编者按
大数据语境下，信息处理的普遍性、无序性与制度构建滞后性、司法救济不充分之间的矛盾，已经成为涉个人信息领域大量违法甚至犯罪行为滋生的空间。本文旨在满足危害防止即时性、规则要件缓和性、责任主体完整性、保护方式多样性、公共利益保障性、保护利用平衡性等特性需求的前提下探索研究构建个人信息保护体系化的风险防控体系。通过对侵犯公民个人信息相关犯罪案件数量提取与分析，提炼宣告刑、人数、动机、金额、侵犯次数、信息数量、用途以及是否利用网络等内容并对其进行定量分析，总结出侵犯公民个人信息犯罪的犯罪特征和犯罪趋势，分析出现有防控策略的缺陷和不足，进而提出具有针对性的防控策略。
一、实证考察：侵犯公民个人信息犯罪类刑法规制路径与犯罪形势变化
（一）侵犯公民个人信息类犯罪刑法保护的扩张趋势
1. 侵犯公民个人信息类犯罪圈扩大化
《刑法修正案（七）》颁布实施之前，我国对于公民个人信息的保护附属于金融管理秩序，并未专门设立罪名对侵犯公民个人信息的行为进行规制，仅在其他罪名涉及国家利益、社会利益的时候“顺带实现了对公民个人信息的保护”。2009 年《刑法修正案（七）》出台后，将出售、非法提供、非法获取公民个人信息的行为认定为犯罪，并设立独立罪名规制个人信息刑事违法行为，为保护公民个人信息奠定了刑法基础。但是入罪上主体和行为认定上过于狭隘，将犯罪主体限制为“国家机关或金融、电信、交通、教育、医疗等单位及其工作人员”，犯罪对象范围局限于犯罪主体在履职过程中获得的个人信息，客观行为限定为“出售、非法提供”“非法获取”。《刑法修正案(九)》出台后对罪名进行整合，正式设立了“侵犯公民个人信息罪”，犯罪主体由特殊主体扩大到一般主体与单位，对于个人信息的来源范围也删除原有特殊主体履职过程中获取的限定。随后又以出台司法解释的方式将受刑罚保护的个人信息范围进一步扩大，囊括了包括姓名、身份证号码、通讯方式、住址、账号密码、财产状况及行踪轨迹等在内的信息。以扩大犯罪主体、犯罪对象、个人信息范围的方式拓展了涉个人信息犯罪的犯罪圈
2.侵犯公民个人信息类犯罪刑罚严苛化趋势
侵犯公民个人信息类犯罪刑罚演变过程中并未对刑罚种类进行变动，仍旧由自由刑和财产刑构成，仅在自由刑的最高刑期、财产刑的施加方式以及增加量刑等级等方面加大了刑事打击力度。在自由刑方面，《刑法修正案（七）》之前涉个人信息类犯罪最低可判处的刑罚为“单处罚金”，其次为限制人身自由的拘役，最高有期徒刑年限不过为“三年以下”；《刑法修正案（九）》对最低刑罚并未调整，仍为“单处罚金”，但在次基础上增加“情节特别严重”的量刑等级，将可科处的最高自由刑刑期提升到“七年以下”，并规定“情节特别严重”情形宣告刑由“自由刑”+“罚金”共同构成，罚金刑处于“并处”状态。另外，将“履行职责或提供服务过程中获得的个人信息，出售或者提供给他人的”情形作为法定从重处罚情节。以提升最自由刑刑期、调整罚金刑适用方式以及增加法定从重处罚情节的方式，加大了对侵犯公民个人信息类犯罪行为的打击力度。此后出台《最髙人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，根据信息数量、违法所得金额等要素予以定罪量刑，此外还根据行为人主体身份、前科劣迹等因素降低入罪标准，相较于之前刑罚，总体刑法规制呈现严苛化趋势。
假设所有的犯罪人均为理性人，以侵犯公民个人信息类犯罪刑事打击犯罪圈不断扩大，刑罚力度不断提升为变量对侵犯公民个人信息类犯罪总数及趋势进行预估：①犯罪圈扩大化与犯罪量呈正相关关系，犯罪总数初期会随着刑事打击范围的扩大化而攀升，但由于刑法威慑作用的存在，犯罪圈内犯罪量逐渐趋于饱和状态，犯罪数量增长速度将不断下降。②刑罚的严厉性与犯罪量呈负相关关系，当犯罪人实施犯罪所耗费的成本远大于其所可能获取的收益，则其犯罪可能性愈小，即，随着个人信息类犯罪刑罚严厉程度的提升，犯罪人可能遭受的刑罚愈严厉，该类犯罪数量应随之下降。当扩大后的犯罪圈趋于稳定状态时，犯罪总量及增长趋势应随着刑罚严厉性的提升而下降，最终该类犯罪占同期总犯罪量的比值，应与犯罪圈范围未扩大时该类犯罪占总犯罪量的比值大致相等。《刑法修正案（九）》颁布实施日期为2015年11月1日，为其犯罪圈趋于稳定，预留两年时间以供潜在犯罪浮出，此后犯罪数量应呈现逐步下降状态，最终其占总犯罪量比值应回落至刑罚等未调整时比值状态，我们可以称此为刑罚严厉程度与犯罪量的平衡关系。
（二）侵犯公民个人信息类犯罪总体态势及特征
1. 侵犯公民个人信息类犯罪总量及严重程度均有上升
(1) 侵犯公民个人信息类犯罪案件数量呈线性增长趋势
从样本的案件数量进行分析，观察侵犯公民个人信息类犯罪整体趋势，根据分析得出的结论对下一年度的犯罪率及潜在风险进行预判。经统计，相关案件呈线性增长趋势。2016年1月至2020年12月上海地区侵犯公民个人信息罪刑事判决书共638份，年均审结案件数量127.6件。2016年至2018年案件数量逐年倍增，2018年升至顶峰，2019年暴露下降趋势，至2020年案件数量逐渐有所下降，但十年间侵犯公民个人信息类犯罪案件总量呈线性增长趋势。
与侵犯公民个人信息类犯罪案件犯罪数量线性增长趋势不同的是，同时期上海地区法院受理的一审刑事案件总数呈现下降趋势。排除可参考性不强的数据，选取2014年至2020年间上海地区受理的一审刑事案件数量及涉个人信息类犯罪案件数，得出数据如下图所示：
数据筛选年度范围内，涉个人信息犯罪占犯罪总数的比例变化趋势大致和涉个人信息犯罪案件数量变化趋势相一致，但因涉个人信息犯罪的增长幅度远高于各类刑事案件犯罪总数呈下降幅度，故就犯罪发展整体趋势而言涉个人信息犯罪仍呈增长趋势。
(2) 犯罪严重程度较高
从既有刑事判决书中对于犯罪情节的描述能够对侵犯公民个人信息罪犯罪危害进行反馈。笔者对样本刑事判决书中以“侵犯公民个人信息罪”为案由，分别以“情节显著轻微”、“情节轻微”、“情节严重”、“情节特别严重”为关键词进行数据搜集，结合个案所侵犯的公民个人信息数量进行综合分析，2016-2020年度样本相关情况如下表所示：
与侵犯公民个人信息罪案件总数相比，其中涉及情节特别严重的案件数量所占比重极高，年均占比系数为74.218%。最高人民法院、最高人民检察院联合颁布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》根据信息用途、信息类型和数量、违法所得数额、主体身份、违法犯罪次数和时间等情况，对“情节严重”、“情节特别严重”进行了较为详细的规定，确定了统一的适用标准，其中数量标准的认定中，对于可能应影响人身、财产安全的公民个人信息500条以上即可认定“情节严重”，除此之外的公民个人信息“情节严重”认定标准为“5000条以上”。故在某种层面可反映出，当下涉个人信息类犯罪案件中受侵害的个人信息数量之多已经严重侵犯不特定多数人的个人信息安全，并且由于数据传播过程中的可复制性、不可完全删除等特性，极大增加电信诈骗等下游犯罪的风险，对公民个人财产、人身安全乃至信息公共利益造成巨大威胁，犯罪危害程度虽存在回落迹象，但整体仍呈现呈线性增长趋势。
2. 侵犯公民个人信息类犯罪人特征
(1) 自然人犯罪为主、犯罪职业化趋势凸显
侵犯公民个人信息类犯罪追诉对象多为自然人，在663件一审刑事案件中仅有25件涉及单位犯罪，占比仅为3.77%。从被告人的职业分布来看，其中公司员工251人，无业或无固定职业的约为208人，，农民132人，个体经营者73人。从已破获案件来看，结合《中国犯罪刑事变化与趋势》反馈的信息，当下“内鬼”监守自盗和黑客攻击仍是公民个人信息泄露的主要渠道，利用工作便利窃取、泄露公民个人信息的相关行业内部人员和入侵信息系统窃取公民个人信息犯罪人仍占据绝大部分，房产类、互联网通讯类、金融商贸类、文化教育类是侵犯公民个人信息犯罪的易发高发行业。
(2) 高学历犯罪趋势明显
从犯罪人受教育程度而言，侵犯公民个人信息类犯罪案件中46%的被告人接受过大专及以上高等教育，接受过中等学历文化教育的被告人占比为27%，初中文化水平的被告人占比22%，仅5%的被告人为小学文化水平。近半数的罪犯接受过高等教育。在判决书中发现，一部分犯罪人并不认为非法获取和非法提供他人信息是犯罪行为，最多是违法行为或侵权行为。这说明在法定犯逐步递增的同时，民众法律意识仍有较大提升空间。
(3) 个人信息犯罪共同犯罪趋势提升
从已有统计数据显示，2011-2020年内侵犯公民个人信息类犯罪中共同犯罪案件数量逐年增长，共同犯罪指数呈上升趋势；2017年至2020年间中平均每起侵犯公民个人信息类犯罪案件约有1.49位被告人，被告人数呈复数形态，作案模式趋于团伙化，犯罪行为内部分工也更为明确。
3. 侵犯公民个人信息类犯罪行为复合化、智能化程度高
(1) 犯罪手段呈多样化、网络化趋势
在后疫情时代及电子支付的普及的当下，公民个人信息以电子数据形式储存、传输、处理逐渐成主流，与之相对应的是侵犯公民个人信息类犯罪中犯罪手段趋于多样化且利用网络实施侵犯公民个人信息罪案件数量占据高位。
多样化的作案手段加上犯罪人利用网络空间中海量数据作为“掩体”，不具有实体犯罪现场，案件侦查难度大幅提升。
(2) 犯罪流程呈现产业化特点
个人信息附着价值随着信息技术手段的提升而不断增强，与此同时侵犯公民个人信息犯罪也逐步形成较为成熟的犯罪产业链，具体表现在：犯罪人员职业化、犯罪手段智能化、交易模式订单化。由于犯罪的违法成本低、犯罪收益高，作案人员趋于职业化，犯罪人员将侵犯公民个人信息犯罪为产业进行经营，人员内部分工根据“信息获取、信息传播、信息使用”等不同阶段而具备更为明确的分工，相对应的实行企业化的组织与管理。作案手段的多样化与智能化趋势提升了犯罪人员非法获取个人信息的效率，互联网作为犯罪空间所具备的虚拟性与不可接触性也使得犯罪行为更为隐蔽、侦查难度更高。另一方面，随着侵犯公民个人信息犯罪的黑色产业链不断发展，个人信息的交易模式也呈现订单化的趋势——信息使用者根据需求向信息中介订购所需信息类型，信息中介根据用户需求再向信息获取者购买，信息获取者根据订单需求针对性的非法获取个人信息，使得涉个人信息犯罪中信息利用价值更高，下游犯罪成功率与危害程度也随之提升。
(3) 下游行为犯罪风险高
据统计，样本案件中受侵犯公民个人信息主要可以分为身份信息、财产信息、交易信息和通信信息四类（具体如图示）。
个人信息被非法获取、出售不仅会使得公民个人日常生活饱受各类推销骚扰电话的困扰，因信息泄露出的公民个人收入情况、家庭住址、家庭成员等信息也会成为犯罪分子实施绑架、敲诈勒索等恶性犯罪的重要工具，成为滋生下游犯罪的温床，在样本案件中设定“数罪并罚”为关联词进行搜索得出案件数65件，侵犯公民个人信息类犯罪案件与其他犯罪关联度较高，关联犯罪罪名虽未止步于诈骗、信用卡诈骗等罪名，但仍可显示出，侵犯个人信息和个人信息泄露是电信网络诈骗的源头。
据数据显示，目前电信网络诈骗案件90%以上是不法分子通过获取的公民详细信息而实施的精准诈骗。2019年全国检察机关起诉电信网络诈骗以及利用网络赌博、泄露个人信息等犯罪嫌疑人71,765人，同比上升 33. 3%。以“公民个人信息罪”“诈骗”为关键词并列检索，2011年至2015年期间利用个人信息实施诈骗的年均案件数为11.6件，2016年至2020年期间利用个人信息实施诈骗的年均案件数为23.2件。侵犯公民个人信息犯罪与诈骗罪两者相关度逐渐递增。可见侵犯公民个人信息类犯罪的下游犯罪行为泛滥，有关个人信息交易的“黑灰产”逐步成型为侵犯公民个人信息类犯罪防控带来极大阻碍。
从以上数据统计及分析来看，侵犯公民个人信息犯罪领域的刑法规制路径采取扩大犯罪圈以及提升刑罚严苛性进而实现对犯罪的打击与预防作用，然而从涉个人信息犯罪总量、犯罪严重程度的上升趋势以及犯罪人的职业化、高学历化特征结合当下犯罪行为产业化、智能化的特点，似乎刑法规制路径未能对涉个人信息犯罪发展趋势进行有效遏制。
二、侵犯公民个人信息类犯罪刑法规制路径失灵原因探析
将侵犯公民个人信息类犯罪的刑法立法趋势与犯罪趋势结合，可以看出当下个人信息类刑法规制路径面临的问题：
以刑法路径对涉个人信息类犯罪进行规制中预设的刑罚效益在于——以刑法的严苛性遏制犯罪的增长率，具体表现如图示：
《刑法修正案（九）》通过删除犯罪主体的特殊主体要件、增加个人信息概念范畴、扩大构成个人信息犯罪行为的方式对涉个人信息犯罪的定罪标准予以降低、入罪范围的扩大，实现了该类犯罪圈的扩大化。犯罪量因入罪范围的扩大而提升，但在理想状态下，当潜在犯罪几乎全部浮出后犯罪量的变化趋势又会趋于稳定，且由于刑法的威慑作用，潜在犯罪人会对侵犯公民个人信息行为的违法成本进行再次评估，进而减少犯罪可能性。与此同时，刑法规制路径还以提升法定刑、精准量刑标准等方式进一步加强刑罚的威慑性，打破原有的涉个人信息犯罪“低成本—高收益”中犯罪效益模型，达到降低犯罪量的目的。当犯罪圈扩大与刑罚严苛化导致的犯罪量达到增减平衡状态时，总体刑罚威慑性增强，犯罪总量下降。
面临个人信息类犯罪多样化的犯罪形态，刑法规制范围不断扩大、刑罚严厉性不减，犯罪数量随着刑罚严苛趋势却“水涨船高”，不仅如此，该类犯罪占所有类型犯罪量的比重同样呈增长趋势。显然是与预设刑法规制相背而行。当下个人信息犯罪中刑法规制路径失灵所面临的危机是由犯罪态势的不断变化、刑罚结构自身之缺陷以及个人信息保护取向转变“内外交困”等多因素导致。
（一）犯罪趋势风险：犯罪特征变化刺激案件总量提升
1. 犯罪动机逐利性强，低成本刺激犯罪产生
涉个人信息类犯罪中将非法获取的公民个人信息用于出售的案件数量为628件，从他人处购买公民个人信息用于实施违法侵权行为的案件数量为281件，利用侵犯公民个人信息行为获取违法所得案件数量为530件。从上述数据可看出，绝大部分的犯罪人实施侵犯公民个人信息的犯罪行为的犯罪动机在于因此获取非法利益，以满足其逐利心理。当下，数据已经渗透到当今每个行业和业务职能领域成为重要生产因素，信息成为重要资源具有极高的交易价值。在此背景下，个人信息的易获取性、高附加价值、可重复利用性，昭示着涉个人信息犯罪低廉的犯罪成本，成为刺激犯罪人实施犯罪行为的重要动机。
2. 犯罪手段隐蔽性强，难取证导致侦查困境
由于公民个人信息收集、储存、处理方式均呈现网络化趋势，涉个人信息犯罪的犯罪手段亦随之变更呈现网络化趋势，以互联网为主要犯罪空间具备虚拟性特征。在具体犯罪行为上，除原先的“码商”、“卡商”、“号商”等非法获取、买卖个人信息途径外，大量利用木马、撞库、爬虫等技术手段窃取个人信息，再通过网络空间进行倒卖的犯罪手段异军突起，此种犯罪手段具有非接触性，利用网络技术实施犯罪，不存在明显的实体犯罪现场，被害人对自身权益受损难以察觉，不能及时发现损失，被害人对于个人信息泄露后遭受的骚扰电话、垃圾营销等警惕性不强，对个人信息价值认识不足，往往不会选择通过报警解决个人信息泄露问题，往往直到遭受电信诈骗、网络盗窃等犯罪时才意识到个人信息所受侵犯的严重性。因此公安机关难以获取涉个人信息犯罪的案件线索，涉个人信息犯罪事前发现、事中制止和事后挽损困难，另导致大量潜在犯罪未能进入刑事审判视野，犯罪黑数大。
涉个人信息犯罪手段的网络化对客观犯罪痕迹的收集带来极大的挑战，另由于大量个人信息以电子数据形式储存在虚拟互联网空间内，易被删除和篡改且难以留痕，一旦犯罪人在刑事侦查之前销毁该类电子数据则会导致案件关键证据材料的灭失，极大提升案件侦查取证难度。
3. 犯罪产业成熟度高，长链条难以全面打击
涉个人信息类犯罪的各环节和内部结构逐渐形成精确分工、相对完整，集个人信息非法获取、出售、购买、倒卖、使用为一体的犯罪产业链。大致可分为信息的泄露阶段、传播阶段、非法使用阶段，信息获取者、传播者、使用者分工明确、配合紧密，各自以直接或间接模式实施侵犯公民个人信息的犯罪行为。
涉个人信息类犯罪中犯罪环节相对较多、犯罪链条相对较长。据统计，一起涉个人信息犯罪案件，从信息泄露到非法使用，犯罪链条少则4、5条，多则7、8条，公安机关难以全面打击。且由于案情较为复杂，在实务中往往只能选择少数容易查证的线索进一步开展侦查，难以对整个犯罪环节中涉及的全部人员进行全面深入的调查。，对整个犯罪产业链影响不大。
（二）立法趋势风险：公民个人信息取向的转变及相关保护缺位
1. 信息管理方式粗犷，信息保护与利用关系失衡
数字经济时代，数据已经成为最重要的生产资料。在社会治理领域，大数据造成为政府提升社会治理效能的重要手段。行政管理的有效实施必然要求政府详细、准确的掌握其管理对象与其职权范围相关的个人信息。因此对个人信息的利用是必不可少的，禁止对个人信息的利用既不符合现实也不符合时代发展要求。尤其是在疫情爆发背景下，处于防控需要收集和使用公民个人信息对于疫情防控、国家安全有着极为重要的意义。然而，数据“黑灰产”、电信诈骗频发，基于个人信息数据的非法犯罪层出不穷，对非法利用个人信息的保护需求也同样迫切。如何通过制度设计，在促进大数据产业健康发展的同时，遏制信息犯罪行为是当下面临的重要政治抉择。《个人信息保护法》以及《中华人民共和国民法典》（以下简称《民法典》）在原则性的指出“自然人的个人信息受法律的保护”，有对个人信息的处理等提出了明确、具体的条件，系国家从立法层面渴望填补我国对个人信息保护公法为主、私法缺失的困境，探求公民个人信息保护与利用之间的平衡。
2. 事先风险防控机制缺位，犯罪与违法、违规界限模糊
个人信息保护应具备系统性，应当涵盖行业自律、民事责任规制、行政责任规制和刑事责任规制等诸多层面。但当前我国尚未正式确立行业的信息保护机制，缺乏有约束的行业规范；针对个人信息侵权的民事侵权救济途径模糊，行政责任规制缺失等情况导致侵犯公民个人信息行为是属于违规、违法的一般不法行为还是严重的犯罪行为难以界定，以至对侵犯公民个人信息罪的打击缺乏精准性，或过于放纵或过于严峻。对于涉公民个人信息犯罪的风险防控仍要依赖于基础前置性保护，再根据本国经济发展和个人信息安全状况，以前置的行政和民法规范为基础，设置相应的刑法条款，促使民、刑、行衔接更协调。
3. 个人信保护路径局限性强，信息公共法益保护不足
个人信息保护路径较为单一，从民事保护路径而言，《民法典》将个人信息分为一般信息和私密信息两类，对一般信息保护以一般人格权为依据参照个人信息保护的规定，私密信息以隐私权为依据进行保护；从刑事保护路径而言，将侵犯公民个人信息罪放在第四章侵犯公民民主权利、人身权利一章，将个人信息根据对公民人身、财产安全的影响而大致分为三类，并根据影响不同而设置不同的入罪和量刑标准，但整体而言对个人信息权利的保护停留在隐私保密阶段。缺乏对涉个人信息类犯罪风险的源头性防控机制，难以起到有效的预防犯罪的效应，对被害人权益救济不足，难以足额弥补被害人因此产生的财产和精神损失。
民事保护路径则以个人权益思维为导向，对个体私益多以侵权路径予以保护。面临个人信息侵权案件集体性轻微损害的特征，民事救济程序启动难，且由于个人信息违法行为的结果多是轻微非物质损害，难以通过金钱衡量。在民事救济程序实施上，当事人面临举证难、损失量化难、因果证明难等三大难点。
（三）司法趋势风险：刑罚效益低下难以遏制犯罪增长
1. 案件侦查阶段时间跨度大，证据易灭失
涉个人信息犯罪中犯罪手段的网络化致使案件涉及的地域范围较广，案件隐蔽性强、犯罪链条长，作案人员之间也缺乏明显的地缘关系。且由于买卖与非法使用个人信息行为往往具有一定“延时性”发案时间与作案时间往往存在的时间间隔，极大的增加了实务中公安机关的侦查难度，往往当侦查机关通过下游犯罪顺线侦查时上游的犯罪行为可能已经过去数年之久。其中大量存储个人信息的存储介质可以已经灭失或损坏，网络犯罪空间的虚拟性也极易导致犯罪现场痕迹遭受破坏，难以从犯罪嫌疑人处获得准确的口供等。
2. 单位追诉率低，法人责任追诉缺失
从上文对犯罪主体的分析可看出，涉个人信息犯罪主体以自然人犯罪为主，在663件一审刑事案件中仅有25件涉及单位犯罪，占比仅为3.77%。其中犯罪人职业又以公司职员占据绝大比例，其非法获取、买卖、使用公民个人信息多是工作所需用于商业推广亦或精准营销，还有部分比例犯罪人就职的公司本身设立目的即是为了从事公民个人信息非法交易。在这种大背景下，法人作为涉个人信息类犯罪中利益最终享有者，其追诉率偏低，导致犯罪收益与犯罪成本比例严重失衡。另一方面，大数据背景下企业过度收集个人信息、超越权限使用个人信息、未经二次授权即再利用个人信息的行为较为普遍，该类行为的行政违法和刑事责任界限模糊，缺乏有效衔接，导致行为评价出现断层。故单位追诉率低，法人责任承担比例少的现状加剧了涉个人信息犯罪行为的蔓延，也无法从根本上杜绝该类犯罪行为的扩张，应从源头上解决涉个人信息企业的内部管理和外部监管问题，明确行业自治、行政违法、刑事犯罪的界限，才能实现犯罪风险的源头管控。
3. 个人信息财产权利保护弱，数量认定规则争议大
刑事保护路径中对个人信息保护侧重于其人格权和人身权属性，对于个人信息附着的财产价值关注度不高，故侵犯公民个人信息罪附加刑种罚金金额整体不高，与被害人遭受的损失不匹配。此外，在个人信息的数量认定上，实践中存在较大争议。侵犯公民个人信息罪中个人信息数量是重要的入罪认定标准，同时对于区分罪行轻重也具有及重要的意义，《解释》也相应的对侵犯公民个人信息罪中的信息数量制定以了较为明确的定量标准和认定规则。对于批量信息的数量认定采用“批量信息推定规则”即根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。然而从生效判决中我们可以发现，极少有判决主文对于涉案个人信息数量和犯罪人因此获利数额进行明确的陈述，更鲜有判决对于涉案个人信息的真伪性、重复性作出判断。个人信息数量认定规则不清致使司法实务操作缺乏精准性。
4. 宣告刑轻缓、缓刑适用率高，刑罚威慑性不足
2016-2020年期间所有涉个人信息类犯罪案件中统计的生效判决数量为638件，数罪并罚案件数65件，涉及被告人数为787人，其中仅1人免除刑事处罚，其余786人均给予了刑事处罚。
从2016-2020年的侵犯公民个人信息罪中随机筛选205个被告人，其有期徒刑刑期分布如下图示意，以不满一年的有期徒刑适用最高，位列第二、三位的刑期分别为1-2年和3-4年。
如将该年段所有涉个人信息类犯罪与下游犯罪竟合后有期徒刑刑期进行统计，有期徒刑刑期范围分布仍旧以三年以下范围占据绝大比例，宣告刑明显呈轻缓化趋势。
从主刑的适用情况来看，有期徒刑适用率为70.21%，拘役适用率为29.79%。
附加刑罚金适用率最高，主刑中有期徒刑适用率远高于拘役，有期徒刑及拘役的缓刑适用率约为69.51% 。刑事判决中情节严重犯罪占比64.16%，情节特别严重占比38.81%，但是与量刑情节对比，从轻处罚案件占比93.07%，从重处罚金占7.92%，宣告刑中缓刑适用率高。随着移动互联网时代的到来，个人信息的价值体现在各种法益层面，是一个贯穿个人、社会和国家法益的多层次体系，关系到个人安全、社会秩序和国家安全。而司法实践中对侵犯公民个人信息犯罪刑罚适用轻缓化的现状与犯罪严峻态势脱节，犯罪与刑罚的“成本—收益”模型中，犯罪实施的成本较低而收益较高，犯罪人逐利心理作祟成为其实施犯罪的诱因。
（四）个人信息暴露后个人权利救济风险
1. 民事诉讼中被侵权人诉讼能力弱、维权难
在侵犯公民个人信息犯罪群呈现网络化趋势下，相关个人信息以电子数据形式呈现，信息的实际处置权掌握在侵权方手中，起诉前如相关信息被删除则被侵权人难以举证，加大了当事人证据收集的难度和诉讼请求固定的难度。个人信息权利属性系人格权附属财产利益，但实践中侵权行为与经济损失间因果关系难以认定，即便认定因果关系后侵犯公民个人信息导致的相关经济损失评估困难。
2. 刑事诉讼中被害人权利救济途径不畅通
刑罚趋向轻缓化，在个人信息保护上侧重对隐私权的保护；实务刑事案件审理中退赔率低，且由于刑事诉讼与民事诉讼在保护法益上的差别，对于被害人的经济损失保护不足。
涉个人信息类犯罪中个人信息的泄露与非法利用涉及的被害人数极为广泛，就犯罪后果而言，不仅会对于公民个人的日常生活带来巨大的困扰，一旦涉及下游犯罪，被害人还可能遭受各类网络诈骗的侵害。但经统计，样本案件判决结果中187件对作案工具予以没收，267件对涉案违法所得予以追缴、没收或赔退，另有约三分之一的案件未对犯罪人的违法所得和作案工具进行处理。
再者，根据《刑事诉讼法》之规定，被害人由于被告人的犯罪行为而遭受物质损失的，在刑事诉讼过程中，有权提起附带民事诉讼。而在涉个人信息类犯罪中，部分被害人会因个人信息泄露后下游犯罪而产生实际经济损失，该部分损失可以在刑事案件审理中以提起附带民诉讼的方式予以主张；但实践中绝大部分个人信息泄露的被害人所遭受的损失多在于因个人信息泄露而对正常生活秩序造成的不良影响、名誉损失等，该种损失难以物化，且举证困难，根据现有的诉讼规则，刑事附带民事诉讼中仅能对遭受的物质损失予以主张，诸如名誉损失一类的精神损失不在可主张的范围内，存在被害人权益救济途径不畅通的困境，绝大部分潜在被害人认为即便遭受了不法侵害，进行报警进行处理也难以维护自己合法权益，徒做无用之工，故降低了潜在犯罪的报案率，加剧犯罪黑数现象。
3. 个人信息民事公益诉讼制度运行受阻
2021年11月1日《个人信息保护法》正式颁布实施，第一次以法律规定的形式确立了涉个人信息民事公益诉讼制度。个人信息民事公益诉讼在此之前已经试行了近三年，但实际运行仍存有较多阻碍。
样本案件中筛查出涉个人信息民事公益诉讼案件共97件，案源均系从涉个人信息犯罪侦查中获取，其中96件由检察机关以刑事附带民事公益诉讼模式提起，1件由检察机关以人格权民事公益诉讼方式直接提起；另有1件因涉消费者个人信息泄露，由消费者权益保护协会提起消费民事公益诉讼。
个人信息犯罪中被害人权利救济途径绝对依赖涉公民个人信息类犯罪案件附带提起民事公益诉讼模式，检察机关几乎是提起诉讼的唯一主体，个人信息民事公益诉讼提起方式、提起主体均呈现严重单一化态势，涉个人信息公共利益的保护缺乏独立保护，对刑事公诉的依附性较高。从诉讼请求设置来看，多数案件涉及两个及以上诉讼请求，诉请提起呈现“复合型”诉请模式。其中以删除信息停止侵害、赔礼道歉为代表的“风险消除型”“人格恢复型”诉请占据绝对比例，以支付赔偿金为代表的“损害赔偿型”诉请案件数为46件，诉请金额以“侵权人因此获利金额”作为替代性标准，回避个人信息侵权行为所致实际损失金额认定难点，该适用标准单一且缺乏合理性，赔偿范围并未得到充分主张，个人信息受侵害导致的损失填补不足。个人信息公益诉讼在运行机制上也存在诸多困境：立案阶段，起诉资格及顺位不清、受案范围不明；审判阶段，公益损害认定标准缺失、诉请价值定位不足、赔偿结构不合理，诉权处置受限；执行阶段，胜诉所得利益管理规定空白等诸多问题。难以满足个人信息保护对多样化救济途径的需求，也无法实现个人法益与公共法益平衡、权益维护得以落实的实际问题。
从上文对涉公民个人信息类犯罪特性、趋势与相应刑事立法、司法趋势的分析可看出：当下以刑法为主导，“事后救济为主，事先防控缺失”的涉个人信息类犯罪防控机制，在大数据泛个人信息化时代已然逐步失灵，面临“内外交困”的难题。从刑法内部风险而言，刑罚效益低下，对涉个人信息类犯罪缺乏源头惩治，现有的刑罚未充分考虑犯罪发展的自身规律，难以实现惩罚与预防犯罪目的的最佳平衡；此外刑法防控机制缺乏对个人信息类犯罪中被害人的充分救济；从刑法外部风险而言，随着《个人信息保护法》的出台，个人信息的范畴与刑法所保护的个人信息范围不一致，个人信息未能根据不同敏感等级、不同类型而得到不同的救济途径；且“事先风险防控机制”的缺失，导致刑事违法与行政违法、民事侵权行为之间界限模糊，当事人的权利救济途径单一且缺乏有效性。
三、信息分类分级为基础，构建侵犯公民个人信息类犯罪体系化防控路径
“刑法在根本上与其说是一种特别法，还不如说是其他一切法律的制裁力量。”刑法作为国家机器的支柱，以国家强制力保障实施，以刑罚固有的惩罚性和威吓性成为打击犯罪的重要手段，但其作为维护社会稳定的“最后一道防线”始终处于社会治理模式中的末端治理部位，只有当诸如道德、宗教、文化、习俗或者其他法律手段无法有效调整社会关系、处理违法行为时，才能动用刑法来惩治犯罪，以免其过度介入导致对公民人权的侵犯，进而导致不必要的损害。这一特性也使得刑法从本质上不具备从源头上对犯罪行为进行堵截和阻断的能力。
现有侵犯公民个人信息犯罪风险防控路径在风险化解优先级上存在错位，忽视民事、行政力量对风险化解的作用，以本应作为“最后一道防线”刑事防控为主线，导致现有路径无法充分实现对侵犯公民个人信息犯罪风险的化解。故笔者认为，应围绕信息分类分级管理、强制义务、社会责任、政府监管下的多元共治等要点，结合个人信息自身特点，从民、行、刑三领域进行程序优化以实现对个人信息犯罪风险进行分流的目的，增强个人信息保护实效，促进信息利用与保护之平衡。
（一）夯实基础：信息分级为体系化防控路径提供制度支撑
《个人信息保护法》的出台一改此前我国对个人信息粗放式管理政策，对个人信息民法保护法律体系散乱且缺乏统一的立法标准的现象予以修正，在《民法典》基础上，构建了以《个人信息保护法》为核心的个人信息民法保护体系并对“个人信息分类分级制度”进行了初步规定，然而，《个人信息保护法》中对于信息分级制度的构建尚显青涩，实质上对个人信息受侵害后相应民事、行政、刑事责任进行划分界限仍存在混同现象。个人信息分级制度构建旨在实现公民个人信息人格权和社会公共利益双重保护目标，并在个人信息保护和利用之间寻求平衡。构建信息分级制度，通过将个人信息的分类别、分级别，赋予其不同义务主体的监管职责，构建全方位、立体化、多元主体参与的科学、动态的分级保护机制，实现对个人信息违法犯罪风险的全方位防控。
具体而言，所谓信息分类分级，对涉及国家安全、社会秩序、公共利益与公民个体权益等不同利益性质的个人信息，建立义务主体分类管理、个人信息分级管理的保护规则体系。根据个人信息应用场景及对国家安全和重大社会公共利益、公民个体权益的危害程度，将不同领域的个人信息分为三个层次：
以上三层次可依据对公民个人及社会秩序、国家安全的影响程度分为低、中、高三类风险等级。对个人而言，个人信息风险等级不同，自身对信息处分的注意义务不同，高风险信息的授权应更为审慎；在权利救济层面，被侵犯信息风险级别不同，所拥有权利救济途径也不同。①一般信息，对个人生活、人格尊严、隐私等几乎不会造成危害，如个人感觉权利边界被侵扰，可通过向监管部门投诉的方式，让监管部门对相关侵权人进行通知整改或责令改正等方式进行救济，如公民个人认为投诉不能完成自身对权利的救济，可以自行提起民事诉讼；②受控信息，对个人生活正常秩序、人格尊严的维护、个人隐私的保护上存在一定影响，如被侵权可能造成公民个人人格权、隐私权、财产权相关权益的受损，故可以赋予公民个人除投诉外提起民事诉讼的权利，同时由于公民个人诉讼能力欠缺，在能证明案件基本事实存在并提供相应线索（无需非常明确）的情况下，可以提请人民检察院支持起诉，协助进行证据收集等问题。③重要信息。不仅对公民个人在人格尊严、个人隐私、财产权益等方面存在重大影响，个别特殊身份的公民个人信息的暴露可能还会涉及商业秘密和国家安全等问题，对社会公共利益也会造成重要影响，故除上述救济途径外，另可通过刑事诉讼实现对公民个人信息之保护。
对信息处理者而言，个人信息风险等级不同，处理规则不同，征得同意的方式随着风险等级的提升也逐渐严格；信息处理过程所负义务上，对个人信息分级分类管理，依据风险等级不同实施不同的安全技术措施。例如，在当前cookie技术进行公民个人信息抓取进而分析用户偏好等信息采集方式泛滥的情况下，如一味禁止技术对信息的流通对造成极大影响，而信息流通又是赋予信息价值的重要途径，所以可以针对性的对于低风险等级的个人信息不禁止技术抓取，但对于中、高风险等级的个人信息储存系统应设置配套的防火墙对cookie技术及类似信息随机抓取技术进行防控，防止通过对信息整合分析后可识别特定个人的技术路径；在法律责任承担上，依据侵犯的公民个人信息风险等级不同承担的责任不同，低风险等级的信息违规处理可设置行业内部警告处理以及行政主管机构的责令改正、警告、罚款等行政处罚方式，中、高风险风机的个人信息违规、违法处理除上述责任外应承担责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，没收违法所得，对直接负责人员和其他直接责任人员处以罚款的方式，并向社会公众公示其处罚。
对信息监管部门：依据信息风险分级设置不同等级的行政处罚方式，设置信用档案，对违规、违法信息处理者的行为进行公示，低风险等级的违规行为进行公示或者责令改正、没收违法所得、警告、罚款的模式；对中、高风险等级的违规行为，除上述途径外对直接负责的主管人员和其他责任人员进行处罚，责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，对于涉及不特定多数人的信息处理违法行为，可以职权提起行政公益诉讼；对于公民个人因信息侵权提起的民事诉讼，但因证据收集存在困难的，依当事人申请应配合进行证据收集提供；疑似涉及犯罪的行为及时移交公安、检察院进行侦查。
（二）源头治理：信息义务主体分类实现信息保护穿透式监管
以信息分类制度为基础，进行信息义务主体分类，并据此构建个人信息保护的穿透式监管模式——向上识别个人信息的最终使用者，向下识别个人信息的信息采集者。
所谓信息义务主体分类，即是根据个人信息使用场景及获取方式的不同对其区分不同类型的义务主体，并相应的赋予其个人信息保护义务、监管责任。并根据信息处理者的义务履行能力。对公共利益的影响程度等因素设定加重义务规则或义务豁免规则。对于具有有显著公共性的平台型信息收集使用者，应当加重其义务，要求其履行额外的积极作为义务。首先应以国家公权力监督为主导，设立专门数据保护机构。公权力监督为主导的自上而下的模式，设立专门数据保护机构，负责对企业或组织的数据处理进行监督，对违法数据收集行为进行审计、调查、处罚和制裁，要求处理数据的企业或组织配备专门的数据保护专员，专员需要接受数据保护委员会的管理，在企业或组织发生个人数据操作违规时需承担相应责任。
而个人信息保护的穿透式监管方向可分为向下的信息采集端穿透和向上的信息使用端穿透。信息采集端穿透主要是针对个人信息的第一次获取阶段，通过信息采集者的备案与监管对信息所有者进行排摸，对潜在风险进行把控，审查信息采集是否符合处理规定；信息使用端穿透则主要针对的是个人信息的二次流转阶段，审查信息采集者与信息最终使用者信息交易过程是否符合监管规定、是否涉及利用格式条款告知方式迫使用户同意，减轻或免除自身义务。信息义务主体分类下的信息穿透式监管可强化信息流转、使用过程中各信息处理者的个人信息保护强制性义务与社会责任。
（三）事中防控：个人信息侵权民事救济路径的完善
1.明晰个人信息价值属性，厘清信息保护范畴
个人信息法益属性系公共利益与个人利益的融合。随着收集、存储、分析数据能力的不断攀升，个人信息所附着的利益也更为丰富，除了信息主体的人格尊严与自由利益外，个人信息所具备社会性、工具性、功能性等社会价值催生了信息使用者的利益。此外，为了保障社会秩序和公共利益的实现，个人让渡出附着在信息上自身部分或全部权利，又使得个人信息兼具公共利益属性。一旦信息处理不当，不仅个人私益将面临危机，他人和整个社会公共利益也直面减损风险。
个人信息权利属性兼具人格权与财产权。个人对其自身信息所享有的相关权利是人格的重要组成部分，《民法典》将个人信息编入“人格权编”，并将信息分为“一般信息”“私密信息”两类，将“私密信息”纳入隐私权保护范畴，是从民事立法领域对个人信息一般人格权及隐私权属性的直接确认。但随着社会经济浪潮发展，自然人的姓名、肖像等诸多人格利益经过允许可被商业化利用，部分人格利益逐步呈现出的财产利益属性。在大数据智能分析时代，个人信息在流通过程中显露出的交易价值使其被赋予了明显的经济利益也是现代社会精神性人格利益商业化的典型。
故只有充分尊重个人信息权利属性与法益属性的复杂性，对信息衍生的财产性权利和公共利益予以正视，才能真正构建完善个人信息保护体系。
2. 依据不同信息义务主体，区分设置归责原则
当个人信息遭受侵害时，民事防控路线为信息权益救济提供一般侵权规定和网络信息侵权的特别规定，但在归责原则上，上述路径均采用一般过错责任原则，即以行为人主观上的过错为承担民事责任的基本条件。但在出具处理电子化、网络化的背景下，个人信息受侵害的侵权行为链条较长，往往存在多个信息实际控制方和多个处理环节，认定信息处理者在此过程中存在过错的难度较大，不利于信息主体及时维权，故根据信息义务主体的不同而区别化设置归责原则具有必要性。
具体措施可以《个人信息保护法》为基础，针对信息类型、信息使用场景、信息具体使用者的不同区别对其设置对应义务，并根据信息处理者的义务履行能力、对公共利益的影响程度等因素加重其义务规则。国家机关或履行个人信息保护职责的部门及其工作人员，对个人信息的掌控能力较一般主体更强，故在涉及个人信息侵权规则认定上应适用无过错责任；个人信息跨境提供的信息处理者，因其处理的个人信息系向境外提供，如在此过程中个人信息收侵害、泄露，所导致的损害后果或涉及国家安全，其风险等级也较高，故对此类信息侵权应适用过错责任推定原则；针对利用自动化决策方式等进行个人信息处理的信息处理者，其对信息的控制能力虽弱于国家机关，但其作出的抉择对个人权益或存在重大影响，故亦应适用过错责任原则；对于非采用自动化决策或大数据处理分析的一般信息处理者，其对数据信息的掌控能力较弱，可适用一般过错责任原则。
3. 丰富信息侵权责任类型，侧重预防性风险防控责任
个人信息受侵害后的损害后果既包含秩序利益也包含经济利益，主要体现在对法律秩序、道德秩序的损害上，对经济利益的损害呈现间接性。而秩序利益的损害难以用金钱衡量，间接经济利益损害金额难以固定，总体而言侵害个人信息造成的损失难以量化，损害赔偿认定缺乏统一规范的评估鉴定方法和标准。实践中参照侵权责任法相关规定对难以认定实际损失的按照侵权人获利数额认定赔偿数额，但孤立信息交易中获利金额与其泄露对不特定公众的生活以及社会信息管理秩序所造成的损害并不呈正比，现有损害赔偿认定标准单一且缺乏合理性，赔偿范围并未得到充分主张。另一方面，追回、屏蔽、删除涉案的个人信息，需要相应的技术手段和人力物力，主张和支持停止侵害、排除妨碍、消除危险的诉讼请求，需要技术方案或者替代方案。当下诉讼请求的结构与实践中的主张对个人信息公共法益损失填补不足，难以起到排除现实危害及将来风险预防的作用。
对此可在传统侵权责任的损害填补责任原则上，对个人信息侵权行为增设损害预防型责任和惩罚性损害赔偿责任。损害预防型责任即，对于个人信息侵权尚未造成实际损害后果发生，但具备现实危险性，即可主张要求其停止侵害、消除危险、删除或进行匿名化处理等。惩罚性赔偿则是对个人信息被侵权人的一种超损失赔偿制度，主要是针对侵权行为人的惩罚和遏制功能，当下在个人信息领域对惩罚性赔偿制度的适用仅限于消费过程中信息处理者对消费者个人信息的泄露，对于其他一般个人信息主体的信息侵权案件中并无适用依据。笔者认为，消费者信息侵权本质上也系个人信息侵权行为，信息主体因信息泄露遭受的损害不因其消费者身份与否而导致损失的增加或降低，且个人信息侵权案件原告当事人所能主张的实际经济损失并不能充分填补其因信息泄露导致的生活秩序的损害，故在普通个人信息侵权案件中探索惩罚性赔偿制度，进而起到对信息泄露行为的惩治、预防与遏制具备一定可行性。
4. 完善信息公益诉讼制度，防止信息保护“公地悲剧”
随着个人信息附着利益的复杂化，一旦信息处理不当，不仅个人私益将面临危机，他人和整个社会公共利益也直面减损风险。当下个人信息保护机制无法满足信息公益减损的防控需求，信息公益诉讼可消解诉讼主体不平等与维权率低下问题，也更符合未来网络与信息立法趋势。
个人信息保护属于公益诉讼新领域的，虽然个人保护单行法已然面世，但其立法和制度建设之根基尚十分薄弱：一方面，办理此类案件的立案标准、起诉条件、诉讼请求等实体和程序规定尚未规范，起诉案件受理环节容易产生分歧；另一方面，涉及个人信息的各类违法情形、法律责任以及行政机关的监管职责有待法律明确规定，个人信息公益诉讼在很多方面无法可依。
以“信息分类分级保护”为切口，将个人信息公共利益还原为“可感知、可评价、可衡量”的财产及秩序权益，并据此制定“定性+定量”的损害认定标准；围绕信息分类分级管理、强制义务、社会责任、政府监管下的多元共治等要点，建立“社会组织为主，行政、检察为辅”的诉讼主体架构，修正个人信息公益起诉资格范围。结合个人信息民事公益诉讼自身特点，对个人信息民事公益诉讼制度进行优化，增设审前程序、制定审判阶段证据转化适用规则、诉讼权利处分规则及胜诉所得利益管理规则，对解决群众日益增长的个人信息公益保护需求与个人信息民事公益诉讼相对落后之间的矛盾有建设性意义。
5. 加强个人信息民事检察协助工作，引入检察院支持起诉制度
在保障当事人合法利益的前提下，防止滥诉、恶意诉讼的出现，构建宽严有度、尺度明晰的裁判标准。在个人信息民事侵权引入检察院支持起诉制度。对于低风险信息侵权救济途径以民事诉讼为主，但由于个人信息类案件中存在侵权主体难以确定、个案损害结果难以证明、证据获取和因果关系认定难度大等现实困难。故可引入检察院支持起诉制度，对于弱势群体、被侵权人数众多等个人信息侵权案件，根据《人民检察院民事诉讼监督规则（试行）》规定，依职权受理或依当事人申请进行支持起诉。同时，根据不同来源的案件设置不同启动程序。依职权发现案件应设置通知关节对被侵权人履行通知和告知义务，经被侵权人同意后方可进入下一办理环节；依当事人申请的经评估符合支持起诉条件的可直接受理进入下个环节执法办案工作。在证据转化问题层面，对刑事案件中已形成的证据可以直接采用，对未入刑案件可借鉴《人民检察院民事诉讼监督规则（试行）》中对检察机关调查核实权的类型和权限进行调查核实，以取得有力证据。
（四）事后救济：侵犯公民个人信息类犯罪刑罚效益的提升
1. 信息分级、责任主体分类，促进个人信息犯罪定罪量刑精准化
(1) 个人信息分级，优化信息犯罪构成要件认定标准
在侵犯公民个人信息罪的构成要件上我国采用“定性+定量”的立法模式。以个人信息法益性质的界定作为区分个人信息类犯罪与相关罪名的关键，通过对个人信息附着利益价值的肯定为基础，以其犯罪行为反映的客体性质、客体造受的侵害程度，进而对行为是否入罪进行定性评价。
目前最高人民法院发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》已经具备个人信息分类分级的初步意识，将个人信息依据对人身、财产安全所能造成的影响程度分为“直接威胁人身、财产安全的信息”“可能影响人身、财产安全的信息”和“上述信息之外的信息”，并根据法益侵害程度的不同，分别设置50条、500条、5000条的不同数量标准作为判断是否构成“情节严重”的依据，但整体而言其犯罪构成要件仍侧重“侵权人违法所得、侵权造成的经济损失”为主导的“定量模式”。
在信息化时代，定罪量刑的价值逐渐发生变化，由其是在侵犯公民个人信息罪中，个人信息受侵害造成的经济损失数额与犯罪人违法所得数额可能极度不匹配，且因此造成的损失数额量化困难，故对个人信息法益受损的认定不能仅从行为造成的实际侵害或损失加以评价，而应当更多的考虑行对社会秩序、公共利益乃至国家安全的侵害或影响。诸如犯罪数额、物数、人数、次数等传统犯罪中定罪量刑的标准难以继续适用，将个人信息犯罪的定罪量刑标准转为“数额与情节并重”或“以情节为主”的模式。 在犯罪构成的判断上，将信息犯罪行为对国家、社会或个人正常的工作秩序或生活秩序影响，或造成恶劣社会影响等综合情形作为重要考量因素，在具体操作上则可转化成具备可操作性、可感知的定量特征数据进行综合评判，诸如：受侵害的个人信息数量、被侵权人数、信息被传播次数、点击浏览或下载次数等，具体可以通过制定司法解释明确规定其具体数量标准。
在审判理念上强化对刑罚裁量重要性的认识能够让量刑规范化迈出最为关键的一步，彻底纠正审判机关重定罪轻量刑的错误观念。其次，要保证量刑程序的规范化，让程序公正为实体公正保驾护航，尊重控辩双方的量刑意见，控制法官自由裁量权的合理范围，实现裁量的客观与公正。再者，量刑规范化应当借助群众与法院自身、检察院等各方监督的作用，裁判文书中应当详细列明量刑的依据与理由，做好信息公开工作，防止罪行擅断、滥用自由裁量权等违法违规行为的产生。
(2) 义务主体分类，加大信息犯罪法人追责力度
当下刑法条文中对侵犯公民个人信息罪中法人责任追究仅在第二百五十三条中提到“单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该条款的规定处罚”。该条款意味着，如要对单位追究个人信息犯罪的刑事责任，从犯罪构成的主观要件上应证明单位具备侵犯公民个人信息的故意。实践中，具备接收、处理大量个人信息的信息处理者系单位而非自然人个人，单位在信息处理过程中未履行或未充分履行监管义务致使员工借机实施侵害公民个人信息的犯罪行为的案件屡见不鲜。但犯罪主观故意要件阻断了单位在信息处理过程中因未履行监管责任而过失犯罪的可能，一方面，缩小了罪名适用范围，另一方面，《个人信息保护法》第六十六条规定，在处理个人信息过程中未履行个人信息保护义务的应当承担相应的行政责任，构成犯罪的应承担相应刑事责任。该规定实质上是对非故意侵害公民个人信息的行为作出规范，然而刑法条文中并未设置与此对应的过失犯罪条文，暴露了与行政犯衔接不足的问题。故可通过中增设单位过失犯罪的刑事处罚条款予以补充：“单位未履行法律、行政法规规定的个人信息保护义务，导致公民个人信息泄露等严重后果的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该条款的规定处罚。”从刑事角度提升个人信息处理单位的注意义务，完善刑事法律与《个人信息保护法》、行政法规中单位个人信息保护义务的有效衔接，避免刑法在个人信息类犯罪中过度前置，充分发挥民事、行政责任在个人信息犯罪风险防控的效能，以刑事最后一道防线的方式实现权益的最后保障。
2. 建立个人信息犯罪溯源侦查制度，深挖信息犯罪产业链
侵犯公民个人信息犯罪的专业化产业链条以“非法提供个人信息—倒卖—非法获取”等环节构成，以刑事制裁为主导的侵犯公民个人信息犯罪防控路径主要在“非法获取”、“倒卖”两环节进行防控，对于犯罪行为的源头性打击不足，致使大量隐形犯罪难以发掘，犯罪黑数大。源头性行为以刑罚管制措施进行防控无法取得良好效果，应结合个人信息监管与保护中配套制度的构造而完成，对此应以《个人信息保护法》为抓手，做好源头性防控工作，确立“源头打击与过程监控并举”的多层次、全方位防控策略。
一方面，针对个人信息类犯罪频发的下游电信诈骗等类型案件采用“溯源侦查制度”，对该类犯罪中获取的个人信息来源进行倒查，加大犯罪源头打击力度。
另一方面，个人信息类犯罪手段隐蔽、取证困难，证据收集难度大，故在涉个人信息的下游犯罪侦查过程中，规范适用认罪认罚从宽制度，鼓励犯罪嫌疑人尽早认罪、减少对抗。对于利用个人信息实施电信诈骗、网络诈骗案件中，犯罪嫌疑人或被告人能够自愿如实供述个人信息来源的，对于指控的犯罪事实没有异议，同意检察机关的量刑意见并签署具结书的案件，可以适用认罪认罚从宽制度，予以依法从宽处理。对下游犯罪案件的侦查过程中，犯罪嫌疑人能够主动向公安、司法机关或其他有关机关如实供述自己关于侵犯公民个人信息罪的罪行的，或主动揭发他人侵害公民个人信息犯罪行为，向公安、司法机关或其他有关机关提供重要线索，从而得以侦破侵犯公民个人信息犯罪案件、或者协助司法机关抓获其他嫌疑人的，可以根据具体情况适用关于自首或坦白的法定量刑情节，在具体量刑过程中予以从轻或减轻处罚。
在个人信息类犯罪处理过程秉持“宽严相济”、“坦白从宽”刑事政策，源头加大犯罪打击力度，过程中对能够认罪认罚、自首、坦白的犯罪嫌疑人在量刑中充分考虑，鼓励认罪，减少涉个人信息犯罪的侦查取证难度。
3. 完善“公诉+自诉”混合救济模式，拓宽被害人刑事救济渠道
我国现有刑事自诉案件分为三类：①告诉才处理的案件；②人民检察院没有提起公诉，被害人有证据证明的轻微刑事案件；③被害人有证据证明对被告人侵犯自己人身、财产权利的行为应当依法追究刑事责任，而公安机关或者人民检察院已经作出不予追究的书面决定的案件。其中第②类中包括属于刑罚分则第四章、第五章规定，对被告人可能判处三年有期徒刑以下刑罚的案件。侵犯公民个人信息罪隶属于《刑法》第四章，其可能判处的刑罚也符合自诉案件之要求，但目前侵犯公民个人信息罪的刑事救济模式仍以刑事公诉为主导，自诉救济途径形同虚设。一方面与个人信息类犯罪中被害人对自身权益受损难发掘有关，另一方面个人信息类犯罪调查取证难、责任认定难，公诉救济在刑事诉讼中相较于自诉救济途径更具优势。但必须承认的是，单纯公诉救济模式难以适应当下个人信息受损的复杂现状，公安、检察机关在案件来源发掘上也存在较大限制，故有必要完善个人信息类犯罪“公诉+自诉”的混合救济模式，对情节较轻、案情简单或涉及当事人个人隐私的案件发掘自诉救济模式的优势，实现案件程序分流、减轻当事人诉累、弥补公诉救济缺漏，实现救济途径的多元化、启动的便捷化。检察机关可在刑事自诉救济模式中积极发挥其法律监督效用，遵循权力监督和权利救济的检察思维，在立案受理阶段协助明确具体被告、诉讼请求、收集被告人犯罪事实的证据，在当事人撤诉、调解等诉讼活动提供充分检察监督，保障国家刑罚权的实现。
4. 严格个人信息犯罪缓刑适用条件，防止刑罚过度轻缓化
我国《刑法》对于缓刑适用条件规定较为抽象和原则，现有法律规范对缓刑适用条件散见于多个司法解释文件，未形成专门解释而是附属于某些类罪的司法解释中，存在“碎片化”和“附属性”特点。加剧了实践中对于缓刑适用规则可操性不强、随意性强的困境。笼统而言，缓刑适用必须符合“犯罪情节较轻”的前提要件，“没有再犯罪风险”的实质要件同时应兼顾犯罪人本身的悔罪表现因素以及社会影响因素。依据现有法律规定，只要当事人被判处拘役或者三年以下有期徒刑，即可说明其罪行比较轻微，符合适用缓刑的前提要件。在放眼于个人信息类犯罪的司法实践，实际量刑中有期徒刑刑期超过三年的案件数量相较于个人信息犯罪庞大的犯罪总数几乎可以忽略不计，这也意味着绝大部分侵犯公民个人信息罪的被告人几乎均符合缓刑适用的前提要件，故，在此背景下应侧重考虑刑罚的报应因素、特殊预防因素，从“悔罪表现”“没有再犯罪风险”“社会影响”等考察因素进行从严把握，防止涉个人信息类犯罪刑罚过度轻缓化和行刑泛社会化。
具体而言可以参考域外经验中量刑前调查报告制度设置缓刑评估量表，从犯罪人的“犯罪情节”、“悔罪表现”、“没有再犯罪危险”、“社会影响”等常见考察因素出发，对犯罪人以前的违法情况、犯罪行为表述、犯罪情节考量、职业和工作经历、经济状况、教育背景、社区居住期限、被害人陈述、检察机关量刑建议以及社区评估意见等方面全方位评估其人身危险性和社会危害性程度，并根据各因素比重不同分别进行赋值，进而制定更为科学、合理，具备可操作性和可行性的评估量表，促进缓刑适用的规范化。
缓刑评估量表中“犯罪情节”因素考察范围不仅应当包含犯罪手段还“悔罪表现”因素上着重考察犯罪人在犯罪后能够真诚的反省自身过错并积极主动弥补犯罪所造成的损失，其自首、立功、坦白、赔偿损失、退赃、赔礼道歉等行为均可纳入实际考察范围内。“没有再犯罪危险”可以在一定成程度反映犯罪人人身危险性程度。从犯罪人的年龄、性别、教育、职业、生活经历、人际交往、家庭环境等个人情况特征评估犯罪人的性格，对“犯罪情节”“悔罪表现”无法涵盖的对评价犯罪人人身危险性具有重要意义的犯罪行为或犯罪人的所有情况进行评估。此外有必要成立专门的社区影响评估委员会，统计和分析社会影响评估相关的资料，总结社区影响评估的经验和规律，既可以减少现有社区影响评估中社会力量参与程度低的困境，又可以减少基层司法所专职人员配置率低、工作质量难保证的问题。
5. 优化个人信息犯罪刑种配置，提升罚金刑、资格刑刑罚效益
个人信息犯罪的刑罚配置以短期自由刑为主，但在推进国家治理现代化的当下，短期自由刑在实现刑罚目的上的乏力与无力已经遭受公认的批判——其既无法防止轻微犯罪者交叉感染，也不利于轻微犯罪人回归社会，难以彰显刑事制裁的理性、预防和法治等现代化特征。罚金刑及资格刑以有别于其他刑罚方法的独特治理性价值在惩治个人信息类犯罪的功效脱颖而出，故推动罚金刑、资格刑的合理化、精细化变革能够更好契合国家治理现代化背景下对侵犯公民个人信息类犯罪的风险防控需求。
(1) 明确罚金数额认定规则、规范适用标准，提升刑罚实际效用
刑罚都具有使人痛苦的能力，但是这并不是刑罚的最终目的，使罪犯感受到痛苦是向其展示刑罚威慑的一种手段，痛苦乃是向罪犯征收的犯罪成本，通过刑罚的执行的痛苦抵消罪犯实施犯罪获得的收益，增加犯罪成本使其觉得犯罪无利可图。归根结底是调解罪犯实施犯罪行为所耗费的成本与其获得的收益之间的杠杆，以此产生威慑效用，因此只要制定将犯罪行为制造的成本内部化、提高其犯罪成本的最优罚金数额，即可保证罚金刑的合理威慑性，因此可以说罚金刑数额之确定是其保证其合理威慑性的关键。
现有侵犯公民个人信息罪中罚金刑数额规定采用无限额罚金刑模式，刑法仅规定可选处、单处或并处罚金，并未对罚金的具体数额限度进行规定，案件实际判决中人民法院可依据犯罪情节自由裁量罚金的具体数额。该规定过于笼统，对实践操作缺乏精细化指引，由于各地域间经济水平差异加之法官所具备的自由裁量范围过大，同一类型案件可能因为承办法官不同、所处地域不同而所处的罚金数额差异较大，不利于统一裁判标准；个别法官在罚金数额认定上过于保守，罚金数额与犯罪情节不相适应，难以充分实现罚金的制裁效益。故应以相对确定原则、数额适度原则、与自由刑呈比值原则、不断适应通货膨胀原则、相对平等原则等为基础，参照日额罚金制度制，在自由刑与罚金刑之间的相对固定的换算标准，确立较为科学的罚金刑数额认定原则。以被告人的犯罪情节确定其罚金日数，在此基础上参照被告人经常居住地的人均收入水平与被告人自身经济状况确定其每日的罚金数额，两者相乘得出最终罚金总数。日额罚金制在实现量刑客观性和合理性上存在科学依据，同时为罚金易科自由刑提供便利，有利于增强量刑的公开性、精准化。实践中同样存在罚金刑执行难之困境，故为了提升罚金刑完成度，后续仍亟待建立相应的财产调查机制、明确执行主体与执行监督机构，督促罚金刑执行程序的完善，以更好的实现罚金刑的刑罚效益。
(2) 增设个人信息犯罪从业禁止制度，实现再犯罪风险阻隔
从业禁止是《刑法修正案（九）》中基于犯罪预防之目的对利用职业便利等情况实施犯罪的罪犯所设置的一项制度，赋予法院对可能利用职业和职务便利再次犯罪的罪犯采取预防性措施的权利。随着社会控制方式的不断变化，社会联系日益广泛、社会资格日趋重要，人们对于政治权利、执业资质、公民权的重视程度不断提高，剥夺被告人从事某种职业或职位的资格所能达到的刑罚威慑程度随着提升。因此增设个人信息犯罪从业禁止制度，在实现再犯罪风险阻隔层面将起到举足轻重的作用。
个人信息类犯罪中绝大部分的罪犯从事的职业或其资格与其侵犯公民个人信息犯罪行为有强大的关联性。《个人信息保护法》赋予国家网信部门、国务院有关部门、县级以上地方人民政府有关部门在各自职责范围内对个人信息的保护和监督管理职责，上述部门的工作人员如利用职务便利，或者实施了违背其职业要求的保护和监督个人信息义务的犯罪，则可根据法律规定对其适用从业禁止制度。对于违反法律规定处理个人信息，或者处理个人信息未履行法律规定的个人信息保护义务的主体，若构成犯罪的，既可以从行政层面责令其暂停或者终止提供服务，也可以从刑事层面对职业负责的主管人员和其他责任人员适用剥夺从事信息处理的资格或禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人的处罚措施，实现罪犯的再犯罪风险阻隔，以资格刑弥补短期自由刑未能实现的特殊预防目的。
6. 回归追缴赔退制度权利救济功能本位，增强被害人救济实效
追缴退赔制度是财产型犯罪损害赔偿的主要途径，追缴赔退的落实与被害人权利救济实效紧密相关。反观现有个人信息类犯罪案件现实情况，犯罪人履行意愿较低，追缴赔退“空判”情况严重，超半数案件在刑事执行程序中因无可供执行财产而终结，有损司法权威；另一方面，实务中侧重将追缴赔退制度视为程序性救济措施而非实体性救济，公权力机关采取追缴赔退的强制措施并非意味着被害人财产权必然能够得到修复，具体表现为追缴赔退的财产并非直接返还被害人，而是先交由办案机关由其决定是否发还，故被害人财产权的实现在于最终执行行为，而非追缴赔退本身。此外，相较于民事诉讼中损害赔偿的范围，追缴赔退救济范围极为有限，仅限于犯罪人违法所得，赔退的损失也限于直接物质损失，而个人信息类犯罪中被害人个人信息泄露导致的损害后果所体现于正常生活秩序利益遭受的损害，难以物化。因此，为最大程度保障刑事诉讼当事人合法权益，亟需对追缴赔退制度进行再认识，回归其权利救济的功能本位，对制度的运行与执行机制进行优化。
针对犯罪人履行意愿低下、执行难度高的问题，可在量刑程序上将追缴赔退作为重要量刑情节予以考虑，在法定量刑区间范围内，对于积极、足额赔退被害人损失的考虑从轻处罚，以最大化激励犯罪人主动赔退意愿。科学、精细化设置罚金数额，明确追缴赔退与罚金刑之间的界限，矫正犯罪人“赔了不罚，罚了不赔”的错误观念。调整追缴赔退中被害人损失认定中的证明标准，因刑事诉讼中以排除合理怀疑为证明标准，较民事诉讼的高度盖然性标准更为严苛，如在被害人损失认定中采用刑事诉讼过高的证明标准或致不当排除被害人权利救济。因追缴赔退的本质在于实现被害人的权利救济，且不涉及犯罪人定罪这一关键问题，故在追缴赔退制度中被害人损失认定上可参照高度盖然性标准以减少被害人举证难度。在追缴赔退执行阶段积极落实诉讼财产保全制度，适当扩张保全范围、提前保全阶段，避免犯罪人隐匿、转移财产。此外应建立立审执沟通协调机制，实现程序有效衔接，同时应建立追缴赔退清单进行“一物一登记”，以明确追缴赔退的财物名称、数量、金额、被害人人数等具体情况，并随着案件审理、执行阶段的展开对追缴赔退的财产是否发还、发还金额、发还时间、发还对象进行逐一对应登记及时清退。综合以上措施方能最大程度落实个人信息犯罪中被害人权益救济实效。
结语
刑罚的演进过程不可避免的需要顺应时代与犯罪发展态势实际需求。随着数字经济时代的来临，个人信息所附着的利益已然超脱个体权益而成为各个国家和地区重要的战略资产，构建综合性、体系化的个人信息保护和数据立法成为大势所趋。2021年11月1日即将正式实施的《个人信息保护法》为个人信息的系统性风险防控拉开了序幕，但在此之前，对公民个人信息的保护我国一直采用刑法为主导的单一化防控路径，难以应对大量个人信息违法犯罪行为的惩治，刑罚效益低下、司法救济不充分。在此背景下，构建“事先防控为主、事后救济为辅”和信息风险分流的体系化风险防控路径是实现危害防治即时性、责任主体完整性、保护方式多样性、公共利益保障性、保护利用平衡性等特性的必然需求也是应然路径。
大数据语境下，信息处理的普遍性、无序性与制度构建滞后性、司法救济不充分之间的矛盾，已经成为涉个人信息领域大量违法甚至犯罪行为滋生的空间。本文旨在满足危害防止即时性、规则要件缓和性、责任主体完整性、保护方式多样性、公共利益保障性、保护利用平衡性等特性需求的前提下探索研究构建个人信息保护体系化的风险防控体系。通过对侵犯公民个人信息相关犯罪案件数量提取与分析，提炼宣告刑、人数、动机、金额、侵犯次数、信息数量、用途以及是否利用网络等内容并对其进行定量分析，总结出侵犯公民个人信息犯罪的犯罪特征和犯罪趋势，分析出现有防控策略的缺陷和不足，进而提出具有针对性的防控策略。
一、实证考察：侵犯公民个人信息犯罪类刑法规制路径与犯罪形势变化
（一）侵犯公民个人信息类犯罪刑法保护的扩张趋势
1. 侵犯公民个人信息类犯罪圈扩大化
《刑法修正案（七）》颁布实施之前，我国对于公民个人信息的保护附属于金融管理秩序，并未专门设立罪名对侵犯公民个人信息的行为进行规制，仅在其他罪名涉及国家利益、社会利益的时候“顺带实现了对公民个人信息的保护”。2009 年《刑法修正案（七）》出台后，将出售、非法提供、非法获取公民个人信息的行为认定为犯罪，并设立独立罪名规制个人信息刑事违法行为，为保护公民个人信息奠定了刑法基础。但是入罪上主体和行为认定上过于狭隘，将犯罪主体限制为“国家机关或金融、电信、交通、教育、医疗等单位及其工作人员”，犯罪对象范围局限于犯罪主体在履职过程中获得的个人信息，客观行为限定为“出售、非法提供”“非法获取”。《刑法修正案(九)》出台后对罪名进行整合，正式设立了“侵犯公民个人信息罪”，犯罪主体由特殊主体扩大到一般主体与单位，对于个人信息的来源范围也删除原有特殊主体履职过程中获取的限定。随后又以出台司法解释的方式将受刑罚保护的个人信息范围进一步扩大，囊括了包括姓名、身份证号码、通讯方式、住址、账号密码、财产状况及行踪轨迹等在内的信息。以扩大犯罪主体、犯罪对象、个人信息范围的方式拓展了涉个人信息犯罪的犯罪圈
2.侵犯公民个人信息类犯罪刑罚严苛化趋势
侵犯公民个人信息类犯罪刑罚演变过程中并未对刑罚种类进行变动，仍旧由自由刑和财产刑构成，仅在自由刑的最高刑期、财产刑的施加方式以及增加量刑等级等方面加大了刑事打击力度。在自由刑方面，《刑法修正案（七）》之前涉个人信息类犯罪最低可判处的刑罚为“单处罚金”，其次为限制人身自由的拘役，最高有期徒刑年限不过为“三年以下”；《刑法修正案（九）》对最低刑罚并未调整，仍为“单处罚金”，但在次基础上增加“情节特别严重”的量刑等级，将可科处的最高自由刑刑期提升到“七年以下”，并规定“情节特别严重”情形宣告刑由“自由刑”+“罚金”共同构成，罚金刑处于“并处”状态。另外，将“履行职责或提供服务过程中获得的个人信息，出售或者提供给他人的”情形作为法定从重处罚情节。以提升最自由刑刑期、调整罚金刑适用方式以及增加法定从重处罚情节的方式，加大了对侵犯公民个人信息类犯罪行为的打击力度。此后出台《最髙人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，根据信息数量、违法所得金额等要素予以定罪量刑，此外还根据行为人主体身份、前科劣迹等因素降低入罪标准，相较于之前刑罚，总体刑法规制呈现严苛化趋势。
假设所有的犯罪人均为理性人，以侵犯公民个人信息类犯罪刑事打击犯罪圈不断扩大，刑罚力度不断提升为变量对侵犯公民个人信息类犯罪总数及趋势进行预估：①犯罪圈扩大化与犯罪量呈正相关关系，犯罪总数初期会随着刑事打击范围的扩大化而攀升，但由于刑法威慑作用的存在，犯罪圈内犯罪量逐渐趋于饱和状态，犯罪数量增长速度将不断下降。②刑罚的严厉性与犯罪量呈负相关关系，当犯罪人实施犯罪所耗费的成本远大于其所可能获取的收益，则其犯罪可能性愈小，即，随着个人信息类犯罪刑罚严厉程度的提升，犯罪人可能遭受的刑罚愈严厉，该类犯罪数量应随之下降。当扩大后的犯罪圈趋于稳定状态时，犯罪总量及增长趋势应随着刑罚严厉性的提升而下降，最终该类犯罪占同期总犯罪量的比值，应与犯罪圈范围未扩大时该类犯罪占总犯罪量的比值大致相等。《刑法修正案（九）》颁布实施日期为2015年11月1日，为其犯罪圈趋于稳定，预留两年时间以供潜在犯罪浮出，此后犯罪数量应呈现逐步下降状态，最终其占总犯罪量比值应回落至刑罚等未调整时比值状态，我们可以称此为刑罚严厉程度与犯罪量的平衡关系。
（二）侵犯公民个人信息类犯罪总体态势及特征
1. 侵犯公民个人信息类犯罪总量及严重程度均有上升
(1) 侵犯公民个人信息类犯罪案件数量呈线性增长趋势
从样本的案件数量进行分析，观察侵犯公民个人信息类犯罪整体趋势，根据分析得出的结论对下一年度的犯罪率及潜在风险进行预判。经统计，相关案件呈线性增长趋势。2016年1月至2020年12月上海地区侵犯公民个人信息罪刑事判决书共638份，年均审结案件数量127.6件。2016年至2018年案件数量逐年倍增，2018年升至顶峰，2019年暴露下降趋势，至2020年案件数量逐渐有所下降，但十年间侵犯公民个人信息类犯罪案件总量呈线性增长趋势。
与侵犯公民个人信息类犯罪案件犯罪数量线性增长趋势不同的是，同时期上海地区法院受理的一审刑事案件总数呈现下降趋势。排除可参考性不强的数据，选取2014年至2020年间上海地区受理的一审刑事案件数量及涉个人信息类犯罪案件数，得出数据如下图所示：
数据筛选年度范围内，涉个人信息犯罪占犯罪总数的比例变化趋势大致和涉个人信息犯罪案件数量变化趋势相一致，但因涉个人信息犯罪的增长幅度远高于各类刑事案件犯罪总数呈下降幅度，故就犯罪发展整体趋势而言涉个人信息犯罪仍呈增长趋势。
(2) 犯罪严重程度较高
从既有刑事判决书中对于犯罪情节的描述能够对侵犯公民个人信息罪犯罪危害进行反馈。笔者对样本刑事判决书中以“侵犯公民个人信息罪”为案由，分别以“情节显著轻微”、“情节轻微”、“情节严重”、“情节特别严重”为关键词进行数据搜集，结合个案所侵犯的公民个人信息数量进行综合分析，2016-2020年度样本相关情况如下表所示：
与侵犯公民个人信息罪案件总数相比，其中涉及情节特别严重的案件数量所占比重极高，年均占比系数为74.218%。最高人民法院、最高人民检察院联合颁布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》根据信息用途、信息类型和数量、违法所得数额、主体身份、违法犯罪次数和时间等情况，对“情节严重”、“情节特别严重”进行了较为详细的规定，确定了统一的适用标准，其中数量标准的认定中，对于可能应影响人身、财产安全的公民个人信息500条以上即可认定“情节严重”，除此之外的公民个人信息“情节严重”认定标准为“5000条以上”。故在某种层面可反映出，当下涉个人信息类犯罪案件中受侵害的个人信息数量之多已经严重侵犯不特定多数人的个人信息安全，并且由于数据传播过程中的可复制性、不可完全删除等特性，极大增加电信诈骗等下游犯罪的风险，对公民个人财产、人身安全乃至信息公共利益造成巨大威胁，犯罪危害程度虽存在回落迹象，但整体仍呈现呈线性增长趋势。
2. 侵犯公民个人信息类犯罪人特征
(1) 自然人犯罪为主、犯罪职业化趋势凸显
侵犯公民个人信息类犯罪追诉对象多为自然人，在663件一审刑事案件中仅有25件涉及单位犯罪，占比仅为3.77%。从被告人的职业分布来看，其中公司员工251人，无业或无固定职业的约为208人，，农民132人，个体经营者73人。从已破获案件来看，结合《中国犯罪刑事变化与趋势》反馈的信息，当下“内鬼”监守自盗和黑客攻击仍是公民个人信息泄露的主要渠道，利用工作便利窃取、泄露公民个人信息的相关行业内部人员和入侵信息系统窃取公民个人信息犯罪人仍占据绝大部分，房产类、互联网通讯类、金融商贸类、文化教育类是侵犯公民个人信息犯罪的易发高发行业。
(2) 高学历犯罪趋势明显
从犯罪人受教育程度而言，侵犯公民个人信息类犯罪案件中46%的被告人接受过大专及以上高等教育，接受过中等学历文化教育的被告人占比为27%，初中文化水平的被告人占比22%，仅5%的被告人为小学文化水平。近半数的罪犯接受过高等教育。在判决书中发现，一部分犯罪人并不认为非法获取和非法提供他人信息是犯罪行为，最多是违法行为或侵权行为。这说明在法定犯逐步递增的同时，民众法律意识仍有较大提升空间。
(3) 个人信息犯罪共同犯罪趋势提升
从已有统计数据显示，2011-2020年内侵犯公民个人信息类犯罪中共同犯罪案件数量逐年增长，共同犯罪指数呈上升趋势；2017年至2020年间中平均每起侵犯公民个人信息类犯罪案件约有1.49位被告人，被告人数呈复数形态，作案模式趋于团伙化，犯罪行为内部分工也更为明确。
3. 侵犯公民个人信息类犯罪行为复合化、智能化程度高
(1) 犯罪手段呈多样化、网络化趋势
在后疫情时代及电子支付的普及的当下，公民个人信息以电子数据形式储存、传输、处理逐渐成主流，与之相对应的是侵犯公民个人信息类犯罪中犯罪手段趋于多样化且利用网络实施侵犯公民个人信息罪案件数量占据高位。
多样化的作案手段加上犯罪人利用网络空间中海量数据作为“掩体”，不具有实体犯罪现场，案件侦查难度大幅提升。
(2) 犯罪流程呈现产业化特点
个人信息附着价值随着信息技术手段的提升而不断增强，与此同时侵犯公民个人信息犯罪也逐步形成较为成熟的犯罪产业链，具体表现在：犯罪人员职业化、犯罪手段智能化、交易模式订单化。由于犯罪的违法成本低、犯罪收益高，作案人员趋于职业化，犯罪人员将侵犯公民个人信息犯罪为产业进行经营，人员内部分工根据“信息获取、信息传播、信息使用”等不同阶段而具备更为明确的分工，相对应的实行企业化的组织与管理。作案手段的多样化与智能化趋势提升了犯罪人员非法获取个人信息的效率，互联网作为犯罪空间所具备的虚拟性与不可接触性也使得犯罪行为更为隐蔽、侦查难度更高。另一方面，随着侵犯公民个人信息犯罪的黑色产业链不断发展，个人信息的交易模式也呈现订单化的趋势——信息使用者根据需求向信息中介订购所需信息类型，信息中介根据用户需求再向信息获取者购买，信息获取者根据订单需求针对性的非法获取个人信息，使得涉个人信息犯罪中信息利用价值更高，下游犯罪成功率与危害程度也随之提升。
(3) 下游行为犯罪风险高
据统计，样本案件中受侵犯公民个人信息主要可以分为身份信息、财产信息、交易信息和通信信息四类（具体如图示）。
个人信息被非法获取、出售不仅会使得公民个人日常生活饱受各类推销骚扰电话的困扰，因信息泄露出的公民个人收入情况、家庭住址、家庭成员等信息也会成为犯罪分子实施绑架、敲诈勒索等恶性犯罪的重要工具，成为滋生下游犯罪的温床，在样本案件中设定“数罪并罚”为关联词进行搜索得出案件数65件，侵犯公民个人信息类犯罪案件与其他犯罪关联度较高，关联犯罪罪名虽未止步于诈骗、信用卡诈骗等罪名，但仍可显示出，侵犯个人信息和个人信息泄露是电信网络诈骗的源头。
据数据显示，目前电信网络诈骗案件90%以上是不法分子通过获取的公民详细信息而实施的精准诈骗。2019年全国检察机关起诉电信网络诈骗以及利用网络赌博、泄露个人信息等犯罪嫌疑人71,765人，同比上升 33. 3%。以“公民个人信息罪”“诈骗”为关键词并列检索，2011年至2015年期间利用个人信息实施诈骗的年均案件数为11.6件，2016年至2020年期间利用个人信息实施诈骗的年均案件数为23.2件。侵犯公民个人信息犯罪与诈骗罪两者相关度逐渐递增。可见侵犯公民个人信息类犯罪的下游犯罪行为泛滥，有关个人信息交易的“黑灰产”逐步成型为侵犯公民个人信息类犯罪防控带来极大阻碍。
从以上数据统计及分析来看，侵犯公民个人信息犯罪领域的刑法规制路径采取扩大犯罪圈以及提升刑罚严苛性进而实现对犯罪的打击与预防作用，然而从涉个人信息犯罪总量、犯罪严重程度的上升趋势以及犯罪人的职业化、高学历化特征结合当下犯罪行为产业化、智能化的特点，似乎刑法规制路径未能对涉个人信息犯罪发展趋势进行有效遏制。
二、侵犯公民个人信息类犯罪刑法规制路径失灵原因探析
将侵犯公民个人信息类犯罪的刑法立法趋势与犯罪趋势结合，可以看出当下个人信息类刑法规制路径面临的问题：
以刑法路径对涉个人信息类犯罪进行规制中预设的刑罚效益在于——以刑法的严苛性遏制犯罪的增长率，具体表现如图示：
《刑法修正案（九）》通过删除犯罪主体的特殊主体要件、增加个人信息概念范畴、扩大构成个人信息犯罪行为的方式对涉个人信息犯罪的定罪标准予以降低、入罪范围的扩大，实现了该类犯罪圈的扩大化。犯罪量因入罪范围的扩大而提升，但在理想状态下，当潜在犯罪几乎全部浮出后犯罪量的变化趋势又会趋于稳定，且由于刑法的威慑作用，潜在犯罪人会对侵犯公民个人信息行为的违法成本进行再次评估，进而减少犯罪可能性。与此同时，刑法规制路径还以提升法定刑、精准量刑标准等方式进一步加强刑罚的威慑性，打破原有的涉个人信息犯罪“低成本—高收益”中犯罪效益模型，达到降低犯罪量的目的。当犯罪圈扩大与刑罚严苛化导致的犯罪量达到增减平衡状态时，总体刑罚威慑性增强，犯罪总量下降。
面临个人信息类犯罪多样化的犯罪形态，刑法规制范围不断扩大、刑罚严厉性不减，犯罪数量随着刑罚严苛趋势却“水涨船高”，不仅如此，该类犯罪占所有类型犯罪量的比重同样呈增长趋势。显然是与预设刑法规制相背而行。当下个人信息犯罪中刑法规制路径失灵所面临的危机是由犯罪态势的不断变化、刑罚结构自身之缺陷以及个人信息保护取向转变“内外交困”等多因素导致。
（一）犯罪趋势风险：犯罪特征变化刺激案件总量提升
1. 犯罪动机逐利性强，低成本刺激犯罪产生
涉个人信息类犯罪中将非法获取的公民个人信息用于出售的案件数量为628件，从他人处购买公民个人信息用于实施违法侵权行为的案件数量为281件，利用侵犯公民个人信息行为获取违法所得案件数量为530件。从上述数据可看出，绝大部分的犯罪人实施侵犯公民个人信息的犯罪行为的犯罪动机在于因此获取非法利益，以满足其逐利心理。当下，数据已经渗透到当今每个行业和业务职能领域成为重要生产因素，信息成为重要资源具有极高的交易价值。在此背景下，个人信息的易获取性、高附加价值、可重复利用性，昭示着涉个人信息犯罪低廉的犯罪成本，成为刺激犯罪人实施犯罪行为的重要动机。
2. 犯罪手段隐蔽性强，难取证导致侦查困境
由于公民个人信息收集、储存、处理方式均呈现网络化趋势，涉个人信息犯罪的犯罪手段亦随之变更呈现网络化趋势，以互联网为主要犯罪空间具备虚拟性特征。在具体犯罪行为上，除原先的“码商”、“卡商”、“号商”等非法获取、买卖个人信息途径外，大量利用木马、撞库、爬虫等技术手段窃取个人信息，再通过网络空间进行倒卖的犯罪手段异军突起，此种犯罪手段具有非接触性，利用网络技术实施犯罪，不存在明显的实体犯罪现场，被害人对自身权益受损难以察觉，不能及时发现损失，被害人对于个人信息泄露后遭受的骚扰电话、垃圾营销等警惕性不强，对个人信息价值认识不足，往往不会选择通过报警解决个人信息泄露问题，往往直到遭受电信诈骗、网络盗窃等犯罪时才意识到个人信息所受侵犯的严重性。因此公安机关难以获取涉个人信息犯罪的案件线索，涉个人信息犯罪事前发现、事中制止和事后挽损困难，另导致大量潜在犯罪未能进入刑事审判视野，犯罪黑数大。
涉个人信息犯罪手段的网络化对客观犯罪痕迹的收集带来极大的挑战，另由于大量个人信息以电子数据形式储存在虚拟互联网空间内，易被删除和篡改且难以留痕，一旦犯罪人在刑事侦查之前销毁该类电子数据则会导致案件关键证据材料的灭失，极大提升案件侦查取证难度。
3. 犯罪产业成熟度高，长链条难以全面打击
涉个人信息类犯罪的各环节和内部结构逐渐形成精确分工、相对完整，集个人信息非法获取、出售、购买、倒卖、使用为一体的犯罪产业链。大致可分为信息的泄露阶段、传播阶段、非法使用阶段，信息获取者、传播者、使用者分工明确、配合紧密，各自以直接或间接模式实施侵犯公民个人信息的犯罪行为。
涉个人信息类犯罪中犯罪环节相对较多、犯罪链条相对较长。据统计，一起涉个人信息犯罪案件，从信息泄露到非法使用，犯罪链条少则4、5条，多则7、8条，公安机关难以全面打击。且由于案情较为复杂，在实务中往往只能选择少数容易查证的线索进一步开展侦查，难以对整个犯罪环节中涉及的全部人员进行全面深入的调查。，对整个犯罪产业链影响不大。
（二）立法趋势风险：公民个人信息取向的转变及相关保护缺位
1. 信息管理方式粗犷，信息保护与利用关系失衡
数字经济时代，数据已经成为最重要的生产资料。在社会治理领域，大数据造成为政府提升社会治理效能的重要手段。行政管理的有效实施必然要求政府详细、准确的掌握其管理对象与其职权范围相关的个人信息。因此对个人信息的利用是必不可少的，禁止对个人信息的利用既不符合现实也不符合时代发展要求。尤其是在疫情爆发背景下，处于防控需要收集和使用公民个人信息对于疫情防控、国家安全有着极为重要的意义。然而，数据“黑灰产”、电信诈骗频发，基于个人信息数据的非法犯罪层出不穷，对非法利用个人信息的保护需求也同样迫切。如何通过制度设计，在促进大数据产业健康发展的同时，遏制信息犯罪行为是当下面临的重要政治抉择。《个人信息保护法》以及《中华人民共和国民法典》（以下简称《民法典》）在原则性的指出“自然人的个人信息受法律的保护”，有对个人信息的处理等提出了明确、具体的条件，系国家从立法层面渴望填补我国对个人信息保护公法为主、私法缺失的困境，探求公民个人信息保护与利用之间的平衡。
2. 事先风险防控机制缺位，犯罪与违法、违规界限模糊
个人信息保护应具备系统性，应当涵盖行业自律、民事责任规制、行政责任规制和刑事责任规制等诸多层面。但当前我国尚未正式确立行业的信息保护机制，缺乏有约束的行业规范；针对个人信息侵权的民事侵权救济途径模糊，行政责任规制缺失等情况导致侵犯公民个人信息行为是属于违规、违法的一般不法行为还是严重的犯罪行为难以界定，以至对侵犯公民个人信息罪的打击缺乏精准性，或过于放纵或过于严峻。对于涉公民个人信息犯罪的风险防控仍要依赖于基础前置性保护，再根据本国经济发展和个人信息安全状况，以前置的行政和民法规范为基础，设置相应的刑法条款，促使民、刑、行衔接更协调。
3. 个人信保护路径局限性强，信息公共法益保护不足
个人信息保护路径较为单一，从民事保护路径而言，《民法典》将个人信息分为一般信息和私密信息两类，对一般信息保护以一般人格权为依据参照个人信息保护的规定，私密信息以隐私权为依据进行保护；从刑事保护路径而言，将侵犯公民个人信息罪放在第四章侵犯公民民主权利、人身权利一章，将个人信息根据对公民人身、财产安全的影响而大致分为三类，并根据影响不同而设置不同的入罪和量刑标准，但整体而言对个人信息权利的保护停留在隐私保密阶段。缺乏对涉个人信息类犯罪风险的源头性防控机制，难以起到有效的预防犯罪的效应，对被害人权益救济不足，难以足额弥补被害人因此产生的财产和精神损失。
民事保护路径则以个人权益思维为导向，对个体私益多以侵权路径予以保护。面临个人信息侵权案件集体性轻微损害的特征，民事救济程序启动难，且由于个人信息违法行为的结果多是轻微非物质损害，难以通过金钱衡量。在民事救济程序实施上，当事人面临举证难、损失量化难、因果证明难等三大难点。
（三）司法趋势风险：刑罚效益低下难以遏制犯罪增长
1. 案件侦查阶段时间跨度大，证据易灭失
涉个人信息犯罪中犯罪手段的网络化致使案件涉及的地域范围较广，案件隐蔽性强、犯罪链条长，作案人员之间也缺乏明显的地缘关系。且由于买卖与非法使用个人信息行为往往具有一定“延时性”发案时间与作案时间往往存在的时间间隔，极大的增加了实务中公安机关的侦查难度，往往当侦查机关通过下游犯罪顺线侦查时上游的犯罪行为可能已经过去数年之久。其中大量存储个人信息的存储介质可以已经灭失或损坏，网络犯罪空间的虚拟性也极易导致犯罪现场痕迹遭受破坏，难以从犯罪嫌疑人处获得准确的口供等。
2. 单位追诉率低，法人责任追诉缺失
从上文对犯罪主体的分析可看出，涉个人信息犯罪主体以自然人犯罪为主，在663件一审刑事案件中仅有25件涉及单位犯罪，占比仅为3.77%。其中犯罪人职业又以公司职员占据绝大比例，其非法获取、买卖、使用公民个人信息多是工作所需用于商业推广亦或精准营销，还有部分比例犯罪人就职的公司本身设立目的即是为了从事公民个人信息非法交易。在这种大背景下，法人作为涉个人信息类犯罪中利益最终享有者，其追诉率偏低，导致犯罪收益与犯罪成本比例严重失衡。另一方面，大数据背景下企业过度收集个人信息、超越权限使用个人信息、未经二次授权即再利用个人信息的行为较为普遍，该类行为的行政违法和刑事责任界限模糊，缺乏有效衔接，导致行为评价出现断层。故单位追诉率低，法人责任承担比例少的现状加剧了涉个人信息犯罪行为的蔓延，也无法从根本上杜绝该类犯罪行为的扩张，应从源头上解决涉个人信息企业的内部管理和外部监管问题，明确行业自治、行政违法、刑事犯罪的界限，才能实现犯罪风险的源头管控。
3. 个人信息财产权利保护弱，数量认定规则争议大
刑事保护路径中对个人信息保护侧重于其人格权和人身权属性，对于个人信息附着的财产价值关注度不高，故侵犯公民个人信息罪附加刑种罚金金额整体不高，与被害人遭受的损失不匹配。此外，在个人信息的数量认定上，实践中存在较大争议。侵犯公民个人信息罪中个人信息数量是重要的入罪认定标准，同时对于区分罪行轻重也具有及重要的意义，《解释》也相应的对侵犯公民个人信息罪中的信息数量制定以了较为明确的定量标准和认定规则。对于批量信息的数量认定采用“批量信息推定规则”即根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。然而从生效判决中我们可以发现，极少有判决主文对于涉案个人信息数量和犯罪人因此获利数额进行明确的陈述，更鲜有判决对于涉案个人信息的真伪性、重复性作出判断。个人信息数量认定规则不清致使司法实务操作缺乏精准性。
4. 宣告刑轻缓、缓刑适用率高，刑罚威慑性不足
2016-2020年期间所有涉个人信息类犯罪案件中统计的生效判决数量为638件，数罪并罚案件数65件，涉及被告人数为787人，其中仅1人免除刑事处罚，其余786人均给予了刑事处罚。
从2016-2020年的侵犯公民个人信息罪中随机筛选205个被告人，其有期徒刑刑期分布如下图示意，以不满一年的有期徒刑适用最高，位列第二、三位的刑期分别为1-2年和3-4年。
如将该年段所有涉个人信息类犯罪与下游犯罪竟合后有期徒刑刑期进行统计，有期徒刑刑期范围分布仍旧以三年以下范围占据绝大比例，宣告刑明显呈轻缓化趋势。
从主刑的适用情况来看，有期徒刑适用率为70.21%，拘役适用率为29.79%。
附加刑罚金适用率最高，主刑中有期徒刑适用率远高于拘役，有期徒刑及拘役的缓刑适用率约为69.51% 。刑事判决中情节严重犯罪占比64.16%，情节特别严重占比38.81%，但是与量刑情节对比，从轻处罚案件占比93.07%，从重处罚金占7.92%，宣告刑中缓刑适用率高。随着移动互联网时代的到来，个人信息的价值体现在各种法益层面，是一个贯穿个人、社会和国家法益的多层次体系，关系到个人安全、社会秩序和国家安全。而司法实践中对侵犯公民个人信息犯罪刑罚适用轻缓化的现状与犯罪严峻态势脱节，犯罪与刑罚的“成本—收益”模型中，犯罪实施的成本较低而收益较高，犯罪人逐利心理作祟成为其实施犯罪的诱因。
（四）个人信息暴露后个人权利救济风险
1. 民事诉讼中被侵权人诉讼能力弱、维权难
在侵犯公民个人信息犯罪群呈现网络化趋势下，相关个人信息以电子数据形式呈现，信息的实际处置权掌握在侵权方手中，起诉前如相关信息被删除则被侵权人难以举证，加大了当事人证据收集的难度和诉讼请求固定的难度。个人信息权利属性系人格权附属财产利益，但实践中侵权行为与经济损失间因果关系难以认定，即便认定因果关系后侵犯公民个人信息导致的相关经济损失评估困难。
2. 刑事诉讼中被害人权利救济途径不畅通
刑罚趋向轻缓化，在个人信息保护上侧重对隐私权的保护；实务刑事案件审理中退赔率低，且由于刑事诉讼与民事诉讼在保护法益上的差别，对于被害人的经济损失保护不足。
涉个人信息类犯罪中个人信息的泄露与非法利用涉及的被害人数极为广泛，就犯罪后果而言，不仅会对于公民个人的日常生活带来巨大的困扰，一旦涉及下游犯罪，被害人还可能遭受各类网络诈骗的侵害。但经统计，样本案件判决结果中187件对作案工具予以没收，267件对涉案违法所得予以追缴、没收或赔退，另有约三分之一的案件未对犯罪人的违法所得和作案工具进行处理。
再者，根据《刑事诉讼法》之规定，被害人由于被告人的犯罪行为而遭受物质损失的，在刑事诉讼过程中，有权提起附带民事诉讼。而在涉个人信息类犯罪中，部分被害人会因个人信息泄露后下游犯罪而产生实际经济损失，该部分损失可以在刑事案件审理中以提起附带民诉讼的方式予以主张；但实践中绝大部分个人信息泄露的被害人所遭受的损失多在于因个人信息泄露而对正常生活秩序造成的不良影响、名誉损失等，该种损失难以物化，且举证困难，根据现有的诉讼规则，刑事附带民事诉讼中仅能对遭受的物质损失予以主张，诸如名誉损失一类的精神损失不在可主张的范围内，存在被害人权益救济途径不畅通的困境，绝大部分潜在被害人认为即便遭受了不法侵害，进行报警进行处理也难以维护自己合法权益，徒做无用之工，故降低了潜在犯罪的报案率，加剧犯罪黑数现象。
3. 个人信息民事公益诉讼制度运行受阻
2021年11月1日《个人信息保护法》正式颁布实施，第一次以法律规定的形式确立了涉个人信息民事公益诉讼制度。个人信息民事公益诉讼在此之前已经试行了近三年，但实际运行仍存有较多阻碍。
样本案件中筛查出涉个人信息民事公益诉讼案件共97件，案源均系从涉个人信息犯罪侦查中获取，其中96件由检察机关以刑事附带民事公益诉讼模式提起，1件由检察机关以人格权民事公益诉讼方式直接提起；另有1件因涉消费者个人信息泄露，由消费者权益保护协会提起消费民事公益诉讼。
个人信息犯罪中被害人权利救济途径绝对依赖涉公民个人信息类犯罪案件附带提起民事公益诉讼模式，检察机关几乎是提起诉讼的唯一主体，个人信息民事公益诉讼提起方式、提起主体均呈现严重单一化态势，涉个人信息公共利益的保护缺乏独立保护，对刑事公诉的依附性较高。从诉讼请求设置来看，多数案件涉及两个及以上诉讼请求，诉请提起呈现“复合型”诉请模式。其中以删除信息停止侵害、赔礼道歉为代表的“风险消除型”“人格恢复型”诉请占据绝对比例，以支付赔偿金为代表的“损害赔偿型”诉请案件数为46件，诉请金额以“侵权人因此获利金额”作为替代性标准，回避个人信息侵权行为所致实际损失金额认定难点，该适用标准单一且缺乏合理性，赔偿范围并未得到充分主张，个人信息受侵害导致的损失填补不足。个人信息公益诉讼在运行机制上也存在诸多困境：立案阶段，起诉资格及顺位不清、受案范围不明；审判阶段，公益损害认定标准缺失、诉请价值定位不足、赔偿结构不合理，诉权处置受限；执行阶段，胜诉所得利益管理规定空白等诸多问题。难以满足个人信息保护对多样化救济途径的需求，也无法实现个人法益与公共法益平衡、权益维护得以落实的实际问题。
从上文对涉公民个人信息类犯罪特性、趋势与相应刑事立法、司法趋势的分析可看出：当下以刑法为主导，“事后救济为主，事先防控缺失”的涉个人信息类犯罪防控机制，在大数据泛个人信息化时代已然逐步失灵，面临“内外交困”的难题。从刑法内部风险而言，刑罚效益低下，对涉个人信息类犯罪缺乏源头惩治，现有的刑罚未充分考虑犯罪发展的自身规律，难以实现惩罚与预防犯罪目的的最佳平衡；此外刑法防控机制缺乏对个人信息类犯罪中被害人的充分救济；从刑法外部风险而言，随着《个人信息保护法》的出台，个人信息的范畴与刑法所保护的个人信息范围不一致，个人信息未能根据不同敏感等级、不同类型而得到不同的救济途径；且“事先风险防控机制”的缺失，导致刑事违法与行政违法、民事侵权行为之间界限模糊，当事人的权利救济途径单一且缺乏有效性。
三、信息分类分级为基础，构建侵犯公民个人信息类犯罪体系化防控路径
“刑法在根本上与其说是一种特别法，还不如说是其他一切法律的制裁力量。”刑法作为国家机器的支柱，以国家强制力保障实施，以刑罚固有的惩罚性和威吓性成为打击犯罪的重要手段，但其作为维护社会稳定的“最后一道防线”始终处于社会治理模式中的末端治理部位，只有当诸如道德、宗教、文化、习俗或者其他法律手段无法有效调整社会关系、处理违法行为时，才能动用刑法来惩治犯罪，以免其过度介入导致对公民人权的侵犯，进而导致不必要的损害。这一特性也使得刑法从本质上不具备从源头上对犯罪行为进行堵截和阻断的能力。
现有侵犯公民个人信息犯罪风险防控路径在风险化解优先级上存在错位，忽视民事、行政力量对风险化解的作用，以本应作为“最后一道防线”刑事防控为主线，导致现有路径无法充分实现对侵犯公民个人信息犯罪风险的化解。故笔者认为，应围绕信息分类分级管理、强制义务、社会责任、政府监管下的多元共治等要点，结合个人信息自身特点，从民、行、刑三领域进行程序优化以实现对个人信息犯罪风险进行分流的目的，增强个人信息保护实效，促进信息利用与保护之平衡。
（一）夯实基础：信息分级为体系化防控路径提供制度支撑
《个人信息保护法》的出台一改此前我国对个人信息粗放式管理政策，对个人信息民法保护法律体系散乱且缺乏统一的立法标准的现象予以修正，在《民法典》基础上，构建了以《个人信息保护法》为核心的个人信息民法保护体系并对“个人信息分类分级制度”进行了初步规定，然而，《个人信息保护法》中对于信息分级制度的构建尚显青涩，实质上对个人信息受侵害后相应民事、行政、刑事责任进行划分界限仍存在混同现象。个人信息分级制度构建旨在实现公民个人信息人格权和社会公共利益双重保护目标，并在个人信息保护和利用之间寻求平衡。构建信息分级制度，通过将个人信息的分类别、分级别，赋予其不同义务主体的监管职责，构建全方位、立体化、多元主体参与的科学、动态的分级保护机制，实现对个人信息违法犯罪风险的全方位防控。
具体而言，所谓信息分类分级，对涉及国家安全、社会秩序、公共利益与公民个体权益等不同利益性质的个人信息，建立义务主体分类管理、个人信息分级管理的保护规则体系。根据个人信息应用场景及对国家安全和重大社会公共利益、公民个体权益的危害程度，将不同领域的个人信息分为三个层次：
以上三层次可依据对公民个人及社会秩序、国家安全的影响程度分为低、中、高三类风险等级。对个人而言，个人信息风险等级不同，自身对信息处分的注意义务不同，高风险信息的授权应更为审慎；在权利救济层面，被侵犯信息风险级别不同，所拥有权利救济途径也不同。①一般信息，对个人生活、人格尊严、隐私等几乎不会造成危害，如个人感觉权利边界被侵扰，可通过向监管部门投诉的方式，让监管部门对相关侵权人进行通知整改或责令改正等方式进行救济，如公民个人认为投诉不能完成自身对权利的救济，可以自行提起民事诉讼；②受控信息，对个人生活正常秩序、人格尊严的维护、个人隐私的保护上存在一定影响，如被侵权可能造成公民个人人格权、隐私权、财产权相关权益的受损，故可以赋予公民个人除投诉外提起民事诉讼的权利，同时由于公民个人诉讼能力欠缺，在能证明案件基本事实存在并提供相应线索（无需非常明确）的情况下，可以提请人民检察院支持起诉，协助进行证据收集等问题。③重要信息。不仅对公民个人在人格尊严、个人隐私、财产权益等方面存在重大影响，个别特殊身份的公民个人信息的暴露可能还会涉及商业秘密和国家安全等问题，对社会公共利益也会造成重要影响，故除上述救济途径外，另可通过刑事诉讼实现对公民个人信息之保护。
对信息处理者而言，个人信息风险等级不同，处理规则不同，征得同意的方式随着风险等级的提升也逐渐严格；信息处理过程所负义务上，对个人信息分级分类管理，依据风险等级不同实施不同的安全技术措施。例如，在当前cookie技术进行公民个人信息抓取进而分析用户偏好等信息采集方式泛滥的情况下，如一味禁止技术对信息的流通对造成极大影响，而信息流通又是赋予信息价值的重要途径，所以可以针对性的对于低风险等级的个人信息不禁止技术抓取，但对于中、高风险等级的个人信息储存系统应设置配套的防火墙对cookie技术及类似信息随机抓取技术进行防控，防止通过对信息整合分析后可识别特定个人的技术路径；在法律责任承担上，依据侵犯的公民个人信息风险等级不同承担的责任不同，低风险等级的信息违规处理可设置行业内部警告处理以及行政主管机构的责令改正、警告、罚款等行政处罚方式，中、高风险风机的个人信息违规、违法处理除上述责任外应承担责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，没收违法所得，对直接负责人员和其他直接责任人员处以罚款的方式，并向社会公众公示其处罚。
对信息监管部门：依据信息风险分级设置不同等级的行政处罚方式，设置信用档案，对违规、违法信息处理者的行为进行公示，低风险等级的违规行为进行公示或者责令改正、没收违法所得、警告、罚款的模式；对中、高风险等级的违规行为，除上述途径外对直接负责的主管人员和其他责任人员进行处罚，责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，对于涉及不特定多数人的信息处理违法行为，可以职权提起行政公益诉讼；对于公民个人因信息侵权提起的民事诉讼，但因证据收集存在困难的，依当事人申请应配合进行证据收集提供；疑似涉及犯罪的行为及时移交公安、检察院进行侦查。
（二）源头治理：信息义务主体分类实现信息保护穿透式监管
以信息分类制度为基础，进行信息义务主体分类，并据此构建个人信息保护的穿透式监管模式——向上识别个人信息的最终使用者，向下识别个人信息的信息采集者。
所谓信息义务主体分类，即是根据个人信息使用场景及获取方式的不同对其区分不同类型的义务主体，并相应的赋予其个人信息保护义务、监管责任。并根据信息处理者的义务履行能力。对公共利益的影响程度等因素设定加重义务规则或义务豁免规则。对于具有有显著公共性的平台型信息收集使用者，应当加重其义务，要求其履行额外的积极作为义务。首先应以国家公权力监督为主导，设立专门数据保护机构。公权力监督为主导的自上而下的模式，设立专门数据保护机构，负责对企业或组织的数据处理进行监督，对违法数据收集行为进行审计、调查、处罚和制裁，要求处理数据的企业或组织配备专门的数据保护专员，专员需要接受数据保护委员会的管理，在企业或组织发生个人数据操作违规时需承担相应责任。
而个人信息保护的穿透式监管方向可分为向下的信息采集端穿透和向上的信息使用端穿透。信息采集端穿透主要是针对个人信息的第一次获取阶段，通过信息采集者的备案与监管对信息所有者进行排摸，对潜在风险进行把控，审查信息采集是否符合处理规定；信息使用端穿透则主要针对的是个人信息的二次流转阶段，审查信息采集者与信息最终使用者信息交易过程是否符合监管规定、是否涉及利用格式条款告知方式迫使用户同意，减轻或免除自身义务。信息义务主体分类下的信息穿透式监管可强化信息流转、使用过程中各信息处理者的个人信息保护强制性义务与社会责任。
（三）事中防控：个人信息侵权民事救济路径的完善
1.明晰个人信息价值属性，厘清信息保护范畴
个人信息法益属性系公共利益与个人利益的融合。随着收集、存储、分析数据能力的不断攀升，个人信息所附着的利益也更为丰富，除了信息主体的人格尊严与自由利益外，个人信息所具备社会性、工具性、功能性等社会价值催生了信息使用者的利益。此外，为了保障社会秩序和公共利益的实现，个人让渡出附着在信息上自身部分或全部权利，又使得个人信息兼具公共利益属性。一旦信息处理不当，不仅个人私益将面临危机，他人和整个社会公共利益也直面减损风险。
个人信息权利属性兼具人格权与财产权。个人对其自身信息所享有的相关权利是人格的重要组成部分，《民法典》将个人信息编入“人格权编”，并将信息分为“一般信息”“私密信息”两类，将“私密信息”纳入隐私权保护范畴，是从民事立法领域对个人信息一般人格权及隐私权属性的直接确认。但随着社会经济浪潮发展，自然人的姓名、肖像等诸多人格利益经过允许可被商业化利用，部分人格利益逐步呈现出的财产利益属性。在大数据智能分析时代，个人信息在流通过程中显露出的交易价值使其被赋予了明显的经济利益也是现代社会精神性人格利益商业化的典型。
故只有充分尊重个人信息权利属性与法益属性的复杂性，对信息衍生的财产性权利和公共利益予以正视，才能真正构建完善个人信息保护体系。
2. 依据不同信息义务主体，区分设置归责原则
当个人信息遭受侵害时，民事防控路线为信息权益救济提供一般侵权规定和网络信息侵权的特别规定，但在归责原则上，上述路径均采用一般过错责任原则，即以行为人主观上的过错为承担民事责任的基本条件。但在出具处理电子化、网络化的背景下，个人信息受侵害的侵权行为链条较长，往往存在多个信息实际控制方和多个处理环节，认定信息处理者在此过程中存在过错的难度较大，不利于信息主体及时维权，故根据信息义务主体的不同而区别化设置归责原则具有必要性。
具体措施可以《个人信息保护法》为基础，针对信息类型、信息使用场景、信息具体使用者的不同区别对其设置对应义务，并根据信息处理者的义务履行能力、对公共利益的影响程度等因素加重其义务规则。国家机关或履行个人信息保护职责的部门及其工作人员，对个人信息的掌控能力较一般主体更强，故在涉及个人信息侵权规则认定上应适用无过错责任；个人信息跨境提供的信息处理者，因其处理的个人信息系向境外提供，如在此过程中个人信息收侵害、泄露，所导致的损害后果或涉及国家安全，其风险等级也较高，故对此类信息侵权应适用过错责任推定原则；针对利用自动化决策方式等进行个人信息处理的信息处理者，其对信息的控制能力虽弱于国家机关，但其作出的抉择对个人权益或存在重大影响，故亦应适用过错责任原则；对于非采用自动化决策或大数据处理分析的一般信息处理者，其对数据信息的掌控能力较弱，可适用一般过错责任原则。
3. 丰富信息侵权责任类型，侧重预防性风险防控责任
个人信息受侵害后的损害后果既包含秩序利益也包含经济利益，主要体现在对法律秩序、道德秩序的损害上，对经济利益的损害呈现间接性。而秩序利益的损害难以用金钱衡量，间接经济利益损害金额难以固定，总体而言侵害个人信息造成的损失难以量化，损害赔偿认定缺乏统一规范的评估鉴定方法和标准。实践中参照侵权责任法相关规定对难以认定实际损失的按照侵权人获利数额认定赔偿数额，但孤立信息交易中获利金额与其泄露对不特定公众的生活以及社会信息管理秩序所造成的损害并不呈正比，现有损害赔偿认定标准单一且缺乏合理性，赔偿范围并未得到充分主张。另一方面，追回、屏蔽、删除涉案的个人信息，需要相应的技术手段和人力物力，主张和支持停止侵害、排除妨碍、消除危险的诉讼请求，需要技术方案或者替代方案。当下诉讼请求的结构与实践中的主张对个人信息公共法益损失填补不足，难以起到排除现实危害及将来风险预防的作用。
对此可在传统侵权责任的损害填补责任原则上，对个人信息侵权行为增设损害预防型责任和惩罚性损害赔偿责任。损害预防型责任即，对于个人信息侵权尚未造成实际损害后果发生，但具备现实危险性，即可主张要求其停止侵害、消除危险、删除或进行匿名化处理等。惩罚性赔偿则是对个人信息被侵权人的一种超损失赔偿制度，主要是针对侵权行为人的惩罚和遏制功能，当下在个人信息领域对惩罚性赔偿制度的适用仅限于消费过程中信息处理者对消费者个人信息的泄露，对于其他一般个人信息主体的信息侵权案件中并无适用依据。笔者认为，消费者信息侵权本质上也系个人信息侵权行为，信息主体因信息泄露遭受的损害不因其消费者身份与否而导致损失的增加或降低，且个人信息侵权案件原告当事人所能主张的实际经济损失并不能充分填补其因信息泄露导致的生活秩序的损害，故在普通个人信息侵权案件中探索惩罚性赔偿制度，进而起到对信息泄露行为的惩治、预防与遏制具备一定可行性。
4. 完善信息公益诉讼制度，防止信息保护“公地悲剧”
随着个人信息附着利益的复杂化，一旦信息处理不当，不仅个人私益将面临危机，他人和整个社会公共利益也直面减损风险。当下个人信息保护机制无法满足信息公益减损的防控需求，信息公益诉讼可消解诉讼主体不平等与维权率低下问题，也更符合未来网络与信息立法趋势。
个人信息保护属于公益诉讼新领域的，虽然个人保护单行法已然面世，但其立法和制度建设之根基尚十分薄弱：一方面，办理此类案件的立案标准、起诉条件、诉讼请求等实体和程序规定尚未规范，起诉案件受理环节容易产生分歧；另一方面，涉及个人信息的各类违法情形、法律责任以及行政机关的监管职责有待法律明确规定，个人信息公益诉讼在很多方面无法可依。
以“信息分类分级保护”为切口，将个人信息公共利益还原为“可感知、可评价、可衡量”的财产及秩序权益，并据此制定“定性+定量”的损害认定标准；围绕信息分类分级管理、强制义务、社会责任、政府监管下的多元共治等要点，建立“社会组织为主，行政、检察为辅”的诉讼主体架构，修正个人信息公益起诉资格范围。结合个人信息民事公益诉讼自身特点，对个人信息民事公益诉讼制度进行优化，增设审前程序、制定审判阶段证据转化适用规则、诉讼权利处分规则及胜诉所得利益管理规则，对解决群众日益增长的个人信息公益保护需求与个人信息民事公益诉讼相对落后之间的矛盾有建设性意义。
5. 加强个人信息民事检察协助工作，引入检察院支持起诉制度
在保障当事人合法利益的前提下，防止滥诉、恶意诉讼的出现，构建宽严有度、尺度明晰的裁判标准。在个人信息民事侵权引入检察院支持起诉制度。对于低风险信息侵权救济途径以民事诉讼为主，但由于个人信息类案件中存在侵权主体难以确定、个案损害结果难以证明、证据获取和因果关系认定难度大等现实困难。故可引入检察院支持起诉制度，对于弱势群体、被侵权人数众多等个人信息侵权案件，根据《人民检察院民事诉讼监督规则（试行）》规定，依职权受理或依当事人申请进行支持起诉。同时，根据不同来源的案件设置不同启动程序。依职权发现案件应设置通知关节对被侵权人履行通知和告知义务，经被侵权人同意后方可进入下一办理环节；依当事人申请的经评估符合支持起诉条件的可直接受理进入下个环节执法办案工作。在证据转化问题层面，对刑事案件中已形成的证据可以直接采用，对未入刑案件可借鉴《人民检察院民事诉讼监督规则（试行）》中对检察机关调查核实权的类型和权限进行调查核实，以取得有力证据。
（四）事后救济：侵犯公民个人信息类犯罪刑罚效益的提升
1. 信息分级、责任主体分类，促进个人信息犯罪定罪量刑精准化
(1) 个人信息分级，优化信息犯罪构成要件认定标准
在侵犯公民个人信息罪的构成要件上我国采用“定性+定量”的立法模式。以个人信息法益性质的界定作为区分个人信息类犯罪与相关罪名的关键，通过对个人信息附着利益价值的肯定为基础，以其犯罪行为反映的客体性质、客体造受的侵害程度，进而对行为是否入罪进行定性评价。
目前最高人民法院发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》已经具备个人信息分类分级的初步意识，将个人信息依据对人身、财产安全所能造成的影响程度分为“直接威胁人身、财产安全的信息”“可能影响人身、财产安全的信息”和“上述信息之外的信息”，并根据法益侵害程度的不同，分别设置50条、500条、5000条的不同数量标准作为判断是否构成“情节严重”的依据，但整体而言其犯罪构成要件仍侧重“侵权人违法所得、侵权造成的经济损失”为主导的“定量模式”。
在信息化时代，定罪量刑的价值逐渐发生变化，由其是在侵犯公民个人信息罪中，个人信息受侵害造成的经济损失数额与犯罪人违法所得数额可能极度不匹配，且因此造成的损失数额量化困难，故对个人信息法益受损的认定不能仅从行为造成的实际侵害或损失加以评价，而应当更多的考虑行对社会秩序、公共利益乃至国家安全的侵害或影响。诸如犯罪数额、物数、人数、次数等传统犯罪中定罪量刑的标准难以继续适用，将个人信息犯罪的定罪量刑标准转为“数额与情节并重”或“以情节为主”的模式。 在犯罪构成的判断上，将信息犯罪行为对国家、社会或个人正常的工作秩序或生活秩序影响，或造成恶劣社会影响等综合情形作为重要考量因素，在具体操作上则可转化成具备可操作性、可感知的定量特征数据进行综合评判，诸如：受侵害的个人信息数量、被侵权人数、信息被传播次数、点击浏览或下载次数等，具体可以通过制定司法解释明确规定其具体数量标准。
在审判理念上强化对刑罚裁量重要性的认识能够让量刑规范化迈出最为关键的一步，彻底纠正审判机关重定罪轻量刑的错误观念。其次，要保证量刑程序的规范化，让程序公正为实体公正保驾护航，尊重控辩双方的量刑意见，控制法官自由裁量权的合理范围，实现裁量的客观与公正。再者，量刑规范化应当借助群众与法院自身、检察院等各方监督的作用，裁判文书中应当详细列明量刑的依据与理由，做好信息公开工作，防止罪行擅断、滥用自由裁量权等违法违规行为的产生。
(2) 义务主体分类，加大信息犯罪法人追责力度
当下刑法条文中对侵犯公民个人信息罪中法人责任追究仅在第二百五十三条中提到“单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该条款的规定处罚”。该条款意味着，如要对单位追究个人信息犯罪的刑事责任，从犯罪构成的主观要件上应证明单位具备侵犯公民个人信息的故意。实践中，具备接收、处理大量个人信息的信息处理者系单位而非自然人个人，单位在信息处理过程中未履行或未充分履行监管义务致使员工借机实施侵害公民个人信息的犯罪行为的案件屡见不鲜。但犯罪主观故意要件阻断了单位在信息处理过程中因未履行监管责任而过失犯罪的可能，一方面，缩小了罪名适用范围，另一方面，《个人信息保护法》第六十六条规定，在处理个人信息过程中未履行个人信息保护义务的应当承担相应的行政责任，构成犯罪的应承担相应刑事责任。该规定实质上是对非故意侵害公民个人信息的行为作出规范，然而刑法条文中并未设置与此对应的过失犯罪条文，暴露了与行政犯衔接不足的问题。故可通过中增设单位过失犯罪的刑事处罚条款予以补充：“单位未履行法律、行政法规规定的个人信息保护义务，导致公民个人信息泄露等严重后果的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该条款的规定处罚。”从刑事角度提升个人信息处理单位的注意义务，完善刑事法律与《个人信息保护法》、行政法规中单位个人信息保护义务的有效衔接，避免刑法在个人信息类犯罪中过度前置，充分发挥民事、行政责任在个人信息犯罪风险防控的效能，以刑事最后一道防线的方式实现权益的最后保障。
2. 建立个人信息犯罪溯源侦查制度，深挖信息犯罪产业链
侵犯公民个人信息犯罪的专业化产业链条以“非法提供个人信息—倒卖—非法获取”等环节构成，以刑事制裁为主导的侵犯公民个人信息犯罪防控路径主要在“非法获取”、“倒卖”两环节进行防控，对于犯罪行为的源头性打击不足，致使大量隐形犯罪难以发掘，犯罪黑数大。源头性行为以刑罚管制措施进行防控无法取得良好效果，应结合个人信息监管与保护中配套制度的构造而完成，对此应以《个人信息保护法》为抓手，做好源头性防控工作，确立“源头打击与过程监控并举”的多层次、全方位防控策略。
一方面，针对个人信息类犯罪频发的下游电信诈骗等类型案件采用“溯源侦查制度”，对该类犯罪中获取的个人信息来源进行倒查，加大犯罪源头打击力度。
另一方面，个人信息类犯罪手段隐蔽、取证困难，证据收集难度大，故在涉个人信息的下游犯罪侦查过程中，规范适用认罪认罚从宽制度，鼓励犯罪嫌疑人尽早认罪、减少对抗。对于利用个人信息实施电信诈骗、网络诈骗案件中，犯罪嫌疑人或被告人能够自愿如实供述个人信息来源的，对于指控的犯罪事实没有异议，同意检察机关的量刑意见并签署具结书的案件，可以适用认罪认罚从宽制度，予以依法从宽处理。对下游犯罪案件的侦查过程中，犯罪嫌疑人能够主动向公安、司法机关或其他有关机关如实供述自己关于侵犯公民个人信息罪的罪行的，或主动揭发他人侵害公民个人信息犯罪行为，向公安、司法机关或其他有关机关提供重要线索，从而得以侦破侵犯公民个人信息犯罪案件、或者协助司法机关抓获其他嫌疑人的，可以根据具体情况适用关于自首或坦白的法定量刑情节，在具体量刑过程中予以从轻或减轻处罚。
在个人信息类犯罪处理过程秉持“宽严相济”、“坦白从宽”刑事政策，源头加大犯罪打击力度，过程中对能够认罪认罚、自首、坦白的犯罪嫌疑人在量刑中充分考虑，鼓励认罪，减少涉个人信息犯罪的侦查取证难度。
3. 完善“公诉+自诉”混合救济模式，拓宽被害人刑事救济渠道
我国现有刑事自诉案件分为三类：①告诉才处理的案件；②人民检察院没有提起公诉，被害人有证据证明的轻微刑事案件；③被害人有证据证明对被告人侵犯自己人身、财产权利的行为应当依法追究刑事责任，而公安机关或者人民检察院已经作出不予追究的书面决定的案件。其中第②类中包括属于刑罚分则第四章、第五章规定，对被告人可能判处三年有期徒刑以下刑罚的案件。侵犯公民个人信息罪隶属于《刑法》第四章，其可能判处的刑罚也符合自诉案件之要求，但目前侵犯公民个人信息罪的刑事救济模式仍以刑事公诉为主导，自诉救济途径形同虚设。一方面与个人信息类犯罪中被害人对自身权益受损难发掘有关，另一方面个人信息类犯罪调查取证难、责任认定难，公诉救济在刑事诉讼中相较于自诉救济途径更具优势。但必须承认的是，单纯公诉救济模式难以适应当下个人信息受损的复杂现状，公安、检察机关在案件来源发掘上也存在较大限制，故有必要完善个人信息类犯罪“公诉+自诉”的混合救济模式，对情节较轻、案情简单或涉及当事人个人隐私的案件发掘自诉救济模式的优势，实现案件程序分流、减轻当事人诉累、弥补公诉救济缺漏，实现救济途径的多元化、启动的便捷化。检察机关可在刑事自诉救济模式中积极发挥其法律监督效用，遵循权力监督和权利救济的检察思维，在立案受理阶段协助明确具体被告、诉讼请求、收集被告人犯罪事实的证据，在当事人撤诉、调解等诉讼活动提供充分检察监督，保障国家刑罚权的实现。
4. 严格个人信息犯罪缓刑适用条件，防止刑罚过度轻缓化
我国《刑法》对于缓刑适用条件规定较为抽象和原则，现有法律规范对缓刑适用条件散见于多个司法解释文件，未形成专门解释而是附属于某些类罪的司法解释中，存在“碎片化”和“附属性”特点。加剧了实践中对于缓刑适用规则可操性不强、随意性强的困境。笼统而言，缓刑适用必须符合“犯罪情节较轻”的前提要件，“没有再犯罪风险”的实质要件同时应兼顾犯罪人本身的悔罪表现因素以及社会影响因素。依据现有法律规定，只要当事人被判处拘役或者三年以下有期徒刑，即可说明其罪行比较轻微，符合适用缓刑的前提要件。在放眼于个人信息类犯罪的司法实践，实际量刑中有期徒刑刑期超过三年的案件数量相较于个人信息犯罪庞大的犯罪总数几乎可以忽略不计，这也意味着绝大部分侵犯公民个人信息罪的被告人几乎均符合缓刑适用的前提要件，故，在此背景下应侧重考虑刑罚的报应因素、特殊预防因素，从“悔罪表现”“没有再犯罪风险”“社会影响”等考察因素进行从严把握，防止涉个人信息类犯罪刑罚过度轻缓化和行刑泛社会化。
具体而言可以参考域外经验中量刑前调查报告制度设置缓刑评估量表，从犯罪人的“犯罪情节”、“悔罪表现”、“没有再犯罪危险”、“社会影响”等常见考察因素出发，对犯罪人以前的违法情况、犯罪行为表述、犯罪情节考量、职业和工作经历、经济状况、教育背景、社区居住期限、被害人陈述、检察机关量刑建议以及社区评估意见等方面全方位评估其人身危险性和社会危害性程度，并根据各因素比重不同分别进行赋值，进而制定更为科学、合理，具备可操作性和可行性的评估量表，促进缓刑适用的规范化。
缓刑评估量表中“犯罪情节”因素考察范围不仅应当包含犯罪手段还“悔罪表现”因素上着重考察犯罪人在犯罪后能够真诚的反省自身过错并积极主动弥补犯罪所造成的损失，其自首、立功、坦白、赔偿损失、退赃、赔礼道歉等行为均可纳入实际考察范围内。“没有再犯罪危险”可以在一定成程度反映犯罪人人身危险性程度。从犯罪人的年龄、性别、教育、职业、生活经历、人际交往、家庭环境等个人情况特征评估犯罪人的性格，对“犯罪情节”“悔罪表现”无法涵盖的对评价犯罪人人身危险性具有重要意义的犯罪行为或犯罪人的所有情况进行评估。此外有必要成立专门的社区影响评估委员会，统计和分析社会影响评估相关的资料，总结社区影响评估的经验和规律，既可以减少现有社区影响评估中社会力量参与程度低的困境，又可以减少基层司法所专职人员配置率低、工作质量难保证的问题。
5. 优化个人信息犯罪刑种配置，提升罚金刑、资格刑刑罚效益
个人信息犯罪的刑罚配置以短期自由刑为主，但在推进国家治理现代化的当下，短期自由刑在实现刑罚目的上的乏力与无力已经遭受公认的批判——其既无法防止轻微犯罪者交叉感染，也不利于轻微犯罪人回归社会，难以彰显刑事制裁的理性、预防和法治等现代化特征。罚金刑及资格刑以有别于其他刑罚方法的独特治理性价值在惩治个人信息类犯罪的功效脱颖而出，故推动罚金刑、资格刑的合理化、精细化变革能够更好契合国家治理现代化背景下对侵犯公民个人信息类犯罪的风险防控需求。
(1) 明确罚金数额认定规则、规范适用标准，提升刑罚实际效用
刑罚都具有使人痛苦的能力，但是这并不是刑罚的最终目的，使罪犯感受到痛苦是向其展示刑罚威慑的一种手段，痛苦乃是向罪犯征收的犯罪成本，通过刑罚的执行的痛苦抵消罪犯实施犯罪获得的收益，增加犯罪成本使其觉得犯罪无利可图。归根结底是调解罪犯实施犯罪行为所耗费的成本与其获得的收益之间的杠杆，以此产生威慑效用，因此只要制定将犯罪行为制造的成本内部化、提高其犯罪成本的最优罚金数额，即可保证罚金刑的合理威慑性，因此可以说罚金刑数额之确定是其保证其合理威慑性的关键。
现有侵犯公民个人信息罪中罚金刑数额规定采用无限额罚金刑模式，刑法仅规定可选处、单处或并处罚金，并未对罚金的具体数额限度进行规定，案件实际判决中人民法院可依据犯罪情节自由裁量罚金的具体数额。该规定过于笼统，对实践操作缺乏精细化指引，由于各地域间经济水平差异加之法官所具备的自由裁量范围过大，同一类型案件可能因为承办法官不同、所处地域不同而所处的罚金数额差异较大，不利于统一裁判标准；个别法官在罚金数额认定上过于保守，罚金数额与犯罪情节不相适应，难以充分实现罚金的制裁效益。故应以相对确定原则、数额适度原则、与自由刑呈比值原则、不断适应通货膨胀原则、相对平等原则等为基础，参照日额罚金制度制，在自由刑与罚金刑之间的相对固定的换算标准，确立较为科学的罚金刑数额认定原则。以被告人的犯罪情节确定其罚金日数，在此基础上参照被告人经常居住地的人均收入水平与被告人自身经济状况确定其每日的罚金数额，两者相乘得出最终罚金总数。日额罚金制在实现量刑客观性和合理性上存在科学依据，同时为罚金易科自由刑提供便利，有利于增强量刑的公开性、精准化。实践中同样存在罚金刑执行难之困境，故为了提升罚金刑完成度，后续仍亟待建立相应的财产调查机制、明确执行主体与执行监督机构，督促罚金刑执行程序的完善，以更好的实现罚金刑的刑罚效益。
(2) 增设个人信息犯罪从业禁止制度，实现再犯罪风险阻隔
从业禁止是《刑法修正案（九）》中基于犯罪预防之目的对利用职业便利等情况实施犯罪的罪犯所设置的一项制度，赋予法院对可能利用职业和职务便利再次犯罪的罪犯采取预防性措施的权利。随着社会控制方式的不断变化，社会联系日益广泛、社会资格日趋重要，人们对于政治权利、执业资质、公民权的重视程度不断提高，剥夺被告人从事某种职业或职位的资格所能达到的刑罚威慑程度随着提升。因此增设个人信息犯罪从业禁止制度，在实现再犯罪风险阻隔层面将起到举足轻重的作用。
个人信息类犯罪中绝大部分的罪犯从事的职业或其资格与其侵犯公民个人信息犯罪行为有强大的关联性。《个人信息保护法》赋予国家网信部门、国务院有关部门、县级以上地方人民政府有关部门在各自职责范围内对个人信息的保护和监督管理职责，上述部门的工作人员如利用职务便利，或者实施了违背其职业要求的保护和监督个人信息义务的犯罪，则可根据法律规定对其适用从业禁止制度。对于违反法律规定处理个人信息，或者处理个人信息未履行法律规定的个人信息保护义务的主体，若构成犯罪的，既可以从行政层面责令其暂停或者终止提供服务，也可以从刑事层面对职业负责的主管人员和其他责任人员适用剥夺从事信息处理的资格或禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人的处罚措施，实现罪犯的再犯罪风险阻隔，以资格刑弥补短期自由刑未能实现的特殊预防目的。
6. 回归追缴赔退制度权利救济功能本位，增强被害人救济实效
追缴退赔制度是财产型犯罪损害赔偿的主要途径，追缴赔退的落实与被害人权利救济实效紧密相关。反观现有个人信息类犯罪案件现实情况，犯罪人履行意愿较低，追缴赔退“空判”情况严重，超半数案件在刑事执行程序中因无可供执行财产而终结，有损司法权威；另一方面，实务中侧重将追缴赔退制度视为程序性救济措施而非实体性救济，公权力机关采取追缴赔退的强制措施并非意味着被害人财产权必然能够得到修复，具体表现为追缴赔退的财产并非直接返还被害人，而是先交由办案机关由其决定是否发还，故被害人财产权的实现在于最终执行行为，而非追缴赔退本身。此外，相较于民事诉讼中损害赔偿的范围，追缴赔退救济范围极为有限，仅限于犯罪人违法所得，赔退的损失也限于直接物质损失，而个人信息类犯罪中被害人个人信息泄露导致的损害后果所体现于正常生活秩序利益遭受的损害，难以物化。因此，为最大程度保障刑事诉讼当事人合法权益，亟需对追缴赔退制度进行再认识，回归其权利救济的功能本位，对制度的运行与执行机制进行优化。
针对犯罪人履行意愿低下、执行难度高的问题，可在量刑程序上将追缴赔退作为重要量刑情节予以考虑，在法定量刑区间范围内，对于积极、足额赔退被害人损失的考虑从轻处罚，以最大化激励犯罪人主动赔退意愿。科学、精细化设置罚金数额，明确追缴赔退与罚金刑之间的界限，矫正犯罪人“赔了不罚，罚了不赔”的错误观念。调整追缴赔退中被害人损失认定中的证明标准，因刑事诉讼中以排除合理怀疑为证明标准，较民事诉讼的高度盖然性标准更为严苛，如在被害人损失认定中采用刑事诉讼过高的证明标准或致不当排除被害人权利救济。因追缴赔退的本质在于实现被害人的权利救济，且不涉及犯罪人定罪这一关键问题，故在追缴赔退制度中被害人损失认定上可参照高度盖然性标准以减少被害人举证难度。在追缴赔退执行阶段积极落实诉讼财产保全制度，适当扩张保全范围、提前保全阶段，避免犯罪人隐匿、转移财产。此外应建立立审执沟通协调机制，实现程序有效衔接，同时应建立追缴赔退清单进行“一物一登记”，以明确追缴赔退的财物名称、数量、金额、被害人人数等具体情况，并随着案件审理、执行阶段的展开对追缴赔退的财产是否发还、发还金额、发还时间、发还对象进行逐一对应登记及时清退。综合以上措施方能最大程度落实个人信息犯罪中被害人权益救济实效。
结语
刑罚的演进过程不可避免的需要顺应时代与犯罪发展态势实际需求。随着数字经济时代的来临，个人信息所附着的利益已然超脱个体权益而成为各个国家和地区重要的战略资产，构建综合性、体系化的个人信息保护和数据立法成为大势所趋。2021年11月1日即将正式实施的《个人信息保护法》为个人信息的系统性风险防控拉开了序幕，但在此之前，对公民个人信息的保护我国一直采用刑法为主导的单一化防控路径，难以应对大量个人信息违法犯罪行为的惩治，刑罚效益低下、司法救济不充分。在此背景下，构建“事先防控为主、事后救济为辅”和信息风险分流的体系化风险防控路径是实现危害防治即时性、责任主体完整性、保护方式多样性、公共利益保障性、保护利用平衡性等特性的必然需求也是应然路径。