刑法修正案(七)在刑法第二百五十三条增加规定了出售、非法提供公民个人信息罪以及非法窃取公民个人信息罪。按照《刑法修正案(七)》第7条的规定，为了强化对公民个人信息安全的保护，在《刑法》第253条后增加一条，作为第253条之一(以下简称本条)，规定侵犯公民个人信息，情节严重的构成犯罪。这是对近年来日益严峻的公民个人信息被无端泄露的刑法回应。个人信息被不当采集、随意泄露、任意篡改、恶意使用乃至非法转卖牟利，不仅是对公民权益的严重侵害，而且一旦个人信息流人犯罪分子手中而引发盗窃、诈骗、绑架等刑事犯罪，会给公民造成二次甚至三次侵害，成为其他犯罪的源头犯罪。

长期以来，我国刑法更侧重对公共利益的保护，侧重对个人财产权、生命权的保护，而缺乏对公民个人信息、个人隐私的保护。从目前来看，侵害公民个人信息的行为已远非民事法律、行政法律所能抑制，因此，尽管我国尚未出台作为前置法的公民个人信息保护法，此次修正案依然将严重侵犯个人信息的行为人罪，以彰显对公民权利的保护。由于侵犯个人身份信息的主体、行为性质明显不同，可认为分别规定了出售、非法提供公民个人信息罪、非法获取公民个人信息罪。司法解释也作出了这样的罪名界定。

一、个人信息与隐私

个人信息和隐私是或具有交叉关系、或互异、或包含的两个概念。隐私是指不被公众所知的，具有私密性。个人信息则是一个不可能进行周延的概念。从世界各国立法例来看，对个人信息的称谓并不一致，有的采用个人资料，有的采用个人隐私。目前主流的理论和观点认为，只要不是向不特定的社会公众公布，主体在将自己的某种个人信息向特定个人或群体披露后，对其他个人或群体仍然享有隐私权，如果其他人未经许可擅自公布其个人信息的，仍然构成隐私侵权。

应受到法律保护的个人信息应该具有以下几个特征:

1、该信息的主体为自然人;

2、该信息与其自然人主体有切身的利益关系，如关系到个人尊严、个人的社会生存利益;

3、该信息具有隐私性;

4、该信息需被除自己之外的单位或个人所掌握。

即在法律的层面上，探讨个人信息与隐私范围的话，应该承认受法律保护的个人信息应该是具有某种程度的隐私性、分别受相关不同阶层的法律的保护。

个人信息应该选择一种合理、科学的方法进行定义。欧洲多数立法针对个人数据(如欧盟1995年《数据保护指令》规定：个人数据是指，与一个身份已被识别或者可被识别的自然人相关的任何信息。)其采取的是抽象概括的方式，较为宽泛。该方法在法律认定时可能造成相当难度，所以在抽象概括的方式下，再进行列举较为合理。

二、侵犯公民个人信息犯罪的分析

1、侵犯个人信息犯罪主体应扩大

刑法第二百五十三条明确规定，侵犯公民个人信息犯罪主体为国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，单位也可构成此罪。上述单位以公民个人信息为基础进行便民服务，更容易获得公民个人信息。但是，对公民个人信息负有保护义务的远不止这些单位。近年来，股市、期货、房地产行业、各种服务中介等机构都掌握了相当多的公民个人信息。

对犯罪主体的扩大是必要的选择。可采取对主体进行抽象性概括，并结合列举的方式;或采取司法解释的方式对该罪主体进行不断周延;或取消对主体的界定，借违法性对其范围进行规制等。对犯罪主体扩大选择范围是困难的，这是由法律的滞后性决定的。理论界应该研究如何能够合理的、符合逻辑的对该主体范围进行扩大。

2、侵犯个人信息犯罪的犯罪对象。

个人信息最基本的包括个人的姓名、性别、年龄、血型、健康状况、身高、地址、职务等可以直接或间接识别某个人的符号序列。随之又引申出个人其他信息。从个人信息的特性上，我们应该理解，由于个人信息存在多样性、不稳定性，故对个人信息进行具体的界定是不可能的。