《刑法》第253条之一侵犯公民个人信息罪规定的行为类型仅限于非法获取、出售或提供个人信息代表的转移行为，没有将非法使用个人信息行为纳入规制范围，体现了将个人信息自主片面地理解为转移自主、忽视使用自主的法益认识缺陷。当前非法使用个人信息现象愈演愈烈，成为诱发个人信息泛在泄露以及违法交易激增的根源，刑法却无力应对。随着进入大数据深度挖掘应用阶段，根植于个人信息复合法益属性的使用价值日益凸显，使得使用自主相较于转移自主更具核心法益地位，个人信息刑法保护的重点理应从转移环节转向使用环节。非法使用个人信息行为具有严重的法益侵害性，有必要在遵循刑法谦抑性原则的前提下合理确定非法使用个人信息行为的入罪要件与出罪事由，限定非法使用个人信息行为刑事规制的边界，平衡信息主体的使用自主利益与信息控制者的正当使用利益。