文 | 牟若桃

网传某大学毕业生利用在校期间职务之便盗取学校内网数据，收集全校学生个人信息，制作颜值打分网站供人查看。据报道，校方已介入此事，对于网传内容正在核实中。

事件脉络图：

（事件信息源自各个网络信息平台）

根据网络爆料内容，此次事件所涉个人信息种类丰富，波及人群范围广泛。事涉个人信息涵盖了本硕博各阶段学生的姓名、疑似学生卡照片、学号、学院、籍贯、学历、生日等个人信息。本文仅从个人信息保护的法律角度，概论以下舆论关注点：

1、事涉个人信息分析

我国《个人信息保护法》第四条界定了个人信息的含义，即“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”此次事件中的姓名、学号、学院等包括照片在内的信息均可相互结合并识别到具体个人，因此属于法定的“个人信息”范畴。

其中，学生卡照片此项个人信息作为“颜值评分”的标准，成为此次事件的讨论焦点。已知学生卡照片属于个人信息，那么其是否属于个人生物识别信息，需要为之设置更为严格的收集门槛及保护措施？

根据《个人信息保护法》，敏感个人信息包括“生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息”。《信息安全技术 个人信息安全规范》（GB/T 35273-2020）附录b同样进一步列举了敏感个人信息的种类，包括前文提及的“个人生物识别信息”。

就人像照片而言，其是否属于“个人生物识别信息”需要基于其是否具有识别技术可能进一步区分为两类：第一类人像照片或因不具备身份识别技术的可能，例如缺乏生物识别信息的可提取性，而不属于“个人生物识别信息”；第二类人像照片则基于与人脸识别技术的强相关性，易被认定为“个人生物识别信息”。

首先，仅仅是人像照片并不能直接视为个人生物识别信息，但如果照片可以通过识别技术手段用于用户身份识别，则可能被视为“人脸识别信息”，从而归为“个人生物识别信息”该敏感个人信息的范畴。关于第一类人像照片和个人生物识别信息的区分在“人脸识别第一案”中得到体现。该案中，二审法院认为，即便通过拍照行为采集了当事人的“面部特征”，但该“面部特征”需要在激活后才进行技术处理变成人脸识别信息。（1）此外，《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》的适用范围也明确限制在了“使用人脸识别技术处理或者基于人脸识别技术生成的人脸信息所引起的民事案件”，因此，该规定所称的属于“生物识别信息”的“人脸信息”也宜解释为人脸识别过程中涉及的人脸信息。简而言之，单纯的人像不能简单定性为“个人生物识别信息”，如果要构成该项个人信息，人像还需要具有“识别”的功能。

其次，本事件中的学生卡照片，或属前文所述第二类人像照片，即“个人生物识别信息”。最高人民法院发布的指导性案例192号“李某侵犯公民个人信息刑事附带民事公益诉讼案”中（2），被告人李某制作一款具有非法窃取安装者相册照片功能的手机“黑客软件”，并伪装成“颜值检测”软件发布于某论坛提供访客免费下载。用户下载安装“颜值检测”软件使用时，“颜值检测”软件会自动在后台获取手机相册里的照片，并自动上传到被告人搭建的某云服务器后台。该案中，法院认为：本案中安装者相册照片中的“人脸信息”属于生物识别信息，是识别特定个人的敏感信息，极易被他人直接利用或制作合成，从而破解人脸识别验证程序，具有较大的社会危害性。因此，此类具备人脸识别验证可能的人像照片，在司法实践中，大概率会被认定为“个人生物识别信息”。从该案例可以看出，基于公共利益等考量，现有实践中司法机构对于非法处理人脸照片的行为持较大打击力度。就目前所掌握的事件信息看，本事件中数万人的学生卡照片被置于公开网站，同样极易被他人直接利用或制作合成，存在破解人脸识别验证程序的危险，故该行为或受到同等严格的规制。

2、事涉个人信息是否已获取权利主体授权

显然，权利主体（信息被盗取的学生）是基于入学事宜或校园生活的目的向学校提供的相关信息。基于《个人信息保护法》的目的原则和同意规则，个人信息的处理范围都应仅限于以上已同意的使用目的，在权利主体授权范围内进行使用，不得超范围处理个人信息，否则应认定为违法行为。

除此之外，我国《App违法违规收集使用个人信息行为认定方法》也有对主体授权的相关规定，即实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围则视为“未经用户同意收集使用个人信息”。

更何况，本事件中，权利主体授权对象为学校，并非涉事毕业生，该涉事毕业生的行为更无“同意”的合法性基础。

3、涉事毕业生是否可以通过适用《民法典》第一千零三十六条第二项或者《个人信息保护法》第十三条及第二十七条处理“已公开信息”免责

《个人信息保护法》第十三条第六款规定，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息的，个人信息处理者方可处理个人信息；第二十七条则对该款进行了细化，规定“个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。”

然而，法律意义所称的“公开”，并非仅对个人信息处理者或者在一定范围内的“公开”，而是针对不特定主体的公开，这种对不特定主体的公开，除了权利主体自行向不特定主体公开的信息，例如在面前不特定公众的社交平台公开个人照片，还包括基于法定义务公开的信息，例如裁判文书中的个人信息公开（3）。

值得注意的是，法律对“合理范围”的界限也有所规定。单某、江西某公司个人信息保护纠纷一案（4）中，单某在一平台下单商品，卖家称拉其入群其可获取返现红包，单某加入群聊后，卖家在群中公布其下单信息，示意管理员向其发红包。事后，单某要求卖家在群聊中删除其个人信息，被卖家拒绝。诉讼过程中，卖家辩称单某的订单地址、姓名、电话等信息可在一些公开APP中查询到，为网络上公开的内容。法院则认为案涉订单信息体现了单某更为特定的个人信息，卖家的信息公开行为不属于对已公开的个人信息的合理使用。结合本事件来看，即便是公众自行公开的个人信息，其使用范围也受到信息公开目的的限制（5），退一步而言，“合理”的前提毫无疑问包含了处理行为的“合法”。

4、如事件信息属实，涉事毕业生行为可能违反的法律规定（因获取信息手段、网站搭建参与者、网站全部内容等事实暂不明朗，本文仅就个人信息保护层面，结合截止目前已知信息梳理以下规定）：

5、若查证属实，学校可能承担的相关责任

相应的，若事件信息经查证属实，结合情节轻重，个人信息收集单位（学校）亦可能基于《中华人民共和国个人信息保护法》第六十六条、《中华人民共和国数据安全法》第四十五条等规定，承担相应责任。

结语

信息安全无小事，此次信息盗取事件也再次向我们敲响警钟：无论是商业主体，还是非营利性质主体，在数据要素时代，任何个人信息处理单位都应在日常的管理中注重并加强个人信息的保护，搭建个人信息数据的合规体系，建立起个人信息保护的事前事后保护机制，例如，在事前制定完善的信息安全事件应急预案，在事后及时告知权利主体并向有关主管部门报告，构筑横纵交错的多层屏障，避免个人信息泄露或信息泄露之后损失范围的扩大，以致对个人权利主体、个人信息处理单位本身乃至社会的利益造成不良影响。

引注：

（1）（2020）浙01民终10940

（2）（2021）沪0120刑初828号

（3）（2019）苏05民终4745号

（4） (2022)赣0111民初4656号

（5）（2019）京049101民初10989号

作者介绍

牟若桃

微信：Charlottaoo

浙江垦丁律师事务所麻策团队实习律师，硕士毕业于中国政法大学，法语专业八级，具有世界500强企业、新能源汽车企业法律事务经历。深度参与团队数据合规重点项目及网络法实务。

声明：本文来自网络法实务圈，版权归作者所有。文章内容仅代表作者独立观点，不代表士冗科技立场，转载目的在于传递更多信息。如有侵权，请联系 service@expshell.com。