随着互联网技术的发展，非法获取公民个人信息实施违法犯罪的案件时有发生，信息的倒卖引发民众对于个人信息泄露的焦虑和恐惧。本案中被告人李某利用伪装成“颜值检测”的黑客软件窃取安装者相册照片共计1000余张。涉案的人脸信息属于生物识别信息中社交属性最强、最易采集的个人信息，极有可能成为电信诈骗、滋扰型等新型犯罪甚至是暴力犯罪的根源，严重威胁社会稳定。本案运用刑事附带民事公益诉讼制度，有效发挥追责和预防功能，维护公民在网络空间的合法权益。法院通过判决要求被告人删除其获取与分享的个人信息，并在国家级新闻媒体上公开赔礼道歉，不仅有效震慑此类违法行为，还能提高人民群众的个人信息安全保护意识，加强民生刑事司法保护。

利用黑客软件窃取 “人脸信息”的司法规制

——李某侵犯公民个人信息刑事附带民事公益诉讼案

✓

裁判要点

1. 鉴于“人脸信息”具有极高的可识别性并符合公民个人信息的定义和特征，行为人利用伪装成“颜值检测”的黑客软件窃取软件使用者“人脸信息”等公民个人信息，属于非法获取公民个人信息的行为，情节严重的，应以侵犯公民个人信息罪定罪处罚。

2. 人民法院在刑事附带民事公益诉讼中可以判决公开赔礼道歉，删除恶意程序软件、相关代码及所有终端设备中存储的公民个人信息。

✓

基本案情

2020年6月至9月间，被告人李某制作一款具有非法窃取安装者相册照片的手机“黑客软件”，打包成安卓手机端的“APK安装包”，发布于暗网“茶马古道”论坛售卖，并伪装成“颜值检测”软件发布于“芥子论坛”(后更名为“快猫社区”)供访客免费下载。用户下载安装“颜值检测”软件使用时，“颜值检测”软件会自动在后台获取手机相册里的照片，并自动上传到被告人搭建在腾讯云服务器的后台，李某利用该软件窃取安装者相册照片共计1751张，其中部分照片含有人脸信息、自然人姓名、身份证号码、联系方式、家庭住址等100余条公民个人信息。

2020年9月，被告人李某在暗网“茶马古道”论坛看到“黑客资料”帖子，后用其此前在暗网售卖“APK安装包”部分所得购买、下载标题为“社工库资料”数据转存于“MEGA”网盘，经其本人查看，确认含有个人真实信息。2021年2月，被告人李某明知“社工库资料”中含有户籍信息、QQ账号注册信息、京东账号注册信息、车主信息、借贷信息等，仍将网盘链接分享至其担任管理员的“翠湖庄园业主交流”QQ群，提供给群成员免费下载。经鉴定，“社工库资料”中经去除无效数据并进行合并去重后，包含各类公民个人信息共计8100万余条。

上海市奉贤区人民检察院提起公诉，同时以社会公共利益受到损害为由，向上海市奉贤区人民法院提起附带民事公益诉讼。

✓

裁判结果

上海市奉贤区人民法院于2021年8月23日作出（2021）沪0120刑初828号刑事附带民事判决，以被告人李某犯侵犯公民个人信息罪，判处有期徒刑三年，宣告缓刑三年，并处罚金人民币一万元；扣押在案的犯罪工具予以没收。同时判决李某于判决生效之日起十日内在国家级新闻媒体上对其侵犯公民个人信息的行为公开赔礼道歉、删除“颜值检测”软件及相关代码、删除腾讯云网盘上存储的涉案照片、删除存储在“MＥＧＡ”网盘上相关公民个人信息，并注销侵权所用ＱＱ号码。判决后，公诉机关未抗诉，被告人未上诉，判决现已生效。

✓

裁判理由

法院生效裁判认为：“人脸信息”属于刑法第253条之一规定的公民个人信息，利用“颜值检测”黑客软件窃取软件使用者“人脸信息”等公民个人信息的行为，属于刑法中“窃取或者以其他方法非法获取公民个人信息”的行为，依法应予惩处。理由如下：第一，“人脸信息”与其他明确列举的个人信息种类共同具有明显的“可识别性”特征。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）中例举了公民个人信息种类，虽未对“人脸信息”单独列举，但允许依法在列举之外认定其他形式的个人信息。《解释》中对公民个人信息的定义及明确列举与《中华人民共和国民法典》等法律规定中有关公民个人信息的认定标准一致，即将“可识别性”作为个人信息的认定标准，强调信息与信息主体之间被直接或间接识别出来的可能性。“人脸信息”属于生物识别信息，其具有不可更改性和唯一性，人脸与个体一一对应，无需结合其他信息即可直接识别到特定自然人身份，具有极高的“可识别性”。第二，将“人脸信息”认定为公民个人信息遵循了法体系解释方法。民法等前置法将“人脸信息”作为公民个人信息予以保护。《中华人民共和国民法典》第1034条规定了个人信息的定义和具体种类，《中华人民共和国个人信息保护法》进一步将“人脸信息”纳入个人信息的保护范畴，侵犯“人脸信息”的行为构成侵犯自然人人格权益等侵权行为，须承担相应的民事责任或行政、刑事责任。第三，采用“颜值检测”黑客软件窃取“人脸信息”具有较大的社会危害性和刑事可罚性。因“人脸信息”是识别特定个人的敏感信息，亦是社交属性较强、采集方便的个人信息，极易被他人直接利用或制作合成，从而破解人脸识别验证程序，引发侵害隐私权、名誉权，甚至引发盗窃、诈骗等犯罪行为，社会危害较大。被告人李某采用将黑客软件伪装成“颜值检测”软件窃取用户的自拍照片和手机相册中的存储照片，利用了互联网平台的开放性，以不特定公众为目标，手段隐蔽、欺骗性强、窃取面广，具有明显的社会危害性，需用刑法加以规制。

关于辩护人提出本案公民个人信息数量认定依据不足的辩护意见，法院生效裁判认为，公安机关侦查过程中采用了抽样验证的方法，随机挑选部分个人信息进行核实，能够确认涉案个人信息的真实性，被告人、辩护人亦未提出涉案信息不真实的线索或证据。司法鉴定机构通过去除无效信息、进行合并去重的方法进行鉴定，检出有效个人信息8100万余条，公诉机关指控的公民个人信息数量客观、真实，且符合《解释》中确立的对批量公民个人信息具体数量的认定规则，故对辩护人的辩护意见不予采纳。

综上，被告人李某违反国家有关规定，非法获取并向他人提供公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。被告人李某到案后能如实供述自己的罪行，依法可以从轻处罚，且自愿认罪认罚，依法可以从宽处理。李某非法获取并向他人提供公民个人信息的侵权行为，侵害了众多公民个人信息安全，损害社会公共利益，应当承担相应的民事责任。故依法作出上述判决。

【相关法条】

《中华人民共和国刑法》第253条之一

【侵犯公民个人信息罪】违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

《中华人民共和国民法典》第111条

【个人信息受法律保护】自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

《中华人民共和国民法典》第179条

【承担民事责任的方式】承担民事责任的方式主要有：

（一）停止侵害；

（二）排除妨碍；

（三）消除危险；

（四）返还财产；

（五）恢复原状；

（六）修理、重作、更换；

（七）继续履行；

（八）赔偿损失；

（九）支付违约金；

（十）消除影响、恢复名誉；

（十一）赔礼道歉。

法律规定惩罚性赔偿的，依照其规定。

本条规定的承担民事责任的方式，可以单独适用，也可以合并适用。

【案例索引】

案号：

上海市奉贤区人民法院（2021）沪0120刑初828号刑事附带民事判决书

合议庭组成人员：

上海市奉贤区人民法院 李晓杰、管玉洁、高晔涛

编写人：

胡亚斌 上海市奉贤区法院刑事审判庭庭长

李晓杰 上海市奉贤区法院刑事审判庭副庭长

管玉洁 上海市奉贤区法院刑事审判庭审判员

●《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》的理解与适用

●

最高法发布审理使用人脸识别技术处理个人信息相关民事案件的司法解释（附答记者问）

●民法典首例！个人信息保护民事公益诉讼案

声明：本文转载自“中国上海司法智库”公众号，在此致谢！

编辑：潘园园

排版：王 俏

审核：刘 畅