广东省高级人民法院昨天对外宣布，珠海市香洲区人民法院日前以诈骗罪判处邵国松、王剑波、黄燕万等7名被告人有期徒刑3年到11年不等，并处罚金4万元到15万元不等；而周建平则因向上述被告人非法出售个人信息资料被以非法获取公民个人信息罪判处有期徒刑一年六个月，并处罚金2000元。据介绍，周建平是国内被法院以侵犯个人信息安全的新罪名追究刑事责任的第一人(1月4日《广州日报》)。

　　以网络为标志的信息技术的发展，在遭遇到商业逐利的天性后，衍生的信息侵权乃至犯罪现象，由于缺乏健全的法律保护，最终让我们不得不将最严厉的法律手段———刑法推到公民信息保护的前台。2009年10月16日施行的《刑法修正案(七)》，就以“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”，首开我国法律保护公民个人信息的先河。而珠海市人民法院依据修正案所作的“非法获取公民个人信息罪”首例判决，无疑以一种“标志性”的警示意义将刑法融入实践，开启了刑事司法保护公民个人信息的大门。

　　在迷恋刑罚威慑功能的国情背景中，这一个案不单单是对刑法修正案的司法回应，很大程度上更满足了一部分人对公民个人信息保护的诉求。毕竟，在现代国家对公民权利的法律保护中，通过刑法为侵权者设定刑罚乃是一条最严厉也是最有力的手段。

　　然而，就社会的法律治理而言，最严厉的手段往往也是“最后的手段”，是一种不到万不得已不会轻易启动的选择。在信息化社会，信息作为一种最有价值的权利资源，其有序流动对于社会发展具有基础性意义。基于信息资源的这种战略性地位，各种主体都会采取不同手段极力争夺信息优势，并可能导致权利失衡和秩序紊乱。对于这种越发普遍且复杂的信息侵权现象，法律治理的手段绝非“自古华山一条路”———非依刑法不行。笔者以为，即便由此首例开创的类似刑事司法个案不断，即便刑法上新规得到彻底执行，这样的刑法保护也不足以构筑起我们个人信息保护的法律屏障。

　　先从刑法规范上分析，谨小慎微的罪名设定不可能大面积打击到针对个人信息的违法犯罪。在修正案(七)出台之初，其规定的犯罪主体范围过窄就引起了人们的注意，实践中除了规定的“国家机关或者金融、电信、交通、教育、医疗等单位”之外，还存在许多难以罗列的信息侵权主体，如互联网公司、物业公司、房地产公司、宾馆酒店等，一些保卫森严且高端人士“扎堆”的高档楼盘的信息外泄情况更为普遍。而立法挂一漏万的主体限定，势必影响到实践中司法打击的范围。同时，修正案仅规定了两项罪名，而实践中除了“出售或者非法提供给他人”以及“窃取或者以其他方法非法获取”的行为方式外，还存在非法采集、非法存储、非法处理以及非法使用等侵犯公民个人信息安全的行为方式，随着社会发展，新的侵权方式也将层出不穷，面对此类行为刑法显然“力不从心”。

　　其实，刑法构成公民个人信息保护的“最后手段”，原本就是出于对自身天然缺陷的清醒认识。即便与时俱进的修法能够让刑法的适应性增强，但其固有的严厉性早已决定只有一部分严重的侵权行为才能得到规制，而更多的侵权行为仍是游离在刑法之外。面对嚣张且普遍的危害个人信息现状，无论是一个案例还是一纸刑法，都不可能达到“大治”的良好效果。

　　既然如此，保护公民个人信息的重任又将“花落谁家”呢？在我看来，最根本的法律手段乃是在刑法“兜底性”保护的基础上，出台更为全面、细致的公民个人信息保护法，以彻底厘清个人信息的范畴和保护、监管职责。为了遏制侵犯个人信息现象，世界上已有50多个国家和地区都制定了相应的个人信息保护法律。自2005年以来，我们就在媒体上不止一次看到国务院启动个人信息保护法立法程序的消息，然而至今未见实质进展。所以，在刑事司法的助推之下，当前最紧要的任务当是推动个人信息保护法的制定，以明示的权利和普遍的司法救济，带来公民个人信息保护的确定与恒久。
傅达林