近日，最高人民法院发布第35批共4件依法保护公民个人信息的刑事指导性案例，明确对人脸识别信息、居民身份证信息、社交媒体账号、手机验证码等公民个人信息的刑法保护，有效回应了社会公众关切，化解了刑事司法中个人信息保护的一些疑难问题。
我国刑法关于个人信息保护的条款诞生于前数字经济时代，是在专门立法即个人信息保护法诞生之前的“先行立法”，其率先通过刑事制裁打击严重侵犯个人信息权益的行为，而与之相对应的民事与行政立法却长期阙如。随着数字经济时代到来以及个人信息保护法颁布实施，“两个时代”立法并存的规范现实，以及实践中不断增加的个人信息保护的司法诉求，对公民个人信息的刑法保护提出了多重挑战，具体表现在三个方面：
一是个人信息保护范围随时代发展发生变迁。技术的不断进步和社会的快速发展重塑了个人信息的保护范围，一些信息过去没有被认定为个人信息，现在却被认为具备了个人信息的属性，依法应当受到刑法保护。以电话号码为例，过去司法机关倾向于认为电话号码没有达到能够单独或者与其他信息相结合识别特定自然人的程度，不是刑法所保护的“公民个人信息”。而在当下，实名登记制的实施在很大程度上提高了电话号码的可识别性，加之电话号码的泄露常常是电信诈骗等违法犯罪的源头，因此有必要对电话号码及其衍生信息予以强化保护。此次发布的指导性案例“罗文君、瞿小珍侵犯公民个人信息刑事附带民事公益诉讼案”明确，电话号码属于能够与其他信息结合识别自然人状况，手机验证码具有识别、验证个人身份的通信内容，二者均属于刑法所保护的个人信息范畴。
二是对于新型个人信息如何通过刑法进行保护。根据个人信息保护法相关规定，人脸(生物)识别信息属于敏感个人信息，需要受到特别保护。在当今时代，由于人脸信息的易获取性以及无感抓拍等行为具有普遍性，如果刑法不加甄别地将所有人脸信息均认定为个人信息，则凡是未经信息主体同意发布包含他人人脸信息的照片、短视频等行为都有可能涉嫌侵犯公民个人信息罪，由此势必制造出大规模的犯罪化，这恐怕与社会生活现实以及刑法谦抑性理念相违背。基于此，指导性案例“李开祥侵犯公民个人信息刑事附带民事公益诉讼案”侧重于禁止以非法技术手段处理人脸信息，明确使用人脸识别技术处理的人脸信息以及基于人脸识别技术生成的人脸信息均具有高度的可识别性，属于刑法规定的公民个人信息，适度限定了侵犯人脸信息涉罪的成立范围，从而既有效保护了人脸信息，又避免将刑法处罚范围扩张得过宽过广。