本文首先将非法使用个人信息的行为基于不同的使用目的归类为不同的表现形式,以此凸显非法使用个人信息的行为已经成为社会生活中不可忽视的问题,进而提出现行刑法中的侵犯公民个人信息罪基于“隐私权”理论的立法模式对于这一行为存在规制漏洞。对于非法使用个人信息行为进入立法环节以后的刑法争议问题构成本文讨论的主题,其中可以拆分为非法使用个人信息的犯罪化问题,个人信息的厘定问题,以及非法使用个人信息行为方式的界定问题。对于非法使用个人信息犯罪化的问题,首先,本文通过引起社会广泛关注的四个非法使用个人信息的现实案例样本作为切入点,进而分析司法实践中将非法使用个人信息的行为通过下游罪名规制存在的弊端,一方面个人信息的“合法获取,非法使用”通过下游罪名评价会导致法益保护的不周,另一方面下游罪名无法评价非法使用个人信息行为的情况会导致刑法评价的局限。本文认为由于非法使用个人信息的行为与刑法中对信息犯罪所规定的非法获取和非法提供个人信息的行为相比更具有侵害行为的直接性和精准性,以及侵犯公民个人信息罪中“违反国家有关规定”的前置性规定中均对非法使用行为设置了相应的条款,结合刑法内部“使用”行为的规制逻辑,非法使用个人信息的行为具有入罪的必要性和紧迫性。此外,对于非法使用个人信息行为入罪以后的罪状设置,本文梳理了学界的相关观点,其中包括以司法解释方式入侵犯公民个人信息罪,以法条并列列举方式入侵犯公民个人信息罪,以法条分列列举方式入侵犯公民个人信息罪的三种观点,本文认同以法条分列列举方式入侵犯公民个人信息罪。司法解释方式入罪虽然节省了立法成本,但是难免存在类推解释之嫌,而法条并列方式入罪可能会存在上下游行为的犯罪主体不同的情况,仍然未解决刑法规制漏洞的问题。本文从当前信息犯罪呈产业链形式的特点出发,以非法使用个人信息行为的核心性和独立性论证法条分列方式入罪的合理性。对于个人信息的厘定问题,当前侵犯公民个人信息罪的司法解释对于个人信息采用了“可识别性”的标准,其中包括直接识别和间接识别两种识别方式。本文对这两类标准中存在的问题分别进行探讨,在直接识别标准中,虽然“生物识别信息”具备明显的识别性,却没有在该司法解释中予以列举。生物识别信息现在已经在生活实践中得到普遍适用,且犯罪案例逐年攀升,学界已经提出将生物识别信息纳入个人信息范围的观点,但本文认为学界提出对生物识别信息进行单独立法的观点与我国个人信息保护立法尚未出台的现状不符,应当结合生物识别信息的特点与现有司法解释中分类列举的个人信息类型进行对比分析,以生物识别信息的不可更改性和人身依附性解释入“其他情节严重的情况”。在间接识别标准中,侵犯公民个人信息罪的司法解释中规定了“匿名化”信息免责的事由,但由于我国信息技术的发展以及法律规制的滞后性,对于“匿名化”的认定难以统一标准,对于学界提出的识别主体区分标准和识别节点认定标准,本文认为该标准虽然具有一定的合理性考虑,但对于司法实践适用并不现实,且容易造成信息使用者采用特殊技术手段规避法律责任的情况。结合个人信息的流通范围日益广泛和流通渠道不断更新的情况,本文主张借鉴欧盟的个人信息认定标准,采用一切信息使用者合理可达技术标准,对于已经采用一定匿名加工手段的信息使用者可以适当减轻刑事责任。对于非法使用个人信息行为的界定问题,本文基于“被害人同意”的视角探讨非法使用与合法使用的区别、非法使用与合理使用的边界,进而对非法使用个人信息的行为进行界定。对于信息主体的“同意”使用能否成为非法使用行为的免责事由,本文将这一问题回溯至“被害人同意”的基本原理,即只有在侵犯公民个人信息罪所保护的法益仅限于个人法益时,“被害人”的自我决定权才是有效的,由此对非法使用个人信息行为并入侵犯公民个人信息罪后究竟保护的何种法益进行深入探讨。学界对于侵犯公民个人信息罪保护何种法益分为两种观点,即“个人法益”和“超个人法益”,本文认为应当以法益二元论的视角看待这一问题,该罪所保护的法益不仅包括个人信息自决权的个人法益,也包括了社会信息管理秩序的超个人法益,另外结合侵犯公民个人信息罪中的“违反国家有关规定”的前置性规定来看,该罪同时具备行政违法犯的特点,必然会侵犯国家对于个人信息的管理秩序,因此“被害人同意”不能作为免责事由适用,但可以作为降低刑事责任的根据。此外,对于已公开信息和基于公共利益的信息使用,应当以利益衡量为基础设置“合理使用”的免责事由,以保持刑法的谦抑性。