我国个人信息保护的实践早期主要在刑事领域展开。2009年《刑法修正案（七）》规定了出售、非法提供公民个人信息罪和非法获取公民个人信息罪两个罪名，自此正式将侵犯公民个人信息行为入刑。该条首次将窃取或以其他方式非法获取公民个人信息、出售或非法提供公民个人信息的行为、情节严重过的，规定为犯罪行为。具体内容为，在《刑法》第253条后增加一条，作为第253条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”