非法使用公民個人信息的行為具有嚴重的法益侵害性，相較于非法獲取、出售及提供公民個人信息行為，所造成的法益侵害具有直接性和精準性，危害更甚。非法使用公民個人信息的行為無法通過解釋的方法將其納入現有的侵犯公民個人信息罪中，也無法被刑法中的其他罪名所涵蓋。非法使用公民個人信息行為入罪，才能與民法、行政法等前置法律保持一致，更加周延地保護公民個人權益。

公民個人信息頻遭泄露，對公民個人及其家庭的人身、財產安全和其他各項合法權益造成嚴重威脅。目前，我國刑法對侵犯公民個人信息犯罪的規定仍不周延，侵犯公民個人信息的行為只有三種類型，即非法獲取、出售和提供，不足以涵蓋現實中愈演愈烈的非法使用公民個人信息這樣一種行為類型，有必要在侵犯公民個人信息罪中增加非法使用公民個人信息這一行為類型。

非法使用公民個人信息行為具有嚴重的侵害性

與非法獲取、出售及提供公民個人信息行為相比，非法使用公民個人信息行為對公民的法益侵害性非但不小于前三者，甚至還更為嚴重。

一方面，非法使用公民個人信息行為的法益侵害具有直接性。沒有公民個人信息的使用行為，非法獲取、出售及提供公民個人信息的行為只是處在侵害法益的邊緣，并不會直接侵害法益。非法使用公民個人信息的行為作為侵害公民個人信息犯罪鏈的末端行為，是最終的目的行為，它使處于先前環節的獲取、出售及提供公民個人信息行為的可能性轉變為法益侵害必然性。

另一方面，非法使用公民個人信息行為的法益侵害具有精準性。公民個人信息如性別、血型、身高、出生地以及身份證號、車牌號等，均具有精準性或映射性的特點，非法使用公民個人信息的行為將直接對信息主體的財產、名譽、征信等方面造成嚴重損害或威脅。以使用公民個人信息辦理信用卡及在網絡平臺進行借貸為例，不僅可能給信息主體帶來司法糾紛的隱患甚至財產上的損失，還會給信息主體帶來個人征信方面的隱患。此外，非法使用公民個人信息從事違法犯罪行為的案件也屢見不鮮。

總之，這類行為的社會危害性和應受懲罰性足以與非法獲取、出售和提供公民個人信息的行為相提并論。

現行刑法無法涵蓋非法使用公民個人信息行為

非法使用公民個人信息行為不入罪，會產生三個方面的問題。

一是無法將非法使用公民個人信息行為納入侵犯公民個人信息罪。

侵犯公民個人信息罪包含三種行為方式，即獲取、出售和提供，無論作何種理解，使用公民個人信息的行為都無法被上述三種行為所涵蓋。

首先，雖然獲取、出售、提供及使用行為之間具有事實上的邏輯關系，但是這幾種行為之間還是具有本質上的區別。因此，現實中會出現非法使用公民個人信息行為造成嚴重侵害法益卻不能以刑法懲治的情況。

其次，使用行為與侵犯公民個人信息罪所列舉的三種行為方式具有本質上的差異，注定無法通過解釋的方法將其納入本罪。比如，非法獲取、出售及提供公民手機號的行為本身不會對手機號主體的法益造成侵害，而使用公民手機號的電話推銷行為則會對公民的生活安寧權造成侵害。

再次，由于非法使用公民個人信息行為無法被侵犯公民個人信息罪所包含，反映在實務領域，則是法官在處理此類行為時沒有合適的罪名進行定罪，只得找尋其他相似的罪名進行判決，而這樣做則會導致適用上的質疑。以2016年山東單縣篡改高考志愿案為例，法院以破壞計算機信息系統罪對陳某定罪。其實，無論是從保護法益還是從造成的危害后果來看，篡改他人高考志愿的行為不應該適用破壞計算機信息系統罪。

二是無法將非法使用公民個人信息行為納入其他罪名。

刑法中涉及非法使用公民個人信息的罪名主要有四個，分別是第177條之一妨害信用卡管理罪、第196條信用卡詐騙罪、第224條合同詐騙罪、第280條之一使用虛假身份證件、盜用身份證件罪。但是，這四個罪名均無法用來處理非法使用公民個人信息的行為。

非法使用公民個人信息行為的手段性質有兩種：一是行為人為實施侵害行為而使用被害人的個人信息，此時非法使用公民個人信息的行為可以作為手段行為被主行為吸收，如利用所知曉的他人銀行卡號、密碼竊取他人存款，則使用財產信息的行為可以被盜竊罪吸收；二是行為人為了實施不法行為而使用與危害結果無關的第三人的個人信息，此種情形下使用公民個人信息的行為仍然是手段行為，但對信息主體權利所造成的危害結果無法被最終的犯罪結果所吸收，如為逃避打擊，行為人使用他人個人信息進行實名認證從事犯罪活動。

現行刑法分則中涉及非法使用公民個人信息行為的罪名，無論是這些罪名在刑法分則中所處的位置還是其欲保護的法益，都不能保護信息主體的權益，也無法為信息主體尋求刑法保護提供有效的路徑。

三是無法為個人信息被非法使用的公民維權提供有力支持。

侵犯公民個人信息罪在刑事訴訟法中屬自訴范圍。而來自司法實務部門的信息表明，現在侵犯公民個人信息犯罪呈現出公安機關主動打擊的特點，很少出現公民個人主動報案或向司法機關提起自訴以尋求個人信息的保護。

現實中很少出現公民以個人名義維權或即使有少量維權也鮮有成功的，原因至少有以下兩點：一是舉證標準超出公民個人的能力范圍。公民個人無法達到公安機關立案及法院受理自訴的證據標準的情況下，靠公民個人主動報案及通過自訴來尋求個人信息保護就幾乎成為一句空話。二是侵犯公民個人信息罪中沒有與公民個人尋求保護相契合的行為類型即非法使用公民個人信息的行為，這也是最關鍵的一點。公民很難發現自身的信息被他人獲取、出售及提供。即使發現了，公民個人也很難找出行為人。公民個人容易發現的是其信息被非法使用的行為，而目前的侵犯公民個人信息罪卻并未包含此種行為類型。

非法使用公民個人信息行為入罪有利于實現法律秩序的統一

將非法使用公民個人信息的行為入罪，不僅有與其他部門法相關規定保持外在邏輯統一之考量，也有基于刑法自身內在邏輯自洽之考慮。

筆者以“使用”為關鍵詞，對幾部涉及公民個人信息保護的民法、行政法和部門規章進行了檢索，得出以下檢索結果：

無論是2017年全國人大通過的《民法總則》，2016年全國人大常委會通過的《網絡安全法》，還是2013年全國人大常委會修正的《消費者權益保護法》，以及2013年工信部發布的《電信和互聯網用戶個人信息保護規定》，均將使用公民個人信息的行為作為一種獨立的行為模式加以規定，將其與收集、獲取、出售、提供等行為加以區分、并列。

民法、行政法等法域中使用行為與獲取、出售及提供行為之間的邏輯關系，在刑法法域中也應該同樣適用。也就是說，作為保障性法律而存在的刑法也應當對非法使用公民個人信息行為加以規定，將其與獲取、出售及提供行為并列規定，以免出現當非法使用公民個人信息行為達到一定社會危害性只有施以刑罰才能與其行為性質相適應時，卻在刑法中找不到相應的法律依據。

以“使用”為關鍵詞，對刑法分則進行檢索，共有37個罪名出現“使用”一詞，將其中以名詞形式出現及同一罪名中沒有與使用行為并列從而具有比較意義的罪名剔除，最終得出結果即刑法第二百一十九條侵犯商業秘密罪。本罪中“使用”商業秘密的行為與“獲取”商業秘密等行為相并列，“使用”行為被作為一種獨立的行為模式加以規制。既然刑法明確將“使用”行為作為侵犯商業秘密罪的行為類型加以規定，在保護比商業秘密影響范圍更廣、內涵更豐富、重要性更大的公民個人信息時，將非法使用公民個人信息的行為納入刑法規制范圍也就有其內在合理性，否則，反而會引起刑法內在的不統一。

此外，值得注意的是，域外很多國家及我國港臺地區的立法已支持非法使用公民個人信息行為入罪。盡管不同國家和地區針對非法使用公民個人信息行為的立法在文字表述、規制方法和適用范圍等方面存在差異，刑罰嚴厲程度也不盡相同，但是這些立法在整體上均表現出兩點共性：一是都將非法使用公民個人信息行為作為一種獨立的行為類型加以規制，二是都將這種行為類型進行犯罪化處理。

通過刑法修正讓非法使用公民個人信息行為入罪

非法使用公民個人信息行為的入罪路徑，有兩種思路：一是通過司法解釋，二是通過刑法修正案。由于涉及一種新的行為方式的增設，已經不能通過司法解釋的方式來實現入罪，否則有違罪刑法定的原則，應采用立法方式，即下一次刑法修正案時，將非法使用公民個人信息的行為與非法獲取、出售和提供公民個人信息的行為相并列，使其成為侵犯公民個人信息罪的規制對象，從而將現行《刑法》第253條之一的侵犯公民個人信息罪的條文修改、整合為：

“違反國家有關規定，竊取或者以其他方法非法獲取公民個人信息，或者非法向他人出售、提供公民個人信息，或者非法使用公民個人信息，情節嚴重的，處三年以下有期徒刑或拘役，并處或單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。”

“違反國家有關規定，將在履行職責或提供服務過程中獲得的公民個人信息，非法出售、提供給他人或者非法使用的，依照前款規定從重處罰。”

“單位犯前兩款罪的，對單位判處罰金，并對直接負責的主管人員和其他責任人員，依照各該款的規定處罰。”

在對侵犯公民個人信息罪的條文作如上完善后，還應對“兩高”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》作相應完善。

（作者為中國社科院法學所研究員）