在明确了民事违法为刑事违法划定了最大的入罪边界之后，进一步值得讨论的问题是：刑法上侵犯公民个人信息的犯罪行为与普通的民事侵权行为有何区别？或者说，个人信息民事侵权行为要满足哪些条件才可能升级为犯罪？这一问题涉及法秩序原理下民法与刑法的评价层次。为此，需要对侵犯公民个人信息行为进行实质解释才能准确回答。刑法学者往往通过“法益”工具开展论证。

刘艳红：只有侵犯个人信息自决权的行为才是侵犯公民个人信息罪中的犯罪行为

基于法益在犯罪论体系的实践中所发挥的作用是“确定某一行为是否侵害了刑法所保护的法益、是否达到应受刑罚处罚的程度”的前提，刘艳红教授认为，只有那种侵犯了信息自决权的行为，才是侵犯公民个人信息罪中的犯罪行为，而“信息自决权”恰好是民法典、个人信息保护法确立的个人信息权的核心。那些侵犯了其他个人信息权的行为，属于一般侵权行为，用民法进行调控即可。刘艳红教授从刑民一体化的视角展开了详细的分析：

1.在民法典背景与刑民一体化视野下，侵犯公民个人信息罪保护法益是对民法典及相关法律法规所确立的个人信息权的刑法确认。

延续了此前身份证法、消费者权益保护法、《关于加强网络信息保护的决定》、网络安全法等法律法规对个人信息保护的规定，民法典对个人信息保护的规定虽然没有明确采用个人信息权的表述，但是其第一百一十一条后半段规定表明，法律所保护的并非作为客体的个人信息，而是作为主体的人的权利，因此可以认为该条文确立了个人信息权。……