现代社会是前所未有的开放社会，但在它的每一个角落，也都隐藏着一些对人们个人信息不怀好意的窥伺者。随着十一届全国人大常委会第七次会议2月28日表决通过的《中华人民共和国刑法修正案(七)》中以两个修正案增加对某些故意窃取、泄露个人信息行为的刑责，以及中国社会科学院法学研究所3月2日发布的2009年《法治蓝皮书》中对个人信息被滥用和泄露情况的调查，个人信息保护立法问题近日再次浮上台面。

　　实际上，个人信息保护虽然是现代社会的一个新问题，但却也是个“老话题”。2003年起，中国社会科学院法学研究所的周汉华研究员就已开始起草专家建议稿并提交给相关部门，但迄今为止却仍只听雷声，不见雨点。在此背景之下，最近通过的《中华人民共和国刑法修正案(七)》确实可谓是非常重要的一步。将国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，以及侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制情节严重的行为进行处罚，也看准了问题所在。

　　然而，高高祭起的刑法之剑能否真正切实有助于个人信息的保护，只怕也还有一些不无忧虑之处。

　　第一，对非法侵犯和泄露个人信息的行为课以刑责，本身不是为了处罚，而是为了保护个人信息。刑法修正案显然并非对一切非法泄露个人信息的行为都能处以刑罚，而必须是达到一定的严重程度的侵犯行为。因此，很可能是泄露个人信息达到很大规模、涉及很多人的情况下，刑法才会介入。在此情境之下，如果仅仅某一个人的个人信息被泄露、被侵犯了，他是公诉还是自诉？公安机关会否介入调查？倘若这种情况不被认定为“情节严重”，则无法课以刑责，那么泄露者是否就可以逍遥法外了？

　　第二，刑罚虽然能够在一定程度上威慑潜在的泄露个人信息者，但它本身并不是最佳的救济手段。情节严重的，也许可以提起刑事附带民事之诉，但情节不严重的、某单个个人的信息被侵犯，又如何救济？特别是，贩卖个人信息在当前有成为“新兴产业”之势，巨额利润之下，必有人铤而走险，对这些人也不能仅仅刑事处罚了之，而必须让他们对被害人进行民事赔偿。

　　法学界早已有共识，个人信息保护涉及到各个法学部门的共同协作，绝非单独一部刑法所能奏效。事实上，除了新出的刑法修正案之外，我们之前已经有了护照法与身份证法，以及一些部门规章和司法解释涉及到了对个人信息的保护。中国人民银行2005年甚至通过了一个有关个人信用信息管理及保护的专门性部门规章———《个人信用信息基础数据库管理暂行办法》，该办法包括总则、报送和整理、查询、异议处理、安全管理、罚则、附则七章，共45条，对个人信用信息的收集、处理、利用、流通等作了较为详细的规定。但之所以效果不好，就是因为没有一部统一的法律来进行规制。

　　正如已有研究者所指出，既有的个人信息保护法律缺陷太多：其一，现行立法不足，保护个人信息的法律条款数量较为有限、适用范围相对狭窄；其二，在手段上，重“刑事处罚”和“行政管理”，轻“民事确权”与“民事归责”，导致个人信息遭受侵害后，即使侵权行为人最终遭致刑事处罚或行政处罚，但信息主体的财产及非财产损失却得不到任何实质性的补偿；其三，可操作性差，许多条款仅仅规定了对个人信息的保密义务，而没有规定违背该义务的后果；其四，法律体系混乱，不便于司法适用；其五，立法理念重视不足。而其中关键的缺陷就是第二点，也即未赋予被害人足够而畅通的寻求救济的渠道。

　　因而，通过刑法修正案对个人信息保护进行规制固然重要，但其尚不能从根本上改变现状。如果没有一部统一的个人信息保护立法，现有的法律规则，哪怕是刑事措施，都有沦为屠龙之术的危险。（支振锋）

（责编：李艳）