指导性案例192号：李开祥侵犯公民个人信息刑事附带民事公益诉讼案

指导性案例
指导性案例
192
号：李开祥侵犯公民个人信息刑事附带民事公
号：李开祥侵犯公民个人信息刑事附带民事公
益诉讼案
益诉讼案
案件信息
案件信息
入库编号
入库编号
：
2022-18-1-207-001
一级分 类：刑事
二级分 类：侵犯公民个人信息罪
庭审：一审
所属地区：上海市
法院名称：上海市奉贤区人民法院
案件证号：（
2021
）沪
0120
刑初
828
号
关键词：
关键词：
刑事
,
侵犯公民个人信息
,
刑事附带民事公益诉讼
,
人脸识别
,
人脸信息
基本案情：
基本案情：
2020
年
6
月至
9
月间，被告人李开祥制作一款具有非法窃取安装者相册照片功能的手机
“
黑客软件
”
，打包成安卓手机端的
“APK
安装包
”
，发布于暗网
“
茶马古道
”
论坛售卖，并伪装成
“
颜值检测
”
软件发布于
“
芥子论坛
”(
后更名为
“
快猫社区
”)
提供访客免费下
载。用户下载安装
“
颜值检测
”
软件使用时，
“
颜值检测
”
软件会自动在后台获取手机相册里的照片，并自动上传到被告人搭建的
腾讯云服务器后台，从而窃取安装者相册照片共计
1751
张，其中部分 照片含有人脸信息、自然人姓名、身份号码、联系方式、
家庭住址等公民个人信息
100
余条。
2020
年
9
月，被告人李开祥在暗网
“
茶马古道
”
论坛看到
“
黑客资料
”
帖子，后用其此前在暗网
售卖
“APK
安装包
”
部分 所得购买、下载标题为
“
社工库资料
”
数据转存于
“MEGA”
网盘，经其本人查看，确认含有个人真实信
息。
2021
年
2
月，被告人李开祥明知
“
社工库资料
”
中含有户籍信息、
QQ
账号注册信息、京东账号注册信息、车主信息、借贷信
息等，仍将网盘链接分 享至其担任管理员的
“
翠湖庄园业主交流
”QQ
群，提供给群成员免费下载。经鉴定，
“
社工库资料
”
经去除
无效数据并进行合并去重后，包含各类公民个人信息共计
8100
万余条。

上海市奉贤区人民检察院以社会公共利益受到损害为
由，向上海市奉贤区人民法院提起刑事附带民事公益诉讼。

被告人李开祥对起诉指控的基本犯罪事实及定性无异议，且自愿
认罪认罚。

辩护人提出被告人李开祥系初犯，到案后如实供述所犯罪行，且自愿认罪认罚等辩护意见，建议对被告人李开祥
从轻处罚，请求法庭对其适用缓刑。辩护人另辩称，检察机关未对涉案
8100
万余条数据信息的真实性核实确认。
裁判理由：
裁判理由：
法院生效裁判认为：本案争议焦点为利用涉案
“
颜值检测
”
软件窃取的
“
人脸信息
”
是否属于刑法规制范畴的
“
公民个人信息
”
。法
院经审理认为，
“
人脸信息
”
属于刑法第二百五十三条之一规定的公民个人信息，利用
“
颜值检测
”
黑客软件窃取软件使用者
“

人脸
信息
”
等公民个人信息的行为，属于刑法中
“
窃取或者以其他方法非法获取公民个人信息
”
的行为，依法应予惩处。主要理由如
下：第一，
“
人脸信息
”
与其他明确列举的个人信息种类均具有明显的
“
可识别性
”
特征。《最高人民法院、最高人民检察院关于
办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）中列举了公民个人信息种类，虽未对
“
人脸
信息
”
单独列举，但允许依法在列举之外认定其他形式的个人信息。《解释》中对公民个人信息的定义及明确列举与民法典等
法律规定中有关公民个人信息的认定标准一致，即将
“
可识别性
”
作为个人信息的认定标准，强调信息与信息主体之间被直接或
间接识别出来的可能性。
“
人脸信息
”
属于生物识别信息，其具有不可更改性和唯一性，人脸与自然人个体一一对应，无需结合
其他信息即可直接识别到特定自然人身份，具有极高的
“
可识别性
”
。第二，将
“
人脸信息
”
认定为公民个人信息遵循了法秩序统
一性原理。民法等前置法将
“
人脸信息
”
作为公民个人信息予以保护。民法典第一千零三十四条规定了个人信息的定义和具体种
类，个人信息保护法进一步将
“
人脸信息
”
纳入个人信息的保护范畴，侵犯
“
人脸信息
”
的行为构成侵犯自然人人格权益等侵权行
为的，须承担相应的民事责任或行政、刑事责任。第三，采用
“
颜值检测
”
黑客软件窃取
“
人脸信息
”
具有较大的社会危害性和刑
事可罚性。因
“
人脸信息
”
是识别特定个人的敏感信息，亦是社交属性较强、采集方便的个人信息，极易被他人直接利用或制作
合成，从而破解人脸识别验证程序，引发侵害隐私权、名誉权等违法行为，甚至盗窃、诈骗等犯罪行为，社会危害较大。被告
人李开祥操纵黑客软件伪装的
“
颜值检测
”
软件窃取用户自拍照片和手机相册中的存储照片，利用了互联网平台的开放性，以不
特定公众为目标，手段隐蔽、欺骗性强、窃取面广，具有明显的社会危害性，需用刑法加以规制。

关于辩护人提出本案公民
个人信息数量认定依据不足的辩护意见，法院经审理认为，公安机关侦查过程中采用了抽样验证的方法，随机挑选部分 个人信
息进行核实，能够确认涉案个人信息的真实性，被告人、辩护人亦未提出涉案信息不真实的线索或证据。司法鉴定机构通过去
除无效信息，并采用合并去重的方法进行鉴定，检出有效个人信息
8100
万余条，公诉机关指控的公民个人信息数量客观、真
实，且符合《解释》中确立的对批量公民个人信息具体数量的认定规则，故对辩护人的辩护意见不予采纳。

综上，被告人李
开祥违反国家有关规定，非法获取并向他人提供公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。被告人李
开祥到案后能如实供述自己的罪行，依法可以从轻处罚，且自愿认罪认罚，依法可以从宽处理。李开祥非法获

取并向他人提供
公民个人信息的侵权行为，侵害了众多公民个人信息安全，损害社会公共利益，应当承担相应的民事责任。故依法作出上述判
决。
裁判要旨：
裁判要旨：
使用人脸识别技术处理的人脸信息以及基于人脸识别技术生成的人脸信息均具有高度的可识别性，能够单独或者与其他信息结
合识别特定自然人身份或者反映特定自然人活动情况，属于刑法规定的公民个人信息。行为人未经公民本人同意，未具备获得
法律、相关部门授权等个人信息保护法规定的处理个人信息的合法事由，利用软件程序等方式窃取或者以其他方法非法获取上
述信息，情节严重的，应依照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解
释》第五条第一款第四项等规定定罪处罚。
关联索引：
关联索引：
《中华人民共和国刑法》第
253
条之一