否成立侵犯公民个人信息罪时，必须依据《民法典》第111条的规定，来判定某一行为是否实质性地侵害了个人信息权利，从而指导法益侵害性的评估。

然而，依据前置法规定指引刑法法益内涵的要求，并不意味着应当为了满足《个人信息保护法》《数据安全法》《网络安全法》《民法典》等个人信息保护体系中强调的信息流转特征，并以维护社会交往的正常运转为由设立信息秩序法益。换言之，不应当将“风险控制”理论作为判定侵犯公民个人信息罪的法益设立依据。虽然刑法中法定犯的保护法益不可避免地与行政法的规范目的相关联，但这一关联仅应当停留于个人信息自决权，而不应当延伸至信息流通秩序。所谓信息流通秩序，实际是社会管理秩序的下位概念，其本质上仅仅是一种维护社会利益的体现，甚至可以就纯粹的行政利益述之。目前，行政法已然对此类秩序保护存在相应的规范体系，在此情况下，如若需要通过刑法对其进行二次规制，其介入就必须具有充分的正当性，也即应当具有充分的理由解释其为何可以被纳入“个体权利”篇章下保护。以“信息流通秩序”作为法益不仅无法与在民法典中作为具体人格权的个人信息权益贯通，亦无法解释为何将“创造有利于信息共享与流通的环境”纳入“侵犯公民人身权利、民主权利”保护，在民法与刑法语境下都缺乏衔接基础。同时，利益本身不同于法益，社会利益得以被纳入刑法保护的先决条件在于能够在此框架内确定利益归属主体。然而，在宪法和民法中，“社会”并未被赋予法律人格，因此在主客体的价值评价之时，其本身没有对客体宣示利益归属的主体资格，固有地存在 “法益性欠缺”的弊病^[12]。加之个人信息具有领域覆盖广泛，类别反复错杂的特点，针对其构建的秩序极易变得高度抽象，导致侵犯公民个人信息罪最终落入“无法益”的形式犯境地。

故而，刑法有时在外观上保护信息流通秩序，只不过是在保护法益的过程中产生的反射效果。没有违反信息流通秩序的行为，完全可能因为侵犯了法益而被规定为犯罪；反之，违反了信息流通秩序的行为，完全可能由于没有侵犯法益而不被规定为犯罪^[13]。在本罪法益证立过程中，“信息流通秩序”仅应被置于“伴生品”的地位，其既非侵犯公民个人信息罪下亟需考量的法益内容，亦非用来确立法益设置标准的事项。由此可见，对于本罪法益的确立必须遵循几大依据：其一，在认识到个人信息不仅承载信息主体的基本权利，还涉及其他相关主体权益的前提下，应当在刑法范畴内限缩并界定所应保护的权益范围。其二，在肯定个人信息部分共有属性的同时，理应明确促进信息的合理利用主要是前置部门法的任务，不是刑法首要考虑的问题，防止由于“法益”对“秩序”的门户大开，使得刑法演变成以维护秩序为主的“安全刑法”。

三、  逻辑与反思：侵犯公民个人信息罪的应然法益内涵

罗克辛指出，借助社会相当性原理与“轻微性原则”，对犯罪构成要件进行限制性解释，可排除无需惩罚的行为，确保法益保护仅限于不可放弃的可罚性领域，从而实现刑法的人权保障功能^[14]。在此框架下，“不可放弃”的概念体现在对公民个人信息保护边界的界定上，而“可罚性”的论证则建基于法益保护的具体内容。同时，在法益界定过程中，必须化解其固有的内在冲突。因此，在确立侵犯公民个人信息罪的法益内涵时，应当首先明确所保护的公民个人信息范围，并识别本罪旨在维护的法益，继而对该法益的设置有助于缓和或破除其内在冲突进行证成。

（一）  公民个人信息的内涵廓清及混合法益的性质厘定

1   侵犯公民个人信息罪中个人信息的再定义

“公民个人信息”概念不甚明晰，依不同类型划分会导致质的差异，及多样的规范解释。因此，确立侵犯公民个人信息罪的先决条件在于精确定义个人信息，进而划定刑法所保护的信息范畴。对此，应当明确两点：其一，从法理来看，刑法仅保护超出社会生活秩序且值得刑罚制裁的法益；其二，从实践来看，对于个人信息是否值得保护，应当判断其泄露后是否有导致信息主体被侵害的可能性。

首先，刑法仅针对超越社会生活秩序范畴且应受刑罚制裁的法益予以保护。对于刑法保护的个人信息范围，应当兼具补充性、宽容性和片段性的特征，即仅在行政法、民法等法律对公民个人信息的保护不足时，刑法才应介入。

其次，对于个人信息是否值得保护，应当判断其泄露后是否有导致信息主体被侵害的可能性。尽管《侵犯个人信息案件解释》第1条将“公民个人信息”定义为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”，其适用“可识别性”为依据,遵从了《网络安全法》中关于个人信息的界定标准，然而并不能据此认为，所有具备可识别特征的信息，均属刑法保护范畴，亦不可认为，各部门法应当使用“可识别性”作为统一的判别依据。实际上，基于保障法地位的刑法与前置法达成贯通性的需求完全可以通过对敏感信息的协调分类实现，无需在识别说、关联说、场景说中必择其一并将其作为刑民一体化的特征。故，“可识别性”应被视为必要非充分条件，即不符合者不应受刑法保护，而符合者亦未必纳入。而真正作为充分条件的，则应当为是否属于“可识别的敏感信息”。

达到“可识别的敏感信息”，要求“可识别性”与“敏感性”缺一不可。对于前者，“可识别性”是作为法秩序统一要求下必须树立于刑法保护中的标准，相比于《个人信息保护法》中要求的“识别性＋相关性”，刑法已对保护范围做出相应限缩，与其保障法的地位相吻合。对于后者，其定义明确出现于《个人信息保护法》中，其适用间接出现于《个人信息司法解释》中。2021年的《个人信息保护法》将个人信息分为一般个人信息与敏感个人信息，并在第二十八条将后者限于“自然人的人格尊严受到侵害或者人身、财产安全受到危害”的个人信息，其保护层级与侵犯公民个人信息行为对公民人身、财产的侵害可能性相联系, 这一分类方式无疑回应了刑法对个人信息的保护目的。《个人信息司法解释》虽未直接给出敏感个人信息的定义，但以个人信息对人身、财产安全的影响程度为依据进行了梯度处理，可视为敏感信息与一般信息的再分类。具言之，该分级将未经同意获取、处分个人信息的行为，根据其是否直接侵犯人格权或间接影响人身财产安全进行分类，应当视为实质与前置法规定相匹配的情形。

更进一步，是否应当界定为刑法保护的敏感个人信息，仍应视其是否具有工具价值。此处工具价值的满足，要求在前述《个人信息保护法》对敏感信息的规定中进行再次加码，即不仅要求信息一旦被泄漏或者非法使用会使“自然人的人格尊严将受到侵害或者人身、财产安全受到危害”，更要求“具有引起与之关联的重大人身权、财产权以及其他基本权利遭受侵害高度危险的可能。”仅具有工具性价值的个人信息，才有可能成为被行为人利用的对象，从而造成信息利用行为的产生，并达到存在侵害权利人关联性法益可能性的效果。通过工具性价值的检验，有利于再次释明本罪的设立目的、合理化“个人信息自决权”作为本罪法益的必要性，并达到量刑幅度与本罪类型化行为的法益侵害性相匹配的效果。

2   混合法益说下个人信息自决权法益的证立

赞同混合法益观的学者提出，侵犯公民个人信息罪所保护的法益既非纯粹的个人法益或超个人法益，而是一种二者兼容的复合型法益。笔者对此持支持态度。然而，对于究竟如何定义混合法益中个人与集体法益的具体内涵，持混合法益说的学者之间仍存在多种见解^④。笔者认为，本罪中，法益存在位阶关系，个人法益应当作为一阶法益，其内核为个人信息自决权；集体法益应当作为二阶法益，其内核为公民信息安全。位阶固定的排列顺序表明，仅在行为侵害了最高位阶法益之后，方才对次位阶法益是否受侵害进行评估^[15]。在证立个人信息自决权的法益地位时，需阐明两点：其一，应当确立个人信息自决权作为一阶法益的必要性；其二，应当就部分对此法益持质疑态度的学者观点予以矫正。在证立公民信息安全的法益地位时，需阐明三点：其一，应当就公民信息安全进行概念释明；其二，应当就公民信息安全作为集体法益的合理性予以阐释；其三，应当就其作为二阶法益的必要性予以确立。

首先，个人信息自决权具有在法益考量顺序中位居首位的必要性。所谓个人信息自决权，即为了防止个人人格权和财产权等权利受到不法侵犯而赋予个人自主决定个人信息授权处理范围的权利^[16]。作为本罪中最为基础、根本性的法益，其设立是为了人格尊严的维护，即维护人的主体地位和人格发展的自由。当个人对自身信息的掌控程度、使用者和利用目的未知时，个体将丧失参与社会的主导权，沦为他人操控的信息工具。

其次，有学者认为，将个人自决权作为本罪法益不具有合理性，原因在于：在信息化网络中，个人信息的搜集、使用和披露难以被权利主体掌握，导致即便信息权遭受侵害，也难以察觉和维护。然而，这一分析实际混淆了刑法与民法中的知情同意逻辑，因此不能成为否认其作为刑法法益的论据。不论是对于前置法或保障法，个人信息自决权的核心价值都在于信息主体具有按自由意志处理“应受该部门法保护的信息”的权利。“应受该部门法保护的信息”是使得个人信息自决权统一于法秩序下、不同于部门法间的重中之重，亦是不可忽视的先决条件。前置法与刑法中体现出的个人信息自决权的差异，并非来源于对其核心定义的歧义，而是来源于对不同部门法所保护的个人信息范围的区别。在前置法范畴内，个人信息保护折射出权利主体与义务主体间的对等博弈与自由均衡，其保护范畴之广泛使得个人信息处理得以被多维度规定，确保了规制的全面性与有效性。正是鉴于上述考量，《个人信息保护法》得以极力凸显“个人信息自决”原则中“积极控制”的属性，并在强调“个人公开意愿”的重要性下，明确赋予信息主体知情、决定、保密、查阅、复制等权利，将信息主体的知情同意确立为衡量信息处理行为正当与否的决定性标准。上述规定均在前置法思维框架下衍生，其核心在于回应前置法特性，并制定对潜在危害性较低信息类型的规制策略，相应的，与这一框架内权利主体相对的义务主体仅对此类信息形成“盖然性”的控制，而不产生“实然性”的控制，其行为模式及实施范围皆受限于个人信息自决权在前置法边界内的辐射结果。

与此相反，刑法呈现出与前置性法规截然不同的保护重心。相比于前置性法规为了更周全地保护个人信息自决权而增加行为模式，刑法则更关心个人信息自决权的核心价值。故后者虽然也通过知情同意的方式对信息主体加以保护，却展现出与前置法保护完全不同的保护模式和保护机理，主要体现在以下方面：其一，由于刑法仅保护“可识别的、具有工具价值的敏感个人信息”，故信息主体得以在刑法视域下行使同意权的范畴已较前置法进行了大幅度限缩，从范围层面上避免了“个人自决面过广导致个人法益过度扩张”的情形出现。其二，虽然作为个人信息自决权内核之一的“同意权”存在流于形式之嫌，但并不能以此作为否定个人自决权作为本罪法益的理由。一方面，知情同意的“同意”，在刑法中表现为明示同意与推定同意的结合。具言之，个人信息自决权既体现为对个人信息处理的明确、自愿授权，也涵盖了基于信任推定他人将在可接受范围内处理信息的情形。在此情形下的“同意”本质是一种限制性的自由，但其限制程度与形式源自社会运行与信息流通中信息主体与处理者间长期形成的信赖利益。因此，这种受限的自由是可接受的，其体现了信息主体基于自身风险识别能力对个人信息进行的“预先处置”，本身并没有违反个人信息自决权的设立目的和保护逻辑。另一方面，认识错误情形下的同意并非合法出罪是由，在此情况下，信息主体并未对个人信息自决权做实际处分。具言之，部分学者指出：“信息处理者常以抽象语言和捆绑条款制定隐私政策，以规避风险，导致个人在时间和知识有限的情况下，告知同意机制变得成本高昂且效率低下，将个人信息保护的首要责任不合理地加诸信息主体”^[17]。然而，认为这种情况对信息主体提出了过高且不合理的要求与期待，实际上是隐含了认定此类情况可以归于“被害人同意”而出罪的观念，与个人信息自决权中“自决”的要求相悖，犯了前后矛盾的逻辑错误，明显缺乏说服力度。

3   混合法益说下公民信息安全法益的证立

首先，对于何为公民信息安全，有必要进行先行概念释明。所谓公民信息安全，指的是公民的信息不受非法侵害的状态。其目的在于配合“情节严重”这一规定，辅助评判是否达到构成犯罪的实质标准，以及平衡本罪与关联罪名的量刑差异。

其次，公民信息安全具有作为集体法益的合理性，体现在三大方面：公民信息安全是所有人都能平等地、没有冲突地享受的利益；公民信息安全具有不可拆分性；侵犯公民信息安全法益属于抽象危险犯中的累积犯类型。针对第一点，所有公民的个人信息得到同等的法律保护，且不同于信息在流通与共享间的竞争关系，个人信息的安全和隐私权是一种非竞争性的权利，即一个人的权利实现并不减少或影响其他人享有相同权利的可能性。针对第二点，公民信息安全虽然是一种预防性法益，即对于公民信息安全的侵害体现为信息存在滥用可能后将危及人身及财产安全，但其本身并非人身法益和财产法益的直接结合。财产犯罪导致的损害因人而异，呈现出可分配性的特征，与之相对，公民信息安全法益虽具有财产属性，却不以物质形态存在，仅能被普遍享有，不可被直接占有或处置，无论从法律上或是事实上，皆不能将其分配给社会特定成员。针对第三点，公民信息安全属于累积犯类型下的法益保护模式。所谓累积犯，是指“单独来看并不直接侵害受法律保护的利益，但当多个相同模式的行为叠加时，便能引发实害后果。^[18]” 累积犯的概念并非基于行为数量的简单累加来构成抽象危险，而是通过多个抽象危险的累加，最终对法益造成实质损害或具体危险。具体到侵犯公民个人信息罪中，“公民的信息不受非法侵害的状态”在本罪中体现为“不存在对公民财产安全和人身安全达到严重危害的可能”，是一种抽象危险，然而，若此类风险持续累积，则最后会导致涉及人身与财产犯罪的危险或实害，满足累积犯的构成要件，应当以累积犯加以规制。

再者，公民信息安全具有作为二阶法益的必要性。一方面，作为本罪集体法益的“公民信息安全”并非完全依托个体法益而存在，相反，其存在价值在于有效保障个体法益的保护成效^[19]；另一方面，本罪既需要保护公民对个人信息的控制权益，亦需要保护其所涉下游犯罪中可能涉及的关联性法益，同时需兼顾本罪非典型实害犯的特征。故不论从目的理性分析，抑或是工具理性层面，侵犯公民个人信息罪皆呈现出设立集体法益的必要。

具言之，之所以必须将其归入集体法益范畴并纳入本罪评价，在于侵犯“公民信息安全”的行为同时会直接或间接对个人的其他法益造成侵害或具体危险。如前所述，侵犯公民个人信息罪并非纯粹实害犯，而是具有危险犯特征。立法上，《刑法》第253条之一的修订，源于公民个人信息犯罪的高发态势，其危害性不仅限于信息安全，还与电信网络诈骗等犯罪紧密相关，甚至助长了绑架、敲诈勒索等犯罪活动，社会影响日益严重^[20]。同时，从司法实践而言，大量的个人信息被泄露，主要是基于电信诈骗或其他商业用途。在强化民事或行政救济等并不具有可行性的情况下，有必要以侵犯公民个人信息罪加以规制。故而，刑法语境下保护公民个人信息安全的宗旨在于预防信息泄露引发的人身和财产犯罪，与所涉人身、财产法益等关联性法益密不可分。加之对下游犯罪的法益侵害性不应超过上游犯罪的考量^[21]，将保护公民免受个人信息泄露所引发的间接损害及威胁纳入集体法益范畴，有助于实现不同罪名之间的法益连贯性。可见，在本罪构造中，集体法益充当了纽带作用，既衔接了作为个人信息自决权的一阶法益，又维系了下游犯罪的附属法益，亦无形中对个体法益的内涵进行了补充阐释。

进一步而言，当集体法益实为背后层法益，即对集体法益的侵犯表现为对显在法益的实害或者具体危险时，刑法应予保护。以本罪构成要件中的“非法获取”为例，即便信息发布者通过互联网公开信息而未引发实际接收，其行为已令信息暴露于潜在的被利用风险之中，具有法益侵害性，即应当被认定为“提供”。此种情形下，对于人身法益及财产法益的侵害体现在信息存在滥用可能而显现出的“后续危险”，而非个人信息非法获取行为产生的“直接危险”。因此对于“公民信息安全”而言，行为是抽象危险，对于“个人自信自决权”而言，行为是具体危险。在个人信息的刑法保护体系中，为了避免割裂个人信息自主法益的完整内涵，应将滥用个人信息的行为纳入侵犯公民个人信息罪范畴，而不宜单独设立罪名^[22]。鉴于此，集体法益与个人法益在本罪中处于必要互补的地位，只有二者共存，才能达到全面评价的效果。

（二）  驳斥反对混合法益说之观点与探讨适用混合法益说之本质

对于混合法益说的适用，关键在于明确多种值得保护的法益应当以何种标准、何种内涵进行评价。对于本罪是否应当采取混合性法益的保护模式，学术界的观点呈现出显著的分歧。有学者否定其存在合理性，认为个体法益与集体法益的并存是对后者进行变相扩张的行为^[23]；有学者肯定其适用依据，认为应当严格按照圈层划分，以个人信息自决权为圈层中心，以秩序型法益为圈层外围。笔者认为，“公民信息安全”法益有别于秩序型法益，个人法益与集体法益实际并不存在抵牾的可能性，相反，二者在本罪中体现出保护目的同源、保护价值伴生的特点。

1   侵害的认定：具体分析而非抽象衡量

对混合法益观持驳斥态度的学者认为，支持个体法益与集体法益并存实则是对后者进行变相扩张，应当谨防集体法益抽象精神化的特点对法律客体明确性造成侵蚀，避免罪与非罪混淆致使实定法批判功能削弱的情形发生^[24]。以上分析在法理上确有依据，然针对本罪适用却不具备反驳合理性。

首先，与秩序型法益不同，“公民信息安全”法益保护的是“公民的信息不受非法侵害的状态”，受保护的应当是危害结果的直接或间接担受者，既非“可能由于本罪受到危害的不特定多数人的生命、身体和财产权利”，亦非为平衡信息共享目的下的“信息流通秩序”。“公民信息安全”应被视为紧密附着于“个人信息自决权”的二阶法益，之所以确立其集体法益的地位，是因为其具备受独立保护之必要性，及与一阶法益受同等保护之可能性。而对于集体法益所谓“过于抽象”的质疑，实际是针对难以界定是否受到侵害的新型秩序的批判，其本质在于对信息传递不充分导致法益内涵不明确的担忧，与本罪中集体法益的内涵有显著区别，后者的保护客体及保护内容皆不具有无限制扩张的可能性，不应被视为混合法益说的阻却动机。

其次，抽象危险犯并不代表法益抽象化。本罪中，抽象危险犯的设立是保护“公民信息安全”的有效方式和必然需求，“公民信息安全”作为集体法益存在并不会导致刑法不当扩张。在侵犯公民个人信息罪中，若危险行为引发严重损害，则该行为的执行方式使得行为与结果之间的因果关系不可中断，打击该行为成为阻止损害发生的唯一且有效手段。一旦个人信息被非法收集、使用或泄露使得权利人的信息权益及其背后所关联的人身、财产安全存在被侵害的可能，则表明行为人已然获得或增加了对该信息利用的能力，他人无法知晓其是否会对相关个人信息加以利用，亦无法阻止后续的关联行为发生，故在此情况下必须进行前置性打击。本罪中，抽象的不是法益本身，而是“作为打击对象的不法侵害”。同时，即便刑法确实存在扩张的情况，此扩张亦非不当扩张，引起刑法扩张的不是作为集体法益的“公民信息安全”，而是社会发展的现实需要，集体法益仅仅是描述刑法扩张的教义学工具，不宜以此作为反驳集体法益在本罪中适用的因由。

2   自由的限度：互相增益而非此消彼长

有学者认为，个人法益与集体法益下的自由属于此消彼长的状态，对后者的保护必然会导致前者的减损，实则不然。“公民信息安全”为非秩序型集体法益，不属于此矛盾关系中的评价对象。且“个人信息自决”实际隐含了公民对让渡部分自由的默认，本身具有间接促进信息共享的机能，即便将信息流通秩序纳入考量，个人与集体法益间亦属于互相增益而非此消彼长之关系。

首先，对于所谓的“个人法益与集体法益此消彼长的矛盾”而言，其所提及的对抗关系在于个体自由与秩序自由的对立，具体到本罪，即“个人信息控制权益”与“信息流通秩序”间的对立。然而前述已知，“信息流通秩序”并非本罪法益，将该视角下分属于秩序型集体法益的“信息共享”与非秩序型集体法益“公民信息安全”相混淆的行为，难以对混合法益与本罪法益的契合度给予合理评估。

其次，若从“个人信息自决权”与“公民信息安全”的视角审视个人与集体法益，则可进一步明确二者在自由范畴内并非处于零和竞争的情形。如若认为二者之间存在此消彼长的自由限度，其实是对自由的一种过时且过于绝对的理解。社会国的活动宗旨不在于仅仅禁止实际侵害，而在于通过制度设计预防侵害的可能性，或直接为公民营造美好生活所需的环境。这些制度或条件表现出超个人法益的特征，必须以抽象性的集体法益形式呈现。但对制度和条件的维护与创设并不意味着国家忽视了个人权利和自由的保护，而是将关怀扩展至个人生活的多个层面，使得“自由”的概念涵盖了经济、社会、文化等领域的限制与机遇。回归本罪而言，个人信息自决权作为一阶法益，保护的是个人的自由发展，而公民信息安全作为二阶法益，保护的则是个人自由发展的社会条件。一方面，“公民信息安全”法益要求构成本罪需存在侵害下游犯罪中关联法益的可能性，一定程度上限制了公民能够自决的个人信息范围；一方面，其促使公民在知道个人信息将被妥善处理的情况下，更乐意以默许、推定的方式，将个人信息的处分权和运营权交付给国家，从而扩增用于合法流通和使用的信息范围。换言之，虽不能直接促进信息流通和共享，此模式却能通过建立一套规则和信任机制，减少公民对信息共享的顾虑，从而为信息的自由流通创造条件。不仅拓展了公民信息处理自由的内心界限，也扩大了个人信息的社会共享范畴，具有双赢的效果。

3   混合的本质：集体法益的价值还原

前述已知，侵犯公民个人信息罪实为个人法益与集体法益之结合。其中，个人法益是作为一阶法益的个人信息自决权，集体法益是作为二阶法益的公民信息安全，集体法益依附于个人法益，但具有相当的独立性。二者能够共同作为本罪法益的本质原因在于两点：其一，二者在保护目的上具有同一性；其二，二者在保护价值上具有还原性。

首先，就保护目的同一性而言，对于个人信息自决权与公民信息安全，二者在保护人的“个人自主控制权益”这一终极意义上得到了统一。集体法益的价值支撑和预设是对人的利益的保护，公民个人信息保护应首先考虑个人法益，而后判断其表现出的集体法益属性。尽管存在位阶之别，但这种区分并并不意味着某一法益具有绝对优越性。所谓的“位阶”仅反映了一个事实：行为人的出售、提供或获取行为直接侵犯的是个人信息控制权益，而其侵害结果则通过损害公民信息安全来显现，属于依附关系的一种。实际上，集体法益与个人法益处于价值并列地位，二者源于同一保护宗旨。维护集体法益的根本目标在于保障个人自由与利益，因此二者在该方面呈现出同质性的特征^[25]。

其次，就保护价值的还原性而言，“个人信息自决权”与“公民信息安全”具有相同的价值取向。二者之关键均在于确保个人对信息处理环境的公正性与安全性的信赖，以及有效防范他人对人格的侵犯，从而保障个人自由参与社会生活并实现人格发展^[26]。后者作为集体法益所体现出的存在意义并不在于能够还原为哪一个具体法益或者利益，而在于能够在本罪中成为保护前者的普遍手段。此处的普遍手段性，正是“公民信息安全”法益不可分配性、非排他性、非对抗性特征的集中体现。更进一步，这种价值层面的还原体现于二者在“目的——手段”上的牵连性，也即在双方具有相同保护目的的同时，集体法益又被包裹上一层“保护手段”的外衣。假设仅将本罪的法益限制为个人信息自决权，则难以解释为何“侵犯公民个人信息罪最高法定刑为七年，远高于具备更明确权利基础的侮辱罪、诽谤罪、侵犯通信自由罪等罪名”，即无法解释为何要赋予自主控制利益如此高的保护强度，体现出保护法益与不法程度错配的特点。然而，如若将“公民信息安全”纳入考量，则得以明晰：处罚这一法益侵害是个人信息犯罪范畴下防止最终关联法益出现实害结果的唯一有效方式。因此，必须以此为“手段”，才能达成保护个人信息自主控制权益的目的。作为手段，其既充当了纽带作用，在衔接一阶法益的同时维系了下游犯罪的附属法益，又为限缩刑法保护的“个人信息”的范围提供了保障，在主二阶法益间形成了互补与制衡的关系。在拓展集体法益类型的同时，其出现展现出个体与集体法益并非天然对立的特点，为新兴犯罪下混合法益的适用提供了新的解释途径。

四、  价值与进路：基于犯罪构成要件的双重检视

法益保护原则始终是刑事立法的核心宗旨^[27]。立法者围绕法益概念，依据利益侵害类别及其严重性，筛选并确立相应的构成要件，塑造出具体的犯罪构成模型。法益具有解释机能，对构成要件的解释必须以保护法益为指导，二者的适配程度将直接影响犯罪圈划定的合理与否。故而，在检验本罪法益设立是否具有合理性时，应当以前述所释法益之界定为导向，对本罪构成要件作出相应解释，进而审视其是否契合罪刑规范的合理性，并最终通过构成要件的检验对法益本身进行评估。

（一）  基于行为构成要件要素的第一重检视

法益内容的明确性与特定性，是对侵犯公民个人信息罪构成要件解读与应用的约束作用之体现^[28]。针对行为构成要件要素，有学者认为，应当以“利用能力新增”代替“主体间移转”重新解释侵犯公民个人信息罪的构成要件^[29]，笔者与其持相同立场。此观点不仅是基于本文混合法益视角的自然推论，亦是证立应当对本罪采取混合法益说的重要依据。所谓“利用能力新增”，是指在对侵犯公民个人信息罪构成要件的解读上，侧重于考察接收方对个人信息利用能力的提升，而非基于“主体间移转”。依照该准则，应对该罪名中的“提供”与“获取”概念在教义学上进行重新阐释。“提供”意味着供给方提升了接收方对特定公民个人信息的利用潜能。“获取”指的是接收方增加对某些公民个人信息的利用能力。

首先，根据混合法益视角，该观点的合理性和替代传统观点的必要性可以被自然证成。

由于混合法益同时包含“个人信息自决权”法益与“公民信息安全”法益，故根据混合法益，只有在侵犯公民个人自主控制权益的同时，使得公民人身、财产具有受到重大危险的可能时方可定罪。而不论是对个人或集体法益的侵害，都必须要求行为人对个人信息的掌控达到了实际控制的程度。显然，如果将“实际控制个人信息”定义为“物理意义上的掌控”，将“获取、提供”等行为定义为“信息内容的移转”或“信息在不同主体间的简单流动”，则与刑法最后法的地位严重不符。以企业并购中的数据移交为例，假设一家公司在其并购过程中，将其客户数据库作为交易的一部分移交给收购方。这一行为涉及个人信息在两个法人主体间的转移。按照现有解释，这种移交可能被视为“提供”个人信息的行为。然而，如果收购方承诺并实际执行了与原公司相同的数据保护措施，且个人信息的使用范围和目的没有发生改变，那么这种转移并未增加信息被滥用的风险。在这种情况下，个人信息虽然发生了主体间的转移，但不会让“获取信息”的主体对该个人信息有实际控制能力，故并未导致信息主体自决权的侵犯，同时，由于其根本没有实际控制信息，自然无法对这些信息进行处理进而产生可能对关联性法益造成侵害的威胁，难以对公民信息安全造成侵害。因此，对于混合法益而言，只有信息利用行为才可能让行为人能够对信息进行进一步加工处理，继而才可能真正侵害到权利人的信息权益及其背后所关联的人身、财产安全，达到侵害公民信息安全法益的效果。故以混合法益为视角之时，必须以“利用能力新增”作为构成要件要素。

其次，以“利用能力新增”为构成要件要素，则要求本罪必须采取个人法益与集体法益共同保护的方式。如若信息接收方具备利用所获信息的能力，且刑法所禁止的行为应确实构成对法益的严重侵害，则单独的个人或集体法益评价无法充分涵盖其危害性。一方面，个人法益的侵害未达到与利用能力新增所带来的后果相当的严重程度，无法体现法益对构成要件解释的指导机能；另一方面，在行为人对可识别的敏感信息达到实际控制程度后，其将在何时、何地、以何种方式、在何种范围内处理此类个人信息因具有显著的不确定性而难以预测，这一情况必然会对信息处理环境的公正性与安全性造成冲击。此时，信息主体从客观上已经无法有效抵御他人可能的人格侵犯，故此时应当默认信息主体不会对此类个人信息同意公开，（前文已对个人信息自决权既体现为对个人信息处理的明确、自愿授权，也涵盖了基于信任推定他人将在可接受范围内处理信息的情形加以阐述，此处不再赘述），既如此，利用能力新增一定会导致刑法语境下的个人信息自决权受到侵害，故将“个人信息自决权”与“公民信息安全”同时作为本罪保护法益亦是必然之理。

（二）  基于附着型构成要件要素的第二重检视

本罪中的 “违反国家相关规定”，作为针对行为不法而提出的刑事可罚性要求，虽然无法成为独立的构成要件要素，却紧密附着于行为要素与结果要素等构成要件要素之上，可以视为整体性的、规范性的构成要件要素^[30]，与其他构成要件要素一起界定基本犯罪构成的不法类型及其辐射范围。具言之，如若需要判断本文法益设置的合理性，则应当证明本罪法益的设立有助于证立“违反国家有关规定”具有作为本罪构成要件要素之一的必要。细分而言，须证实法益设定能够证明该要素具备双重功能：第一，应确保将前置法律中有效的风险与责任分配方案纳入刑事不法判断，而非仅为提供违法性的表面指示；第二，能够对侵犯公民个人信息罪实质出罪空间的界定起提示作用。

针对第一点，本罪以“个人信息自决权”为一阶法益，“公民信息安全”为二阶法益的配置，有助于指明“违反国家相关规定”作为构成要件要素之一的必要。^⑤此处的必要性体现为：刑法对侵犯公民信息罪的规定有必要参照其他部门法进行判断，且此需求得以通过法益内涵的确立显现。一方面，虽然本文提倡以信息是否同时具备可识别性与敏感性作为本罪公民个人信息的衡量标准，但刑法尚未明确“公民个人信息”的具体含义及其边界。在缺乏这一关键概念廓清的情况下，难以对行为是否符合构成要件做出准确判断^[31] 。故而在罪质认定时，不得不参照《个人信息保护法》《民法典》《网络安全法》中的有关规定，避免后续法益解读无据可依的情况出现。另一方面，《侵犯个人信息解释》第2条将违反法律、行政法规、部门规章的行为定性为“违反国家有关规定”，据此，《个人信息保护法》中的知情同意原则理应成为判断犯罪构成要件符合性的关键。在《个人信息保护法》中，知情同意原则允许权利人同意作为免除义务人责任的依据，然在刑法中，仅仅权利人“无瑕疵”地同意已不能作为出罪是由，这实际上便是以前置法为基础，在同一原则上进行程度加码的行为,自然体现出该罪的成立必须以违反前置法规定为前提的特点。体现在法益之中，即通过排除“信息流通秩序”，纳入“公民信息安全”作为混合法益之一，让衔接各部门法的个人信息自决权能够分别发挥“积极保护权益”和“消极防御侵害”的机能，从而达成个人信息保护体系的统一。这种统一，有助于尽可能缩小由于不得已的“先刑后民”带来的潜在弊端，也正是设置“违反国家有关规定”的意义所在。实际上，在司法裁判中，“违反国家有关规定”常常不被作为认定应否构成侵犯公民个人信息罪的标准，亦常与“违反国家规定”等混淆。^[32]然而，此类虚置和误用的情况本身不能证明不应将“违反国家相关规定”作为构成要件要素，其仅仅是作为由于没有对“违反国家相关规定”进行合理解释与证成而产生的消极结果。

针对第二点，“违反国家相关规定”能够对侵犯公民个人信息罪实质出罪空间的界定起提示作用。其本身不与前述“构成要件要素机能”相冲突，而是呈现出与之互补的效果。前述已知，本罪刑法先行的特点使得公民个人信息的具体范围必须通过前置法加以解释与限缩，同样，不符合刑法规制范畴下的公民个人信息也依赖于前置法加以明确。此种明确性是区分“收集、存储、使用、加工、传输、提供、公开、删除”等行为与“获取、出售、窃取、提供”行为的关键。以此为基础，方能在难以从文义解释进行界分的情况下，为规范保护目的提供解释空间，为合法是由的证立提供依据，继而彰显出其出罪价值。有学者同样赞成“违反国家有关规定”作为出罪是由的价值，然认为其体现在“个人信息的公开是信息权利人自由选择、自己决定的结果，获取公开的个人信息并未侵害信息自决权”^[33]。实际上，本文认为，由于本罪实际保护混合法益，加之如若侵害公民信息安全，则必然会侵害刑法语境下的个人信息自决权，故必须达到未侵害公民信息安全法益或侵害程度较轻的情况下才能进行出罪。在这一理论下，违法阻却事由并非“未侵害个人信息自决权”，而是“公开个人信息并不属于敏感个人信息，因此本身即不必由刑法规制”。而这也恰如其分地呼应了“违反国家相关规定”的存在是为了区分不同部门法下公民个人信息范围的观点。

五、  结语

侵犯公民个人信息罪的法益保护，在数字时代背景下呈现出复杂性与动态性，既蕴含着新的挑战，也孕育着机遇。作为公认的“超前立法”，本罪在民法总则立法之前，缺乏具体人格权益的直接对应，刑法需自创法益以应对信息时代的新问题。因此，合理界定法益内涵，对于打破“刑法先行”的弊端，释明刑法与前置法间的衔接原理，以及构建完善的个人信息保护体系，都具有至关重要的意义。一方面，法益的阐释需明确刑法语境下公民个人信息的范围，并通过审视个人信息保护体系的历史脉络与发展情况，为其确定提供坚实基础。另一方面，在避免法益内容“去实质化”的同时，应肯定集体法益的适用价值，并以“个人信息自决权”与“公民信息安全”的双重保护模式，超越传统个人与集体法益冲突的二元对立，阐明混合法益的生存空间与重要地位。最后，应当贯彻法益的指导机能，通过运用“违反国家有关规定”的复合型机能以及“利用能力新增”的教义学解释，验证法益设定的合理性，为个人信息保护体系的完善提供更为完善、合理的解释进路。

注释

① 《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》将个人信息界定为：“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。”

② 《民法典》将个人信息界定为：“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息。”

③ 《个人信息保护法》将个人信息规定为：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息, 不包括匿名化处理后的信息。”

④ 持混合法益说观点的学者之间存在多种见解，部分学者支持以个人信息权为个人法益、社会交往的正常运转为集体法益。部分学者支持以个人信息自决权为个人法益、公共信息安全为集体法益。应当注意的是，公民信息安全不同于公共信息安全，支持公共信息安全法益的学者认为，经信息主体同意后售卖的行为应当仅以侵犯公共信息安全法益规制，而根据公民信息安全说，该行为应当同时以侵犯个人自决权法益与公民信息安全法益规制。

⑤ 本文主张将“违反国家有关规定”纳入构成要件要素，与传统“构成要件要素说”有所区别。传统观点认为，将其视为构成要件要素的原因在于法律应当允许合法的个人信息交易和流动，然而，前文已阐明信息秩序法益不应作为本罪法益之一，故本文倡导不应当将其视为成立附着型构成要件要素的原因。