随着科技的发展,公民的个人信息正面临着越来越高的安全风险甚至遭到直接的侵害。刑法修正案（九）中规定了侵犯公民个人信息罪,但相关法制仍旧亟待完善。本文通过梳理现有立法,发现刑法对侵犯个人信息行为的规制界限是不明确的。行为人虽然有“合法行为”的义务,整个立法体系中却缺乏实质的、具体的指引,合法的要件并不明确,进而导致合法与非法的界限并不分明。在这个前提下,本文试图讨论能令疑似侵犯公民个人信息行为出罪的事由,从而使侵犯公民个人信息罪的罪与非罪的界限更加明确。本文主要关注五种出罪事由,这些事由将在第二、三、四章中分别进行讨论。第一种出罪事由是,行为对象不属于该罪的犯罪对象。本文主要讨论两种常被认为不受刑法保护的个人信息,即公开的个人信息和经匿名化技术处理的信息。首先,本文认为公开的个人信息仍应该受到刑法保护。其次,虽然根据当前立法,匿名信息并非该罪的犯罪对象,但这将导致个人信息安全处于很高的风险中,未来的个人信息专门立法应当对此予以重新考量。第二种出罪事由是被害人同意理论。具体适用它时有以下问题需要注意:（1）在同意的表示方式上,无论明示同意或者默示同意都能成立被害人同意;（2）如果信息控制者并未履行向信息主体清晰告知同意内容的义务,信息主体作出的同意是无效的;实践中存在一些强制同意的情形,在权力不对等的情形下,实施侵害行为的行为人所获取的同意,很可能并非有效同意,不能直接用被害人同意理论给相应行为出罪,必须要考察具体个案中的情形,判断同意是否有效;（3）若信息主体未满十四岁,且行为人得到了监护人的同意,则侵害个人信息行为的违法性被阻却。此外,基于推定同意,存在三种可能合法的侵害个人信息行为,包括为提供服务必须实行的侵害行为、为创新而实行的侵害行为和紧急情况下实行的侵害行为。其中,经过讨论本文认为,为创新而实行的侵害行为无法得到正当化,其余两种行为可以基于推定同意而阻却违法性。第三类是其他出罪事由,包括以下三个:法令行为、正当业务行为和具备特殊目的行为。本文得出以下结论:第一,当行为人履行对公权力机关的协助义务和收集特定个人信息的义务时,其行为是合法的。但是,现行立法中的相关法规仍不完善,对个人信息不加区分,这将导致公民私权利遭受不合理的限制。今后应当不断完善相关法规,从程序和实质两方面对公权力进行合理的限制。第二,当行为主体是新闻单位、学术研究机构时,出于公益目的收集、利用和公开个人信息的行为是正当业务行为。通过类推解释,行使新闻自由权的个人也可以成立正当业务行为。此外,基于艺术和文学目的侵犯个人信息的行为,也有通过这一事由出罪的可能性。最后,网络爬虫行为不能直接被归入正当业务行为中。侵犯公民个人信息的爬虫行为是否合法,关键看信息主体是否同意。第三,当行为主体实行侵犯个人信息的行为是为了公共利益、国家安全或者他人重大利益时,其行为有出罪的空间,但亦必须在个案中具体判断。在保护个人信息和维护国家安全、公共利益和第三人利益之间,尚需要寻找平衡。希望能够通过以上的讨论,进一步明确个人信息保护的刑法界限,探讨现有立法的不足之处,未来实践的可能方向。