然而，刑法对社会关系的调整并不是最安全的，因为很多现代国家的法律制度中都存在立法者滥用立法权的现象。为了能理性地防止在刑法方面滥用立法权，必须对实际上是否有必要规定刑事制裁进行评估，或者只有在不用刑事制裁就不足以有效地处罚和预防某种行为时，才允许对该行为规定刑事制裁{11}。这个“刑法辅助性原则”实际上为刑法介入对个人信息的调整划定了边界：作为“后置法”（“保障法”）的刑法，只有在健全而适当的“前置法”（除刑法外调整个人信息的其他部门法）无法有效地调整某一行为时，出于保障公民基本人权的目的才能介入。那么，现实中“前置法”调整的效果如何呢？现阶段我国对于个人信息的保护主要采取两种措施：一是通过法律的形式进行保护，其又可以分为法律的直接保护和间接保护两种模式；二是通过具有道德性的行业自律进行保护。在第一种保护措施中，当前主要采取民事制裁和行政制裁手段，当然还有部分刑事制裁手段的运用；在第二种保护措施中，主要采取道德约束和纪律制裁两种措施。初看起来，好似在我国已经形成了较为完整的调控体系：道德制裁--纪律制裁--民事制裁--行政制裁--刑事制裁。然而通过仔细调查和分析，就能够看出上述保护措施均存在严重先天不足：道德和纪律制裁措施的规制作用十分有限，特别是在现代社会中个人信息的商业价值日渐提升之际，其对侵犯个人信息行为规制和调整机能的发挥就尤显尴尬。民事制裁措施偏重于对体现个人隐私的个人信息之保护，对于并不体现公民人格权的一些个人信息不能涵盖其中，[3]同时对于那些超出民事侵权行为调整范围的行为也无能为力。[4]行政制裁措施虽然在刚性和严厉性上比民事制裁有所提高，但是受法律属性和实施目的的限制（主要在行政关系领域），其调整范围也大受制约，表现在义务主体和个人信息的范围上有其特定性。同时，法律所规定的行政制裁措施并不明确，在处罚强度上也不够刚强，对严重的侵权行为也有“鞭长莫及”之感。总之，无论道德制裁、纪律制裁，还是民事制裁和行政制裁，都不能有效地、经济地对侵犯个人信息的行为进行调控。因此，作为“最后保障法”的刑法制裁方式介入个人信息保护领域就成为“迫不得已”。
在刑罚的适用成为必要的情况下，当前惟一需要思考的问题就是对侵犯个人信息的行为适用刑罚的可能性有多大？国家动用刑罚的可能性取决于两个要素：第一，国家能够投入到刑罚适用过程中所需要的资源；第二，刑罚措施在实践中的可操作性{12}。在所有的法律制裁措施中，刑罚的适用需要国家投入的资源最大，因此就需要思考如何将有限的资源用到“最需要”的地方，这既是刑罚经济性的要求，也是对刑罚范围的有力限制方式之一。刑罚的经济性要求立法者和司法者在配置和适用刑罚时，应当将其范围限制在维护公民最基本人权和社会基本秩序所必需的范围内--只有当那些行为侵犯了公民的基本人权，从而使国家的基本法律制度承受摧毁性危险时，才可以适用刑罚。刑罚的可操作性要求犯罪圈的设定范围应量力而行，优化刑罚资源配置，将打击重点放在危害最严重、出现最普遍、群众最不能容忍的侵害行为之上，并将那些实践中很少发生或者由于某种原因不能够有效揭露和审判的侵犯行为排除在外，以减少“条文虚置”的情况。具体考察我国当前出现的对个人信息的侵犯行为，其行为方式多种多样，危害性和可追诉性也大相径庭，对这些行为的刑罚适用也应当有所差别：一些危害性不大的侵犯个人信息的行为，适用非刑罚的制裁措施即可；一些侵害行为造成严重的危害后果，则有适用刑罚的必要；一些行为虽然危害严重，但是根据现实条件追诉成本过高，或者适用刑罚的操作难度较大，比如“人肉搜索”等，刑罚可以暂缓介入。
