犯罪本质的界定只是解决了犯罪化的正当性问题，而行为入罪的范围仍需进一步厘清。如果说“犯罪是危害社会的、依照刑法应当受到刑罚处罚的行为”这一论断正确的话，那么“只有需要运用刑罚才能加以处罚的危害行为才需要认定为犯罪”也是符合逻辑地当然推理。因而，在确定犯罪化的范围时，行为的应受刑罚惩罚性无疑是一个核心指标。那么，什么样的行为才应该受到刑罚惩罚呢？众所周知，在所有的法律制裁措施中，刑罚当属最为严厉的一种。作为抗制犯罪的主要法律手段，刑罚兼具积极与消极的两重性。正如德国著名刑法学家耶林所言：“刑罚如两刃之剑，用之不得其当，则国家与个人两受其害。”{5}正是出于对刑罚特性的忌惮，一直以来人们就对其适用设置了非常严格的限制标准。如德国学者耶赛克曾指出，刑事政策要求立法者为了避免不必要地将某些行为列为犯罪，同时为了在一般人思想上维护刑罚的严肃性，必须将刑法上所必须归罪的行为范围限制在维护公共安全秩序所必需的最低范围之内{6}；功利主义大师边沁则明确指出了限制适用刑罚的案件范围：（1）滥用；（2）无效；（3）过分；（4）太昂贵{7}。那么，适用刑罚的标准到底应该是什么呢？根据笔者的理解，刑罚的适用范围必须综合考虑两个方面：首先，刑罚相对于其他法律规范体系中的制裁措施居于较高层级和位阶，基于一个危害行为所侵害的内容、侵害对象所体现的社会关系及其保护价值的不同，将会由不同严厉程度的制裁手段所调整，刑罚不可能全面介入，这就是所谓的刑罚“残缺不全”特征{8}。刑罚的“残缺不全”特征决定了刑罚是社会制裁体系中的最后一道防线，只有在道德制裁、纪律制裁、民事制裁、行政制裁等调控失效的情况下才可以考虑动用刑罚。其次，刑罚的适用必须是经济的、可操作的和有效果的。经济性意指刑罚资源的投入规模决定着国家设定犯罪的规模和种类，这是刑罚对犯罪界定的反作用体现；刑罚的可操作性意味着在实践中有适用刑罚的社会条件，不会造成有限刑法资源的浪费；刑罚的有效性则要求国家运用刑罚能够实现报应与预防犯罪的预期目的，凡是不利于刑罚目的实现的，应当明确放弃，另觅他法。
二、侵犯个人信息行为入罪的法理分析
个人信息是指一切可以识别本人的信息总和，这些信息包括了一个人的生理、心理、智力、个体、社会、经济、文化、家庭等方面{9}。关于个人信息的法律属性，在理论上尚存争议，其中较为典型的主张有所有权说、隐私权说以及人格权说。上述各种见解都有一定的合理性成分，但又均有以偏概全之不足。笔者认为，随着现代信息化社会的深入发展，个人信息不仅体现着个人隐私和人格权利，而且由于“个人信息已经成为现代商业和政府运作的基础动力”{10}，其还越来越明显地表现出经济利益性特征。换言之，个人信息是个人隐私权、人格权乃至财产权的综合载体。由于公民的隐私权、人格权及财产权分别涉及到公民的人身自由、人格尊严、生活安宁以及财产的安全，因而无论从宪法还是从部门法的角度分析，公民的个人信息都承载着公民的基本人权，甚至在一些情况下，当个人信息成为维护公共利益所必须的时候，它还表现出公共秩序利益的属性。[2]因此，侵犯公民个人信息就会侵犯公民的基本人权，个人信息理应成为刑法调整和重点保护的对象，刑法将这类侵犯行为予以犯罪化乃实至名归。
