2020年6月至9月间，李某制作一款具有非法窃取安装者相册照片功能的手机“黑客软件”，打包成安卓手机端的“APK安装包”，发布于某论坛售卖，并伪装成“颜值检测”软件发布于某社区提供访客免费下载。用户下载安装“颜值检测”软件使用时，“颜值检测”软件会自动在后台获取手机相册里的照片，并自动上传到被告人搭建的腾讯云服务器后台，从而窃取安装者相册照片共计1751张，其中部分照片含有人脸信息、自然人姓名、身份号码、联系方式、家庭住址等公民个人信息100余条。

2020年9月，李某在该论坛看到“黑客资料”帖子，用其此前在暗网售卖“APK安装包”部分所得购买、下载标题为“社工库资料”数据转存于“MEGA”网盘，经其本人查看，确认含有个人真实信息。2021年2月，李某明知“社工库资料”中含有户籍信息、QQ账号注册信息、京东账号注册信息、车主信息、借贷信息等，仍将网盘链接分享至其担任管理员的“XX庄园业主交流”QQ群，提供给群成员免费下载。经鉴定，“社工库资料”经去除无效数据并进行合并去重后，包含各类公民个人信息共计8100万余条。

一、被告人李某犯侵犯公民个人信息罪，判处有期徒刑三年，宣告缓刑三年，并处罚金人民币一万元；

二、扣押在案的犯罪工具予以没收；

三、判决李某在国家级新闻媒体上对其侵犯公民个人信息的行为公开赔礼道歉、删除“颜值检测”软件及相关代码、删除腾讯云网盘上存储的涉案照片、删除存储在“MEGA”网盘上相关公民个人信息，并注销侵权所用QQ号码。

一、本案行为属于刑法中“窃取或者以其他方法非法获取公民个人信息”的行为，依法应予惩处。

“人脸信息”具有明显的“可识别性”特征。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》对公民个人信息的定义及明确列举与民法典等法律规定中有关公民个人信息的认定标准一致，即将“可识别性”作为个人信息的认定标准，强调信息与信息主体之间被直接或间接识别出来的可能性。“人脸信息”属于生物识别信息，其具有不可更改性和唯一性，人脸与自然人个体一一对应，无需结合其他信息即可直接识别到特定自然人身份，具有极高的“可识别性”。

民事法律也将“人脸信息”纳入个人信息的保护范畴。《民法典》第一千零三十四条规定了个人信息的定义和具体种类，《个人信息保护法》明确将将“人脸信息”纳入个人信息的保护范畴，侵犯“人脸信息”的行为构成侵犯自然人人格权益等侵权行为的，须承担相应的民事责任或行政、刑事责任。同时，《网络安全法》规定，人脸识别信息属于“直接可识别”到个人身份的信息。所以，人脸识别信息的性质是被依法纳入到隐私法范畴的个人敏感信息。

窃取“人脸信息”具有较大的社会危害性和刑事可罚性。因“人脸信息”是识别特定个人的敏感信息，极易被他人直接利用或制作合成，引发侵害隐私权、名誉权等违法行为，甚至盗窃、诈骗等犯罪行为，社会危害较大。

本案中，李某操纵黑客软件伪装的“颜值检测”软件窃取用户自拍照片和手机相册中的存储照片，利用了互联网平台的开放性，以不特定公众为目标，手段隐蔽、欺骗性强、窃取面广，具有明显的社会危害性，需用刑法加以规制。

二、人脸识别技术的使用应当进行法律规制。

近年来，人脸识别技术不断成熟，在生活中得到广泛应用，给公众生活带来便利的同时，也存在不规范使用等现象，对个人信息保护提出了挑战。因此，应在尊重人格权与隐私权、保护个人信息和维护公共利益的基础之上，对人脸识别技术应用进行规制。在法律框架下，对人脸识别技术的使用应当遵循“必要性原则”、“比例原则”、“正当程序原则”，确保消费者知情且明确同意。

特别是2023年8月份，国家网信办公布《人脸识别技术应用安全管理规定（试行）（征求意见稿）》，并向社会公开征求意见，征求意见稿立足于“人脸识别技术的具体应用”的安全管理，从保障个人权利、强化使用者责任、科学设定监管等层面对人脸识别技术使用、人脸信息的采集、使用、处理、储存等全流程、全周期做出了详细规定，为保护个人权益、维护公共利益指明了方向，具有十分重要的意义。征求意见稿确定了“最少使用”、“遵循自愿”、“最小储存”三大原则，确保了“科技向善”。

首发：微信公众号“盈科律师一日一法”