“公民个人信息”纳入刑法保护范围，使其成为与国家秘密、商业秘密等并列“信息类”保护对象，历史意义重大。可是，网络犯罪方面刑法理论研究滞后，与立法司法严重脱节，基于网络社会技术性与虚拟性因素，许多学者对网络新生事物缺乏全面认识，出现理论保守而实践“激进”倒挂现象。[ 参见于志刚：《青年刑法学者要有跟上时代步伐的激情和责任——20年来网络犯罪理论研究反思》，载《法商研究》2017年第6期，第10页。]我国刑法对于网络服务提供者违反安全管理义务行为进行规制的主要罪名有侵犯公民个人信息罪、拒不履行网络安全保障义务罪、非法利用信息网络罪以及帮助信息网络犯罪活动罪等。当APP所有者或运营者违反公民个人信息安全管理义务，民事行政法律尚不足以规制时，刑法如何衔接，具有严重社会危害性时如何进行刑法规制，目前看，这方面问题的确不少，有待进一步具体分析和探讨。
（一）刑法适用疑难问题
1.信息收集权与个人信息权紧张对立
根据我国《刑法》第二百五十三条之一对于侵犯公民个人信息罪的罪状设置可知，该罪属于非典型法定犯。虽然《网络安全法》和《民法总则》有相关条款，然而，我国没有专门个人信息法，理论上关于个人信息含义范围也颇多争议。《侵犯个人信息解释》第1条所作界定尽管采取形式上的广义可识别性+活动情况，然将“财产状况”“账号密码”解释为个人信息似乎不通，难以自圆其说而饱受诟病。[ 参见于志刚：《“两高”侵犯公民个人信息司法解释之研读》，载《浙江社会科学》2017年第10期，第6-7页。]所以，严格讲，实际上该解释是我国司法机关的司法实践探索，并不是个人信息的正式立法定义，申言之，侵犯公民个人信息罪实际处于前置规范缺失状态。《宪法》《民法总则》没有明确个人信息权，而《网络安全法》是国家安全优于个人信息安全，维护网络主权和安全法律，就此而言，我国对个人信息保护的立法还是一项未竟的事业。[ 参见陈璐：《论<网络安全法>对个人信息刑法保护的新启示》，载《法治研究》2017年第4期，第88页。]刑法亦因此受到“牵连”，一方面，APP所有者或运营者作为网络服务提供者依法享有收集个人信息的权利，可是，认定收集的必要性目前有很大实际困难。另一方面，个人信息内容在信息时代不断扩张的不确定性，不得不将其概念的内涵与外延保持开放性设置状态。在没有对公民个人信息下一个准确定义之前，法官们只能凭借自身经验和社会一般评价进行规范的构成要件要素的判断。[ 参见陈冉：《论大数据背景下隐私权的刑法保护》，载《中国刑事法杂志》2017年第3期，第73页。]从而，APP信息收集权与用户个人信息权会处于更加激烈博弈与紧张对立的状态。
2.转移行为犯罪化任性扩张
《刑法修正案（九）》取消了《刑法修正案（七）》“非法提供”中的“非法”，修改后的侵犯公民个人信息罪包括“出售或提供公民个人信息”“窃取或者以其他方法非法获取公民个人信息”两项类行为。可见，现行刑法对于“出售”与“购买”，“提供”和 “获取”，并没有形成对合犯式刑法规制。其中，出售被绝对禁止，购买被解释为以其他方法获取行为；提供行为由原先的“非法”改变为非法合法在所不问，与之相反，获取行为则必须为不法获取。如果出售或提供公民个人信息对公民人格尊严与个人自由造成严重侵害或威胁，则该行为就具有实质违法性。刑法控制的是对个人隐私、人格尊严和自由造成严重侵害的行为，将不具有实质违法性行为排除刑法调整之外。[ 参见高富平、王文祥：《出售或者提供公民个人信息入罪的边界——以侵犯公民个人信息罪所保护的法益为视角》，载《政治与法律》2017年第2期，第50页。]在刑事立法领域，社会危害性发挥着指导立法的功能，它帮助立法者回答何种行为应当被规定为犯罪以及对所规定的犯罪应当如何处罚，是决定一行为犯罪化或非犯罪化的根据，是限制国家刑罚权发动的有效屏障。[ 参见刘艳红著：《实质刑法观》，中国人民大学出版社2009年版，第141页。]将所有购买行为解释为非法获取有失妥当，如被收集者自愿同意出卖的，尤其是出售或交易的是经过匿名处理的，则相应获取行为就不能认定为是具有社会危害性的非法获取行为。再说，提供是否包括公布、发布、共享类行为，如果说提供的方式没有限定，凡是使他人可以知悉公民个人信息的行为，均属提供。[ 参见张明楷著：《刑法学》（第五版），法律出版社2016年版，第922页.]则，这些并不具有社会危害性的交易、提供等转移个人信息行为的犯罪化圈子任性扩张值得检讨和反思。