在之前的章节中我们已经了解了现行刑法在规制侵犯公民个人信息罪的犯罪行为的局限性，若只是有限地规制出售、提供、窃取等行为，放任其他危害个人信息的行为发生，让法律漏洞为不法分子利用，那么该罪设置的震慑和打击作用将大打折扣。为此，本文希望刑事立法机关、司法机关及时出台相应的司法解释或者通过单行立法对该罪的客观行为方式进一步扩展和延伸，以期可以全面打击公民个人信息犯罪活动，保障公民信息安全。

通过对相关司法实践和案例的考察，本文认为还有以下的行为方式可以归入本罪规制：

首先，本罪的对合行为包括购买、收受、交换应当归入犯罪行为之中。目前法律认为购买、收受是出售、提供的对合行为，是中性的，自身并不具有违法性，致使理论研究领域与司法实务领域对此观点各异。购买行为是指以非法使用或出卖为目的，通过财物换取个人信息的行为，现实生活中多是通过非法渠道网上交易。此外还应包括“以物易物”的交换方式，现实生活中，有很多个人信息犯罪团伙为了犯罪利益最大化而“资源共享”，使受害者范围增大，损失更加惨重；犯罪分子借助交换行为，在节省大量资金的同时也降低了犯罪难度，其本身不可避免地具备刑事非法性，并使受害者范围成倍增加，非法置换信息的双方应被认定为侵犯个人信息罪共犯。(www.daowen.com)

有学者主张购买不应归属于本罪的规制行为，认为购买是一种中性对向行为，“立法制定者既然仅在条文中处罚出售而未谈及购买行为，可以推定他们的意思是没有必要对购买进行刑罚处罚。”因此，购买个人信息并不构成犯罪。本文认为为了更好地保护公民的信息安全利益，有必要将非法购买、交换行为入罪。理由如下：第一，需求刺激生产，巨大的经济效益是犯罪分子铤而走险的原动力。如果个人信息不被需要，利益链条从根源被切断，也就不会存在上游对个人信息的窃取等侵害行为。购买行为在一定的情况下会衍生教唆的性质，诱使不法分子触碰个人信息刑法保护红线。更可怕的是购买行为往往是一系列犯罪的开端，购买大量个人信息的犯罪分子或是将信息用于其他犯罪，或是用于专卖谋求巨大利润。第二，购买行为因是不具有暴力获取公民个人信息的和平方式，看起来不足以用法律规制。但是，反观窃取、收买、非法提供信用卡信息罪，我们得知立法者已经开始将信用卡信息中的售卖行为认定与窃取行为同样具有违法性。现实生活中除了信用卡信息外，越来越多的个人信息经济价值巨大，因此需要将购买个人信息规定为犯罪，对全部个人信息同等保护。第三，可以将购买行为进行合法与非法之区分。成立购买行为的标准可以借鉴该罪对情节严重的规定。基于信息自决权对个人信息进行类似于买卖的处置行为以及基于法律依据或其他合法用途而进行购买不应受法律规制；而对企图利用个人信息牟取暴利或是进行其他犯罪的非法购买行为应给予严厉打击和制裁。

其次，应增加持有行为，并以“非法”为前提对犯罪进行规制。合法的持有行为不具备刑事违法性，因为某些特定原因，保管信息的主体会合法地持有相应的个人信息，刑法坚决抵制的是非法持有行为。为了更好地规范非法持有的行为，可以参考个人信息保护法（草稿）中关于持有信息的规定。国家赋予特定主体持有一定数量公民个人信息的权力，尤其对于政府机关来说，掌握并合理使用公民的个人信息对完善管理和服务有着巨大意义。对于何种持有行为才构成非法，本文认为可综合考虑以下因素，即持有主体和持有数量两方面考虑：持有主体方面，初步将主体分为国家机关主体和非国家机关主体（自然人、法人等），对于非国家主体来说除了以下合法目的外的持有行为均为非法：为保护公共利益；为防止他人权益受到重大危害而有必要；信息主体同意或授权，且以书面形式；为履行特定的法定义务。持有信息的数量方面：在一定范围内为合法目的而少量持有一定信息并不构成犯罪，具体数量标准考量因素可以参照“情节严重”的规定。