侵犯个人信息犯罪立法的理性分析——兼论对该罪立法的反思与展望
关键词: 个人信息；立法；犯罪化
内容提要: 犯罪圈的设定必须从犯罪的内在规定性和刑罚的特性两个层面予以考量：犯罪的内在规定性决定了犯罪化的实质标准是行为侵犯全体公民的基本人权；刑罚的特性决定了其适用范围必须综合考虑刑罚的“残缺不全”特征及其适用的可行性要求。根据个人信息的法律属性，侵犯公民个人信息就侵犯了公民的基本人权。由于其他制裁措施调控的失效，刑罚“迫不得已”地介入对公民个人信息的调整。从理性的深度进行反思，侵犯个人信息犯罪的立法具有合理性的一面，但在犯罪构成要件的规定上也有亟需澄清和完善之处。
高级职称论文发表
自《刑法修正案（七）》将侵犯个人信息行为入罪以来，有关争论就随之而起，不仅理论界对该罪立法的合理性提出了众多质疑，而且司法实务界对于该罪立法的理解与适用也产生了诸多分歧。本文将以对犯罪化的分析为进路，试图对我国侵犯个人信息犯罪的立法作出理性分析，以及时厘清该罪规定的立法意图与内涵，为准确适用法律及弥补立法上的不足提供新的视角。
一、犯罪化的根据和范围
何种行为应当入罪？中外诸多学者对此提出了自己的解答。如美国著名刑法学家帕克认为，犯罪化应当符合以下6项基本要求：社会大部分人认为行为具有明显的社会危害且不可容忍；科处该行为符合刑罚目的；遏制该行为不会牵制并压制社会欢迎的行为；能够对该行为进行公正的、无差别的处理；通过刑事程序予以取缔该行为不会额外加重诉讼负担；没有刑罚以外的其他适当方法可以替代{1}。我国学者陈兴良教授指出：“我们在确定某一危害行为是否应当规定为犯罪并予以刑罚处罚时，一方面应当确认该行为具有相当程度的社会危害性；另一方面又应当确认，作为该行为的法律反应，刑罚具有无可避免性。”{2}尽管学者们对入罪标准的表述不尽相同，但其核心思想基本一致，即犯罪圈标准的设定必须从犯罪的内在规定性和刑罚的特性两个层面考量。
高级职称论文发表
犯罪的内在规定性亦即犯罪的本质，是决定行为是否入罪的基本根据。关于犯罪的本质，不论是在历史上还是在当今，一直存在着长期而又热烈的讨论，主要有权利侵害说、法益侵害说、规范违反说、义务违反说等。上述各种学说虽然都有相对合理性的一面，但是因为过于抽象而有利弊兼备之嫌，很难准确表达犯罪的本质{3}。相比较而言，“权利侵害说”更加深入地接触到事物的本质层面，得到了更多的认同，但笔者仍认为有将其进一步具体化之必要。毫无疑问，犯罪是侵害根据法所赋予的权利的行为，犯罪的本质是对权利的侵害。然而侵犯权利的行为并不一定都应“入罪”，否则那些除刑法之外的其他诸法均无存在之理由和必要。“刑法的首要任务是保护现实社会中重要的并且是最基本的价值与法益（保护法益）。”{4}所以，能够进入刑法评价视阈的必须是那些对保护价值重大而又属于基本的权利予以侵犯的行为。那么，什么样的侵权行为才属于这一行列呢？既然犯罪是对社会成员的生命、人身、财产等最基本权利的侵犯，那么只有公民的基本人权所表现出来的利益才是需要刑法所保护的法益，只有侵犯这种利益的行为才可能称得上“具有严重的社会危害性”。[1]根据这一见解，行为入罪（又称犯罪化）的实质标准就是考察行为是否侵犯了全体公民的基本人权。
犯罪本质的界定只是解决了犯罪化的正当性问题，而行为入罪的范围仍需进一步厘清。如果说“犯罪是危害社会的、依照刑法应当受到刑罚处罚的行为”这一论断正确的话，那么“只有需要运用刑罚才能加以处罚的危害行为才需要认定为犯罪”也是符合逻辑地当然推理。因而，在确定犯罪化的范围时，行为的应受刑罚惩罚性无疑是一个核心指标。那么，什么样的行为才应该受到刑罚惩罚呢？众所周知，在所有的法律制裁措施中，刑罚当属最为严厉的一种。作为抗制犯罪的主要法律手段，刑罚兼具积极与消极的两重性。正如德国著名刑法学家耶林所言：“刑罚如两刃之剑，用之不得其当，则国家与个人两受其害。”{5}正是出于对刑罚特性的忌惮，一直以来人们就对其适用设置了非常严格的限制标准。如德国学者耶赛克曾指出，刑事政策要求立法者为了避免不必要地将某些行为列为犯罪，同时为了在一般人思想上维护刑罚的严肃性，必须将刑法上所必须归罪的行为范围限制在维护公共安全秩序所必需的最低范围之内{6}；功利主义大师边沁则明确指出了限制适用刑罚的案件范围：(1)滥用；(2）无效；(3）过分；(4）太昂贵{7}。那么，适用刑罚的标准到底应该是什么呢？根据笔者的理解，刑罚的适用范围必须综合考虑两个方面：首先，刑罚相对于其他法律规范体系中的制裁措施居于较高层级和位阶，基于一个危害行为所侵害的内容、侵害对象所体现的社会关系及其保护价值的不同，将会由不同严厉程度的制裁手段所调整，刑罚不可能全面介入，这就是所谓的刑罚“残缺不全”特征{8}。刑罚的“残缺不全”特征决定了刑罚是社会制裁体系中的最后一道防线，只有在道德制裁、纪律制裁、民事制裁、行政制裁等调控失效的情况下才可以考虑动用刑罚。其次，刑罚的适用必须是经济的、可操作的和有效果的。经济性意指刑罚资源的投入规模决定着国家设定犯罪的规模和种类，这是刑罚对犯罪界定的反作用体现；刑罚的可操作性意味着在实践中有适用刑罚的社会条件，不会造成有限刑法资源的浪费；刑罚的有效性则要求国家运用刑罚能够实现报应与预防犯罪的预期目的，凡是不利于刑罚目的实现的，应当明确放弃，另觅他法。
高级职称论文发表
二、侵犯个人信息行为入罪的法理分析
个人信息是指一切可以识别本人的信息总和，这些信息包括了一个人的生理、心理、智力、个体、社会、经济、文化、家庭等方面{9}。关于个人信息的法律属性，在理论上尚存争议，其中较为典型的主张有所有权说、隐私权说以及人格权说。上述各种见解都有一定的合理性成分，但又均有以偏概全之不足。笔者认为，随着现代信息化社会的深入发展，个人信息不仅体现着个人隐私和人格权利，而且由于“个人信息已经成为现代商业和政府运作的基础动力”{10}，其还越来越明显地表现出经济利益性特征。换言之，个人信息是个人隐私权、人格权乃至财产权的综合载体。由于公民的隐私权、人格权及财产权分别涉及到公民的人身自由、人格尊严、生活安宁以及财产的安全，因而无论从宪法还是从部门法的角度分析，公民的个人信息都承载着公民的基本人权，甚至在一些情况下，当个人信息成为维护公共利益所必须的时候，它还表现出公共秩序利益的属性。[2]因此，侵犯公民个人信息就会侵犯公民的基本人权，个人信息理应成为刑法调整和重点保护的对象，刑法将这类侵犯行为予以犯罪化乃实至名归。
然而，刑法对社会关系的调整并不是最安全的，因为很多现代国家的法律制度中都存在立法者滥用立法权的现象。为了能理性地防止在刑法方面滥用立法权，必须对实际上是否有必要规定刑事制裁进行评估，或者只有在不用刑事制裁就不足以有效地处罚和预防某种行为时，才允许对该行为规定刑事制裁{11}。这个“刑法辅助性原则”实际上为刑法介入对个人信息的调整划定了边界：作为“后置法”（“保障法”）的刑法，只有在健全而适当的“前置法”（除刑法外调整个人信息的其他部门法）无法有效地调整某一行为时，出于保障公民基本人权的目的才能介入。那么，现实中“前置法”调整的效果如何呢？现阶段我国对于个人信息的保护主要采取两种措施：一是通过法律的形式进行保护，其又可以分为法律的直接保护和间接保护两种模式；二是通过具有道德性的行业自律进行保护。在第一种保护措施中，当前主要采取民事制裁和行政制裁手段，当然还有部分刑事制裁手段的运用；在第二种保护措施中，主要采取道德约束和纪律制裁两种措施。初看起来，好似在我国已经形成了较为完整的调控体系：道德制裁—纪律制裁—民事制裁—行政制裁—刑事制裁。然而通过仔细调查和分析，就能够看出上述保护措施均存在严重先天不足：道德和纪律制裁措施的规制作用十分有限，特别是在现代社会中个人信息的商业价值日渐提升之际，其对侵犯个人信息行为规制和调整机能的发挥就尤显尴尬。民事制裁措施偏重于对体现个人隐私的个人信息之保护，对于并不体现公民人格权的一些个人信息不能涵盖其中，[3]同时对于那些超出民事侵权行为调整范围的行为也无能为力。[4]行政制裁措施虽然在刚性和严厉性上比民事制裁有所提高，但是受法律属性和实施目的的限制（主要在行政关系领域），其调整范围也大受制约，表现在义务主体和个人信息的范围上有其特定性。同时，法律所规定的行政制裁措施并不明确，在处罚强度上也不够刚强，对严重的侵权行为也有“鞭长莫及”之感。总之，无论道德制裁、纪律制裁，还是民事制裁和行政制裁，都不能有效地、经济地对侵犯个人信息的行为进行调控。因此，作为“最后保障法”的刑法制裁方式介入个人信息保护领域就成为“迫不得已”。
高级职称论文发表
在刑罚的适用成为必要的情况下，当前惟一需要思考的问题就是对侵犯个人信息的行为适用刑罚的可能性有多大？国家动用刑罚的可能性取决于两个要素：第一，国家能够投入到刑罚适用过程中所需要的资源；第二，刑罚措施在实践中的可操作性{12}。在所有的法律制裁措施中，刑罚的适用需要国家投入的资源最大，因此就需要思考如何将有限的资源用到“最需要”的地方，这既是刑罚经济性的要求，也是对刑罚范围的有力限制方式之一。刑罚的经济性要求立法者和司法者在配置和适用刑罚时，应当将其范围限制在维护公民最基本人权和社会基本秩序所必需的范围内—只有当那些行为侵犯了公民的基本人权，从而使国家的基本法律制度承受摧毁性危险时，才可以适用刑罚。刑罚的可操作性要求犯罪圈的设定范围应量力而行，优化刑罚资源配置，将打击重点放在危害最严重、出现最普遍、群众最不能容忍的侵害行为之上，并将那些实践中很少发生或者由于某种原因不能够有效揭露和审判的侵犯行为排除在外，以减少“条文虚置”的情况。具体考察我国当前出现的对个人信息的侵犯行为，其行为方式多种多样，危害性和可追诉性也大相径庭，对这些行为的刑罚适用也应当有所差别：一些危害性不大的侵犯个人信息的行为，适用非刑罚的制裁措施即可；一些侵害行为造成严重的危害后果，则有适用刑罚的必要；一些行为虽然危害严重，但是根据现实条件追诉成本过高，或者适用刑罚的操作难度较大，比如“人肉搜索”等，刑罚可以暂缓介入。
三、我国侵犯个人信息犯罪立法的理性反思
虽然各界对于刑法将侵犯个人信息行为入罪都普遍持赞同和欢迎的态度，但是对侵犯个人信息行为犯罪化的具体规定仍然存在一些争议：第一，认为侵犯个人信息犯罪主体范围的规定不合理，主张扩大侵犯个人信息犯罪主体的范围{13}；第二，认为个人信息的范围不明确，要求统一个人信息的内涵和外延的界定{14}；第三，认为犯罪客观方面的规定有待进一步优化，要求健全“前置法”，并将“人肉搜索”等行为入罪{15}。
虽然上述的各种质疑有其积极、科学的一面，但笔者认为论者欠缺对立法意图和根据的理性反思：
高级职称论文发表
首先，从现实来看，虽然对该罪的犯罪主体进行限制似乎有失公允，然而刑法规定的合理性是勿庸置疑的。不像国家机关等单位的工作人员有诸多“前置法”的保护个人信息具体义务的规定，[5]其他组织和人员对公民个人信息的保护义务往往没有“前置法”的明确规定，其义务主要散见于《宪法》和《民法通则》等法律中的原则性规定。这些规定既不健全，也没有形成体系，因而很难说“前置法”对这些主体侵害行为的调整是无效的。同时，在现实中非特殊主体以外的其他人员侵犯个人信息的行为并不是时常发生，或者虽然数量较多但是欠缺刑罚追诉的可操作性，对其适用刑罚的成本较高，可行性较低。根据犯罪圈设定的“必要且最小”的要求，并结合我国当前的实际情况，除国家机关、金融、电信、交通、教育、医疗等之外的其他单位及其工作人员，还不宜纳入犯罪圈范围。等到时机成熟以后，可以通过刑法立法解释或者司法解释的形式，根据需要适当扩大侵犯个人信息犯罪的主体范围。
其次，“个人信息”范围的界定和立法者立法时的价值取向密切相关，不能主观臆断。如前文所述，在个人信息上附载着人格权、隐私权、财产权甚至公共利益等多重权益，因而立法者在制定个人信息保护的法律时就必须选择是以何种权益的保护为主，亦即对立法价值取向予以预设。[6]众所周知，立法者在立法时的价值取向影响甚至决定着法律条文的解读与适用。在《刑法修正案（七）》将侵犯个人信息行为入罪之时，立法者将该类犯罪的两个罪名放在《刑法》第253条之一进行规制，体现着对个人隐私权保护的价值追求。既然侵犯个人信息行为犯罪化的价值取向是对公民隐私权的保护，那么《刑法修正案（七）》所规定的两个犯罪中“个人信息”的范围就比较容易界定了，即并非所有的个人信息都是刑法调整的对象，只有个人信息中体现着个人隐私权的那一部分信息才属于刑法保障的范围。[7] 当然，《刑法修正案（七）》的这一规定是否合理，还需要在实践中进一步检验。
再次，在犯罪客观要件方面，《刑法修正案（七）》对侵犯个人信息犯罪的规定的确存在着前文中所提到的缺陷。从我国当前的立法现状来看，有关个人信息保护的完备法律体系尚未建立起来，各种现有规定或者过于原则、抽象，或者片面、零乱，缺乏可操作性和执行性。这种立法现状往往会产生严重问题：一方面，造成刑法规定的执行效果不理想而降低刑法威信；另一方面，由于“前置法”和刑法之间缺乏衔接，会产生对侵权行为“要么不追究、要追究就上刑罚”的不合理结果，与刑法介入社会生活的“最后性”或者“迫不得已性”相违背。所以，正如众多学者所呼吁的那样，我国应当借鉴国外的通行做法，尽快建立一套完备的个人信息保障法律体系，颁布我国的《个人信息保护法》来统一规范收集、处理和利用个人信息的行为。就学者们提出的进一步周延侵犯个人信息犯罪行为方式的意见，[8]笔者认为至少在当前并不具备将这些行为犯罪化的条件。虽然正如众多论者所言，“人肉搜索”等非法获取和使用个人信息的行为危害巨大，具备了行为入罪的基本条件；但是，就犯罪圈设定的整体标准而言，这些行为显然不具备入罪的“迫不得已性”以及适用刑罚的必要性和可行性[9]的要求，对其暂不入罪情有可原。如果在我国有关个人信息保护的“前置法”体系建立健全之后，仍不能通过非刑罚措施进行有效规制，方可对这些行为的犯罪化进行重新评估。高级职称论文发表
四、我国个人信息刑法保护立法的未来展望
根据前文的分析，我国对侵犯个人信息行为的犯罪化基本上顺应了社会的发展和对该行为的危害性进行抑制的需求，符合犯罪圈设定的理性标准。但是，以发展的眼光和“苛求”尽善尽美的考量出发，笔者依然需要对个人信息的刑法保护规定提出立法上的展望。
（一）根据需要适当地扩大犯罪主体的范围
在现实生活中，诸如中介、法律服务等机构及其工作人员乃至网络用户的侵犯个人信息行为可能会造成严重危害后果，在具体情境下也会大量出现。对此，从长远来看，适当扩大本罪的犯罪主体范围是不可避免的。但是，笔者认为这并不是否定《刑法修正案（七）》对犯罪主体规定之合理性的理由。因为《刑法修正案（七）》对该罪是一个开放性的规定，当入罪的需要产生之后，仍然存在着在不修改法律现有规定的前提下而对其他一般主体的侵害行为予以犯罪化处理的余地。
根据日本著名学者大谷实的见解，犯罪化包括立法上的犯罪化和刑罚法规解释适用上的犯罪化{16}。前者的含义勿需解释；后者亦即司法上的犯罪化，是指“在适用刑法时，将迄今为止没有适用刑法作为犯罪处理的行为，通过新的解释将其作为犯罪处理”{17}，“没有伸缩性的概念，就没有裁量的空间，不足以实现正义。……概言之，具有伸缩性的抽象性、一般性规定，不仅使司法上的犯罪化完全成为可能，而且能够使司法上的犯罪化没有超过刑法的抽象性、一般性概念的约束。”{17}《刑法修正案（七）》规定，“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处3年以下有期徒刑或者拘役，并处或者单处罚金。”可见，有关该罪犯罪主体的规定就是一个类型性、伸缩性的概念描述。随着其他主体侵犯个人信息行为的增多和社会危害性的增强，特别是随着调整这些主体个人信息保护义务规范的健全和完善，在必要和可行的情况下，立法者或者司法者可以随时通过颁布立法解释和司法解释的形式，对侵犯个人信息犯罪的主体要件进行填充，视情况将非特定主体纳入刑法视野，以满足刑事调整的需求。
高级职称论文发表
（二）通过完善立法明确“个人信息”的含义
对于侵犯公民个人信息犯罪而言，明确本罪侵犯的对象即何为公民个人信息，对于刑法的准确适用非常关键，无怪乎几乎所有关注此罪的学者和刑事实践部门的人员，均强烈要求立法上明确界定个人信息的内涵和外延。但是，采取何种形式来加以明确界定呢？有学者建议，通过颁布司法解释的形式明确个人信息的内容；比较多的学者主张，在将来制定的《个人信息保护法》中专门增加一款，明确规定“公民个人信息”的概念与范围{18}。
通过司法解释的形式界定个人信息的涵义，虽然有利于及时统一刑法适用上的认识，但是不符合法律体系整体性、逻辑性的要求；而寄希望于制定一部统一的个人信息保护法典来明确个人信息的范围，也仅仅是长远规划。然而，刑法颁布后就随时准备予以适用，具体案件的发生不可能只等待未来一部法律的颁布。可见，这两种意见均不具有现实操作性。如何在所谓的《个人信息保护法》颁布以前即能确定“个人信息”的涵义呢？笔者认为，根据立法者在犯罪化时将侵犯个人信息犯罪放置于刑法典中的位置，可以推断出立法者的价值取向，并依此立法意图解释刑法修正案中“个人信息”的范围。
（三）审时度势地将“人肉搜索”等危害严重的行为纳入刑法调整的范畴
“人肉搜索”等搜集、泄露个人信息的行为，由于其危害性的日益增大和可控性的日益艰难，引起了当前社会的普遍关注，社会各界纷纷呼吁将其予以犯罪化处理。[10]但是如果理性分析，“人肉搜索”等行为的入罪是不能够一蹴而就的。
陈兴良教授曾经指出：“刑法是一种不得已的恶。用之得当，个人与社会两受其益；用之不当，个人与社会两受其害。因此，对于刑法之可能的扩张和滥用，必须保持足够的警惕。不得已的恶只能不得已而用之，此乃用刑之道也。”{19}虽然部分非法的“人肉搜索”会造成严重的社会危害，但是其性质和作用并不能一概依 “非法”而论，因为“人肉搜索”是广大公民发表言论的一种形式之一，同时也是人民行使“舆论监督权”方式的有效补充。刑法规范总体上属于义务性规范，因而过密的刑事法网往往会导致公民的自由越来越少，从而对社会发展产生负面效应，违背刑法的人权保障机能。出于此种考虑，笔者建议不通过扩大侵犯个人信息犯罪主体和客观要件的方式将“人肉搜索”行为犯罪化，而应当依据犯罪圈设定标准的要求，首先健全相关“前置法”，强化对“人肉搜索”等侵犯个人信息行为的民事、行政规范力度，完善相应法律的调控能力。在这些基础完善以后，在“不得已”的情况下，再审时度势地考虑“人肉搜索”的犯罪化问题。高级职称论文发表
（四）健全和完善刑事追究程序
有学者认为，由于个人信息权和诸如侮辱罪、诽谤罪、暴力干涉婚姻自由罪、虐待罪以及侵占罪等罪名保护的权利一样，在本质上属于公民的个人权利，对这些权利的侵犯其危害性总体上还较为轻微，因此应当借鉴上述5种犯罪的规定，将侵犯个人信息犯罪设计为“告诉才处理”的自诉追诉方式{20}。在举证责任方面，该学者基于侵犯个人信息行为专业性和多样性造成取证困难的特点，主张在一定的限制条件下引入举证责任倒置的规则，使举证责任由自诉人向被告人转移，从而保证对该罪的有效处理。[11]
对于论者的上述设想之一，笔者认为有一定的合理性，但是仍有进一步完善之必要。从国外相关的立法经验来看，对于侵犯个人信息犯罪的追诉方式各国不尽统一，如英国采取的是以公诉为主的追诉方式，而芬兰则以自诉为主。考虑到个人信息的法律性质及本罪的侵犯客体和危害性，笔者认为《刑法修正案（七）》将侵犯个人信息犯罪一概设定为公诉案件并不合理，应当借鉴国外的立法经验作出更加理性的变通：由于对个人信息的犯罪主要侵犯了公民隐私权等人格权益，因而作为强制性公法的刑法不应当主动介入，而应将对犯罪行为的追诉让位于公民个人决定，主要以自诉的方式进行追诉；只有当侵害行为严重破坏了国家利益和社会公共利益之时，才可由国家主动行使公诉权。这种“以自诉为主，公诉为辅”的告诉方式一方面能够最大程度地节约司法资源，符合犯罪圈的“谦抑性”要求；另一方面对于化解社会矛盾，维护社会和谐也大有裨益，同时也符合扩大被害人参与刑事诉讼程序的世界潮流。
高级职称论文发表
针对论者的上述设想之二，笔者认为其理由并不充分，需要审慎分析。“正义是社会制度的首要价值，正像真理是思想体系的首要价值一样。”{21}作为一种刑事制度，举证责任的分配方式也应当最大程度地体现正义诉求，这是该种制度正当性的根基。而在刑事诉讼过程中，仅出于使公权力利益最大化的片面考虑而将本属于自身的绝对义务毫无节制地转移给相对方，很可能导致正义的丧失，同时也会促进司法的惰性。不过，论者所指出的侵犯个人信息犯罪因专业性、行业性较强而难以举证控诉的情况的确属实，因而如何解决有效控诉问题就成为立法和司法必须考虑的因素。笔者认为有两个不同途径可以采取：第一，根据前文见解，对某一行为犯罪化时除了依据该行为的社会危害性等实质根据外，还要考量对该行为适用刑罚之必要性和可行性。既然对某些侵犯个人信息行为适用刑罚的可操作性和有效性受到质疑，就表明它还不完全符合犯罪化的标准，立法和司法时应当暂时不予入罪。第二，如果从刑事政策方面的考虑认为有入罪必要的，也可以通过在该罪的规定中设定“刑事推定”规范，[12]以降低控诉方对刑事案件的证明标准，从而达到严厉打击犯罪的目的。[13]比较该两种立法路径，笔者更赞同采取前一种。因为前者不仅迎合了犯罪化标准的要求，而且从长远来看，对于坚定地秉持罪刑法定和无罪推定原则从而保障人权，或许更加有益。[14]
【注释】
[1]“基本人权”的观点一直以来为笔者的恩师、我国著名刑法学者陈忠林教授所提倡。他认为，犯罪行为就是对全体公民基本人权的侵犯；基本人权是一切权利中最为重要、核心的那部分权利，包括生命权、自由权、财产权、参与社会事务的权利等。
[2]例如，在非典疫情、甲型H1 N1流感等疫情严重的情况下，出于维护公共安全的需要，某些人的个人信息就体现了维护公共利益和公共秩序的一面，这些情况在风险社会中屡见不鲜。
[3]例如，不涉及公民人格、名誉、隐私等的其他个人数据、信息等，民法无法调整。
[4]例如，盗窃、强行夺取、骗取等方法侵犯个人信息权益的行为，或者将本人（或单位）所了解的个人信息非法提供给第三人的行为。
[5]如《居民身份证法》、《护照法》、《婚姻登记档案管理办法》、《商业银行法》、《统计法》、《政府信息公开条例》等。
高级职称论文发表
[6]在国外有关个人信息保护的立法中，不同国家的立法者在立法价值选择上存在不同的认识和态度。如大陆法系的欧洲国家对个人信息的保护采取的是一种保护名誉和个人尊严的形式，将个人信息的保护重心放在肖像权、姓名权、名誉权以及信息自决权上；而美国对于个人信息更加注重对自由价值的维护，立法上注重的是如何保护公民的个人信息免受政府及他人的侵扰。（参见：洪海林．个人信息保护立法理念探究[J]．河北法学，2007，（1) :108-113.）
[7]学界多数学者认为，个人信息的范围大于个人隐私；个人信息除包括个人隐私外，还包括不涉及个人隐私的其他信息。
[8]如主张将“非法使用个人信息”、“人肉搜索”等行为入罪。（参见：刘宪权，方晋晔．个人信息刑法保护的立法及完善[J].华东政法大学学报，2009,(3):120-130．吴允锋．个人身份信息刑法保护的是与非[J]．法学，2008,(12):53-57）
[9]目前，社会上出现了一些专门收购和买卖个人信息的“生意人”或中介机构，信息交易呈现出专业化、行业化的特点，这些行为大部分没有物化证据，侦查和追诉的难度极大。同时，“人肉搜索”在同样具备专业化的特征之外，还具有人数众多、参与性广泛等特点，其追诉难度甚至远远大于前者。因此，从目前的技术条件来看，对这些行为适用刑罚的可行性不大。
[10]从2006年的“铜须门”、“虐猫”事件，2007年的“辱师”事件，直到2008年的“人肉搜索第一案”，均可感受到“人肉搜索”行为的危害性和难追究性特征。
[12]论者认为，“在侵犯个人信息权犯罪案件中，公诉人（自诉人）的举证责任的范围主要包括被告人存在侵权的可能性以及被告人实施的侵权行为给被害人造成的严重后果。相应的，被告人应证明自己是通过合法渠道获得当事人个人信息以及其使用该信息的合法性。如果被告人无法证明这些事实，那么就可初步认定其从事了侵犯个人信息权的犯罪行为。”（参见：刘宪权，方晋晔．个人信息刑法保护的立法及完善[J]．华东政法大学学报，2009, (3) :120－130.）
[12]“刑事推定是指在认定刑事案件事实的过程中，司法人员在不得已的情况下，根据法律规定或经验法则，在没有相反证据反驳推翻的情况下，从已知的基础事实推导出另一未知事实（推定事实）存在的一种证明方法。”（参见：张旭，张曙．也论刑事推定[J]．法学评论，2009，(1）:16-21）
[13]在我国刑法中，“刑事推定规范”是有前例可循的，如我国《刑法》第395条规定：国家工作人员的财产或者支出明显超过合法收入，差额巨大的，可以责令说明来源。本人不能说明其来源是合法的，差额部分以非法所得论，处5年以下有期徒刑或者拘役，财产的差额部分予以追缴。笔者认为，巨额财产来源不明罪的规定不属于通说认为的“举证责任倒置”，而属于“刑事推定规范”。刑事推定只是降低了刑事案件的证明标准，但是并没有改变“谁主张谁举证”的控诉原则，证明被告人的行为构成犯罪的责任仍然应由控诉方承担。
[14]从整体上说，刑事推定虽然并未从根本上否定无罪推定的重要价值，但是由于其在一定程度上消减了无罪推定原则的普适性，容易对被控诉方的权利保障造成严重影响，因而作为一种“末位式”的证明，只能在无法用证据证明的前提下运用。
高级职称论文发表
【参考文献】
{1}Herbert L. Packer. The Limits of the Criminal Sanc-tion. Stanford University Press, 1968 , p296.
{2}陈兴良．刑法哲学〔M〕．北京：中国政法大学出版社，2000:8
{3}马克昌．比较刑法原理[M]武汉：武汉大学出版社，2002:88-93.
{4}西田典之．日本刑法总论[M]、刘明祥，王昭武，译．北京：中国人民大学出版社，2007:22
{5}林山田．刑罚学[M]．台北：商务印书馆，1985:127.
{6}汉斯·海因里希·耶赛克．世界刑法改革运动概要[J]法学译丛，1981，（1）:67.
{7}边沁．立法理论—刑法典原理[M]．孙力，等，译．北京：中国人民公安大学出版社，1993 : 66 -67.
{8}汉斯·海因里希·耶赛克，托马斯·魏根特．德国刑法教科书[M]．徐久生，译．中国法制出版社，2001:
{10} Perri. Private Life and Public Policy. The Future ofPrivacy·1998，Vol. 1，p23.
{11}杜里奥·帕多瓦尼．意大利刑法学原理[M]．陈忠林，译．北京：中国人民大学出版社，2004:4-5
{12}张绍谦．从刑罚特性看犯罪圈的界限[J]．河南省政法管理干部学院学报，2007,(5):19-26.
{13}沈峥嵘．“个人信息保护”成最大热议焦点〔[].新华日报，2008-10-16(A6)
{14}吴允锋．个人身份信息刑法保护的是与非[J].法学，2008，（12) :53-57.
{15}赵江辉，陈庆瑞公民个人信息的刑法保护[J].中国检察官，2009,(6) :9-11.
{16}大谷实．刑事政策学[M]．黎宏，译．北京：法律出版社，2000:85.
{17}张明楷．司法上的犯罪化与非犯罪化[J]．法学家，2008，(4) :65-93.
{18}周汉华．中华人民共和国个人信息保护法（专家建议稿）及立法研究报告[M]．北京：法律出版社，2006:3.
高级职称论文发表
{19}陈兴良．刑法的价值构造[M]．北京：中国人民大学出版社，1998: 10.
{20}刘宪权，方晋晔．个人信息刑法保护的立法及完善[J]．华东政法大学学报，2009，(3）:120-130.
{21}约翰·罗尔斯．正义论[M]．何怀宏，等，译．北京：中国社会科学出版社，1988:1.
内容提要: 犯罪圈的设定必须从犯罪的内在规定性和刑罚的特性两个层面予以考量：犯罪的内在规定性决定了犯罪化的实质标准是行为侵犯全体公民的基本人权；刑罚的特性决定了其适用范围必须综合考虑刑罚的“残缺不全”特征及其适用的可行性要求。根据个人信息的法律属性，侵犯公民个人信息就侵犯了公民的基本人权。由于其他制裁措施调控的失效，刑罚“迫不得已”地介入对公民个人信息的调整。从理性的深度进行反思，侵犯个人信息犯罪的立法具有合理性的一面，但在犯罪构成要件的规定上也有亟需澄清和完善之处。
高级职称论文发表
自《刑法修正案（七）》将侵犯个人信息行为入罪以来，有关争论就随之而起，不仅理论界对该罪立法的合理性提出了众多质疑，而且司法实务界对于该罪立法的理解与适用也产生了诸多分歧。本文将以对犯罪化的分析为进路，试图对我国侵犯个人信息犯罪的立法作出理性分析，以及时厘清该罪规定的立法意图与内涵，为准确适用法律及弥补立法上的不足提供新的视角。
一、犯罪化的根据和范围
何种行为应当入罪？中外诸多学者对此提出了自己的解答。如美国著名刑法学家帕克认为，犯罪化应当符合以下6项基本要求：社会大部分人认为行为具有明显的社会危害且不可容忍；科处该行为符合刑罚目的；遏制该行为不会牵制并压制社会欢迎的行为；能够对该行为进行公正的、无差别的处理；通过刑事程序予以取缔该行为不会额外加重诉讼负担；没有刑罚以外的其他适当方法可以替代{1}。我国学者陈兴良教授指出：“我们在确定某一危害行为是否应当规定为犯罪并予以刑罚处罚时，一方面应当确认该行为具有相当程度的社会危害性；另一方面又应当确认，作为该行为的法律反应，刑罚具有无可避免性。”{2}尽管学者们对入罪标准的表述不尽相同，但其核心思想基本一致，即犯罪圈标准的设定必须从犯罪的内在规定性和刑罚的特性两个层面考量。
高级职称论文发表
犯罪的内在规定性亦即犯罪的本质，是决定行为是否入罪的基本根据。关于犯罪的本质，不论是在历史上还是在当今，一直存在着长期而又热烈的讨论，主要有权利侵害说、法益侵害说、规范违反说、义务违反说等。上述各种学说虽然都有相对合理性的一面，但是因为过于抽象而有利弊兼备之嫌，很难准确表达犯罪的本质{3}。相比较而言，“权利侵害说”更加深入地接触到事物的本质层面，得到了更多的认同，但笔者仍认为有将其进一步具体化之必要。毫无疑问，犯罪是侵害根据法所赋予的权利的行为，犯罪的本质是对权利的侵害。然而侵犯权利的行为并不一定都应“入罪”，否则那些除刑法之外的其他诸法均无存在之理由和必要。“刑法的首要任务是保护现实社会中重要的并且是最基本的价值与法益（保护法益）。”{4}所以，能够进入刑法评价视阈的必须是那些对保护价值重大而又属于基本的权利予以侵犯的行为。那么，什么样的侵权行为才属于这一行列呢？既然犯罪是对社会成员的生命、人身、财产等最基本权利的侵犯，那么只有公民的基本人权所表现出来的利益才是需要刑法所保护的法益，只有侵犯这种利益的行为才可能称得上“具有严重的社会危害性”。[1]根据这一见解，行为入罪（又称犯罪化）的实质标准就是考察行为是否侵犯了全体公民的基本人权。
犯罪本质的界定只是解决了犯罪化的正当性问题，而行为入罪的范围仍需进一步厘清。如果说“犯罪是危害社会的、依照刑法应当受到刑罚处罚的行为”这一论断正确的话，那么“只有需要运用刑罚才能加以处罚的危害行为才需要认定为犯罪”也是符合逻辑地当然推理。因而，在确定犯罪化的范围时，行为的应受刑罚惩罚性无疑是一个核心指标。那么，什么样的行为才应该受到刑罚惩罚呢？众所周知，在所有的法律制裁措施中，刑罚当属最为严厉的一种。作为抗制犯罪的主要法律手段，刑罚兼具积极与消极的两重性。正如德国著名刑法学家耶林所言：“刑罚如两刃之剑，用之不得其当，则国家与个人两受其害。”{5}正是出于对刑罚特性的忌惮，一直以来人们就对其适用设置了非常严格的限制标准。如德国学者耶赛克曾指出，刑事政策要求立法者为了避免不必要地将某些行为列为犯罪，同时为了在一般人思想上维护刑罚的严肃性，必须将刑法上所必须归罪的行为范围限制在维护公共安全秩序所必需的最低范围之内{6}；功利主义大师边沁则明确指出了限制适用刑罚的案件范围：(1)滥用；(2）无效；(3）过分；(4）太昂贵{7}。那么，适用刑罚的标准到底应该是什么呢？根据笔者的理解，刑罚的适用范围必须综合考虑两个方面：首先，刑罚相对于其他法律规范体系中的制裁措施居于较高层级和位阶，基于一个危害行为所侵害的内容、侵害对象所体现的社会关系及其保护价值的不同，将会由不同严厉程度的制裁手段所调整，刑罚不可能全面介入，这就是所谓的刑罚“残缺不全”特征{8}。刑罚的“残缺不全”特征决定了刑罚是社会制裁体系中的最后一道防线，只有在道德制裁、纪律制裁、民事制裁、行政制裁等调控失效的情况下才可以考虑动用刑罚。其次，刑罚的适用必须是经济的、可操作的和有效果的。经济性意指刑罚资源的投入规模决定着国家设定犯罪的规模和种类，这是刑罚对犯罪界定的反作用体现；刑罚的可操作性意味着在实践中有适用刑罚的社会条件，不会造成有限刑法资源的浪费；刑罚的有效性则要求国家运用刑罚能够实现报应与预防犯罪的预期目的，凡是不利于刑罚目的实现的，应当明确放弃，另觅他法。
高级职称论文发表
二、侵犯个人信息行为入罪的法理分析
个人信息是指一切可以识别本人的信息总和，这些信息包括了一个人的生理、心理、智力、个体、社会、经济、文化、家庭等方面{9}。关于个人信息的法律属性，在理论上尚存争议，其中较为典型的主张有所有权说、隐私权说以及人格权说。上述各种见解都有一定的合理性成分，但又均有以偏概全之不足。笔者认为，随着现代信息化社会的深入发展，个人信息不仅体现着个人隐私和人格权利，而且由于“个人信息已经成为现代商业和政府运作的基础动力”{10}，其还越来越明显地表现出经济利益性特征。换言之，个人信息是个人隐私权、人格权乃至财产权的综合载体。由于公民的隐私权、人格权及财产权分别涉及到公民的人身自由、人格尊严、生活安宁以及财产的安全，因而无论从宪法还是从部门法的角度分析，公民的个人信息都承载着公民的基本人权，甚至在一些情况下，当个人信息成为维护公共利益所必须的时候，它还表现出公共秩序利益的属性。[2]因此，侵犯公民个人信息就会侵犯公民的基本人权，个人信息理应成为刑法调整和重点保护的对象，刑法将这类侵犯行为予以犯罪化乃实至名归。
然而，刑法对社会关系的调整并不是最安全的，因为很多现代国家的法律制度中都存在立法者滥用立法权的现象。为了能理性地防止在刑法方面滥用立法权，必须对实际上是否有必要规定刑事制裁进行评估，或者只有在不用刑事制裁就不足以有效地处罚和预防某种行为时，才允许对该行为规定刑事制裁{11}。这个“刑法辅助性原则”实际上为刑法介入对个人信息的调整划定了边界：作为“后置法”（“保障法”）的刑法，只有在健全而适当的“前置法”（除刑法外调整个人信息的其他部门法）无法有效地调整某一行为时，出于保障公民基本人权的目的才能介入。那么，现实中“前置法”调整的效果如何呢？现阶段我国对于个人信息的保护主要采取两种措施：一是通过法律的形式进行保护，其又可以分为法律的直接保护和间接保护两种模式；二是通过具有道德性的行业自律进行保护。在第一种保护措施中，当前主要采取民事制裁和行政制裁手段，当然还有部分刑事制裁手段的运用；在第二种保护措施中，主要采取道德约束和纪律制裁两种措施。初看起来，好似在我国已经形成了较为完整的调控体系：道德制裁—纪律制裁—民事制裁—行政制裁—刑事制裁。然而通过仔细调查和分析，就能够看出上述保护措施均存在严重先天不足：道德和纪律制裁措施的规制作用十分有限，特别是在现代社会中个人信息的商业价值日渐提升之际，其对侵犯个人信息行为规制和调整机能的发挥就尤显尴尬。民事制裁措施偏重于对体现个人隐私的个人信息之保护，对于并不体现公民人格权的一些个人信息不能涵盖其中，[3]同时对于那些超出民事侵权行为调整范围的行为也无能为力。[4]行政制裁措施虽然在刚性和严厉性上比民事制裁有所提高，但是受法律属性和实施目的的限制（主要在行政关系领域），其调整范围也大受制约，表现在义务主体和个人信息的范围上有其特定性。同时，法律所规定的行政制裁措施并不明确，在处罚强度上也不够刚强，对严重的侵权行为也有“鞭长莫及”之感。总之，无论道德制裁、纪律制裁，还是民事制裁和行政制裁，都不能有效地、经济地对侵犯个人信息的行为进行调控。因此，作为“最后保障法”的刑法制裁方式介入个人信息保护领域就成为“迫不得已”。
高级职称论文发表
在刑罚的适用成为必要的情况下，当前惟一需要思考的问题就是对侵犯个人信息的行为适用刑罚的可能性有多大？国家动用刑罚的可能性取决于两个要素：第一，国家能够投入到刑罚适用过程中所需要的资源；第二，刑罚措施在实践中的可操作性{12}。在所有的法律制裁措施中，刑罚的适用需要国家投入的资源最大，因此就需要思考如何将有限的资源用到“最需要”的地方，这既是刑罚经济性的要求，也是对刑罚范围的有力限制方式之一。刑罚的经济性要求立法者和司法者在配置和适用刑罚时，应当将其范围限制在维护公民最基本人权和社会基本秩序所必需的范围内—只有当那些行为侵犯了公民的基本人权，从而使国家的基本法律制度承受摧毁性危险时，才可以适用刑罚。刑罚的可操作性要求犯罪圈的设定范围应量力而行，优化刑罚资源配置，将打击重点放在危害最严重、出现最普遍、群众最不能容忍的侵害行为之上，并将那些实践中很少发生或者由于某种原因不能够有效揭露和审判的侵犯行为排除在外，以减少“条文虚置”的情况。具体考察我国当前出现的对个人信息的侵犯行为，其行为方式多种多样，危害性和可追诉性也大相径庭，对这些行为的刑罚适用也应当有所差别：一些危害性不大的侵犯个人信息的行为，适用非刑罚的制裁措施即可；一些侵害行为造成严重的危害后果，则有适用刑罚的必要；一些行为虽然危害严重，但是根据现实条件追诉成本过高，或者适用刑罚的操作难度较大，比如“人肉搜索”等，刑罚可以暂缓介入。
三、我国侵犯个人信息犯罪立法的理性反思
虽然各界对于刑法将侵犯个人信息行为入罪都普遍持赞同和欢迎的态度，但是对侵犯个人信息行为犯罪化的具体规定仍然存在一些争议：第一，认为侵犯个人信息犯罪主体范围的规定不合理，主张扩大侵犯个人信息犯罪主体的范围{13}；第二，认为个人信息的范围不明确，要求统一个人信息的内涵和外延的界定{14}；第三，认为犯罪客观方面的规定有待进一步优化，要求健全“前置法”，并将“人肉搜索”等行为入罪{15}。
虽然上述的各种质疑有其积极、科学的一面，但笔者认为论者欠缺对立法意图和根据的理性反思：
高级职称论文发表
首先，从现实来看，虽然对该罪的犯罪主体进行限制似乎有失公允，然而刑法规定的合理性是勿庸置疑的。不像国家机关等单位的工作人员有诸多“前置法”的保护个人信息具体义务的规定，[5]其他组织和人员对公民个人信息的保护义务往往没有“前置法”的明确规定，其义务主要散见于《宪法》和《民法通则》等法律中的原则性规定。这些规定既不健全，也没有形成体系，因而很难说“前置法”对这些主体侵害行为的调整是无效的。同时，在现实中非特殊主体以外的其他人员侵犯个人信息的行为并不是时常发生，或者虽然数量较多但是欠缺刑罚追诉的可操作性，对其适用刑罚的成本较高，可行性较低。根据犯罪圈设定的“必要且最小”的要求，并结合我国当前的实际情况，除国家机关、金融、电信、交通、教育、医疗等之外的其他单位及其工作人员，还不宜纳入犯罪圈范围。等到时机成熟以后，可以通过刑法立法解释或者司法解释的形式，根据需要适当扩大侵犯个人信息犯罪的主体范围。
其次，“个人信息”范围的界定和立法者立法时的价值取向密切相关，不能主观臆断。如前文所述，在个人信息上附载着人格权、隐私权、财产权甚至公共利益等多重权益，因而立法者在制定个人信息保护的法律时就必须选择是以何种权益的保护为主，亦即对立法价值取向予以预设。[6]众所周知，立法者在立法时的价值取向影响甚至决定着法律条文的解读与适用。在《刑法修正案（七）》将侵犯个人信息行为入罪之时，立法者将该类犯罪的两个罪名放在《刑法》第253条之一进行规制，体现着对个人隐私权保护的价值追求。既然侵犯个人信息行为犯罪化的价值取向是对公民隐私权的保护，那么《刑法修正案（七）》所规定的两个犯罪中“个人信息”的范围就比较容易界定了，即并非所有的个人信息都是刑法调整的对象，只有个人信息中体现着个人隐私权的那一部分信息才属于刑法保障的范围。[7] 当然，《刑法修正案（七）》的这一规定是否合理，还需要在实践中进一步检验。
再次，在犯罪客观要件方面，《刑法修正案（七）》对侵犯个人信息犯罪的规定的确存在着前文中所提到的缺陷。从我国当前的立法现状来看，有关个人信息保护的完备法律体系尚未建立起来，各种现有规定或者过于原则、抽象，或者片面、零乱，缺乏可操作性和执行性。这种立法现状往往会产生严重问题：一方面，造成刑法规定的执行效果不理想而降低刑法威信；另一方面，由于“前置法”和刑法之间缺乏衔接，会产生对侵权行为“要么不追究、要追究就上刑罚”的不合理结果，与刑法介入社会生活的“最后性”或者“迫不得已性”相违背。所以，正如众多学者所呼吁的那样，我国应当借鉴国外的通行做法，尽快建立一套完备的个人信息保障法律体系，颁布我国的《个人信息保护法》来统一规范收集、处理和利用个人信息的行为。就学者们提出的进一步周延侵犯个人信息犯罪行为方式的意见，[8]笔者认为至少在当前并不具备将这些行为犯罪化的条件。虽然正如众多论者所言，“人肉搜索”等非法获取和使用个人信息的行为危害巨大，具备了行为入罪的基本条件；但是，就犯罪圈设定的整体标准而言，这些行为显然不具备入罪的“迫不得已性”以及适用刑罚的必要性和可行性[9]的要求，对其暂不入罪情有可原。如果在我国有关个人信息保护的“前置法”体系建立健全之后，仍不能通过非刑罚措施进行有效规制，方可对这些行为的犯罪化进行重新评估。高级职称论文发表
四、我国个人信息刑法保护立法的未来展望
根据前文的分析，我国对侵犯个人信息行为的犯罪化基本上顺应了社会的发展和对该行为的危害性进行抑制的需求，符合犯罪圈设定的理性标准。但是，以发展的眼光和“苛求”尽善尽美的考量出发，笔者依然需要对个人信息的刑法保护规定提出立法上的展望。
（一）根据需要适当地扩大犯罪主体的范围
在现实生活中，诸如中介、法律服务等机构及其工作人员乃至网络用户的侵犯个人信息行为可能会造成严重危害后果，在具体情境下也会大量出现。对此，从长远来看，适当扩大本罪的犯罪主体范围是不可避免的。但是，笔者认为这并不是否定《刑法修正案（七）》对犯罪主体规定之合理性的理由。因为《刑法修正案（七）》对该罪是一个开放性的规定，当入罪的需要产生之后，仍然存在着在不修改法律现有规定的前提下而对其他一般主体的侵害行为予以犯罪化处理的余地。
根据日本著名学者大谷实的见解，犯罪化包括立法上的犯罪化和刑罚法规解释适用上的犯罪化{16}。前者的含义勿需解释；后者亦即司法上的犯罪化，是指“在适用刑法时，将迄今为止没有适用刑法作为犯罪处理的行为，通过新的解释将其作为犯罪处理”{17}，“没有伸缩性的概念，就没有裁量的空间，不足以实现正义。……概言之，具有伸缩性的抽象性、一般性规定，不仅使司法上的犯罪化完全成为可能，而且能够使司法上的犯罪化没有超过刑法的抽象性、一般性概念的约束。”{17}《刑法修正案（七）》规定，“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处3年以下有期徒刑或者拘役，并处或者单处罚金。”可见，有关该罪犯罪主体的规定就是一个类型性、伸缩性的概念描述。随着其他主体侵犯个人信息行为的增多和社会危害性的增强，特别是随着调整这些主体个人信息保护义务规范的健全和完善，在必要和可行的情况下，立法者或者司法者可以随时通过颁布立法解释和司法解释的形式，对侵犯个人信息犯罪的主体要件进行填充，视情况将非特定主体纳入刑法视野，以满足刑事调整的需求。
高级职称论文发表
（二）通过完善立法明确“个人信息”的含义
对于侵犯公民个人信息犯罪而言，明确本罪侵犯的对象即何为公民个人信息，对于刑法的准确适用非常关键，无怪乎几乎所有关注此罪的学者和刑事实践部门的人员，均强烈要求立法上明确界定个人信息的内涵和外延。但是，采取何种形式来加以明确界定呢？有学者建议，通过颁布司法解释的形式明确个人信息的内容；比较多的学者主张，在将来制定的《个人信息保护法》中专门增加一款，明确规定“公民个人信息”的概念与范围{18}。
通过司法解释的形式界定个人信息的涵义，虽然有利于及时统一刑法适用上的认识，但是不符合法律体系整体性、逻辑性的要求；而寄希望于制定一部统一的个人信息保护法典来明确个人信息的范围，也仅仅是长远规划。然而，刑法颁布后就随时准备予以适用，具体案件的发生不可能只等待未来一部法律的颁布。可见，这两种意见均不具有现实操作性。如何在所谓的《个人信息保护法》颁布以前即能确定“个人信息”的涵义呢？笔者认为，根据立法者在犯罪化时将侵犯个人信息犯罪放置于刑法典中的位置，可以推断出立法者的价值取向，并依此立法意图解释刑法修正案中“个人信息”的范围。
（三）审时度势地将“人肉搜索”等危害严重的行为纳入刑法调整的范畴
“人肉搜索”等搜集、泄露个人信息的行为，由于其危害性的日益增大和可控性的日益艰难，引起了当前社会的普遍关注，社会各界纷纷呼吁将其予以犯罪化处理。[10]但是如果理性分析，“人肉搜索”等行为的入罪是不能够一蹴而就的。
陈兴良教授曾经指出：“刑法是一种不得已的恶。用之得当，个人与社会两受其益；用之不当，个人与社会两受其害。因此，对于刑法之可能的扩张和滥用，必须保持足够的警惕。不得已的恶只能不得已而用之，此乃用刑之道也。”{19}虽然部分非法的“人肉搜索”会造成严重的社会危害，但是其性质和作用并不能一概依 “非法”而论，因为“人肉搜索”是广大公民发表言论的一种形式之一，同时也是人民行使“舆论监督权”方式的有效补充。刑法规范总体上属于义务性规范，因而过密的刑事法网往往会导致公民的自由越来越少，从而对社会发展产生负面效应，违背刑法的人权保障机能。出于此种考虑，笔者建议不通过扩大侵犯个人信息犯罪主体和客观要件的方式将“人肉搜索”行为犯罪化，而应当依据犯罪圈设定标准的要求，首先健全相关“前置法”，强化对“人肉搜索”等侵犯个人信息行为的民事、行政规范力度，完善相应法律的调控能力。在这些基础完善以后，在“不得已”的情况下，再审时度势地考虑“人肉搜索”的犯罪化问题。高级职称论文发表
（四）健全和完善刑事追究程序
有学者认为，由于个人信息权和诸如侮辱罪、诽谤罪、暴力干涉婚姻自由罪、虐待罪以及侵占罪等罪名保护的权利一样，在本质上属于公民的个人权利，对这些权利的侵犯其危害性总体上还较为轻微，因此应当借鉴上述5种犯罪的规定，将侵犯个人信息犯罪设计为“告诉才处理”的自诉追诉方式{20}。在举证责任方面，该学者基于侵犯个人信息行为专业性和多样性造成取证困难的特点，主张在一定的限制条件下引入举证责任倒置的规则，使举证责任由自诉人向被告人转移，从而保证对该罪的有效处理。[11]
对于论者的上述设想之一，笔者认为有一定的合理性，但是仍有进一步完善之必要。从国外相关的立法经验来看，对于侵犯个人信息犯罪的追诉方式各国不尽统一，如英国采取的是以公诉为主的追诉方式，而芬兰则以自诉为主。考虑到个人信息的法律性质及本罪的侵犯客体和危害性，笔者认为《刑法修正案（七）》将侵犯个人信息犯罪一概设定为公诉案件并不合理，应当借鉴国外的立法经验作出更加理性的变通：由于对个人信息的犯罪主要侵犯了公民隐私权等人格权益，因而作为强制性公法的刑法不应当主动介入，而应将对犯罪行为的追诉让位于公民个人决定，主要以自诉的方式进行追诉；只有当侵害行为严重破坏了国家利益和社会公共利益之时，才可由国家主动行使公诉权。这种“以自诉为主，公诉为辅”的告诉方式一方面能够最大程度地节约司法资源，符合犯罪圈的“谦抑性”要求；另一方面对于化解社会矛盾，维护社会和谐也大有裨益，同时也符合扩大被害人参与刑事诉讼程序的世界潮流。
高级职称论文发表
针对论者的上述设想之二，笔者认为其理由并不充分，需要审慎分析。“正义是社会制度的首要价值，正像真理是思想体系的首要价值一样。”{21}作为一种刑事制度，举证责任的分配方式也应当最大程度地体现正义诉求，这是该种制度正当性的根基。而在刑事诉讼过程中，仅出于使公权力利益最大化的片面考虑而将本属于自身的绝对义务毫无节制地转移给相对方，很可能导致正义的丧失，同时也会促进司法的惰性。不过，论者所指出的侵犯个人信息犯罪因专业性、行业性较强而难以举证控诉的情况的确属实，因而如何解决有效控诉问题就成为立法和司法必须考虑的因素。笔者认为有两个不同途径可以采取：第一，根据前文见解，对某一行为犯罪化时除了依据该行为的社会危害性等实质根据外，还要考量对该行为适用刑罚之必要性和可行性。既然对某些侵犯个人信息行为适用刑罚的可操作性和有效性受到质疑，就表明它还不完全符合犯罪化的标准，立法和司法时应当暂时不予入罪。第二，如果从刑事政策方面的考虑认为有入罪必要的，也可以通过在该罪的规定中设定“刑事推定”规范，[12]以降低控诉方对刑事案件的证明标准，从而达到严厉打击犯罪的目的。[13]比较该两种立法路径，笔者更赞同采取前一种。因为前者不仅迎合了犯罪化标准的要求，而且从长远来看，对于坚定地秉持罪刑法定和无罪推定原则从而保障人权，或许更加有益。[14]
【注释】
[1]“基本人权”的观点一直以来为笔者的恩师、我国著名刑法学者陈忠林教授所提倡。他认为，犯罪行为就是对全体公民基本人权的侵犯；基本人权是一切权利中最为重要、核心的那部分权利，包括生命权、自由权、财产权、参与社会事务的权利等。
[2]例如，在非典疫情、甲型H1 N1流感等疫情严重的情况下，出于维护公共安全的需要，某些人的个人信息就体现了维护公共利益和公共秩序的一面，这些情况在风险社会中屡见不鲜。
[3]例如，不涉及公民人格、名誉、隐私等的其他个人数据、信息等，民法无法调整。
[4]例如，盗窃、强行夺取、骗取等方法侵犯个人信息权益的行为，或者将本人（或单位）所了解的个人信息非法提供给第三人的行为。
[5]如《居民身份证法》、《护照法》、《婚姻登记档案管理办法》、《商业银行法》、《统计法》、《政府信息公开条例》等。
高级职称论文发表
[6]在国外有关个人信息保护的立法中，不同国家的立法者在立法价值选择上存在不同的认识和态度。如大陆法系的欧洲国家对个人信息的保护采取的是一种保护名誉和个人尊严的形式，将个人信息的保护重心放在肖像权、姓名权、名誉权以及信息自决权上；而美国对于个人信息更加注重对自由价值的维护，立法上注重的是如何保护公民的个人信息免受政府及他人的侵扰。（参见：洪海林．个人信息保护立法理念探究[J]．河北法学，2007，（1) :108-113.）
[7]学界多数学者认为，个人信息的范围大于个人隐私；个人信息除包括个人隐私外，还包括不涉及个人隐私的其他信息。
[8]如主张将“非法使用个人信息”、“人肉搜索”等行为入罪。（参见：刘宪权，方晋晔．个人信息刑法保护的立法及完善[J].华东政法大学学报，2009,(3):120-130．吴允锋．个人身份信息刑法保护的是与非[J]．法学，2008,(12):53-57）
[9]目前，社会上出现了一些专门收购和买卖个人信息的“生意人”或中介机构，信息交易呈现出专业化、行业化的特点，这些行为大部分没有物化证据，侦查和追诉的难度极大。同时，“人肉搜索”在同样具备专业化的特征之外，还具有人数众多、参与性广泛等特点，其追诉难度甚至远远大于前者。因此，从目前的技术条件来看，对这些行为适用刑罚的可行性不大。
[10]从2006年的“铜须门”、“虐猫”事件，2007年的“辱师”事件，直到2008年的“人肉搜索第一案”，均可感受到“人肉搜索”行为的危害性和难追究性特征。
[12]论者认为，“在侵犯个人信息权犯罪案件中，公诉人（自诉人）的举证责任的范围主要包括被告人存在侵权的可能性以及被告人实施的侵权行为给被害人造成的严重后果。相应的，被告人应证明自己是通过合法渠道获得当事人个人信息以及其使用该信息的合法性。如果被告人无法证明这些事实，那么就可初步认定其从事了侵犯个人信息权的犯罪行为。”（参见：刘宪权，方晋晔．个人信息刑法保护的立法及完善[J]．华东政法大学学报，2009, (3) :120－130.）
[12]“刑事推定是指在认定刑事案件事实的过程中，司法人员在不得已的情况下，根据法律规定或经验法则，在没有相反证据反驳推翻的情况下，从已知的基础事实推导出另一未知事实（推定事实）存在的一种证明方法。”（参见：张旭，张曙．也论刑事推定[J]．法学评论，2009，(1）:16-21）
[13]在我国刑法中，“刑事推定规范”是有前例可循的，如我国《刑法》第395条规定：国家工作人员的财产或者支出明显超过合法收入，差额巨大的，可以责令说明来源。本人不能说明其来源是合法的，差额部分以非法所得论，处5年以下有期徒刑或者拘役，财产的差额部分予以追缴。笔者认为，巨额财产来源不明罪的规定不属于通说认为的“举证责任倒置”，而属于“刑事推定规范”。刑事推定只是降低了刑事案件的证明标准，但是并没有改变“谁主张谁举证”的控诉原则，证明被告人的行为构成犯罪的责任仍然应由控诉方承担。
[14]从整体上说，刑事推定虽然并未从根本上否定无罪推定的重要价值，但是由于其在一定程度上消减了无罪推定原则的普适性，容易对被控诉方的权利保障造成严重影响，因而作为一种“末位式”的证明，只能在无法用证据证明的前提下运用。
高级职称论文发表
【参考文献】
{1}Herbert L. Packer. The Limits of the Criminal Sanc-tion. Stanford University Press, 1968 , p296.
{2}陈兴良．刑法哲学〔M〕．北京：中国政法大学出版社，2000:8
{3}马克昌．比较刑法原理[M]武汉：武汉大学出版社，2002:88-93.
{4}西田典之．日本刑法总论[M]、刘明祥，王昭武，译．北京：中国人民大学出版社，2007:22
{5}林山田．刑罚学[M]．台北：商务印书馆，1985:127.
{6}汉斯·海因里希·耶赛克．世界刑法改革运动概要[J]法学译丛，1981，（1）:67.
{7}边沁．立法理论—刑法典原理[M]．孙力，等，译．北京：中国人民公安大学出版社，1993 : 66 -67.
{8}汉斯·海因里希·耶赛克，托马斯·魏根特．德国刑法教科书[M]．徐久生，译．中国法制出版社，2001:
{10} Perri. Private Life and Public Policy. The Future ofPrivacy·1998，Vol. 1，p23.
{11}杜里奥·帕多瓦尼．意大利刑法学原理[M]．陈忠林，译．北京：中国人民大学出版社，2004:4-5
{12}张绍谦．从刑罚特性看犯罪圈的界限[J]．河南省政法管理干部学院学报，2007,(5):19-26.
{13}沈峥嵘．“个人信息保护”成最大热议焦点〔[].新华日报，2008-10-16(A6)
{14}吴允锋．个人身份信息刑法保护的是与非[J].法学，2008，（12) :53-57.
{15}赵江辉，陈庆瑞公民个人信息的刑法保护[J].中国检察官，2009,(6) :9-11.
{16}大谷实．刑事政策学[M]．黎宏，译．北京：法律出版社，2000:85.
{17}张明楷．司法上的犯罪化与非犯罪化[J]．法学家，2008，(4) :65-93.
{18}周汉华．中华人民共和国个人信息保护法（专家建议稿）及立法研究报告[M]．北京：法律出版社，2006:3.
高级职称论文发表
{19}陈兴良．刑法的价值构造[M]．北京：中国人民大学出版社，1998: 10.
{20}刘宪权，方晋晔．个人信息刑法保护的立法及完善[J]．华东政法大学学报，2009，(3）:120-130.
{21}约翰·罗尔斯．正义论[M]．何怀宏，等，译．北京：中国社会科学出版社，1988:1.
