“侵犯公民个人信息的行为在大数据时代会引发高度的犯罪风险”已成为学界共识。人工智能、云计算、大数据技术的迅速发展在方便日常生活的同时,也带来了刑事风险。立法采取“先刑后民”的保护思路,意图构建全方位的个人信息保护体系。《刑法修正案（七）》《刑法修正案（九）》以及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》对侵犯公民个人信息行为的刑法规制作了明确规定和解释;《民法典》《中华人民共和国个人信息保护法》等前置法中有关规定也彰显出公民个人信息保护的重要性。侵犯公民个人信息罪在适用中存在的疑难问题主要表现在两个方面:一方面是刑法第253条之一没有将“非法使用”和“再识别化”行为列举为客观行为,造成司法实践中的处罚漏洞和刑法保护法益功能的削弱;另一方面是司法实践中由于对“情节严重”和“知情同意”这两种情形的界定不统一而造成入罪及量刑上的差异,有损司法公正。本罪在适用中存在上述问题的根本原因,在于对本罪法益界定的不同认识,而且在刑法理论界法益理论的研究也未能形成统一观点。具体而言,法益的确定关系到刑法第253条中的“提供”行为究竟是否能够包含“非法使用”和“再识别化”以及“情节严重”的入罪标准,也关系到对“已公开个人信息处理”行为的定性问题。我国传统理论认为行为受到刑法处罚是因为行为侵犯了该罪所保护的社会关系,近几年来,随着德日理论的引入,犯罪客体与保护法益之间的争论不断。按照犯罪客体说,本罪保护的是公民的人身与民主权利,不能包含“非法使用”和“再识别化”行为,法益说中超个人法益说存在逻辑混乱,隐私权说、人格权说等观点都缩小了本罪的保护范围,因而也都不能涵盖“非法使用”和“再识别化”行为。与犯罪客体说相比较,公民个人信息具有人身属性、财产属性、社会属性,权益属性复杂,并且法益侵害说又为判断个罪之可罚性基础及界线的基准。法益说对公民人身权利的保护更加周延,因而本罪应采纳“公民个人信息自决权”说,有利于刑法在发挥社会保护机能与信息合法利用之间找到最佳平衡。前述侵犯公民人信息罪中两方面的适用疑难问题,按“公民个人信息自决”说,一方面“非法使用”和“再识别化”行为都侵犯了个人信息自决权,非法使用行为列为刑法规制的范畴不仅符合法益要求,而且符合时代进展,处理已公开的个人信息是否构成犯罪要考察是否符合信息主体目的;“再识别化”行为应当通过前置法立法明确违法性,此行为入罪不仅仅是由于其造成风险,更是由于侵犯法益,因而都应当纳入刑法立法的规制范围。另一方面“获取公开的个人信息的行为”不必然符合“情节严重”,只有当其违反公开信息主体目的处理时,由于侵犯法益而应当作为刑法规制的对象;“知情同意”原则由于“法益处分自由”而具有被害人承诺的性质,属于违法阻却事由。