目前，我国已初步建立了以个人信息保护法为主体的与个人信息保护相关的法律体系。刑事法方面，处理侵犯公民个人信息罪的法律依据主要有两个，首先是刑法第253条之一，其次是《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《解释》）。该罪构成要件包括三种类型：违反国家有关规定，向他人出售或者提供公民个人信息；违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人；窃取或者以其他方法非法获取公民个人信息。换言之，侵犯公民个人信息罪只包括三种类型，即非法获取、出售和提供。依罪刑法定原则，对于个人信息的非法使用行为则难以通过对该条进行解释的方法认定此罪，也难以被刑法中的其他罪名涵盖。当然，如行为人使用他人信息进行实名认证后从事犯罪活动，由于这种使用行为是手段行为，对该信息主体所造成的危害结果是无法被最终的犯罪结果所吸收的。

问题是，个人信息单纯的不法流转有时并不会产生直接的社会危害性，而使用才是社会危害性的直接体现。当前，现实生活中非法使用个人信息的行为在性质上愈演愈烈，形式上也层出不穷，无论是行为人合法获得的还是非法获得的。比如说，以他人的名义设立公司或网店，利用他人身份信息冒充本公司职工申报纳税减免，利用AI换脸技术制作淫秽视频，等等，可谓对社会秩序和公民的生活安宁造成了严重侵害，在其社会危害性和应受惩罚性方面完全可以和非法获取、出售和提供行为相提并论。

值得注意的是，现实中公民很难发现自己的个人信息被非法获取、出售及提供，即便发现，仅靠自身能力也难以找到行为人。在仅非法获取、出售和提供行为入罪的情况下，由于上述《解释》规定了十种情节严重行为，仅靠公民个人是难以完成上述十种行为的举证，从而造成无法依靠公民报案的方式打击犯罪。尽管侵犯公民个人信息罪既可以公诉也可以自诉，而相对容易被公民发现的恰恰是个人信息被使用，如果非法使用行为不入罪，那么，公民寻求公力救济可能面临不被受理或者被驳回的情况，从而导致公权力机关难以发现非法使用行为的上游行为，即非法获取、出售和提供个人信息，甚至产生恶性循环。事实上，现实中此罪的自诉案例很少见。并且，纵观整个个人信息保护法律体系，均将非法使用行为作为一种独立的行为模式与收集、买卖等模式并列规定，行为人对于非法使用行为承担行政和民事责任。那么，基于刑法的补充性和保障性，显然亦应将非法使用行为入罪，以达到法律体系的逻辑自洽。

在大数据时代，个人信息的价值愈发凸显，由此也必将滋生各种非法使用行为，刑法理应对此予以关注和回应，将其入罪具有必要性和可行性。至于入罪的具体构思，可在该法条内将非法使用行为单独作为一款进行设置，使非法获取、出售、提供和使用四种行为共同成为该罪的规制对象，同时在罪状上明确其范围、边界和罪量，然后以此为基础对上述《解释》进行完善，从而确保信息的采集、储存和应用沿着合理路径展开。

（作者单位：河南省宁陵县人民检察院）