裁判要點 

使用人臉識別技術處理的人臉信息以及基于人臉識別技術生成的人臉信息 均具有高度的可識別性，能夠單獨或者與其他信息結合識別特定自然人身份或 者反映特定自然人活動情況，屬于刑法規定的公民個人信息。行為人未經公民 本人同意，未具備獲得法律、相關部門授權等個人信息保護法規定的處理個人 信息的合法事由，利用軟件程序等方式竊取或者以其他方法非法獲取上述信息 ，情節嚴重的，應依照《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第五條第一款第四項等規定定罪處罰。 

相關法條 《中華人民共和國刑法》第253條之一 

基本案情 

2020年6月至9月間，被告人李開祥制作一款具有非法竊取安裝者相冊照片功能的手機“黑客軟件”，打包成安卓手機端的“APK安裝包”，發布于暗網 “茶馬古道”論壇售賣，并偽裝成“顏值檢測”軟件發布于“芥子論壇”(后更 名為“快貓社區”)提供訪客免費下載。用戶下載安裝“顏值檢測”軟件使用時 ，“顏值檢測”軟件會自動在后臺獲取手機相冊里的照片，并自動上傳到被告 人搭建的騰訊云服務器后臺，從而竊取安裝者相冊照片共計1751張，其中部分 照片含有人臉信息、自然人姓名、身份號碼、聯系方式、家庭住址等公民個人 信息100余條。2020年9月，被告人李開祥在暗網“茶馬古道”論壇看到“黑客資料”帖子 ，后用其此前在暗網售賣“APK安裝包”部分所得購買、下載標題為“社工庫資 料”數據轉存于“MEGA”網盤，經其本人查看，確認含有個人真實信息。 2021年2月，被告人李開祥明知“社工庫資料”中含有戶籍信息、QQ賬號注冊信 息、京東賬號注冊信息、車主信息、借貸信息等，仍將網盤鏈接分享至其擔任 管理員的“翠湖莊園業主交流”QQ群，提供給群成員免費下載。經鑒定，“社 工庫資料”經去除無效數據并進行合并去重后，包含各類公民個人信息共計 8100萬余條。 上海市奉賢區人民檢察院以社會公共利益受到損害為由，向上海市奉賢區 人民法院提起刑事附帶民事公益訴訟。 被告人李開祥對起訴指控的基本犯罪事實及定性無異議，且自愿認罪認罰 。 辯護人提出被告人李開祥系初犯，到案后如實供述所犯罪行，且自愿認罪 認罰等辯護意見，建議對被告人李開祥從輕處罰，請求法庭對其適用緩刑。辯 護人另辯稱，檢察機關未對涉案8100萬余條數據信息的真實性核實確認。 

裁判結果 上海市奉賢區人民法院于2021年8月23日以（2021）滬0120刑初828號刑事 判決，認定被告人李開祥犯侵犯公民個人信息罪，判處有期徒刑三年，宣告緩 刑三年，并處罰金人民幣一萬元；扣押在案的犯罪工具予以沒收。判決李開祥 在國家級新聞媒體上對其侵犯公民個人信息的行為公開賠禮道歉、刪除“顏值 檢測”軟件及相關代碼、刪除騰訊云網盤上存儲的涉案照片、刪除存儲在“ MEGA”網盤上相關公民個人信息，并注銷侵權所用QQ號碼。一審判決后，沒有 抗訴、上訴，判決現已生效。 

裁判理由 

法院生效裁判認為：本案爭議焦點為利用涉案“顏值檢測”軟件竊取的 “人臉信息”是否屬于刑法規制范疇的“公民個人信息”。法院經審理認為，“人臉信息”屬于刑法第二百五十三條之一規定的公民個人信息，利用“顏 值檢測”黑客軟件竊取軟件使用者“人臉信息”等公民個人信息的行為，屬于 刑法中“竊取或者以其他方法非法獲取公民個人信息”的行為，依法應予懲處 。主要理由如下：第一，“人臉信息”與其他明確列舉的個人信息種類均具有 明顯的“可識別性”特征。《最高人民法院、最高人民檢察院關于辦理侵犯公 民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）中列舉 了公民個人信息種類，雖未對“人臉信息”單獨列舉，但允許依法在列舉之外 認定其他形式的個人信息。《解釋》中對公民個人信息的定義及明確列舉與民 法典等法律規定中有關公民個人信息的認定標準一致，即將“可識別性”作為 個人信息的認定標準，強調信息與信息主體之間被直接或間接識別出來的可能 性。“人臉信息”屬于生物識別信息，其具有不可更改性和唯一性，人臉與自 然人個體一一對應，無需結合其他信息即可直接識別到特定自然人身份，具有 極高的“可識別性”。第二，將“人臉信息”認定為公民個人信息遵循了法秩 序統一性原理。民法等前置法將“人臉信息”作為公民個人信息予以保護。民 法典第一千零三十四條規定了個人信息的定義和具體種類，個人信息保護法進 一步將“人臉信息”納入個人信息的保護范疇，侵犯“人臉信息”的行為構成 侵犯自然人人格權益等侵權行為的，須承擔相應的民事責任或行政、刑事責任 。第三，采用“顏值檢測”黑客軟件竊取“人臉信息”具有較大的社會危害性 和刑事可罰性。因“人臉信息”是識別特定個人的敏感信息，亦是社交屬性較 強、采集方便的個人信息，極易被他人直接利用或制作合成，從而破解人臉識 別驗證程序，引發侵害隱私權、名譽權等違法行為，甚至盜竊、詐騙等犯罪行 為，社會危害較大。被告人李開祥操縱黑客軟件偽裝的“顏值檢測”軟件竊取 用戶自拍照片和手機相冊中的存儲照片，利用了互聯網平臺的開放性，以不特 定公眾為目標，手段隱蔽、欺騙性強、竊取面廣，具有明顯的社會危害性，需 用刑法加以規制。 關于辯護人提出本案公民個人信息數量認定依據不足的辯護意見，法院經 審理認為，公安機關偵查過程中采用了抽樣驗證的方法，隨機挑選部分個人信 息進行核實，能夠確認涉案個人信息的真實性，被告人、辯護人亦未提出涉案 信息不真實的線索或證據。司法鑒定機構通過去除無效信息，并采用合并去重 的方法進行鑒定，檢出有效個人信息8100萬余條，公訴機關指控的公民個人信息數量客觀、真實，且符合《解釋》中確立的對批量公民個人信息具體數量的 認定規則，故對辯護人的辯護意見不予采納。 綜上，被告人李開祥違反國家有關規定，非法獲取并向他人提供公民個人 信息，情節特別嚴重，其行為已構成侵犯公民個人信息罪。被告人李開祥到案 后能如實供述自己的罪行，依法可以從輕處罰，且自愿認罪認罰，依法可以從 寬處理。李開祥非法獲取并向他人提供公民個人信息的侵權行為，侵害了眾多公民個人信息安全，損害社會公共利益，應當承擔相應的民事責任。故依法作 出上述判決。