内容提要：侵犯公民个人信息罪的信息自决权法益是一项概括化控制权。信息自决权不应当细化为信息内容控制(权)的法益构造，否则其较易被转化为抽象秩序法益观。忽视个人信息对象要件的社会属性，同时也违背了刑事违法性判断的相对独立性原理。在刑法教义学层面，信息自决权法益具有基础性法益地位，其控制权的法益构造应当是一种信息危险控制权，是一种相对控制权，是就不特定性和扩散化的信息危险情节予以刑法规制，以实现信息内容控制和信息流通利用的平衡性保护。对于信息自决权的信息危险控制的法益构造，侵犯公民个人信息罪应当排除信息自决权的抽象危险控制构造，塑造个人信息关联的人身财产安全具体危险控制构造，并重点围绕人身财产安全的个人信息危险控制、专业技术化个人信息危险控制等方面，构建被害人同意的信息危险控制法益阙如构造。

关 键 词：侵犯公民个人信息罪/信息自决权法益/信息危险控制权的法益构造/被害人同意

标题注释：本文系司法部法治建设与法学理论研究部级科研项目“无人驾驶数据风险法律规制研究”(项目号：25SFB4008)、四川省犯罪防控研究中心资助项目“个人信息的刑法平衡性保护研究”(项目号：FZFK25-10)的阶段性成果。

一、问题的提出

按照刑法理论通说，信息自决权属于侵犯公民个人信息罪的法益。①信息自决权属于具体人格权法益要素，侵犯公民个人信息罪的信息自决权法益确立，契合《中华人民共和国刑法》(以下简称《刑法》)第253条之一侵犯公民个人信息罪的立法体系定位。与此同时，个人可以借助信息自决权的控制性权属和内容，有效杜绝和防范个人信息的非法获取、出售、非法提供、非法利用等信息自决权侵害行为，从源头遏制由此滋生的电信诈骗、金融诈骗、敲诈勒索、非法拘禁、绑架甚至故意杀人等违法犯罪，消除侵犯公民个人信息的黑灰产业链对个人人身、财产安全的法益侵害。②

然而，信息自决权法益是一项概括化法益体系。③为细化信息自决权法益的内容理解和适用，信息内容控制理论提出当前侵犯公民个人信息罪信息自决权的具体法益内容和构造主要表现为，个人信息主体通过信息内容的采集、流向和处理等状态的知情同意，实现对信息内容的完全性控制(权)和绝对化支配(权)。④问题在于，当前侵犯公民个人信息罪信息自决权的“信息内容控制”的具体法益构造，并不符合前置法体现的个人信息控制和共享利用的平衡性保护理念，因为侵犯公民个人信息罪的诸多前置法规定在确立侵犯公民个人信息罪的信息自决权法益要素的基础上，还同时规定了个人信息流通和利用的理念和规则。

诸如，《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)第1条的立法目的首先就明确规定要保护个人信息权益、促进个人信息合理利用。依据该立法目的，第13、24、27条还分别明确合理利用、商业自动化决策选择退出、公开个人信息处理等规范，对个人信息予以限制性保护，以契合个人信息流通和利用的社会属性。此外，《中华人民共和国网络安全法》《中华人民共和国数据安全法》《网络数据安全管理条例》等前置性法律、法规，同样明确了个人信息依法自由流通的规则。信息内容控制的信息自决权法益构造过于强调个人信息主体对信息内容的完全性控制和绝对化支配，纯粹是对物权的民事权利法益照搬，⑤违背了刑法谦抑性原则和刑事违法性的相对独立性原理。

不同于信息内容控制理论，在信息自决权法益作为一项概括化法益体系之下，刑事司法实务并未采取个人信息主体对信息内容完全性控制和绝对化支配的裁判思路。

【案例1】“熊某等侵犯公民个人信息案”(最高人民法院第194号指导性案例)：2020年6月，被告人熊某等人结伙出资购买空白微信号和一款智能群发、加人、拉群的营销软件，以及通过网络购买他人求职信息等方式，非法添加微信好友，制作成品微信号出售，并滥用信息技术，获取并出售他人在微信号中公开的个人信息。被告人熊某等人让求职者添加微信，招揽被害人进群，致使部分被害人上当受骗。被告人熊某等人在支付工资等开支后，获得的分红款共计人民币20余万元。法院生效裁判认为，熊某在未取得权利人同意及授权的前提下，非法处理在一定范围内公开的公民个人信息，使他人个人信息陷入泄露、失控危险，并从中获取巨额违法所得，其行为违反国家规定，侵犯了公民个人信息权利，构成侵犯公民个人信息罪。⑥

【案例2】“王某侵犯公民个人信息案”(最高人民法院第2024-18-1-207-003号入库参考案例)：2015年8月到2016年4月，被告人王某将包含法定代表人或联系人姓名、手机号码等公开公民个人信息出售、提供给杨某，此类信息共计69511条。法院生效裁判认为，对公开的个人信息的合理处理可以推定自然人概括同意。但是在相关信息已经对外公开的情况下，要求行为人的收集、整理、交换等行为仍需得到被收集者同意的要求过于苛刻，也不合理。在认定侵犯公民个人信息罪所涉及的信息数量时，涉案的第二类信息不应被计入在内。据此，扣除该类信息数量。⑦

对比上述两个案例可以发现，不同于信息内容控制理论，司法机关已经认识到信息自决权的相关法益理论是侵犯公民个人信息罪的一种概括化法益体系，但对于以知情同意为核心的信息自决权的涵盖范围何在、多广等基础问题仍存在争议。案例1表明信息自决权的信息控制范围可涵盖已公开公民个人信息，但案例2表明信息自决权的信息控制范围可以涉及未公开的公民个人信息，不涉及已公开的公民个人信息。这实际上反映出侵犯公民个人信息罪信息自决权法益体系的内部构造理解和适用的问题。

面对两类入库案例的不同司法裁判观点，理论层面应该如何破解信息内容控制理论的困境？信息自决权作为一项概括化法益体系，其内部构造该如何更新，以契合侵犯公民个人信息罪的个人信息控制和流通利用的平衡性保护理念？基于此，本文将围绕这一论题展开深度研讨，希冀为司法实务提供一套参考标准。

二、信息内容控制权的既有法益构造与困境

(一)信息内容控制权的法益构造解读

按照《刑法》第253条之一的立法体系定位，侵犯公民个人信息罪属于第四章侵犯公民人身权利、民主权利罪的个罪，该罪保护个人法益。信息自决权的信息内容控制理论认为，侵犯公民个人信息罪的信息自决权法益是指个人信息主体对于自身密切相关的信息，具有自由选择在何种范围内、于何时、以何种方式，予以披露或者处理使用的决定权和自主权。⑧在信息内容控制理论看来，信息自决权不仅是一项个人信息主体控制权，更是一项个人对信息内容的控制权。

第一，在法益性质层面，信息自决权法益是一项个人信息主体的控制权。在构成要件方面，《刑法》第253条之一侵犯公民个人信息罪通过出售、提供、窃取以及其他非法获取等个人信息处理的行为要件，直接或间接识别个人信息的对象要件，明确了信息自决权法益的保护方式，契合传统理论的信息自决权法益概念中个人信息的时空、对象、种类范围的决定权和自主权。在信息自决权理论看来，个人信息决定权和自主权体现了一种控制性思维，是一种个人信息控制权。⑨诸如，德国理论界通说认为，信息自决权是指个人依照法律控制自己的个人信息，并决定是否被收集和利用的权利。此外，“美国的隐私权概念也强调信息自决权旨在维持个人信息主体对信息内在领域的一定程度的控制和权利，突出个人自主控制权能。”⑩同样，我国部分学者也采取信息自决权的控制权理论，并认为侵犯公民个人信息罪保护的信息自决权法益实质上就是一种个人对信息的控制权。(11)

在刑法教义学层面，信息自决权的控制权理论在刑法规范体系中得到体现。刑法通过“违反国家有关规定”，明确个人信息的时空、对象、种类范围等构成要件内容，体现出刑法保护的信息自决权是个人对信息的一种控制权。(12)除了“违反国家有关规定”的空白罪状规定外，最高人民法院、最高人民检察院2017年5月8日印发的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《侵犯公民个人信息刑事案件解释》)第3条第2款规定的“未经被收集者同意”的知情同意，直接揭示了信息自决权的法益性质和核心要义在于个人信息主体的控制权。

第二，在法益内容层面，信息自决权是一项个人主体对信息内容的控制权。侵犯公民个人信息罪信息自决权的控制权理论不仅体现在法益性质层面，还体现在法益内容层面。信息内容控制理论认为，信息自决权的具体法益内容主要体现为个人信息主体通过信息内容的掌握、流向和处理等状态的知情同意，实现对信息内容的完全性控制权和绝对化支配权，这是一种信息内容控制性构造。因为信息自决权的概念核心内容在于个人信息内容的绝对支配和自主决定，其内涵是“自然人对于自己的个人信息，自我占有、自我控制、自我支配，他人不得非法干涉，不得非法侵害。因而个人信息权是排他的自我决定权，是绝对权”。(13)由此可见，信息内容控制理论确立了信息自决权对个人信息内容的绝对权、排他权、占用权和支配权的基础定位。在民法理论中，上述权利法益表现为权利主体对个人信息内容的独占、所有，排斥外界他人的使用、干扰和破坏，以实现对个人信息控制权的周全性保护。(14)因此，部分刑法理论认为，对于侵犯公民个人信息罪而言，传统理论强调的信息自决权展现的是个人对信息内容的控制与自决。(15)有部分理论也将这种信息自决权的信息内容控制性法益构造简称为信息专有权法益或信息内容自主控制性法益。(16)

在信息内容控制理论看来，《刑法》第253条之一侵犯公民个人信息罪的出售、提供、窃取以及其他非法获取等个人信息处理的行为要件，直接或间接可识别性个人信息的对象要件等立法规定，体现的便是信息内容控制的法益构造在行为构成要件和个人信息范围等方面的全流程性、全周期性规制。(17)同样，《侵犯公民个人信息刑事案件解释》第5、6条对“情节严重”“情节特别严重”的细化规定，将50、500、5000条等个人信息数量直接作为定罪量刑标准，更是表明了信息自决权法益的核心构造和要素在于“信息内容控制”，(18)信息自决权是一项个人主体对信息内容的控制权。

(二)信息内容控制权的法益构造困境

其一，信息内容控制法益较易被量化并转变为抽象秩序法益观。按照法益保护理论，刑法保护的法益必须是一种具体性、实质性的内容和要素，而并非呈现抽象化、概括化和宏观化的特点。(19)信息自决权中的信息内容控制要素是否适合作为侵犯公民个人信息罪法益，需经受法益理论考察。按照前述信息自决权的信息内容控制理论的观点，信息内容控制理论确立了信息自决权对个人信息内容的绝对权、排他权、占用权和支配权的基础定位，具体表现为权利主体对个人信息内容的独占、所有。行为人非法获取的个人信息条数越多，侵犯信息自决权法益就越严重。

实质上，个人信息条数量化标准反映出的信息内容控制理论正是个人信息秩序法益观的立基之本。按照个人信息秩序法益观，“侵犯公民个人信息罪的保护法益并不是公民的个人权利，而是一种抽象的集体利益，具体表现为一定数量的公民个人信息所形成的公共信息安全和国家对信息流通的管理秩序。”(20)在个人信息秩序法益观看来，侵犯公民个人信息案件涉及的公民个人信息通常数量巨大，个人信息的量化总和提升了更高位阶法益，使侵犯公民个人信息行为具有真正意义上的刑事可罚性。(21)个人信息内容的数量控制越多，那么信息社会管理秩序的扰乱程度越严重。

但是，在立法体系中，侵犯公民个人信息罪属于《刑法》第四章侵犯公民人身权利、民主权利罪的个罪。在没有对个人信息主体的人身、财产安全造成任何实害或者前置危险的情形下，单纯以信息内容控制的个人信息条数等量化标准作为法益侵害的结果，实际上是一种抽象化、概括化的秩序法益观或超个人法益观的体现。在多数理论看来，“秩序作为精神化法益的典型内容，在国内刑法学界饱受诟病，甚至成为众矢之的。”(22)如果贸然以反映信息内容控制的个人信息条数量化标准作为信息自决权法益要素，那么在量化的个人信息秩序法益观指引下，侵犯公民个人信息罪的法益理解与适用将越发抽象，无形中会扩大刑事制裁范围，不利于刑法的精准化规制。

其二，忽视个人信息对象要件具有的社会属性价值。个人信息作为侵犯公民个人信息罪的行为对象要件，其内容属性和作用机制的显著差异，对侵犯公民个人信息罪信息自决权的法益体系适用也会产生重大影响。按照信息内容控制理论的观点，信息自决权法益构造强调个人信息主体对于自己的个人信息的自我占有、自我控制、自我支配的绝对权利。但是，这忽视了个人信息对象要件所具有的社会属性。尽管刑法的确需要保护个人信息的个人属性，并据此入罪，但在考虑个人属性的同时，也需要权衡个人信息的社会属性予以出罪。前述案例1、2对公开个人信息限度性保护的刑事裁判思路，体现了个人信息对象要件的社会属性的出罪价值。

根据《刑法》第253条之一侵犯公民个人信息罪“违反国家有关规定”的立法罪状，作为前置法的《个人信息保护法》和《中华人民共和国民法典》(以下简称《民法典》)奠定了个人信息社会属性的良好教义法基础。《个人信息保护法》第1条立法目的首先明确了“保护个人信息权益”和“促进个人信息合理利用”的个人信息的个人属性和社会属性二元属性，并分别通过第13、27条的单个独立条款具体规定了基于社会利益、公共利益等社会属性价值的个人信息绝对支配的排他保护原则。同时，《民法典》第1036条亦作出类似独立规定。

按照多数观点认可的个人信息个人属性和社会属性的二元属性理论，个人信息作为个人在社会交往和经济活动中正常行动的一种基本工具和手段，个人信息利益关联现代社会的正常运转和数字经济的基础发展等社会利益，个人信息兼具社会属性。(23)如果按照信息内容控制理论，个人信息主体具有个人信息的自我占有、自我控制、自我支配的绝对性权利，即使是对于公开个人信息、科研调研目的、正常社会交往、合法经营的经济流通等个人信息社会属性的场景目的，也要处处基于信息内容控制理论获得个人授权同意，那么将极大地影响正常社会交流和社会发展。

其三，违背刑事违法性判断的相对独立性原理。在信息内容控制理论中，信息内容的完全性控制和绝对化支配的法益构造，本质上是一种物权的民事权利法益移植。在民刑一体化理论看来，这是十分可取的，因为法益内容的民刑一体化保护有利于刑法规制范围与民法、行政法等前置法保持一致，从而实现法秩序的统一，并且能更加周延地保护侵犯公民个人信息罪的法益，弥补先前的漏洞。(24)但是问题在于，以民刑一体化理论为基础的信息内容控制法益构造，违背了刑事违法性判断的相对独立性原理。该原理总体认为，基于刑法的特殊部门法的独立地位和法秩序统一性原理，罪刑规范的司法适用和刑事违法性判断，在行为类型、概念、规范类型等方面，均存在前置法范围内选择性适用的相对独立空间，并不需要完全依附前置法的规定和一般违法性判断。(25)按照相对独立性原理，相对于民法、行政法保护的概括化和宏观化信息自决权，刑法更加聚焦于信息自决权中的特定法益内容。

在民法、行政法的前置法中，信息自决权的内容控制权可以通过查询、复制、更正、删除等从个人信息的收集到最终删除的全生命周期中的各个环节，对个人信息内容予以全方位和全流程控制。(26)但是，按照《刑法》第253条之一的立法规定，刑法只是从前置法规定的个人信息处理的全生命周期和全流程中，选择了获取、出售、提供等部分严重行为予以规制，这恰恰体现了刑事违法性判断的相对独立性原理。因此，信息内容控制理论规制个人信息内容全流程、全方位的处理行为，违背了刑事违法性判断的相对独立性原理，将不存在任何个人信息关联人身、财产安全危险的删除、加工、查询等处理行为也全盘纳入其中，违反刑法谦抑性原则。

三、信息危险控制权的法益构造证立

既然信息内容控制权不适合作为侵犯公民个人信息罪信息自决权的具体法益构造，那么侵犯公民个人信息罪的法益构造重塑便是当下理论界和实务界的重要任务。在重塑或证立法益构造之前，我们需要厘清信息自决权的法益类型本身是否存在不适配我国个人信息刑法保护的根源性问题，或者是否可以在信息自决权法益的具体内部构造上另辟蹊径，这值得学界进一步研究。

(一)明确信息自决权的基础性法益地位

面对信息自决权的信息内容控制权的法益构造问题，部分理论开始完全批判和否定信息自决权的概念和法益要素，甚至推翻刑法理论通说奠定的信息自决权的基础性法益地位，认为应当重新塑造侵犯公民个人信息罪的法益类型。(27)但是，单凭信息自决权的信息内容控制的法益构造问题，就完全否定理论通说的信息自决权的概念和基础性法益定位并不合理，同时还会产生新法益类型的解释问题。其实，信息自决权作为一项基础性法益类型，具有一定合理性，信息自决权法益体系存在内部限缩性空间，我们完全可以对症下药，在信息自决权基础上对其进行内部改造，最大限度消除信息内容控制的法益构造问题。

第一，信息自决权法益性质契合刑法立法体系定位。按照刑法理论通说，刑法分则的类罪体系划分和个罪的编排分布是按照同类法益性质的方法进行的。(28)部分持有超个人法益理论的观点认为，侵犯公民个人信息罪的保护法益并非公民个人的信息自决权，而是多数人法益，具有相当程度公共性的法益。(29)混合法益观认为，侵犯公民个人信息罪保护信息自决权的个人法益和公民信息安全的超个人法益的混合法益内容。(30)但是，两者均违背了《刑法》第253条之一的立法体系定位。侵犯公民个人信息罪属于第四章侵犯公民人身权利、民主权利罪的个罪，侵犯公民个人信息罪的规范保护目的和法益类型都指向个人法益。而按照信息自决权理论，无论是从具体人格权的个人信息主体控制权理论构造，还是从人格尊严和人格自由的一般人格权的法益属性来看，信息自决权的法益性质均是个人法益。

第二，信息自决权法益体系存在内部性限缩空间。从前述可知，信息自决权本质上体现的是一种个人法益，是一项控制权法益构造。同时，信息自决权并非不受制约和无限扩张的信息专有权，刑法完全可以基于个人信息的社会属性和共享利用价值，对信息自决权法益构造予以限缩，以契合数据安全和数据共享的数据治理二元基础目标。(31)诸如，按照《个人信息保护法》第13条的规定，为公共利益实施新闻报道和舆论监督等，在合理范围处理个人信息的行为；再或者是处理已公开个人信息的处理行为，其并未造成或者进一步加深个人信息危险，此时信息自决权法益应当予以内部性限缩保护，个人信息处理行为无罪。按照信息自决权原始概念的理解，信息自决权概念最早出现时，是对抗无限制的信息收集行为的有力工具，其本身就受到个人信息的公共价值和社会属性等条件的限制。(32)诸如，知情同意弱化理论、社会属性的实质出罪理论等，均是部分学者提出的信息自决权法益实质性限缩路径的法理基础。(33)

(二)信息危险控制权的法益构造剖析

信息自决权法益作为一项基础性法益地位，其存在内部性限缩空间。接下来，我们需要具体探讨信息自决权内部法益内容和空间构造的问题。

1.信息自决权指向个人信息危险的“相对控制权”法益构造

信息自决权理论认为，信息自决权是一项基础性、概括化法益体系，其具体适用需要在定型化、实质化具体法益内容出现后，优先适用信息自决权的内部法益要素。(34)在《个人信息保护法》立法过程中，概括化信息自决权理论通过构建以“告知—同意”为核心的个人信息处理规则，渗透到个人信息处理的全过程。(35)对于以“告知—同意”为核心的信息自决权的具体内容、范围、方式、程度等并未作细化。在概括化信息自决权理论指引下，信息自决权的控制权理论开始反思信息内容控制理论的法益构造。区分性控制权理论总体认为，信息自决权作为一项控制权，其可以依据控制权的辐射范围和涵盖广度，将信息自决权的控制权分为全面控制权理论和相对控制权理论。(36)其中，个人信息主体对信息内容的完全性控制和绝对化支配是一种全面控制权，如果侵犯公民个人信息罪信息自决权法益引入信息内容控制的全面控制权构造，将不利于个人信息的正常流通和利用，也违反了刑法谦抑性原则。因此，对信息自决权的全面控制权进行合理限制形成相对控制权实属必要。(37)而对于相对控制权的“相对性”标准理解，部分理论提出个人信息利用控制的相对性标准，认为信息自决权不是个人信息内容层面的完全绝对控制权，而是限制在个人信息利用范围之内的积极主动控制权。(38)虽然该相对性标准将已公开个人信息处理的合理利用行为排除在外，但其并不全面，容易将无任何实质法益侵害的汇总收藏、统计分析等个人信息处理的行为也作为犯罪处理，并不合理。

相对控制权的“相对性”标准应当在于侵犯行为造成的个人信息危险，亦即侵犯公民个人信息罪保护的信息自决权法益构造在于信息危险控制权，其是指个人信息主体对非法处理和利用等侵犯个人信息行为造成的信息危险和危险发展出的实害予以控制的一种法益内容或法益构造。如此，可避免上述相对性标准诱发的无任何实质法益侵害的汇总收藏、统计分析等个人信息处理的行为被作为犯罪处理的问题。诸如，案例1的最高人民法院第194号指导性案例“熊某等侵犯公民个人信息案”的裁判观点并未完全将公开个人信息排除在个人信息主体的控制之外，而是将公开个人信息控制权限定在“使他人个人信息陷入泄露、失控危险”的相对范围之内。

按照信息自决权的区分性法益构造理论，信息自决权不仅包括依据个人意志自由对个人信息内容的控制，还包括在特定情况下个人信息主体对可能遭受的信息侵害危险的控制。(39)其中，信息内容控制安全是一种静态层面控制权法益，信息危险控制安全是排除或者控制个人信息侵害危险和危险发展为实害的一种动态层面控制权法益。(40)“刑事立法者总是选择性地保护某些法益，而将其他一些法益留给其他法律保护。”(41)对于侵犯公民个人信息罪的信息自决权法益而言，刑法不可过度介入本属于民事权利的信息内容的完全性控制和绝对化支配的法益侵害。按照法益保护原则，法益是指犯罪所侵害或者威胁的利益，法益侵害的客观结果包括实害结果和危险结果。(42)对于信息自决权的控制权理论而言，其控制的对象至少应当是个人信息危险。在网络虚拟空间环境下，如果个人信息重大法益危险得不到控制，那么个人信息重大法益危险将极易转化为实害结果。因此，信息自决权的信息危险控制的法益构造也应包含信息实害结果的控制。

2.信息危险控制对象在于“不特定性和扩散化”的个人信息危险

基于刑法谦抑性原则，信息危险控制权的法益构造相较于信息实害结果控制而言，信息自决权的法益侵害危险应当具有扩散化和不特定性的特点，刑法需要对不特定性和扩散化的信息危险情节予以规制。

第一，网民聚合效应加剧个人信息危险的不特定性，信息危险控制对象在于不特定个人信息危险。不同于传统线下犯罪，基于网络空间的虚拟性和平台媒介的无边界性，网民不特定性聚合效应较为显著，处于互联网空间的任何人均是侵犯公民个人信息罪的不特定性潜在受害者，同时也可能不特定地侵犯他人个人信息。对此，最高人民检察院在第140号指导性案例“柯某侵犯公民个人信息案”的述评中强调，一旦大规模个人信息遭遇泄露和非法窃取，并被非法利用，那么这种个人信息危险转化的实害结果将具有不特定性。围绕个人信息的非法获取、出售、非法提供、非法利用等滋生的电信诈骗、金融诈骗、敲诈勒索、非法拘禁、绑架甚至故意杀人等违法犯罪严重危害个人人身财产安全的法益侵害状态和事实也是不特定的。(43)因此，这种重大法益侵害危险的不特定性需要刑法提前予以控制。按照危险犯的概念理解，刑法前置性介入法益侵害的危险状态的原因在于法益侵害和危险辐射对象的不特定性。(44)此时，信息危险控制的法益构造能够及时将不特定重大个人信息危险控制在萌芽状态。

对于信息自决权法益的不特定个人信息危险控制构造，刑法立法和司法解释均提供了教义学基础。首先，立法和司法解释明确了不特定个人信息危险控制构造的入罪标准。《刑法》第253条之一侵犯公民个人信息罪重点规制出售、提供和窃取行为，在信息网络化时代，出售和提供行为使得个人信息需要面对不特定传播环境和不特定传播对象；基于牟利目的，窃取行为使个人信息对外传播的对象和路径不受控制。尤其是在行为人窃取和非法获取大量个人信息的情况下，在不特定传播环境中或针对不特定传播对象，出售和提供行为造成的不特定危险将增加。因此，《侵犯公民个人信息刑事案件解释》第5条第1款第1-2项通过“被他人用于犯罪”和“明知或者应当知道他人利用公民个人信息实施犯罪”等情形，明确个人信息关联的重大人身财产安全的不特定危险及其衍生出的实害结果。

其次，司法解释和入库案例明确了无关不特定个人信息危险控制构造的出罪标准。在实质个体法益指引下，根据《侵犯公民个人信息刑事案件解释》第5条第1款第1-2项的体系解释方法，第1款第3-6项的数量化规定并非信息内容控制理论的体现，而是通过不特定传播环境状态或不特定传播内容的量化和敏感化，反映不特定危险的扩散性和情节严重性。因此，单纯获取一定数量个人信息的行为仅是侵犯信息内容控制的法益构造，或者向基于公共利益和社会利益实施学术研究和科学统计的人提供个人信息的行为，两者均不涉及不特定个人信息的人身财产安全危险控制构造，应当予以出罪。对此，《侵犯公民个人信息刑事案件解释》第6条明确排除了为合法经营而购买和收受个人信息的条数量化入罪标准。此外，在前述案例1的最高人民法院第194号指导性案例“熊某等侵犯公民个人信息案”中，按照裁判要旨的观点，针对熊某获取他人微信公众号关联的公开个人信息的行为，真正反映信息自决权法益受到侵害的案件事实是“使他人个人信息陷入泄露、失控危险”，而反映信息内容控制法益构造的“单纯未获取个人信息主体的同意及授权”的案件事实并非入罪标准。同样，在前述案例2的最高人民法院入库参考案例“王某侵犯公民个人信息案”中，纵使是未经个人信息主体同意，法院仍基于无关信息危险控制法益构造的部分公开个人信息的案件事实，将对应个人信息条数排除在外。

第二，网络空间的虚拟性和无边界性加剧个人信息危险的扩散化，信息危险控制对象在于扩散化个人信息危险。基于网络空间的虚拟性和平台媒介的无边界性，侵犯公民个人信息行为具有隐蔽性和操作便捷性，不法分子身份具有匿名性，一旦不特定个人信息的非法披露和利用的初次危险状态已经形成，且未得到及时阻断，信息自决权法益的不特定侵害会瞬时呈现扩散化特点，并不断发展。(45)正是基于此，传播量化理论才会将个人信息条数、网页点击和转发次数等传播次数作为入罪标准。(46)信息自决权法益侵害呈现扩散化特点和状态，表明个人信息主体遭受个人信息黑灰产业链下游犯罪的可能性会不断加大，此时刑法需要借助信息危险控制的法益构造，及时阻断个人信息危险的扩散化历程。

对于信息自决权法益的扩散化个人信息危险控制构造，刑法立法和司法解释提供了教义学基础。首先，立法和司法解释明确了扩散化个人信息危险控制构造的入罪标准。《刑法》第253条之一侵犯公民个人信息罪重点规制出售、提供和窃取行为，在牟利、好奇和炫技等动机驱使下，再或者是面向不特定网民对象时，出售和提供行为致使个人信息对外传播的对象和路径呈现扩散化趋势。因此，刑法才会在《个人信息保护法》第2条规定的“查询、复制、更正、删除”等个人信息处理全生命周期的各个环节中，选择获取、出售、提供等部分严重行为予以规制。同时，根据《侵犯公民个人信息刑事案件解释》的体系解释方法，第1款第3-6项的数量化规定并非信息内容控制理论的体现，而是通过不特定传播环境状态或不特定传播内容的量化和敏感化，反映不特定个人信息危险的扩散性和情节严重性。

其次，司法解释和入库案例明确了无关扩散化个人信息危险控制构造的出罪标准。《侵犯公民个人信息刑事案件解释》通过第6条第1-2款规定，单纯为了社会经济效益而合法经营购买、收受个人信息，并在内部特定经营环境和场景中使用的，由于其并未创设扩散化危险，因此上述情形不构成犯罪。此外，在前述案例1的最高人民法院第194号指导性案例“熊某等侵犯公民个人信息案”中，按照法院裁判观点，熊某构成犯罪的实质案情在于其通过非法添加微信好友，制作成品微信号，将微信号关联的公开个人信息予以广泛出售，使他人个人信息陷入泄露和失控的危险。这是一种扩散化个人信息危险，侵害了信息自决权的个人信息危险控制的法益构造。而单纯获取或者处理他人微信公众号关联的公开个人信息的行为，反映的仅是信息内容控制法益构造，其并非入罪标准。同样，在前述案例2的最高人民法院入库参考案例“王某侵犯公民个人信息案”中，王某收集、整理、交换等公开个人信息处理行为的案件事实，并未进一步制造新的扩散化个人信息危险，其相应行为并不构成犯罪。

(三)信息危险控制权构造的双重依据

1.侵犯公民个人信息罪的立法罪状依据

首先，侵犯公民个人信息罪的空白罪状涵盖信息危险控制的法益构造。从《刑法》第253条之一侵犯公民个人信息罪的立法罪状来看，“违反国家有关规定”的空白罪状要求信息自决权的法益构造确立需要有前置法依据。《个人信息保护法》第51条规定的个人信息处理者履行信息安全风险的防范义务要求，为信息危险控制的法益构造融入奠定了理论基础。具体而言，该条从个人信息的内部管理、分类管理、加密和去标识化的安全技术措施、应急预案等方面，确立了个人信息安全风险的控制性规则。信息风险理论认为，个人信息风险相较于个人信息危险而言，其发生实害结果的概率和程度相对较低，而个人信息危险引发实害的概率和程度相对来说最高。(47)按照当然解释原理，既然《个人信息保护法》作为侵犯公民个人信息罪的前置法，其涵盖了最低限度和概率的个人信息风险控制的法益构造，那么最高概率的个人信息危险控制法益构造也可以被《个人信息保护法》第51条所涵盖，并随之纳入侵犯公民个人信息罪的空白罪状之中。

其次，侵犯公民个人信息罪的情节罪状涵盖信息危险控制的法益构造。有部分观点认为，侵犯公民个人信息罪属于实害犯。(48)如是之，那么侵犯公民个人信息罪的信息自决权肯定不包括信息危险控制的法益构造。但是，从《刑法》第253条之一的立法罪状来看，侵犯公民个人信息罪属于基本情节犯。按照情节犯理论，对定罪产生影响并反映行为的社会危害性及其程度的各种主客观事实均可作为情节要素。(49)基本情节犯的定罪情节是一个概括化、抽象化概念，其可以通过危险结果情节体现信息危险控制的法益构造。(50)

2.个人信息侵犯行为平衡性规制的现实依据

平衡性规制理论认为，侵犯公民个人信息罪在规制个人信息获取、提供、出售、其他非法获取等侵犯行为时，应当考虑个人信息控制和利用的平衡性保护，适当让渡或者限缩信息自决权法益内容，以实现平衡性规制理念。(51)平衡性规制理念为信息内容控制转向信息危险控制提供了现实依据。

第一，平衡性规制的现实基础指引侵犯公民个人信息罪塑造信息危险控制构造。在平衡性规制理念的指导下，侵犯公民个人信息罪必须兼顾信息利用和流通，信息自决权的法益构造需要考虑个人信息的社会属性价值，在信息内容控制和信息内容利用之间寻求最佳平衡点。基于刑法法益保护原则，侵犯公民个人信息罪只能在信息内容利用存在重大法益侵害危险时，才能对个人信息处理行为予以规制。出于正常社会交往、合法经营的经济流通等社会属性的场景目的的个人信息处理行为，虽然表面上侵犯个人信息主体的信息内容控制权，但这仅是侵害了纯粹民事权利法益，而并未实质侵害信息危险控制权。(52)在刑法看来，这应当属于个人信息合理利用和正常流通的范畴。

第二，动态性平衡规制的现实需求指引明确信息危险控制法益侵犯的具体情境。因在具体运作中受到个体价值立场、数据技术发展与秩序维护等因素的影响，很多情况下个人信息控制和共享呈现出非此即彼的竞争乃至对抗状态。(53)按照庞德的利益动态平衡理论，两种冲突利益的协调并非强调每时每刻的并重式、同等式保护的绝对化静态平衡，这是一种理想状态，不可能实现，利益冲突状态应当按照不同时期和场景变化予以大体上的动态平衡保护。(54)按照信息内容控制的法益构造，侵犯公民个人信息罪一般选择静态层面的个人信息种类和属性的内容作为入罪标准。诸如，《侵犯公民个人信息刑事案件解释》第5条第1款第3-5项的直接敏感信息、间接敏感信息、一般信息的不同数量，可直接作为入罪标准。但是，按照危险犯理论，无论是个人信息的抽象危险控制还是具体危险控制，两者均需要依据个人信息所处的动态化具体危险情境予以实质考察。(55)

四、信息危险控制权的法益构造展开

(一)塑造信息自决权的具体危险控制的法益构造

虽然信息危险控制权的法益构造已经在信息自决权的概括化法益体系的基础上进行了细化，但按照危险犯的理论通说，信息自决权的信息危险控制法益构造主要存在抽象危险控制和具体危险控制两类。本文认为，侵犯公民个人信息罪信息自决权的法益构造在于具体危险控制权。

1.排除抽象危险控制权的法益构造

信息自决权的抽象危险控制理论认为，目前侵犯公民个人信息犯罪仍处于高发态势，不仅严重危害公民个人信息安全，而且与电信网络诈骗等犯罪存在密切关联，甚至与绑架、敲诈勒索等犯罪活动相结合，社会危害日益突出。考虑到侵犯公民个人信息的行为极易创造抽象危险，因此立法者将拟制的危险置于“情节严重”之中。(56)司法解释设置个人信息数量标准表明立法者将拟制的危险置于“情节严重”之中，当侵犯个人信息达到一定数量时，就可以认定信息自决权的抽象危险控制法益构造受到侵害。(57)但是信息自决权的抽象危险控制理论问题较为显著，具体而言，为以下几个方面：

第一，侵犯公民个人信息罪不具备立法拟制的抽象危险构造。根据抽象危险犯理论通说，抽象危险犯的入罪门槛较低，因此抽象危险犯的设置必须由立法者进行，而不能随意交由司法实务扩增和解释。(58)侵犯公民个人信息罪的立法罪状仅明确了情节犯，而并未将侵犯个人信息行为的抽象危险作为立法拟制的结果要件。抽象危险控制理论误导了司法解释规定的个人信息量化的入罪标准，或者仅根据信息黑灰产业链犯罪理论予以主观推导，以上均不能作为判定信息自决权的危险控制对象为抽象危险的依据。

第二，侵犯个人信息行为不具备一般社会经验的典型危险。抽象危险控制理论常借助信息黑灰产业链犯罪理论推导出抽象危险，但按照个人信息个人属性和社会属性的二元属性理论，信息传播是社会交流和内容获取的必经过程，个人信息被他人利用、流通和提供，是信息社会中个人信息共享和合理利用的正常情形。(59)因此，侵犯个人信息行为不具备一般社会经验的典型性危险，其不具备抽象危险控制的前提条件。

第三，抽象危险控制理论容易沦为信息内容控制的法益构造。从前述可知，个人信息数量标准常被信息内容控制理论作为个人信息主体对信息内容的绝对化控制和完全性支配的规范依据。因此，在部分抽象危险控制理论看来，“只要实施了出售、提供、购买、收受、交换、盗窃个人信息等行为，就可以认定为具有违法性，而不用考察行为是否实际侵犯了法益或制造了法益侵害危险。”(60)但是，这和信息内容控制法益构造无异，抽象危险控制理论较易和信息内容控制理论相混淆。

2.确立具体危险控制权的法益构造

第一，依据刑法立法和司法规范的指引，确立具体危险控制权的法益构造。

首先，从立法规范的构成要件要求来看，信息危险控制的法益构造在于个人信息的具体危险控制。(1)在结果要件方面，根据《刑法》第253条之一侵犯公民个人信息罪“情节严重”的立法可知，个人信息危险控制的法益构造属于侵犯公民个人信息罪的结果构成要件的罪状表述。换言之，要想认定个人信息侵犯行为构成侵犯公民个人信息罪，司法者必须证明信息自决权的信息危险控制法益侵犯结果或情节的严重性，这属于基本构成要件的待证事实。在危险犯理论通说中，具体危险犯和抽象危险犯的显著区别之一就在于危险结果构成要件的要求，具体危险结果是一种立法明确的构成要件，需要司法实务予以具体证明。(61)因此，侵犯公民个人信息罪的立法至少应当包括信息具体危险控制的法益构造。(2)在对象要件方面，假设侵犯公民个人信息罪具有抽象危险控制的法益构造，那么将其对比《刑法》第141条的生产、销售、提供假药罪的典型抽象危险犯，可以发现，两者的基本法定刑均在3年以下有期徒刑。但是，侵犯公民个人信息罪的“个人信息”对象的危害存在间接性，其本身具有技术中立性特点，这显然无法与生产、销售、提供假药罪的“假药”对象要件的直接危害性相提并论。

其次，从司法规范来看，信息危险控制的法益构造在于个人信息的具体危险控制。根据《侵犯公民个人信息刑事案件解释》第5条和《检察机关办理侵犯公民个人信息案件指引》第2条第4项对“情节严重”的细化和审查规定，“可能影响人身、财产安全”“与公民人身、财产安全直接相关”等司法规范性文件的表述，均表明司法实务在认定个人信息危险时，必须强化个人信息危险与公民人身财产安全的关联性。这是一种具体危险犯的典型构造要求，表明侵犯个人信息行为并不具备一般社会经验的典型性危险，也不具有立法拟制的抽象危险。侵犯公民个人信息罪需要赋予个人信息主体对具体危险控制的法益构造。

第二，依据个人信息的不特定性和扩散化场景，细化具体危险控制权的法益内容。

首先，面对个人信息范围的扩散化和对象不特定性，个人信息危险也具有重大法益侵害的不特定性和扩散性。个人信息和侵犯行为依托的虚拟性网络空间和无边界性平台媒介，无疑会加剧个人信息危险的不特定性和扩散性，但个人信息内容具有技术中立性，其并非等同于本身就有危害属性的枪支、弹药、爆炸物、假药等危险物。按照前述个人信息社会属性理论的指引，个人信息也常具有合理利用和一般流通的社会属性价值。基于网络空间的虚拟性和对象不特定性，在未明确特定个人信息侵害危险的具体对象和特定范围之前，我们无法断定个人信息的提供、获取、出售等行为必然侵犯信息自决权法益，刑法更不可将个人信息危险的不特定性和扩散性直接等同于一般性和典型性抽象危险。由此可见，不特定性和扩散化个人信息的传播范围和面向对象，也指引侵犯公民个人信息罪确立具体危险控制权的法益构造。

其次，面对个人信息范围的扩散化和对象不特定性，个人信息主体可借助信息场景理论明确具体危险控制的法益构造。信息场景理论认为，个人信息危险判断需要结合个人信息处理的具体完整性场景要素进行，诸如信息处理的主体、信息内容和性质，以及各方主体之间的关系，甚至包括更广泛的信息制度和信息流通社会环境。(62)《侵犯公民个人信息刑事案件解释》第5条第1项规定了“出售或者提供行踪轨迹信息，被他人用于犯罪的”，以及第2项规定了“知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的”等具体信息处理场景。在前述案例1“熊某等侵犯公民个人信息案”和案例2“王某侵犯公民个人信息案”中，熊某和王某在获取公开个人信息后，又不同程度地借助网络平台无差别出售。在这种不特定性和扩散化危险场景下，个人信息主体已经丧失了信息自决权的具体危险控制权。网络空间的虚拟性和平台媒介的无边界性的个人信息流动场景和环境，会凸显个人信息内容的扩散范围和面向对象的不特定性，从而提升个人信息危险的盖然性和实害转化概率。按照信息场景理论，在特定个人信息流通的场景和环境下，个人信息危险将会具象化和明确化。(63)

(二)构建人身财产安全的信息危险控制权的法益构造

1.明确人身财产安全的具体危险控制权的法益构造

作为指导侵犯公民个人信息罪构成要件认定和适用的法益要素，其必须具备精细化和明确化的内容。个人信息自决权是一项宏观性的控制权法益体系，这不仅体现在信息自决权的控制权内容区分和细化方面，还体现在权利束体系涵摄的各项子权利方面。按照民法的权益束理论，信息自决权并不是一项具体权益，而是一项包含个人的人格尊严、个人的人身财产安全、个人的通信自由和通信秘密、个人生活和工作的安宁等各项子权利的权利束。(64)那么刑法应当如何确立信息自决权的具体法益构造呢？本文认为，在个人信息自决权的各项子权益中，相对而言，公民的人身财产安全更值得刑法予以保护，人身财产安全的具体危险控制才是侵犯公民个人信息罪信息自决权的具体法益构造和内容。

首先，按照刑事违法性的相对独立性原理，在法益层面，刑法必须体现其后盾法保障的部门法目标，在前置法确立的法益内容中独立选择值得保护的重大或核心的法益要素，如此刑法介入才具备正当性。(65)目前而言，在个人信息自决权的各项子权益中，相对于个人的人身财产安全而言，个人生活和工作的安宁更具抽象化和主观化，其偏向纯粹的人格利益。而对于个人通信自由和通信秘密而言，《刑法》第252条侵犯通信自由罪已经予以了单独保护。对于前述两者而言，民事协商与救济远比刑事干预和制裁要更为有效和经济。(66)因此，对于民法的权益束理论中个人信息自决权的各项子权益，侵犯公民个人信息罪更应当保护个人信息主体的人身财产安全的具体危险控制权益。

其次，按照信息黑灰产业链犯罪理论，在现实生活或具体案件中，侵犯公民个人信息罪作为信息黑灰产业链的上游犯罪，不法分子围绕公民个人信息的非法获取、出售、非法提供、非法利用等行为，实施电信诈骗、金融诈骗、敲诈勒索、非法拘禁、绑架甚至故意杀人等违法犯罪。根据公安部网络安全保卫局的通报，从整体数据来看，侵犯公民个人信息已成为大量涉网违法犯罪的上游犯罪，其中的个人信息经常被作为网络暴力、网络洗钱、电信诈骗和敲诈勒索的基础资源和工具。(67)因此，从理论和实务来看，人身财产安全与侵犯公民个人信息罪密切相关，信息黑灰产业链犯罪规制也是侵犯公民个人信息罪的立法考量目的。(68)按照刑事违法性的相对独立性原理，人身财产安全的具体危险控制权作为侵犯公民个人信息罪信息自决权的具体法益内容，也符合信息黑灰产业链的现代化犯罪治理需要。

2.塑造信息自决权与人身财产安全危险控制的双层化法益体系

根据前述可知，虽然信息自决权是一项概括性法益体系，但其体系背后还蕴含着“信息内容控制权+信息危险控制权”的二元法益构造，基于刑事违法性的相对独立性原理，刑法应当从信息自决权体系中实质化推导出信息危险控制权，并予以保护。而信息自决权作为一种双层化法益体系，人身财产安全可以借助具体危险控制权的法益构造妥当地融入其中。信息自决权的双层化法益体系是指由信息自决权充当侵犯公民个人信息罪的阻挡层法益，与个人信息紧密关联的人身财产安全危险控制权充当背后层法益，在此基础上两者优化组合成的一项法益体系。

第一，在理论架构层面，法益分层理论为信息自决权的双层化法益体系明确推导关系。该理论最初是为了解决集体法益或秩序法益中的实质性个体法益的可还原化问题。按照法益分层理论的观点，对于妨害社会管理秩序类罪及其具体个罪而言，实质性内容的社会管理秩序法益必然会关涉不特定多数、少数个人法益内容，其中的社会管理秩序是阻挡层法益，是行为手段性、行为指向性法益，而关涉的、呈现的不特定多数和少数个人法益内容是背后层法益，是实质违法性、行为本质性法益，两者紧密关联。(69)同样，对于信息自决权和人身财产安全的具体危险控制权而言，两者处于一种紧密互动关系，前者和后者是推导与被推导的关系。只有当信息自决权中的人身财产安全的具体危险控制权可以推导出时，刑法才能合理介入。

按照信息危险控制权的法益构造，侵犯公民个人信息罪信息自决权的具体法益内容和构造主要表现为，个人信息主体通过个人信息关联人身财产安全的具体危险状态和发展的知情同意，依靠完整独立的自我意志和自主决定，掌握个人信息处理行为和具体走向，以实现信息危险的控制权，最终体现刑法对个人的尊严和自由的保护。信息自决权作为一项概括化法益体系，其本身蕴含信息内容控制和信息危险控制的二元构造。详言之，信息自决权蕴含个人信息主体对信息内容的控制和人身财产安全的具体危险控制。因此，侵害信息自决权并不等于直接侵害了侵犯公民个人信息罪的法益。信息自决权作为侵犯公民个人信息罪的阻挡层法益，刑法需要在信息自决权的基础上，进一步判断隐藏在其背后的与个人信息紧密关联的人身财产安全，将纯粹的信息内容控制权构造排除在刑法之外，从而明确侵犯公民个人信息罪的实质性法益侵害，防止人身财产安全具体危险控制权的法益构造被虚化。

前述最高人民法院第194号指导性案例“熊某等侵犯公民个人信息案”的裁判观点明确了信息自决权和人身财产安全的具体危险控制权的推导与被推导的互动关系。熊某未取得权利人同意及授权，获取或处理他人微信公众号关联的公开个人信息的行为，仅表明熊某初步侵犯了信息自决权这一阻挡层法益。而至于熊某是否构成侵犯公民个人信息罪，法院还在前者基础上进一步判定熊某将微信号关联的公开个人信息予以广泛出售，致使个人信息陷入泄露和失控危险的行为，还制造了人身财产安全的具体危险，这是侵犯公民个人信息罪背后层法益的实质化判断。

第二，在教义学层面，侵犯公民个人信息罪的立法和司法规范为信息自决权的双层化法益体系理解奠定了教义学根基。侵犯公民个人信息罪的违法性判断遵循了相对独立性原理。不同于前置法《个人信息保护法》第2条确立的信息自决权对他人查询、复制、更正、删除等一套全周期和全流程处理行为的知情性和决定性权利，根据《刑法》第253条之一的立法规定，侵犯公民个人信息罪只是在前者中选择了出售、提供、窃取以及其他方法非法获取等情节严重行为予以规制。根据文义解释和体系性解释，四类侵犯行为具有同质性，其均指向信息自决权对不特定性和扩散化个人信息危险的知情和决定等控制权。同时，《侵犯公民个人信息刑事案件解释》第5、6条和最高人民检察院发布的《检察机关关于办理侵犯公民个人信息案件指引》第2条第4项，对《刑法》第253条之一侵犯公民个人信息罪的“情节严重”和“情节特别严重”进行了细化规定，其分别借助“被他人用于犯罪”“明知他人实施犯罪”“与公民人身、财产安全”“可能影响公民人身、财产安全”“死亡、重伤、精神失常、绑架”和“重大经济损失”等规范表述，明确了概括化信息自决权与“公民人身、财产安全”的双层化法益体系。

(三)细化被害人同意的信息危险控制权的法益阙如构造

按照《个人信息保护法》第13条的规定，取得个人同意是侵犯公民个人信息罪的一项合法化事由。刑法为充分保障和尊重个人自由意志和行为自由，创设被害人同意理论，《侵犯公民个人信息刑事案件解释》第3条第2款也将其作为一项法益阙如的违法阻却事由。侵犯公民个人信息罪的信息危险控制对象是一种技术性、隐蔽性和潜在性新型危险，被害人同意的信息危险控制法益阙如构造的具体构建，需要结合个人信息危险的新型特点进行。

1.构建人身财产安全的信息危险控制权的法益阙如构造

按照信息内容控制权的法益构造，被害人只要对行为获取、提供、出售的信息内容的种类和属性知情，并加以同意或承诺，便符合被害人同意理论，行为刑事违法性即可被阻却。这也是多数理论的观点。(70)即使是公开的个人信息，也需要符合信息内容处理的知情同意原则，只要行为人获取个人信息的行为并未获得同意，或者被欺骗获取同意，被害人同意便无法阻却行为的刑事违法性。

但是，以被害人对侵犯行为获取个人信息内容的知情同意认定被害人同意，从而阻却刑事违法性，是一种概括式、无限拓展式的被害人同意理论，是侵犯公民个人信息罪信息自决权的信息内容控制法益构造。从本文提出的信息内容控制和信息危险控制的区分性法益构造来看，对侵犯个人信息内容行为的知情同意并不等同于被害者对个人信息紧密相关的人身财产安全危险的知情同意。按照信息内容控制的法益构造，过度倚重个人信息内容的知情同意机制，以此认定被害人同意，其实是在模糊信息内容控制和信息危险控制的法益区别，容易将被害人无法认知或者掌控的人身财产安全的重大个人信息危险分配给个人信息主体承担，这显然违背了被害人同意理论的初衷。(71)

《侵犯公民个人信息刑事案件解释》第3条第2款规定的“未经被收集者同意”明确了合法收集后又对外提供的行为产生的不特定性和扩散性个人信息危险予以规制的具体规则。因此，在塑造信息自决权的信息内容控制和信息危险控制的区分性法益构造之后，被害人同意的违法性阻却不在于被害人对行为获取、提供、出售的信息内容的种类和属性的知情同意，而在于对个人信息密切关联的人身财产安全危险的知情同意，在于被害人是否自愿放弃信息危险控制权益。因此，对于案例1“熊某等侵犯公民个人信息案”，熊某获取公开个人信息的刑事违法性并不在于行为人未经同意而获取被害人公开个人信息，而在于利用公开个人信息，招揽被害人进群，致使部分被害人上当受骗的情形，创设了被害人不可控和不知情的人身财产安全的重大信息危险。但是，此时被害人并未自愿放弃信息危险控制权益，因此熊某等人构成犯罪。而案例2“王某侵犯公民个人信息案”的司法裁判不应当将公开个人信息完全排除在信息自决权的个人信息控制范围之外，需要进一步深究王某提供和出售公开个人信息的行为是否脱离个人信息主体对个人信息密切关联的人身财产安全危险的控制范围，这是否获取被害人同意。

2.构建专业技术化个人信息危险控制权的法益阙如构造

按照被害人同意理论，刑法为了方便个人自由意志和行为自由的实现，被害人的同意方式既可以包括明示同意，也可以包括默示同意。(72)部分理论认为，不局限于明示同意，被害人默示同意也可以成立侵犯公民个人信息罪法益阙如的违法阻却事由。(73)但是，不同于传统犯罪，在互联网社会时代和数字经济发展背景下，侵犯公民个人信息犯罪通常是一种技术性犯罪。不同于侵犯公民个人信息罪的被害人死亡、重伤、精神失常或者被绑架等实害结果，被害人依据一般人标准对法益内容具有明确认知。而在大数据和强信息技术加持的时代下，复杂化计算机信息处理技术和个人信息运行环境，致使个人信息密切关联的人身财产安全危险难以被多数普通用户所预见和认知，人身财产安全危险本身就具有隐蔽性和潜在性，此时，侵犯公民个人信息罪被害人同意的法益阙如构造更应该强化信息主体对专业技术化个人信息危险控制。

在不了解个人信息专业技术处理的方式和内容的情形下，要求信息主体进行所谓的信息技术损益和危险评估，进而构建侵犯公民个人信息罪被害人同意的专业技术化个人信息危险控制的法益阙如构造，难以实现法益的周全保护。(74)因此，《个人信息保护法》第24条就专门针对算法自动化决策处理个人信息，设置了说明义务基础之上的被害人明示同意规则。侵犯公民个人信息犯罪行为的技术手段在表面上看来具有日常性和中立性，且其致使的人身财产安全危险更具隐蔽性和潜在性。因此，首先，在同意内容层面，侵犯公民个人信息罪被害人同意的信息危险控制法益阙如应当是在明确且可预期的个人信息危险情形下的明示同意出罪。其次，在同意方式层面，一般而言，个人信息危险的被害人同意应当是危险说明义务基础上的一项明示同意，而不是默示同意。

五、结语

在我国信息化时代和数字经济快速发展的现实背景下，个人信息共享和利用的社会价值越发凸显，这无疑给侵犯公民个人信息罪的传统治理理论带来巨大挑战。法益作为构成要件解释论的根据，是侵犯公民个人信息罪治理的基本手段。当前强调信息自决权的控制权法益构造在于信息内容控制权的理论，已经不再适应我国信息化时代和数字经济快速发展的现实背景，并且这种法益构造与前置法保护的个人信息权益存在高度重合，违背了刑法谦抑性原则和刑事违法性的相对独立性原理。本文塑造的信息自决权的信息危险控制权的法益构造，能够兼顾个人信息的个人属性和社会属性的二元理论构造，实现个人信息控制和利用的平衡性保护。当然，随着我国信息化时代和数字经济的不断发展和更新，信息危险控制权的具体法益构造和要素并非一成不变，其始终处于动态调整过程，这有待后续研究的跟进和考察。

注释：

①参见冯军、梁根林、黎宏主编：《中国刑法评注：全三卷》，北京大学出版社2023年版，第2317页；欧阳本祺：《侵犯公民个人信息罪的法益重构：从私法权利回归公法权利》，载《比较法研究》2021年第3期，第55-56页；周光权：《委托处理个人信息与侵犯公民个人信息罪——结合〈个人信息保护法〉第21条的分析》，载《环球法律评论》2021年第6期，第27页。

②参见尹振国：《侵犯公民个人信息罪司法适用疑难问题探析》，载《人民检察》2018年第18期，第30页。

③参见杨合庆主编：《中华人民共和国个人信息保护法释义》，法律出版社2022年版，第112-113页。

④参见欧阳本祺：《侵犯公民个人信息罪的法益重构：从私法权利回归公法权利》，载《比较法研究》2021年第3期，第55-56页；张婉婷：《个人信息“合理利用”的规范分析》，载《法学评论》2023年第6期，第110页；王怀勇、常宇豪：《个人信息保护的理念嬗变与制度变革》，载《法制与社会发展》2020年第6期，第141页。

⑤参见刁胜先：《论个人信息权的权利结构——以“控制权”为束点和视角》，载《北京理工大学学报(社会科学版)》2011年第3期，第93页。

⑥参见蒋玲玲、王跃华、张华锋：《〈熊昌恒等侵犯公民个人信息案〉的理解与参照——社交媒体账号中已公开个人信息的刑法保护限度》，载《人民司法》2024年第2期，第12-15页。

⑦参见江苏省苏州市姑苏区人民法院(2018)苏0508刑初40号刑事判决书。

⑧参见李昱：《迈向“风险”范式的侵犯公民个人信息罪之教义学重构》，载《苏州大学学报(法学版)》2024年第3期，第88页；甘绍平：《信息自决权的两个维度》，载《哲学研究》2019年第3期，第117页；赵宏：《信息自决权在我国的保护现状及其立法趋势前瞻》，载《中国法律评论》2017年第1期，第161页。

⑨参见万均扬：《侵犯公民个人信息罪的教义学重构》，载江溯主编：《刑事法评论：正当防卫》(第48卷)，北京大学出版社2023年版，第306页；孙清白、王建文：《大数据时代个人信息“公共性”的法律逻辑与法律规制》，载《行政法学研究》2018年第3期，第55页。

⑩肖雅菁、郭旨龙：《刑民衔接视角下侵犯公民个人信息罪的规范重构》，载《江西师范大学学报(哲学社会科学版)》2021年第5期，第112页。

(11)参见李川、杨胜刚：《法益重塑与模式更新：场景化视域下个人信息刑法保护的动态转向》，载《广西大学学报(哲学社会科学版)》2023年第6期，第105页。

(12)参见冯军、梁根林、黎宏主编：《中国刑法评注：全三卷》，北京大学出版社2023年版，第2317页；张忆然：《大数据时代“个人信息”的权利变迁与刑法保护的教义学限缩——以“数据财产权”与“信息自决权”的二分为视角》，载《政治与法律》2020年第6期，第58页；江耀炜：《大数据时代公民个人信息刑法保护的边界——以“违反国家有关规定”的实质解释为中心》，载《重庆大学学报(社会科学版)》2019年第1期，第156页。

(13)欧阳本祺：《侵犯公民个人信息罪的法益重构：从私法权利回归公法权利》，载《比较法研究》2021年第3期，第55-56页。同类观点还可参见冀洋：《法益自决权与侵犯公民个人信息罪的司法边界》，载《中国法学》2019年第4期，第71-72页；刘双阳：《论个人信息自决权刑事司法保护的边界——以已公开个人信息为中心的分析》，载《人权》2021年第5期，第150-151页。

(14)参见刘金瑞：《个人信息与权利配置——个人信息自决权的反思和出路》，法律出版社2017年版，第50页。

(15)参见张婉婷：《个人信息“合理利用”的规范分析》，载《法学评论》2023年第6期，第110页。

(16)参见敬力嘉：《大数据环境下侵犯公民个人信息罪法益的应然转向》，载《法学评论》2018年第2期，第123页。

(17)参见黄陈辰：《大数据时代侵犯公民个人信息罪行为规制模式的应然转向——以“AI换脸”类淫秽视频为切入》，载《华中科技大学学报(社会科学版)》2020年第2期，第110-111页。

(18)参见周光权：《委托处理个人信息与侵犯公民个人信息罪——结合〈个人信息保护法〉第21条的分析》，载《环球法律评论》2021年第6期，第27页。

(19)参见张明楷：《法益初论》(上册·增订本)，商务印书馆2021年版，第208页。

(20)徐光华、张益铭：《刑法中公民个人信息限制认定的实务现状与理论重塑》，载广州市法学会主编：《法治论坛》2024年第4辑，第185页。

(21)参见凌萍萍、焦冶：《侵犯公民个人信息罪的刑法法益重析》，《苏州大学学报(哲学社会科学版)》2017年第6期，第70-71页。

(22)涂龙科：《法益精神化的演进形态、判别标准与类型辨析》，载《清华法学》2025年第4期，第116页。

(23)参见靳雨露：《个人信息“控制—利用二元论”的提出及其制度优化》，载《大连理工大学学报(社会科学版)》2022年第3期，第119页。

(24)参见刘仁文：《论非法使用公民个人信息行为的入罪》，载《法学论坛》2019年第6期，第118页；彭辅顺：《非法使用公民个人信息行为的刑法规制》，载《中国刑事法杂志》2023年第1期，第119页。

(25)参见熊波：《行政犯的类型与违法性判断的区分》，载《政治与法律》2020年第5期，第45、49页。

(26)参见杨合庆主编：《中华人民共和国个人信息保护法释义》，法律出版社2022年版，第23页。

(27)参见刘浩：《侵犯公民个人信息罪的法益构造及其规范解释》，载《环球法律评论》2023年第3期，第167页；夏伟：《个人信息有序共享的法理言说与制度构建》，载《南京师大学报(社会科学版)》2023年第6期，第105页；孔祥稳：《个人信息自决权的理论批评与实践反思——兼论个人信息保护法第44条决定权之适用》，载《法治现代化研究》2022年第4期，第91页。

(28)参见高铭暄、马克昌主编：《刑法学》(第10版)，北京大学出版社·高等教育出版社2022年版，第314-315页。

(29)参见皮勇、王肃之：《大数据环境下侵犯个人信息犯罪的法益和危害行为问题》，载《海南大学学报(人文社会科学版)》2017年第5期，第117页。

(30)参见郑泽星：《论侵犯公民个人信息罪的保护法益——场景化法益观的理论构造与实践立场》，载《清华法学》2023年第3期，第99页。

(31)参见刘浩：《侵犯公民个人信息罪的法益构造及其规范解释》，载《环球法律评论》2023年第3期，第171页。

(32)参见张翔主编：《德国宪法案例选释(第4辑)：通信权与个人信息保护》，法律出版社2024年版，第38-39页。

(33)参见万均扬：《侵犯公民个人信息罪的教义学重构》，载江溯主编：《刑事法评论：正当防卫》(第48卷)，北京大学出版社2023年版，第313页。

(34)参见孔祥稳：《个人信息自决权的理论批评与实践反思——兼论个人信息保护法第44条决定权之适用》，载《法治现代化研究》2022年第4期，第94-95页。

(35)参见杨合庆主编：《中华人民共和国个人信息保护法释义》，法律出版社2022年版，第3、45页。

(36)参见方印、李杰：《民法典时代的个人信息控制权》，载《辽宁师范大学学报(社会科学版)》2021年第3期，第79页；牛彬彬：《个人数据权效力体系研究》，载《江西财经大学学报》2020年第5期，第139页。

(37)参见崔聪聪：《数据剩余控制权的规范表达——个人信息权益的反思与重塑》，载《社会科学辑刊》2024年第3期，第120页。

(38)参见刘双阳：《论个人信息自决权刑事司法保护的边界——以已公开个人信息为中心的分析》，载《人权》2021年第5期，第154-155页。

(39)参见郑纲、林辛建：《风险刑法视野下侵犯公民个人信息罪研究》，载《南华大学学报(社会科学版)》2018年第2期，第86页；徐剑：《侵犯公民个人信息罪法益：辨析与新证》，载《学海》2021年第2期，第125页。

(40)参见付玉明：《数字足迹的规范属性与刑事治理》，载《中国刑事法杂志》2023年第1期，第131页。

(41)张明楷：《法益初论》(上册)，商务印书馆2021年版，第181页。

(42)参见张明楷：《刑法学(一)》(第7版)，法律出版社2026年版，第87页。

(43)参见陈国庆：《利用信息网络侵犯公民人格权行为的刑法规制——最高人民检察院第34批指导性案例述评》，载《中国刑事法杂志》2022年第2期，第15页。

(44)参见郑明玮：《论刑法中危险犯的“危险”》，上海人民出版社2017年版，第78页。

(45)参见黄伟庆：《合规视角下数据要素的分类分级管理机制研究》，载《上海政法学院学报(法治论丛)》2024年第2期，第128页。

(46)参见熊波：《网络违法信息传播次数作为入罪标准的困境与出路——基于186份刑事裁判文书和相关司法解释的思考》，载《新闻与传播研究》2020年第10期，第78-79页。

(47)参见张婉婷：《个人信息“合理利用”的规范分析》，载《法学评论》2023年第6期，第116页。

(48)参见黄陈辰：《侵犯公民个人信息罪法益证成规则的理论建构与实际运用》，载《河南社会科学》2023年第6期，第95页。

(49)参见李翔：《情节犯研究》(第2版)，北京大学出版社2018年版，第10页。

(50)参见李川：《危险犯的扩张逻辑与正当性思考》，载《法学评论》2017年第3期，第23-24页；熊亚文：《抽象危险犯：理论解构与教义限缩》，载《中国刑事法杂志》2021年第5期，第108-109页。

(51)参见于冲：《侵犯公民个人信息罪犯罪圈的“收缩”与出罪化路径——基于个人信息多元化属性的思考》，载《青海社会科学》2021年第1期，第175页。

(52)对此，民法理论界也存在较大争议，否定论认为基于社会属性的场景目的的个人信息处理行为不具有民事违法性。参见许可：《论个人信息保护法的权衡体系及其实践展开》，载《法学家》2024年第4期，第69-70页。

(53)参见夏伟：《个人信息有序共享的法理言说与制度构建》，载《南京师大学报(社会科学版)》2023年第6期，第104页。

(54)参见[美]罗斯科·庞德：《通过法律的社会控制》，沈宗灵译，商务印书馆2010年版，第66-67页。

(55)参见张明楷：《抽象危险犯：识别、分类与判断》，载《政法论坛》2023年第1期，第84-85页。

(56)参见郑泽星：《论侵犯公民个人信息罪的保护法益——场景化法益观的理论构造与实践立场》，载《清华法学》2023年第3期，第101页。

(57)参见刘浩：《侵犯公民个人信息罪的法益构造及其规范解释》，载《环球法律评论》2023年第3期，第175页。

(58)参见李婕：《抽象危险犯研究》，法律出版社2017年版，第16页。

(59)参见熊波：《网络信息传播安全的刑法法益保护——基于主观构造的视角》，载《南昌大学学报(人文社会科学版)》2026年第1期，第134页。

(60)迟大奎：《作为抽象危险犯的侵犯公民个人信息罪之检视》，载《湖北社会科学》2019年第11期，第136页。

(61)参见郑明玮：《论刑法中危险犯的“危险”》，上海人民出版社2017年版，第158页。

(62)See Helen Nissenbaum,Privacy as Contextual Integrity,79 Washington Law Review 119,154-155(2004).

(63)参见马永强：《侵犯公民个人信息罪的法益属性确证》，载《环球法律评论》2021年第2期，第117页。

(64)参见张新宝：《论个人信息权益的构造》，载《中外法学》2021年第5期，第1149-1152页。

(65)参见田宏杰：《立法扩张与司法限缩：刑法谦抑性的展开》，载《中国法学》2020年第1期，第173-174页。

(66)参见姜涛：《新罪之保护法益的证成规则——以侵犯公民个人信息罪的保护法益论证为例》，载《中国刑事法杂志》2021年第3期，第53页。

(67)参见靳昊：《数字海洋里，做个人信息安全的守护者》，载《光明日报》2023年9月9日，第005版。

(68)参见黄太云：《刑法修正案解读全编——根据〈刑法修正案(九)〉全新阐释》，人民法院出版社2015年版，第219页。

(69)参见蓝学友：《规制抽象危险犯的新路径：双层法益与比例原则的融合》，载《法学研究》2019年第6期，第134页。

(70)参见郭晓红、张益铭：《被害人同意视角下侵犯公民个人信息罪的适用限度》，载《法治现代化研究》2024年第4期，第129页；张勇：《APP个人信息的刑法保护：以知情同意为视角》，载《法学》2020年第8期，第123页。

(71)参见江海洋：《论数字时代个人信息的刑法保护路径选择》，载《当代法学》2023年第5期，第90页。

(72)参见陈兴良：《教义刑法学》(第3版)，中国人民大学出版社2017年版，第413页。

(73)参见李立丰：《〈个人信息保护法〉中“知情同意条款”的出罪功能》，载《武汉大学学报(哲学社会科学版)》2022年第1期，第149页；蔡星月：《数据主体的“弱同意”及其规范结构》，载《比较法研究》2019年第4期，第78-79页。

(74)See Daniel J.Solove,Introduction:Privacy Self-Management and the Consent Dilemma,126 Harvard Law Review 1880,1881(2013).