竊取公民人臉信息的案件辦理思路

● 顧 斌 陳磊鳳/文

李某侵犯公民個人信息案

一、基本案情及辦理過程

被告人李某，男，1995年5月出生，某網絡科技有限公司軟件開發人員。

2020年6月至9月間，李某制作一款可以竊取安裝者手機內相冊照片的軟件。當手機用戶下載安裝該軟件打開使用時，軟件就會自動獲取手機相冊的照片并且上傳到李某搭建的服務器后臺。李某將該軟件發布在某暗網論壇售賣，截至2021年2月9日，共賣得虛擬幣30$（網站虛擬幣）。后李某為炫耀技術、滿足虛榮心，又將該軟件偽裝成“顏值檢測”軟件，發布在某論壇供網友免費下載安裝，以此竊取安裝者手機相冊照片1751張。其中，含有人臉信息、姓名、身份證號碼、聯系方式、家庭住址等100余條公民信息。

2020年9月，李某又用虛擬幣在該暗網論壇購買了“社工庫資料”并轉存于網盤。2021年2月，李某為炫耀自己的能力，明知“社工庫資料”含有戶籍信息、QQ賬號注冊信息、京東賬號注冊信息、車主信息等，仍將網盤鏈接分享到“業主交流”QQ群（150名成員），供群成員免費下載。經去除無效數據、合并去重后，該“社工庫資料”包含公民個人信息共計8100余萬條。

2021年3月9日，上海市公安局奉賢分局將李某抓獲。由于“社工庫資料”內容龐大且存儲于境外網盤，下載程序繁瑣，未查證到有人下載使用。

2021年3月26日，上海市奉賢區人民檢察院（以下簡稱“奉賢檢察院”）以侵犯公民個人信息罪對李某批準逮捕。2021年5月28日，上海市公安局奉賢分局將該案移送奉賢檢察院審查起訴。奉賢檢察院審查認為，李某非法獲取并向他人提供公民個人信息，情節特別嚴重，已構成侵犯公民個人信息罪。2021年8月10日，奉賢檢察院以被告人李某侵犯公民個人信息罪向奉賢區人民法院提起刑事公訴及附帶民事公益訴訟。2021年8月23日，奉賢區人民法院公開開庭審理，并當庭作出一審判決，判處被告人李某有期徒刑3年，宣告緩刑3年，并處罰金人民幣1萬元；判令李某在國家級新聞媒體上對其侵犯公民個人信息的行為公開賠禮道歉、刪除“顏值檢測”軟件及相關代碼、刪除網盤上存儲的涉案照片及相關公民個人信息、并注銷侵權所用QQ號碼。一審判決后，被告人李某服判未上訴。判決生效后，李某在執行法官、檢察技術人員的監督下履行法院判決，自行刪除了存儲在境外網盤上的黑客軟件及代碼、竊取的照片等相關公民個人信息。

二、辦案中的要點分析

（一）準確把握“人臉信息”屬于“公民個人信息”

關于“顏值檢測”軟件竊取的“人臉信息”是否屬于我國刑法規制范疇的“公民個人信息”是本案辦理的難點之一?！皟筛摺薄蛾P于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）規定，“公民個人信息”是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。該司法解釋未明確“人臉信息”為公民個人信息。

檢察機關認為，“人臉信息”具有極高的可識別性，并符合公民個人信息的定義和特征，屬于公民個人信息。首先，“人臉信息”與《解釋》中明確列舉的個人信息種類共同具有明顯的“可識別性”特征?！督忉尅放c《中華人民共和國民法典》（以下簡稱“民法典”）、《中華人民共和國個人信息保護法》（以下簡稱“個人信息保護法”）、《中華人民共和國網絡安全法》（以下簡稱“網絡安全法”）等法律中有關公民個人信息的認定標準是一致的，即將“可識別性”（能夠單獨或者與其他信息結合識別特定自然人）作為個人信息的認定標準?！叭四樞畔ⅰ弊鳛樯镒R別信息，其具有不可更改性和唯一性，人臉與自然人個體一一對應，無需結合其他信息即可直接識別到特定自然人身份，具有極高的“可識別性”，符合公民個人信息的特征。其次，《解釋》中列舉了公民個人信息種類，雖未對“人臉信息”單獨列舉，但《解釋》中的“等”字，應作“等外”解釋，即包括但不限于列舉規定的個人信息，允許依法在列舉之外認定其他形式的個人信息。再次，將“人臉信息”認定為公民個人信息遵循了法秩序統一性原則。民法典、個人信息保護法等法律將“人臉信息”作為公民個人信息予以保護。民法典第1034條規定了個人信息的定義和具體種類，個人信息保護法進一步將“生物識別信息”納入敏感個人信息的保護范疇，強調敏感個人信息一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害，侵犯“人臉信息”的行為構成人格權侵權或者危害到人身、財產安全的，應承擔相應的刑事、民事、行政責任?！蹲罡呷嗣穹ㄔ宏P于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第1條第3款明確規定“人臉信息”屬于生物識別信息?！叭四樞畔ⅰ币嗍巧缃粚傩暂^強、采集方便的個人信息，極易被他人直接利用或制作合成，從而破解人臉識別驗證程序，引發侵害隱私權、名譽權，甚至盜竊、詐騙等犯罪行為，具有較大的社會危害性。

（二）準確認定批量公民個人信息條數

本案中涉案信息達8100余萬條，在海量信息的狀態下，對信息的真實性一一進行核實在客觀上較難實現，在未對信息逐條核實真實性的情況下，能否直接認定李某侵犯公民個人信息的數量為8100多萬條亦是本案的要點之一。檢察機關認為，在案證據可以認定8100余萬條信息數量。首先，根據《解釋》第11條的規定，對批量公民個人信息的條數，根據查獲的數量直接認定，但是有證據證明信息不真實或者重復的除外。本案中，李某及其辯護人未提供信息不真實的相關線索或者證據，又經司法鑒定機構去除無效信息、合并去重后認定8100余萬條。其次，經公安機關抽樣驗證，隨機抽取部分個人信息進行核實，進一步確認涉案信息的真實性。根據最高檢印發的《人民檢察院辦理網絡犯罪案件規定》第22條規定，對于數量眾多的同類證據材料，在證明是否具有同樣的性質、特征或者功能時，因客觀條件限制不能全部驗證的，可以進行抽樣驗證。本案中李某通過網絡非法獲取并向他人提供個人信息，非法獲取的信息具有同質化的特征，且信息數量達到8100余萬條，全部驗證存在客觀條件限制，符合采取抽樣驗證的條件。面對數量龐大的批量信息，逐條核實、全部驗證不僅司法成本高，還會降低司法效率。抽樣驗證法作為一種統計學的證明方法，是基于科學的統計學原理，建立在涉案證據樣本具有同質化特征的基礎上，以證據樣本與證明事實之間的高度蓋然性推定待證事實，即通過部分證據樣本的真實性驗證得出證據整體真實性，本質是事實推定，從證據個體特征中得出證據整體特征的一種推定方法，符合推定原理和邏輯法則。抽樣驗證法已經逐漸被運用于解決網絡犯罪中證據收集和證明的難題，是一種應當被推廣與應用的科學的證據審查方式。因此，本案認定的公民個人信息數量客觀、真實，符合《解釋》中確立的對批量公民個人信息具體數量的認定規則，并采取抽樣驗證的方法進一步證實信息真實性。

（三）深度融合“刑事+公益+技術”，提升辦案質效

本案中，李某利用黑客軟件偽裝的“顏值檢測”軟件竊取用戶自拍照片和手機相冊中的存儲照片，利用了互聯網平臺的開放性，以不特定公眾為目標，手段隱蔽、欺騙性強、竊取面廣，社會危害性大，且該黑客軟件仍在暗網論壇售賣，尚未下架，可能繼續竊取個人信息。李某購買并非法提供的公民個人信息數量龐大，涉及戶籍信息、信貸信息、房產信息、車輛信息、京東賬號注冊信息等共計8100余萬條，涉案個人信息仍存儲在境外網盤中，存在繼續傳播的風險。涉案信息涉及地域范圍廣，遍布全國各省市，可能侵犯到不特定公眾個人信息安全?！鞍稻W”、境外網盤不受我國法律約束，網安部門無法直接刪除涉案個人信息、下架黑客軟件，同時考慮到電子證據有可能提取不完全、調取程序不規范、案件事實發生新變化或開庭舉證需要等原因，為保證訴訟的順利進行，法院判決生效前未直接刪除作為證據的涉案個人信息及相關軟件。為充分發揮檢察機關履職能動性，強化部門協作配合，刑事檢察部門第一時間向公益訴訟部門移送相關線索，對李某侵犯公民個人信息案共同研判，同步審查案件、同步調查核實、同步向人民法院提起刑事附帶民事公益訴訟，訴請法院判令李某某在國家級媒體上賠禮道歉，刪除軟件及代碼，刪除網盤上存儲的相關個人信息，并注銷侵權所用的QQ號，全部訴請均獲得法院支持。判決執行階段，為了徹底消除涉案個人信息再次泄露、擴散以及黑客軟件被再次使用的風險，借助檢察技術力量輔助辦案，一方面，對存儲在境外網盤、法院難以執行刪除措施的信息和軟件，在執行法官的主持下，由李某自行刪除，檢察技術人員全程見證執行；另一方面，對李某已經刪除的信息，由檢察技術人員現場驗證，確保刪除到位，徹底消除黑客軟件竊取個人信息再次傳播的風險。

三、辦理類案的實踐啟示

（一）積極調整辦案思路，依法準確定性

侵犯公民個人信息案件的高發往往與網絡金融犯罪、電信網絡詐騙犯罪、破壞計算機系統犯罪等相關，根據犯罪主體、作案手段、侵害法益的不同，造成與其他犯罪的競合。利用黑客軟件滲透計算機系統竊取個人信息的行為可能構成破壞計算機信息系統罪、非法獲取計算機信息系統數據罪等罪名。在辦理電信網絡詐騙、破壞計算機信息系統類案件時，應重視侵犯公民個人信息的線索。本案辦理前期，公安機關主要圍繞李某售賣黑客軟件行為涉嫌提供侵入計算機信息系統程序、工具罪展開偵查取證，忽略其利用黑客軟件竊取照片亦屬于侵犯公民個人信息的行為，對李某以涉嫌提供侵入計算機信息系統程序、工具罪移送檢察機關審查起訴。經鑒定，確定涉案黑客軟件系專門用于侵入計算機信息系統的程序，但軟件的下載人次等相關情節難以查證，認定李某某提供侵入計算機信息系統的程序“情節嚴重”證據不足。檢察機關及時調整思路，引導公安機關圍繞李某利用黑客軟件侵犯公民個人信息展開偵查取證。經補充偵查發現，李某竊取的照片有人臉自拍照、快遞物流單據及身份證照片等，包含人臉信息、姓名、身份證號碼、家庭住址、電話號碼，可以識別特定自然人身份，屬于公民個人信息。因此，李某某利用“顏值檢測”軟件竊取照片、在暗網上購買并非法提供個人信息的行為，可以侵犯公民個人信息罪論處。

（二）落實檢察一體化工作理念，發揮檢察合力

檢察一體化是檢察機關有效行使檢察權的重要保障，也是推進新時代檢察工作高質量發展的重要抓手。推行檢察一體化機制，可以聚攏檢察資源，形成履職合力，提升辦案監督效能。檢察機關在辦理利用網絡黑客技術侵犯公民個人信息罪案件時，應當強化檢察一體化的理念，充分發揮各部門間的工作合力，更好履行辦案職能、保障公民權利，釋放檢察內生動力。一是要暢通案件信息共享渠道，刑檢部門和公益訴訟部門通過信息共享，聚焦線索的收集、反饋與挖掘，有效整合線索，形成內部合力。二是健全線索同步審查機制，同步研判線索，同步審查案件，同步調查核實，對侵犯公民個人信息損害不特定公眾利益的行為同步提起刑事附帶民事公益訴訟，實現懲治犯罪與保護公益有機統一，切實保障公民個人信息安全。三是加強“業務+技術”協作，充分借助檢察技術部門力量輔助辦案，協助辦案部門采集信息、保全數據、刪除侵權個人信息、最大限度修復受損公益，提升檢察辦案質效。

（三）注重檢察辦案與法治宣傳相結合，提高社會公眾個人信息保護意識

隨著大數據、人臉識別等新技術發展，移動互聯網應用場景中對使用者的個人信息讀取與搜集更加廣泛，將黑客軟件偽裝成“顏值檢測”“星座測試”等程序大肆竊取手機相冊、通訊錄、實時定位等用戶信息，犯罪手段隱蔽，具有迷惑性、欺騙性。非法獲取的海量個人信息通過網絡“黑灰產業”鏈條的傳播，為犯罪分子精準實施電信網絡詐騙、敲詐勒索等網絡犯罪活動提供了“基本物料”，嚴重危害公民的人身、財產安全和網絡安全環境。為了延伸辦案效果，落實“誰執法，誰普法”，揭示利用互聯網應用程序侵犯公民個人信息的社會危害性，提高社會公眾個人信息保護意識，本案對李某侵犯公民個人信息案庭審實況進行網絡直播，知名法學專家現場解讀，并邀請市人大代表、政協委員、人民監督員旁聽，庭后開展“聽庭評議”活動，后續召開新聞發布會，以“檢察官發布”形式對外發布保護公民個人信息典型案例，取得了較好的宣傳效果。檢察機關在辦理侵犯公民個人信息案件時，要重視對不同類型侵犯公民個人信息案件的特點、作案手段進行梳理，總結辦案經驗和典型案例，一方面要充分運用庭審直播、案例發布等方式，依托新聞報刊、“兩微一端”新媒體等平臺加強法治宣傳，另一方面聯合相關部門開展普法宣傳，走進社區、校園進行宣講，以真實案例揭示侵犯公民個人信息的社會危害性，揭露利用黑客軟件竊取個人信息的犯罪新手段以及從非正規渠道下載、安裝軟件潛在的風險，強化以案釋法，呼吁社會公眾加強自我信息保護，謹慎下載使用手機軟件，注意識別惡意網站、應用程序，防范個人信息泄露，造成合法權益受損，提高社會公眾對自身個人信息的保護意識，展現新時代檢察機關筑牢保護個人信息司法屏障及維護網絡安全的新作為。