□杨巨军 彭斌_江苏法治报_2023年05月25日A07

人脸识别技术的应用给社会公众带来了的极大的便利，同时带来了刑法规制风险。目前刑法对公民个人信息规制非法获取、出售、提供的行为规制范围较小，可以通过增加刑法规制的行为种类的实现对人脸识别信息的全方位保护。

完善人脸识别犯罪入罪标准。我国《个人信息保护法》《信息安全技术个人信息安全规范》将公民个人信息分为敏感信息和一般信息两类。《规范》规定通过泄露、非法提供或者滥用之后是否可能给信息主体带来重大风险这三个角度分析某种个人信息是否属于敏感信息的范畴，满足一项即可以判定为敏感信息，为敏感信息的判断提供了更为明确的、更具有操作性的标准。

从实质解释的角度来考量，设定一般个人信息的入罪门槛为5000条，敏感个人信息的入罪门槛为50条。人脸识别信息在泄露、非法提供或者滥用之后都将造成信息主体失去对信息扩散范围与用途的控制能力，有可能给信息主体相关权益造成重大不可控的风险，例如利用他人的人脸识别信息去银行开户、办理手机卡实名业务等。因此，人脸识别信息属于个人敏感信息的范畴，应当适用50条的入罪标准。

扩充人脸识别犯罪构成范围。对于非法利用人脸识别信息的行为，可以分为两种类型：一是作为下游犯罪的非法利用行为。在这种类型中非法利用行为与诈骗、盗窃、勒索、绑架等下游犯罪相关联。二是不作为下游犯罪的非法利用行为。

对于作为下游犯罪的非法利用行为，涉人脸识别犯罪“首尾重、中间轻”刑法规制特点导致对合法获取之后、构成下游犯罪之前的非法利用行为的刑法评价不足。如果行为人合法获得了人脸识别信息，非法利用比如注册大量新用户账号，但还没有达到相关后续目的性犯罪的入罪门槛，此时便处于刑法评价的空白地带；对于不作为下游犯罪的非法利用行为，刑法规制存在空白地带，相关罪名都不能准确评价非法使用公民个人信息的行为。而非法利用行为的入罪可以直接通过扩充侵犯公民个人信息罪构成要件中的行为方式来实现，不需要增设其他罪名。

综上，建议将刑法二百五十三条第1款整合为：“违反国家有关规定，窃取或者以其他方法非法获取公民个人信息，或者非法向他人出售、提供 公民个人信息，或者非法使用公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”与刑法定相配套，同时及，建议将《解释》第五条由“非法获取、出售或者提供”扩充为“非法获取、出售、提供或者利用”。

人脸识别技术应用刑法规制的完善