2009年2月，《刑法修正案（七）》公布施行，在刑法第253条后增加一条：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。股东出资协议书范本。”这一条应当规定了二个新的罪名“出售、非法提供公民个人信息罪”和“购买、非法获取公民个人信息罪”。目前在我国尚未有个人信息保护法前提下，刑法将非法泄露、获取个人信息行为列为打击对象，表明国家开始用刑罚加大对公民个人的信息保护。但是，本条主要规范的犯罪主体是对在履行职责或提供公共服务过程中利用某种程度的公权力采集到的公民个人信息的国家机关或者单位，违反法律规定的保密义务的应负的刑事责任。立法机关没有将所有泄露公民信息的行为人都列为犯罪主体，同时也没有将所有泄露公民信息的行为都列为犯罪。刑法的规制与惩罚未能所及的行为和行为人，有待个人信息保护法以及相关司法解释来规范。尤其需要明确的几点：