2020年6月至9月间，被告人李开祥制作一款具有非法窃取手机相册照片功能的安卓手机APP，并伪装成“颜值检测”APP发布在“芥子论坛”供访客免费下载，通过此种方式窃取安装者相册照片共计1751张，其中部分照片含有人脸信息、自然人姓名、身份号码、联系方式、家庭住址等公民个人信息100余条。

2020年9月，被告人李开祥在暗网购买下载了含有户籍信息、QQ账号注册信息、车主信息、借贷信息的名为“社工库资料”的数据包，并将该数据包转存于“MEGA”网盘。后又将网盘链接分享至其担任管理员的QQ群，提供给群成员免费下载。经鉴定，“社工库资料”经去除无效数据并进行合并去重后，包含各类公民个人信息共计8100万余条。

本案的争议焦点为：利用涉案“颜值检测”软件窃取的“人脸信息”是否属于刑法规制范畴的“公民个人信息”。法院认为“人脸信息”属于刑法保护的公民个人信息。理由有三：第一，“人脸信息”具有明显的“可识别性”特征；第二，将“人脸信息”认定为公民个人信息遵循了法秩序统一性原理；第三，采用“颜值检测”黑客软件窃取“人脸信息”具有较大的社会危害性和刑事可罚性。

上海市奉贤区人民法院认定被告人李开祥犯侵犯公民个人信息罪，判处有期徒刑三年，宣告缓刑三年，并处罚金人民币一万元；扣押在案的犯罪工具予以没收。同时判决李开祥承担在国家级新闻媒体上对其侵犯公民个人信息的行为公开赔礼道歉、删除“颜值检测”软件及相关代码、删除“MEGA”网盘上储存的公民个人信息等民事责任。

公民的个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

在如今网络横行的年代，人脸识别已经在收集APP上广泛使用，人脸亦是对手机使用安全的重要识别标志。此案也给网络科技行业敲响了一个警钟，如今颜值检测、AI换脸、皮肤自测等应用软件层出不穷，企业如果不严格按照法律规定处理这些应用软件运行过程中涉及的个人信息，就会导致行政处罚甚至是刑事处罚，为抵御这样的法律风险，网络科技企业的个人信息合规建设尤为必要。

1. 《刑法》第二百五十三条之一

违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2. 两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条 

非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的……　

实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的

3. 《民法典》第一千零三四条

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

*来自最高人民法院指导案例：（2021）沪0120刑初828号