人臉信息技術濫用侵害公共利益的司法認定

近年來，各類平臺不斷推出“AI換臉”技術應用，人臉信息技術為用戶提供了全新的娛樂社交體驗，也為虛擬形象的商業化利用提供了便利。但人臉信息技術極易被濫用，人臉信息技術濫用導致的損害具有“大規模小侵害”的特點，普通受害者往往缺乏維護自身權益的動力。為了回應解決人臉信息技術濫用對公共利益的侵害問題，杭州等地檢察機關開始探索個人信息保護公益訴訟。

首例“AI換臉”公益訴訟案的爭議焦點

2023年8月4日，杭州互聯網法院依法就虞某利用“AI換臉”技術侵犯公民個人信息民事公益訴訟案作出判決，法院支持了杭州市蕭山區人民檢察院提出的全部訴訟請求，包括“立即停止侵權，刪除其在社交軟件群組中留存的所有涉案個人信息；在《法治日報》向社會公眾刊發賠禮道歉聲明，以消除影響、進行警示；支付侵害社會公共利益的損害賠償款60000元”。這起公益訴訟的線索源于虞某所涉制作、傳播淫穢物品牟利罪的刑事案件：為牟取非法利益，虞某在未取得被編輯人同意的情況下，利用“AI換臉”軟件將從互聯網等渠道收集到的他人人臉信息與部分淫穢視頻中的人臉信息進行替換合成，制作生成虛假的換臉視頻，在社交軟件上進行傳播；此外，他還為他人提供換臉視頻定制服務，即根據客戶提供的視頻或照片制作換臉視頻，在網絡上銷售“AI換臉”軟件、提供換臉素材并傳授使用教程。那么，在這樣一起因“AI換臉”引發的制作、傳播淫穢物品牟利案中，為何能觸發個人信息保護公益訴訟呢？

《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）第70條初步確定了個人信息保護公益訴訟的啟動要件，包括主體要件、行為要件和結果要件。主體要件涉及原告資格和被告資格兩個方面，其中“人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織”處于原告地位，而“個人信息處理者”處于被告地位。行為要件主要涉及是否存在“違法處理個人信息”。在首例“AI換臉”公益訴訟案中，檢察機關具備原告資格，被告虞某也存在“違法處理個人信息”的行為而具有被告資格，因此，本案的爭議焦點不涉及主體要件和行為要件問題，主要涉及虞某的行為是否符合結果要件。

個人信息保護公益訴訟的形式結果要件

就個人信息保護公益訴訟的結果要件而言，《個人信息保護法》第70條僅明確了形式結果要件，即“侵害眾多個人的權益”。這一形式要件的規定在很大程度上延續了《中華人民共和國消費者權益保護法》（以下簡稱《消費者權益保護法》）第47條所確定的公益訴訟形式結果要件，即“侵害眾多消費者合法權益”。與《消費者權益保護法》一樣，《個人信息保護法》也未對“眾多”作出具體界定。

從文義解釋角度而言，“眾多”涉及個人的量化標準。目前，與“眾多”的量化標準最相關的是最高人民檢察院2021年印發的《關于貫徹執行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》，該文件要求檢察機關對處理100萬人以上的大規模個人信息要重點保護，對因時間、空間等聯結形成的特定對象的個人信息加強精準保護。

在人臉信息技術日益融入人們日常生活的當下，各地檢察機關有必要參考借鑒首例“AI換臉”公益訴訟案的司法經驗，開展公益訴訟應對人臉信息技術濫用的安全風險。

該通知中涉眾的這兩項要求的最終落腳點是“重點保護”和“精準保護”，而非針對個人信息保護公益訴訟形式結果要件中“眾多”所確定的認定標準。對于“眾多”的界定有必要參考最高人民法院《關于審理消費民事公益訴訟案件適用法律若干問題的解釋》第2條的做法，將“眾多”解釋為“不特定眾多”，即將“侵害眾多個人的權益”理解為“侵害眾多不特定個人的權益”。

個人信息保護公益訴訟的實質結果要件

根據《民事訴訟法》第58條所確定的民事公益訴訟啟動要件“損害社會公共利益”、《行政訴訟法》第25條第4款所確定的行政公益訴訟啟動要件“致使國家利益或者社會公共利益受到侵害的”，個人信息保護公益訴訟還應當具備“侵害公共利益”這一實質結果要件。《個人信息保護法》中有多個條文明確規定了“公共利益”，包括“不得從事危害國家安全、公共利益的個人信息處理活動”等，但該法并未對“公共利益”進行明確。

目前，只有《國有土地上房屋征收與補償條例》等少數立法對“公共利益”采取概括加列舉的方式進行具體界定。該條例將“國家安全”“促進國民經濟和社會發展”概括為“公共利益”，從房屋征收的特定場景對“公共利益”加以界定，無疑對個人信息保護公益訴訟實質要件的認定具有參考借鑒意義。在“AI換臉”案中，檢察機關啟動個人信息保護公益訴訟主要考量的就是虞某的人臉信息技術濫用行為是否侵犯公共利益。

“AI換臉”案中侵害公共利益的認定邏輯

從虞某所涉嫌的罪名僅有制作、傳播淫穢物品牟利罪，可以推定虞某濫用“AI換臉”技術處理的個人信息不可能達到《關于貫徹執行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》中“100萬人以上”的量化標準，也未達到最高人民法院、最高人民檢察院《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》中“五十條以上”“五百條以上”或者“五千條以上”的量化標準。因此，該案中司法機關在結果要件的認定上，重點考慮的不是形式結果要件，突出的是實質結果要件。從《檢察日報》等官方媒體對“AI換臉”案披露的信息看，司法機關也是重點圍繞虞某的行為是否侵害公共利益進行認定的。

本案中，虞某“AI換臉”所處理的人臉信息是典型的生物識別信息，非法使用不僅容易導致自然人的人格尊嚴受到侵害，還可能造成人身、財產的安全受到危害，屬于《個人信息保護法》重點保護的對象。虞某不僅將“AI換臉”制作的淫穢視頻在超過2000人的社交軟件群組中進行公開傳播，而且還向他人銷售“AI換臉”軟件、提供換臉素材并傳授使用教程。就司法機關的認定而言，虞某將他人的人臉信息與淫穢視頻內容非法合成并傳播，其危害性具有雙重維度：就個體層面而言，該行為直接導致了被侵害人的人格尊嚴受到嚴重損害并且造成被侵害人面臨人身、財產安全方面的不確定風險；就社會層面而言，其濫用人臉信息技術是對社會公序良俗的踐踏，是對穩定的社會環境和清朗的網絡空間的挑戰，特別是其傳播侵犯公民個人信息的方法，顯著擴大了人臉信息被非法處理的潛在受害群體范圍。

通過公益訴訟強化人臉信息技術濫用治理

早在2019年，一款名為ZAO的“AI換臉”應用程序就曾風靡網絡，但很快這款應用程序就因為隱私安全等問題被下架。近年來，隨著人工智能技術的不斷發展，“AI換臉”、人臉識別等人臉信息技術的使用門檻越來越低。人臉信息技術在給民眾生活帶來便利的同時，也潛藏著越來越大的安全風險。人臉信息技術的濫用不僅引發了嚴重的網絡暴力事件，也成為了電信網絡詐騙的手段。由于人臉信息技術的迷惑性，普通民眾很難有效應對這類技術的安全風險。為了更好地應對人臉信息技術濫用風險，國家網信辦等部門聯合出臺了《互聯網信息服務深度合成管理規定》，《人臉識別技術應用安全管理辦法》也將于2025年6月1日起施行。

當前，我國正在不斷強化監管以應對人臉信息安全風險。2024年上半年以來，以上海為代表的部分城市不僅在全國率先明確禁止酒店強制刷臉，還將人臉識別濫用納入個人信息保護重點治理領域。司法作為重要的保障手段也不應當缺席，其中公益訴訟作為最具代表性的社會治理手段更應該發揮積極的作用。“人臉識別第一案”之后，最高人民法院很快出臺了《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》，明確將公益訴訟納入法院受理范圍。最高人民法院司法解釋先于《個人信息保護法》將人臉信息保護納入公益訴訟范圍，也顯示了公益訴訟在應對人臉信息技術濫用方面的緊迫性和重要性。在人臉信息技術日益融入人們日常生活的當下，各地檢察機關有必要參考借鑒首例“AI換臉”公益訴訟案的司法經驗，開展公益訴訟應對人臉信息技術濫用的安全風險。

（本文作者系浙江理工大學數據法治研究院副院長、副教授）