数据主体是基于对公民人格尊严的保障而推演出来的，是人格权理论的发展。公民个人通过行使作为数据主体被赋予的各项权利对个人数据进行自主自决的控制。数据主体被定义为能以数据被直接或间接识别的控制者或自然人。“可识别性”是为了强调——勾勒出数据主体的个人数据是区别于那些虽与个人相关但与其人格没有关联的普通数据的。换句话说，与某一自然人相关的客观数据，除非能够与人格建立关联，否则就不必作为个人数据受到保护。然而这种可识别性在规范层面的确定却十分具有难度，毕竟“能否识别”更多是一个事实层面的问题。数据的区分高度依赖于技术的模式和手段，而非法律规范。特定情形下的数据能否被识别处于不确定之中，在法律规范上很难进行预先确认。

主张对个人信息的保护只是突出强调了隐私权的部分内容的观点，在《个人信息保护法》时代已经被完全驳斥。将个人信息权等同于隐私权或者将其解释为隐私权，无疑会缩小对个人信息的保护范围。法律规则逻辑结构中的法律后果可以从反面证明个人信息权的存在：“任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”合法与非法，是对获取、使用个人信息等行为的性质划分，之所以能够做出这些判断，正是因为有个人信息权作为标准和依据。“不存在无权利的义务和无义务的权利，因为一方的义务总是与另一方的权利相对应”，因此当法律将个人信息的获取、使用等行为划分为合法与非法时，就意味对个人信息的保护确已成为一项权利。总而言之，我国对个人信息的保护采取了不同于欧美的“个人信息权模式”。个人信息权不是传统的任何一种权利，而是一种独立的新型权利;刑法在分析侵犯公民个人信息罪的保护法益时，应该抛弃种种根植于民法传统权利的法益学说，而将注意力放在个人信息权上。那么，这是否就意味着刑法中侵犯公民个人信息罪的保护法益即为民法上的个人信息权呢?

法益的确定必须以刑民一体化为基本视角。这意味着，对某一罪名保护法益的界定，必须是结合民法以及其他私法的规定，从而维护法秩序的统一。“一个法秩序，应该形成统一的体系……法秩序作为一个整体必须是无矛盾地统一的事物。”民法在前拦截违法行为，刑法在后惩治犯罪行为，因此在对个人信息的保护上，刑法法益的范围肯定要窄于民法规定的个人信息权。

(一)侵犯公民个人信息罪保护法益的属性：个人法益

第253条之一的侵犯公民个人信息罪处于《刑法》“侵犯公民人身权利、民主权利罪”一章，本章犯罪的保护法益是公民的人身和民主权利，是典型的自然犯。刑法将该罪置于本章，即可证明本罪侵害的法益是触及人身权益的。本罪构成要件要素之一为“违反国家规定”，即构成侵犯公民个人信息罪必须要违反前述有关个人信息保护的法律、法规。但是，这并不能否定侵犯公民个人信息罪是自然犯。“违反国家规定”并不是区分自然犯与法定犯的标准，比如《刑法》第244条之一规定的雇用童工从事危重劳动罪。该罪侵害的法益是儿童的身心健康权，同样是典型的自然犯，即使成立该罪需“违反劳动管理法规”。侵犯公民个人信息罪与同为刑法分则第四章的众多犯罪一样，其本质是违反伦理道德秩序的自然犯，而非法定犯;只不过因为“违反国家规定”这一构成要件要素，使该罪“带有了法定犯的气质”;至于单位也能成为本罪的主体，对本罪是自然犯没有影响。在侵犯公民个人信息犯罪保护法益的问题上可以得出应采个人法益说的结论。个人信息权既然已被确立，又与个人法益的性质相吻合，本罪的保护法益则理应为个人信息权。但是，个人信息权是涵盖了有关个人信息的几乎一切权利的集合，尚不满足刑法法益应当明确、具体的要求。

(二)侵犯公民个人信息罪保护法益的内容：信息自决权

“法益的界定既不能过于宽泛而导致利益保护的定位偏差，也不能过于狭窄而导致利益保护的遗漏缺失。”基于民法要扩张刑法要谦抑的理念，侵犯公民个人信息罪的保护法益还需在个人信息权的子权利范围内进一步明确。通过对欧美两种保护个人信息的模式的分析可以获知，保护个人信息的核心是保障公民个人对他人如何获取、使用自己的信息的自主控制，而无论是出于何种身份、主张何种权利;我国采取的个人信息权模式同样以信息自决权为核心，即公民个人原则上有权决定其个人信息能否被他人获取、以何种方式获取、获取后如何使用等等，这是个人信息权中的其他权利能够成立的前提。因此，信息自决权才是本罪关注的重点。

 “信息利益”是信息自决权的基础，这将其与其他人格权尤其是隐私权在根本上区别开来。“自我决定”是信息自决权的内容。一项权利的存在即意味着主体对自己享有权利的认知，换言之，权利通过意思自由、行为自由得以体现，违背公民个人对自己信息的自我决定(原则上)就构成对信息自决权的侵犯。

债权说认为公民个人的信息自决是在行使自己与获取、使用信息的主体之间的债权。公民个人自主决定自己信息的去向时行使的并非物权的占有、使用、收益、处分权能，无论基于人格权、隐私权亦或知识产权等传统路径都难以证明公民个人对其信息的拥有。在信息收集后的下游中，信息自决权的行使往往要依托于获取、使用信息的主体的义务履行，因此具有了请求权的性质。虽然债权说为目前通说，但此种观点实际上是侧重实现信息价值中社会效用的产物，物权说关注的对个人信息权的保护将是未来一段时间内的焦点。

个人信息应当包括个人公开的具有可识别性的一切信息。最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条针对个人信息的外延界定为包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。这种框定在大量行业、部门普遍采用“云端化”管理、服务的当下显得过于狭隘。民法典草案已经把“生物识别信息”纳入个人信息权的保护范围，包括基因组合信息、3D脸部识别信息、电子声纹信息等等，但是除此之外的诸如网上购物习惯、网页浏览搜索记录、微博关注等社交关系信息等却并未被涵盖。

情节严重是对构成要件符合性的判断，如果其后具备以下两种阻却违法性的情形，则此判断就会被否定：一是基于公职的正当行使。例如，法院对失信被执行人姓名、身份证号等其他个人信息予以公布或者通告。二是基于对公共利益或该自然人利益的维护。例如，上市公司对股东个人的财产、家庭地址等金融信息在公开平台的披露。

信息自决权主要承载的是信息利益中的人格利益而非经济利益。大数据时代对个人信息的商业化利用，比如“商家通过算法技术分析特定用户的消费习惯与行为偏好从而提供投其所好的产品或服务以进行精准营销”，逐渐在信息利益中成为愈加重要的部分。为此，对于获取、使用信息主体的特定场景下的部分行为，比如将个人信息经过“脱敏处理”后的产生的集合性数据，应当允许其突破信息自决权。尤为重要的是，信息自决权也同时意味着公民个人应当加强对自己信息的注意，担负一定的保护责任。

刑法一方面通过定罪量刑惩处犯罪，另一方面又通过罪刑法定原则让不具备实质可罚性的行为得以出罪，通过限制某些人在某些时点的自由创造出了更多自由。法益正是实现这一目的的有力工具。现代刑法教义学的犯罪论体系是以法益为起点和核心建立起来的，法益的实践作用在于确定某一行为是否侵害了刑法所保护的利益，是否值得苛处刑罚。把侵犯公民个人信息罪的保护法益确立为信息自决权，将最有利于发挥法益的作用，实现合理限制侵犯公民个人信息罪成立范围的目的。