作者 | 葉東杭 廣東金橋百信律師事務所合伙人律師

孟芷伊 廣東金橋百信律師事務所律師助理

前不久，人大學生馬某利用技術手段盜取全校學生信息，其中包括照片、姓名、學號、籍貫、生日等，并搭建了給全校學生顏值打分的網站。

有人指出，這一行為其實是 對電影《社交網站》中Facebook創始人馬克·扎克伯格的模仿。據稱2003年扎克伯格就讀于哈佛大學期間，以黑客手段侵入學校系統，盜取了校內所有女生的資料放在自制的網站“Facemash”，此舉轟動，而扎克伯格也一度差點被學校開除。

馬某某和馬克·扎克伯格都姓馬，但是面臨的處境大不相同。留校觀察的扎克伯格隨后創辦了Facebook，舉世聞名，而馬某某則面臨牢獄之災。 海淀區公安分局在官方微博賬號發布通報：犯罪嫌疑人馬某某（男，25歲，該校畢業生）涉嫌非法獲取該校部分學生個人信息等違法犯罪行為，目前已被公安機關刑事拘留。

馬某某非法獲取在校學生信息的行為如果查證屬實，其將構成侵犯公民個人信息罪，然而回顧該案事實時，不免產生疑問：公民的“面容”是否屬于個人信息？

這個問題，上海市奉賢區人民法院的刑庭法官也曾糾結過，因為他們審理的 的李開祥侵犯公民個人信息案是非常典型的因“通過技術手段竊取照片”被定罪的案件。

該案中，被告人李開祥制作一款具有非法竊取安裝者相冊照片功能的手機“黑客軟件”，發布于暗網某論壇售賣，并偽裝成“顏值檢測”軟件發布于某論壇供訪客免費下載。用戶下載安裝“顏值檢測”軟件后，在使用時，“顏值檢測”軟件會自動在后臺獲取手機相冊里的照片，并自動上傳到被告人搭建的騰訊云服務器后臺，從而竊取安裝者相冊照片，其中部分照片含有人臉信息、自然人姓名、身份證號碼、聯系方式、家庭住址等公民個人信息。

安裝者的姓名、身份證號碼、聯系方式、家庭住址無疑屬于刑法所保護的“公民個人信息”，但“照片中帶有的人臉信息”是否應當同樣位列其中，這引發了爭議。

法院審理該案時認為，“人臉信息”屬于刑法第二百五十三條之一規定的公民個人信息。因此，被告人非法獲取他人照片的行為也應被認定為是侵犯公民個人信息的犯罪行為，具體理由如下：

第一，“人臉信息”與其他明確列舉的個人信息種類均具有明顯的“可識別性”特征。

《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）中列舉了公民個人信息種類，雖未單獨列舉“人臉信息”，但允許依法在列舉之外認定其他形式的個人信息。

《解釋》中對公民個人信息的定義及明確列舉與民法典等法律規定中有關公民個人信息的認定標準一致，即將“可識別性”作為個人信息的認定標準，強調信息與信息主體之間被直接或間接識別出來的可能性。

而“人臉信息”屬于生物識別信息，其具有不可更改性和唯一性，人臉與自然人個體一一對應，無需結合其他信息即可直接識別到特定自然人身份，具有極高的“可識別性”。

第二，將“人臉信息”認定為公民個人信息遵循了法秩序統一性原理。

事實上，除了《刑法》《解釋》外，其他部門法也對公民個人信息作出過相關規定。

《民法典》在民事實體法領域也對個人信息的定義和具體種類作出了詮釋和列舉：個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

《個人信息保護法》第四條也對個人信息作出了規定，“ 個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息”。需要注意的是，《個人信息保護法》雖未明確列舉個人信息的種類，也并未直接聲明面部識別數據“屬于個人信息”，但第六十二條又規定了國家網信部門統籌協調推進個人信息保護工作，包括“針對小型個人信息處理者、處理敏感個人信息以及人臉識別、人工智能等新技術、新應用，制定專門的個人信息保護規則、標準”，由此可見，將人臉信息納入個人信息范疇是符合立法目的的， 將“人臉信息”認定為公民個人信息，有助于維護法律適用的統一性。

第三，采用“顏值檢測”黑客軟件竊取“人臉信息”具有較大的社會危害性和刑事可罰性。

因“人臉信息”是識別特定個人的敏感信息，亦是社交屬性較強、采集方便的個人信息，極易被他人直接利用或制作合成，從而破解人臉識別驗證程序，易被利用于侵害隱私權、名譽權等違法行為，甚至盜竊、詐騙等犯罪行為，社會危害較大。

該案中，被告人李開祥操縱黑客軟件偽裝的“顏值檢測”軟件竊取用戶自拍照片及手機相冊其他存儲的照片，利用了互聯網平臺的開放性，以不特定公眾為目標，手段隱蔽、欺騙性強、竊取面廣，具有明顯的社會危害性，需用刑法加以規制。

當下，無論是在智能設備使用，還是互聯網技術運用，人臉信息識別技術的使用都愈加頻繁、深入。

以智能設備為例，face ID可以幫助使用者在不輸入密碼、不查驗指紋的情況下直接核實設備使用者的身份，提高了設備使用的便捷度。

以移動支付技術為例，包括微信支付、支付寶在內的支付平臺都已上線面部識別支付的功能（也被使用者們稱為“刷臉付款”），相關技術日益健全，甚至能避免閉眼識別、相片識別，避免人臉信息被盜用。

廣東省信息中心推出的政務小程序“粵省事”也上線了人臉識別功能，使用者能更便捷地使用線上政務服務。

由此可見，人臉信息不再如往日一般，僅僅是自然人社交間相互辨認的路徑，而已經成為了信息網絡時代公民深度使用信息網絡，查驗相關資料、支付結算財產，甚至辦理重要事務的秘鑰，一旦被盜用將會帶來極大的財產損失風險，也會給社會穩定帶來較大的混亂。

此外，“人臉信息”屬于生物識別信息，其具有不可更改性和唯一性，人臉與自然人個體一一對應，無需結合其他信息即可直接識別到特定自然人身份，具有極高的“可識別性”，符合侵犯公民個人信息罪對公民個人信息的詮釋邏輯，能夠識別特定自然人身份或者反映特定自然人活動情況，也符合《解釋》所強調的信息與信息主體之間被直接或間接識別出來的可能性。 因此 ，當下司法實踐支持將人臉信息納入侵 犯公 民個人信息罪所保護的對象“公民個人信息”之中 。

《刑法》對“面容”信息的保護，其實也反映了一個具有現實意義的問題：隨著科學技術的進步，我們的刑事司法如何相應作出調整？

在法律適用與技術進步之間產生的不平衡、不協調，是我們每個法律人都應當關心的問題，解答或解決此問題，僅用一句“將面容信息納入刑法保護范疇”是遠遠不夠的。

若對法律適用的研究只是淺嘗輒止，就會在實踐中出現各種尷尬局面——尤其是科技飛速進步、互聯網產業飛速發展的當下。

譬如，當我們承認“將面容信息納入侵害公民個人信息罪保護對象范疇”時，我們應如何解答下面幾個問題？

1.非法獲取含有100人的合影照片，如果照片像素足夠高，能夠識別特定自然人身份，是否構成侵犯公民個人信息罪？如果構成，如何認定涉案信息數量？

2.從他人已經公開的視頻中截取面容信息并提供給第三人但未形成規模，這是否屬于侵犯公民個人信息罪？ 如從抖音視頻中截取博主面容信息提供給好友用于AI生成照片，是否屬于侵犯公民個人信息罪的行為？

3.如手機中存入王俊凱的照片，他人以非法獲取不特定信息的故意，在非法獲取手機內個人面容照片時同時獲取了王俊凱的照片，王俊凱的照片是否計入涉案信息總數？若手機中沒有自己的照片只有王俊凱的照片，是否屬于侵犯公民個人信息罪？

4.經過重度美圖秀秀的個人照片，主體識別度已經無限接近于0，相關照片是否也納入侵犯公民個人信息罪的保護范疇？

歡迎大家探討、討論！

[本文完]

葉東杭

廣東金橋百信律師事務所 合伙人律師

葉東杭律師系廣東金橋百信律師事務所合伙人律師、金橋百信刑事法律事務部副秘書長，新火網絡法刑事辯護負責人 ，高校法學院證據法學課程校外導師，曾在華南農業大學、廣東技術師范大學、韶關學院、廣州新華學院等多家高校舉辦法律講座。 從業期間，葉東杭律師主攻信息網絡犯罪、經濟犯罪、性犯罪辯護，曾在經辦的多個案件中取得不起訴無強制措施釋放（無罪）、緩刑、勝訴、二審改判勝訴等成果及偵查階段取保候審、不批捕取保候審的階段性成果。

孟芷伊

廣東金橋百信律師事務所 律師助理

本科就讀于中南財經政法大學，廣東金橋百信律師事務所申請律師執業實習人員， 新火網 絡法團隊成員。曾于某大型國企工作，期間負責公司日常法律事務及法律盡職調查工作。后加入廣東金橋百信律師事務所，跟辦詐騙案、侵犯公民個人信息案等多起案件。