乍一看，读者可能会觉得笔者这个题目起的二百五，我的个人信息当然我做主，难道还能轮得着别人来说三道四甚至随意处置？道理是这个道理，现实情况却是，随着网络时代的到来，人们在享受沟通快捷红利的同时，也同时面临着个人信息电子化虚拟化所带来负利．这个负利就是，个人对个人信息的掌控渐渐失控，多数人在求职、购物、旅游乃至就学就医等大量社会活动中，不可避免的会让个人信息流散到不可控的第三方掌控之下，接下来，第三方会如何利用这些信息，就不是你能掌控的．你能保证这些控制你或者其他人大量个人信息的第三方，都能合理合法的利用这些个人信息么？这个时候，你还能笃定地说“我的信息我做主吗？”

　　相信下面这则新闻会让很多人产生悚然惊觉的代入感：据央视财经记者２０２１年３月１５报道，那些存有海量求职简历等个人信息的招聘网站平台，如某联和某聘，无不把用户信息安全和隐私保护作为自己的“生命线”，但现实情况怎么样呢？据记者调查走访，只要付出相应的费用，就能通过一定的渠道购买到这两个“生命线”上的招聘平台上的简历，关键是，这还是别人的简历，姓名，性别，年龄，照片，联系方式，家庭住址，工作经历，教育经历等一应俱全．可怕吧？更可怕的还在后面，这些可能有您的个人信息在内简历，是如何被售卖的呢？记者发现，在这些招聘网站上，所谓的企业客户可以不限量的下载个人简历，而还有人在兜售这些可以不限量下载个人简历的企业账号．当然，目前平台的官方解释是，存在管理和安全的漏洞．但毕竟大量的个人信息被泄露，已经不是危机公关所能解决的，因此目前警方已经介入调查．

　　在现代社会，尤其是网络时代，对个人信息保护的必要性和个人信息泄露的后果，相信已经成了多数人的共识．但是大家对于个人信息的具体内容和法律是如何保护个人信息，以及侵犯个人信息的行为会有什么样的后果，未必有相对明确的认识，今天笔者将就这几个问题和大家一起探讨。

　　首先可以明确的是，我的个人信息当然我做主，这是法律所赋予我们的不可剥夺的权利；但正如前面说到的，这是应然状态而不是实然现状，也就是法律是这么规定的，但现实中，由于观念上的认识不同，各种侵犯个人信息的侵权甚至犯罪行为的存在，现实中我的信息可能是别人在做主．个人信息的保护不但需要个人提高保护的意识，我们也看到国家也在立法和司法层面，加大了对侵犯个人信息各类侵权甚至犯罪行为的打击力度；

　　今年１月１日颁行的《民法典》第四编第六章，在历史上首次将隐私权和个人信息保护问题以法律的形式写进了庄严的法典，具体规定了个人信息的定义，处理的原则和信息安全保障义务．

　　《民法典》第１０３４条第二款规定了个人信息的定义和范围，也就是哪些信息是个人信息：个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等；

　　《民法典》第１０３５条规定了处理个人信息的合法、正当、必要及不得过度处理原则；

　　《民法典》第１０３８条规定了处理个人信息者的信息安全保障义务．

　　这里需要我们重点关注的就是１０３８条规定的信息安全保障义务，它之所以跟每个人息息相关，是因为它关系到那些掌握了你我他千万万万人个人信息的第三方公司或平台，应该如何处理个人信息．法律明确规定，信息处理者不但不能泄露和篡改个人信息，且未经个人同意不得向他人非法提供．那么，做到不向他人非法提供就行了吗？还不够．法律同时规定，信息处理者还要承担安全保障义务，也就是除了不主动向外泄露或非法提供个人信息外，还必须要采取必要的技术措施，确保信息安全．也就是，信息处理者不能仅仅不开门揖盗就行了，还必须为防盗建立信息安全的防火墙．

　　在３１５或其他日子，我们经常会看到形形色色个人信息被侵犯的案子，个人信息该如何保护，就成了每个人都关注的话题．我们看到，民法典的有关规定，为我们提供了通过民事诉讼途径保护个人信息的请求权基础；那么，对于严重侵犯个人信息的犯罪行为，刑事法律是如何因应的呢？

　　２０１５年随着刑法修正案９的生效，侵犯公民个人信息罪正式出台，从此，侵犯公民个人信息的行为，不但要承担民事赔偿责任，情节严重的甚至可能要承担刑事责任．根据刑法第二百五十三条之一的规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金．

　　那么，什么样侵犯公民个人信息的行为才有可能被定罪处刑呢？

　　两高（最高人民法院和最高人民检察院）在２０１７年联合发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》该解释在民法典颁布前即明确了公民个人信息的定义和范围，并将提供个人信息和获取个人信息的行为，在什么样的情况下会构成犯罪，均做了明确和具体的规定．也就是说，买卖个人信息，达到了法定的数量标准和情节标准的，均可能构成侵犯公民个人信息罪．大家有兴趣的话可以自己去看该解释的具体规定．

　　当然，对于侵犯公民个人信息的违法行为，除了个人依法向法院起诉民事上的侵权行为，国家司法机关依法惩处侵犯公民个人信息的犯罪行为外，市场监管部门作为行政执法机关，对于侵犯公民个人信息的违法行为进行依法查处，也是题中应有之义．

　　说到这里，相信个人信息安全保护的维度大家已经都清楚了，大的方面，有三个维度：个人警惕＋平台负责＋国家给力；平台层面，有两个维度：承担安全保障义务，建立安全保障体系；国家层面，有三个维度：保障公民行使诉权；市场监管执法到位；司法机关依法裁断．

　　你的信息到底谁做主？是你．但这不但需要你自力救济，平台也不能店大欺客主张免责，更离不开国家公权力在适当时候的介入．这样，才能建立起对公民个人信息具体、立体的全方位保护．

　　（作者：宋一祺律师，北京普胜达律师事务所刑事部主任，资深刑事律师）