近年来,公民个人信息泄露以及随之产生的精准诈骗等相关下游犯罪活动愈演愈烈,个人信息安全从未像今天这么重要,个人信息保护相关法律应运而生,侵犯公民个人信息罪便是个人信息保护在刑法领域的有力体现。但我国个人信息立法在过去很长一段时间都较为滞后,系统的个人信息保护法直到2021年才正式实施,刑先民后的现象长期存在,侵犯公民个人信息罪的认定上理论与实践还有争议。本文通过大量的文献阅读以及对典型案例的分析,在《个人信息保护法》出台生效的背景下重新审视分析侵犯公民个人信息罪犯罪客体的内涵、行为对象的认定以及信息主体同意对本罪认定的影响。侵犯公民个人信息罪保护的是个人法益。个人信息具有强烈的个人属性,可以与具体的个人一一对应,个人也仅能利用其本人的个人信息,不具有超个人法益不可分割的特征,因此本罪保护的不是公共信息安全等超个人法益。本罪的犯罪客体内涵是个人信息安全,即个人信息中蕴含附随的人身、财产安全,旨在规制风险,遏制个人信息泄露下游犯罪,防止个人信息被非法利用而侵害信息主体的人身、财产安全。在公民个人信息的认定中,身份识别类信息中的“身份”应作广义的理解,不要求必须关联到由国家权威认定的身份,只要能将该自然人从社会群体中识别出来即可,而反映活动情况类信息关键在于信息主体的特定性。在“识别性”的判断中,结合识别、即间接识别的情况应当结合识别主体的能力以及识别成本的大小,灵活判断是否属于本罪中的“公民个人信息”。根据《个人信息保护法》与《民法典》的相关规定,公开的信息被合理使用时不负民事责任与行政责任,因此也不应当负刑事责任,但应对此情况进行审慎的认定,在信息的公开性上,合法公开的信息不属于本罪保护的个人信息,自行公开的信息则应当结合公开的渠道、范围等情况合理判断其公开性;在对信息的处理上,应当要求是合理的使用,不能超出公开信息的目的用途的范畴。在被害人同意与本罪的认定上,信息主体的同意有两层意义,一是《个人信息保护法》与《民法典》确立了知情同意原则,信息主体的同意成为是否违反国家有关规定的主要判断标准,可在构成要件的层面阻却本罪的成立;二是本罪保护个人法益,作为超法规的违法阻却事由,被害人同意可以阻却本罪的成立。但被害人同意的生效,需要满足一定的条件,保证信息主体有充分的选择自由以保证其同意的真实性;以信息处理者对信息主体同意行为引起风险的告知义务作为同意有效的前提条件,以确保信息主体对同意的风险有充分的认识与洞察力;还需要保证对被侵害的法益有处分权限,不能违反法律规定、危及国家公共利益、公序良俗。