利用手机黑客软件App，非法窃取安装者含人脸信息相册照片，指导案例：侵犯公民个人信息罪刑事附带民事公益诉讼(侵权之诉)
李开祥侵犯公民个人信息刑事附带民事公益诉讼案（最高人民法院审判委员会讨论通过 2022年12月26日发布）
关键词 刑事/侵犯公民个人信息/刑事附带民事公益诉讼/人脸识别/人脸信息
裁判要点
使用人脸识别技术处理的人脸信息以及基于人脸识别技术生成的人脸信息均具有高度的可识别性，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况，属于刑法规定的公民个人信息。行为人未经公民本人同意，未具备获得法律、相关部门授权等个人信息保护法规定的处理个人信息的合法事由，利用软件程序等方式窃取或者以其他方法非法获取上述信息，情节严重的，应依照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第一款第四项等规定定罪处罚。
相关法条
《中华人民共和国刑法》第253条之一
基本案情
2020年6月至9月间，被告人李开祥制作一款具有非法窃取安装者相册照片功能的手机“黑客软件”，打包成安卓手机端的“APK安装包”，发布于暗网“茶马古道”论坛售卖，并伪装成“颜值检测”软件发布于“芥子论坛”(后更名为“快猫社区”)提供访客免费下载。用户下载安装“颜值检测”软件使用时，“颜值检测”软件会自动在后台获取手机相册里的照片，并自动上传到被告人搭建的腾讯云服务器后台，从而窃取安装者相册照片共计1751张，其中部分照片含有人脸信息、自然人姓名、身份号码、联系方式、家庭住址等公民个人信息100余条。
2020年9月，被告人李开祥在暗网“茶马古道”论坛看到“黑客资料”帖子，后用其此前在暗网售卖“APK安装包”部分所得购买、下载标题为“社工库资料”数据转存于“MEGA”网盘，经其本人查看，确认含有个人真实信息。2021年2月，被告人李开祥明知“社工库资料”中含有户籍信息、QQ账号注册信息、京东账号注册信息、车主信息、借贷信息等，仍将网盘链接分享至其担任管理员的“翠湖庄园业主交流”QQ群，提供给群成员免费下载。经鉴定，“社工库资料”经去除无效数据并进行合并去重后，包含各类公民个人信息共计8100万余条。
上海市奉贤区人民检察院以社会公共利益受到损害为由，向上海市奉贤区人民法院提起刑事附带民事公益诉讼。
被告人李开祥对起诉指控的基本犯罪事实及定性无异议，且自愿认罪认罚。
辩护人提出被告人李开祥系初犯，到案后如实供述所犯罪行，且自愿认罪认罚等辩护意见，建议对被告人李开祥从轻处罚，请求法庭对其适用缓刑。辩护人另辩称，检察机关未对涉案8100万余条数据信息的真实性核实确认。
裁判结果
上海市奉贤区人民法院于2021年8月23日以（2021）沪0120刑初828号刑事判决，认定被告人李开祥犯侵犯公民个人信息罪，判处有期徒刑三年，宣告缓刑三年，并处罚金人民币一万元；扣押在案的犯罪工具予以没收。判决李开祥在国家级新闻媒体上对其侵犯公民个人信息的行为公开赔礼道歉、删除“颜值检测”软件及相关代码、删除腾讯云网盘上存储的涉案照片、删除存储在“MＥＧＡ”网盘上相关公民个人信息，并注销侵权所用ＱＱ号码。一审判决后，没有抗诉、上诉，判决现已生效。
裁判理由
法院生效裁判认为：本案争议焦点为利用涉案“颜值检测”软件窃取的“人脸信息”是否属于刑法规制范畴的“公民个人信息”。法院经审理认为，“人脸信息”属于刑法第二百五十三条之一规定的公民个人信息，利用“颜值检测”黑客软件窃取软件使用者“人脸信息”等公民个人信息的行为，属于刑法中“窃取或者以其他方法非法获取公民个人信息”的行为，依法应予惩处。主要理由如下：第一，“人脸信息”与其他明确列举的个人信息种类均具有明显的“可识别性”特征。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）中列举了公民个人信息种类，虽未对“人脸信息”单独列举，但允许依法在列举之外认定其他形式的个人信息。《解释》中对公民个人信息的定义及明确列举与民法典等法律规定中有关公民个人信息的认定标准一致，即将“可识别性”作为个人信息的认定标准，强调信息与信息主体之间被直接或间接识别出来的可能性。“人脸信息”属于生物识别信息，其具有不可更改性和唯一性，人脸与自然人个体一一对应，无需结合其他信息即可直接识别到特定自然人身份，具有极高的“可识别性”。第二，将“人脸信息”认定为公民个人信息遵循了法秩序统一性原理。民法等前置法将“人脸信息”作为公民个人信息予以保护。民法典第一千零三十四条规定了个人信息的定义和具体种类，个人信息保护法进一步将“人脸信息”纳入个人信息的保护范畴，侵犯“人脸信息”的行为构成侵犯自然人人格权益等侵权行为的，须承担相应的民事责任或行政、刑事责任。第三，采用“颜值检测”黑客软件窃取“人脸信息”具有较大的社会危害性和刑事可罚性。因“人脸信息”是识别特定个人的敏感信息，亦是社交属性较强、采集方便的个人信息，极易被他人直接利用或制作合成，从而破解人脸识别验证程序，引发侵害隐私权、名誉权等违法行为，甚至盗窃、诈骗等犯罪行为，社会危害较大。被告人李开祥操纵黑客软件伪装的“颜值检测”软件窃取用户自拍照片和手机相册中的存储照片，利用了互联网平台的开放性，以不特定公众为目标，手段隐蔽、欺骗性强、窃取面广，具有明显的社会危害性，需用刑法加以规制。
关于辩护人提出本案公民个人信息数量认定依据不足的辩护意见，法院经审理认为，公安机关侦查过程中采用了抽样验证的方法，随机挑选部分个人信息进行核实，能够确认涉案个人信息的真实性，被告人、辩护人亦未提出涉案信息不真实的线索或证据。司法鉴定机构通过去除无效信息，并采用合并去重的方法进行鉴定，检出有效个人信息8100万余条，公诉机关指控的公民个人信息数量客观、真实，且符合《解释》中确立的对批量公民个人信息具体数量的认定规则，故对辩护人的辩护意见不予采纳。
综上，被告人李开祥违反国家有关规定，非法获取并向他人提供公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。被告人李开祥到案后能如实供述自己的罪行，依法可以从轻处罚，且自愿认罪认罚，依法可以从宽处理。李开祥非法获取并向他人提供公民个人信息的侵权行为，侵害了众多公民个人信息安全，损害社会公共利益，应当承担相应的民事责任。故依法作出上述判决。
（生效裁判审判人员：李晓杰、管玉洁、高晔涛）
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
最高人民法院 最高人民检察院关于检察公益诉讼案件适用法律若干问题的解释
（2018年2月23日最高人民法院审判委员会第1734次会议、2018年2月11日最高人民检察院第十二届检察委员会第73次会议通过，根据2020年12月23日最高人民法院审判委员会第1823次会议、2020年12月28日最高人民检察院第十三届检察委员会第58次会议修正。）
一、一般规定
第一条 为正确适用《中华人民共和国民法典》《中华人民共和国民事诉讼法》《中华人民共和国行政诉讼法》关于人民检察院提起公益诉讼制度的规定，结合审判、检察工作实际，制定本解释。
第二条 人民法院、人民检察院办理公益诉讼案件主要任务是充分发挥司法审判、法律监督职能作用，维护宪法法律权威，维护社会公平正义，维护国家利益和社会公共利益，督促适格主体依法行使公益诉权，促进依法行政、严格执法。
第三条 人民法院、人民检察院办理公益诉讼案件，应当遵守宪法法律规定，遵循诉讼制度的原则，遵循审判权、检察权运行规律。
第四条 人民检察院以公益诉讼起诉人身份提起公益诉讼，依照民事诉讼法、行政诉讼法享有相应的诉讼权利,履行相应的诉讼义务，但法律、司法解释另有规定的除外。
第五条 市（分、州）人民检察院提起的第一审民事公益诉讼案件，由侵权行为地或者被告住所地中级人民法院管辖。
基层人民检察院提起的第一审行政公益诉讼案件，由被诉行政机关所在地基层人民法院管辖。
第六条 人民检察院办理公益诉讼案件，可以向有关行政机关以及其他组织、公民调查收集证据材料；有关行政机关以及其他组织、公民应当配合；需要采取证据保全措施的，依照民事诉讼法、行政诉讼法相关规定办理。
第七条 人民法院审理人民检察院提起的第一审公益诉讼案件，适用人民陪审制。
第八条 人民法院开庭审理人民检察院提起的公益诉讼案件，应当在开庭三日前向人民检察院送达出庭通知书。
人民检察院应当派员出庭，并应当自收到人民法院出庭通知书之日起三日内向人民法院提交派员出庭通知书。派员出庭通知书应当写明出庭人员的姓名、法律职务以及出庭履行的具体职责。
第九条 出庭检察人员履行以下职责：
（一）宣读公益诉讼起诉书；
（二）对人民检察院调查收集的证据予以出示和说明，对相关证据进行质证；
（三）参加法庭调查，进行辩论并发表意见；
（四）依法从事其他诉讼活动。
第十条 人民检察院不服人民法院第一审判决、裁定的，可以向上一级人民法院提起上诉。
第十一条 人民法院审理第二审案件，由提起公益诉讼的人民检察院派员出庭，上一级人民检察院也可以派员参加。
第十二条 人民检察院提起公益诉讼案件判决、裁定发生法律效力，被告不履行的，人民法院应当移送执行。
二、民事公益诉讼
第十三条 人民检察院在履行职责中发现破坏生态环境和资源保护，食品药品安全领域侵害众多消费者合法权益，侵害英雄烈士等的姓名、肖像、名誉、荣誉等损害社会公共利益的行为，拟提起公益诉讼的，应当依法公告，公告期间为三十日。
公告期满，法律规定的机关和有关组织、英雄烈士等的近亲属不提起诉讼的，人民检察院可以向人民法院提起诉讼。
人民检察院办理侵害英雄烈士等的姓名、肖像、名誉、荣誉的民事公益诉讼案件，也可以直接征询英雄烈士等的近亲属的意见。
第十四条 人民检察院提起民事公益诉讼应当提交下列材料：
（一）民事公益诉讼起诉书，并按照被告人数提出副本；
（二）被告的行为已经损害社会公共利益的初步证明材料；
（三）已经履行公告程序、征询英雄烈士等的近亲属意见的证明材料。
第十五条 人民检察院依据民事诉讼法第五十五条第二款的规定提起民事公益诉讼，符合民事诉讼法第一百一十九条第二项、第三项、第四项及本解释规定的起诉条件的，人民法院应当登记立案。
第十六条 人民检察院提起的民事公益诉讼案件中，被告以反诉方式提出诉讼请求的，人民法院不予受理。
第十七条 人民法院受理人民检察院提起的民事公益诉讼案件后，应当在立案之日起五日内将起诉书副本送达被告。
人民检察院已履行诉前公告程序的，人民法院立案后不再进行公告。
第十八条 人民法院认为人民检察院提出的诉讼请求不足以保护社会公共利益的，可以向其释明变更或者增加停止侵害、恢复原状等诉讼请求。
第十九条 民事公益诉讼案件审理过程中，人民检察院诉讼请求全部实现而撤回起诉的，人民法院应予准许。
第二十条 人民检察院对破坏生态环境和资源保护，食品药品安全领域侵害众多消费者合法权益，侵害英雄烈士等的姓名、肖像、名誉、荣誉等损害社会公共利益的犯罪行为提起刑事公诉时，可以向人民法院一并提起附带民事公益诉讼，由人民法院同一审判组织审理。
人民检察院提起的刑事附带民事公益诉讼案件由审理刑事案件的人民法院管辖。
三、行政公益诉讼
第二十一条 人民检察院在履行职责中发现生态环境和资源保护、食品药品安全、国有财产保护、国有土地使用权出让等领域负有监督管理职责的行政机关违法行使职权或者不作为，致使国家利益或者社会公共利益受到侵害的，应当向行政机关提出检察建议，督促其依法履行职责。
行政机关应当在收到检察建议书之日起两个月内依法履行职责，并书面回复人民检察院。出现国家利益或者社会公共利益损害继续扩大等紧急情形的，行政机关应当在十五日内书面回复。
行政机关不依法履行职责的，人民检察院依法向人民法院提起诉讼。
第二十二条 人民检察院提起行政公益诉讼应当提交下列材料：
（一）行政公益诉讼起诉书，并按照被告人数提出副本；
（二）被告违法行使职权或者不作为，致使国家利益或者社会公共利益受到侵害的证明材料；
（三）已经履行诉前程序，行政机关仍不依法履行职责或者纠正违法行为的证明材料。
第二十三条 人民检察院依据行政诉讼法第二十五条第四款的规定提起行政公益诉讼，符合行政诉讼法第四十九条第二项、第三项、第四项及本解释规定的起诉条件的，人民法院应当登记立案。
第二十四条 在行政公益诉讼案件审理过程中，被告纠正违法行为或者依法履行职责而使人民检察院的诉讼请求全部实现，人民检察院撤回起诉的，人民法院应当裁定准许；人民检察院变更诉讼请求，请求确认原行政行为违法的，人民法院应当判决确认违法。
第二十五条 人民法院区分下列情形作出行政公益诉讼判决：
（一）被诉行政行为具有行政诉讼法第七十四条、第七十五条规定情形之一的，判决确认违法或者确认无效，并可以同时判决责令行政机关采取补救措施；
（二）被诉行政行为具有行政诉讼法第七十条规定情形之一的，判决撤销或者部分撤销，并可以判决被诉行政机关重新作出行政行为；
（三）被诉行政机关不履行法定职责的，判决在一定期限内履行；
（四）被诉行政机关作出的行政处罚明显不当，或者其他行政行为涉及对款额的确定、认定确有错误的，可以判决予以变更；
（五）被诉行政行为证据确凿，适用法律、法规正确，符合法定程序，未超越职权，未滥用职权，无明显不当，或者人民检察院诉请被诉行政机关履行法定职责理由不成立的，判决驳回诉讼请求。
人民法院可以将判决结果告知被诉行政机关所属的人民政府或者其他相关的职能部门。
四、附则
第二十六条 本解释未规定的其他事项，适用民事诉讼法、行政诉讼法以及相关司法解释的规定。
第二十七条 本解释自2018年3月2日起施行。
最高人民法院、最高人民检察院之前发布的司法解释和规范性文件与本解释不一致的，以本解释为准。