近日，“人大畢業生泄露全校學生個人信息”一事引發熱議。有網友爆料稱，中國人民大學某畢業生在校期間盜取學校內網數據，在網站上發布全校學生照片、姓名、學號、籍貫、生日等個人隱私信息并進行顏值打分。7月3日，據北京海淀公安分局官方消息，嫌疑人馬某某涉嫌非法獲取該校部分學生個人信息等違法犯罪行為，已被刑事拘留。
多位法律專家告訴南都記者，從目前情況看，馬某某可能主要涉及兩項罪名。一是根據《刑法》，涉嫌非法獲取計算機信息系統數據、非法控制計算機信息系統罪；二是侵犯公民個人信息罪。根據情節嚴重與否，馬某某可能面臨三至七年有期徒刑或拘役，并處罰金等。
另外，專家建議網友，謹慎使用“顏值檢測”等需要上傳讀取人臉信息的相關軟件，盡量選擇大平臺下載的正規軟件，查看其用戶協議等了解其人臉信息的存儲、刪除規定。
人大畢業生竊取發布學生信息進行顏值打分
首先回顧一下事情經過。7月1日，有網友爆料稱，中國人民大學（以下簡稱“人民大學”）某碩士畢業生在校期間利用專業技術盜取學校內網數據，收集全校學生個人隱私信息，包括照片、姓名、學號、籍貫、生日等，公開發布在網站上進行顏值打分。目前，該網站已無法進入。
7月2日，中國人民大學發布情況通報稱，學校已關注到部分學生信息被非法獲取的情況，對此高度重視，第一時間聯系警方，目前正積極配合警方等相關部門開展調查。學校強烈譴責侵犯個人隱私、危害信息安全的行為。
7月3日，據北京海淀公安分局官方消息，嫌疑人馬某某（男，25歲，該校畢業生）涉嫌非法獲取該校部分學生個人信息等違法犯罪行為。目前，馬某某已被海淀公安分局依法刑事拘留，案件正在進一步調查中。警方高度重視公民個人信息保護，對于相關違法犯罪，將依法予以嚴厲打擊。
據多家媒體報道，馬某某曾在個人社交賬號上發布動態公開此事。網傳截圖顯示，該動態發布于2020年10月。南都記者查詢疑似馬某某的社交賬號時發現，目前這些賬號上的相關內容已被清空，發送私信無回應。
嫌疑人或面臨3至7年有期徒刑或拘役
此事一經爆出便備受關注，短短幾天內相關詞條頻繁登上微博熱搜。其中最受關注的問題是：馬某某存在哪些違法犯罪行為？可能要承擔什么法律責任？
北京網絡行業協會法律委員會副主任、北京京師律師事務所律師王琮瑋分析，根據目前情況，馬某某可能面臨多方面的刑事責任。
一是根據《刑法》，馬某某獲取學校內網數據的行為涉嫌構成非法獲取計算機信息系統數據罪。二是如果人民大學的計算機信息系統被認定為國家事務、國防建設、尖端科學技術領域的計算機信息系統，而馬某某通過違法手段入侵，則涉嫌構成非法侵入計算機信息系統罪。三是如果馬某某沒有權限或超越權限，通過破解保護口令等非法方式入侵學校計算機系統，還涉嫌破壞計算機信息系統罪。
不僅如此，據網傳消息，馬某某收集發布的學生個人信息數量龐大，無疑還會構成侵犯公民個人信息罪。
北京高勤律師事務所合伙人王源指出，馬某某可能主要涉及兩項罪名。一是非法獲取計算機信息系統數據、非法控制計算機信息系統罪；二是侵犯公民個人信息罪。根據情節嚴重與否，馬某某可能面臨三至七年有期徒刑或拘役，并處罰金等。
網友對馬某某行為表達不滿的同時，也有不少人對人民大學的數據管理提出質疑。7月3日，南都記者嘗試致電人民大學，未成功接通。
王琮瑋表示，我國《網絡安全法》《個人信息保護法》都要求個人信息持有者或網絡服務提供者采取技術措施、管理措施等保證個人信息安全、數據安全。一方面，如果馬某某被證實是采取了黑客攻擊、暴力破解等手段攻破了學校的安全防護措施從而獲得數據，則人民大學學生信息存儲系統的安全防護工作可能存在疏漏，學校應承擔一定責任。
另一方面，如果人民大學曾授予馬某某對被獲取數據的管轄權限，而馬某某超越權限非法獲取并使用其管理的信息數據，那么這種行為涉嫌構成犯罪的同時，人民大學作為承擔管理職責的一方，其授權的主體沒有盡到應有的管理或注意義務，也應為個人信息泄露負責。
王源表示，由于暫無證據顯示已造成嚴重后果，人民大學在此事件中應該不會涉嫌刑事犯罪，但可能面臨治安處罰或被主管部門點名通報批評等。
值得一提的是，據報道，有網友指認馬某某現就職于騰訊公司，其曾發表過多篇學術論文，并拿到過騰訊、阿里、百度、字節等諸多頭部公司的錄用通知。
對此王源表示，企業在為算法、人工智能、深度合成等關鍵崗位進行招聘時，需加大對應聘者背景調查的力度和范圍，“比如是否受過治安管理處分，通過公開信息搜尋應聘者是否有涉嫌違法犯罪的行為等。”另外，企業可以在勞動合同中約定和員工守則中規定，即使未構成刑事犯罪或治安處罰，但若造成了重大數據泄露事件等，也屬于違反公司規章制度情形，有權解除勞動合同。
慎用“顏值檢測”類軟件，關注使用說明
據了解，馬某某在校期間盜取全校學生照片等個人信息，分門別類制作成“顏值排行榜”發布在其搭建的顏值打分網站上。
南都記者注意到，類似“顏值檢測”“膚質測試”“人像美化”等需要使用者上傳照片進行掃描檢測的App或網站近年來并不鮮見，主要涉及美容護膚、圖片美化等領域。不過，有些軟件打著“檢測”的幌子，實為竊取人臉信息。
2021年，上海市奉賢區人民法院審理了一起侵犯公民個人信息罪刑事附帶民事公益訴訟案。被告人制作一款“顏值檢測”軟件供人免費下載，實際上軟件無檢測功能，只為盜取個人信息。該軟件非法獲取安裝者相冊照片共計1751張，其中部分照片含有人臉信息、自然人姓名、身份證號碼、聯系方式、家庭住址等100余條公民個人信息。最終法院判處被告有期徒刑三年，處罰金人民幣一萬元。
那么，該如何看待此類“人臉檢測”軟件？用戶在使用時需要注意什么？
王源認為可以分成三種情況討論。一是軟件在獲取個人明確同意的情況下，利用用戶照片進行分析等，此類經營模式是合理的。二是軟件在未能對用戶進行明確告知的情況下，通過誘導、欺騙手段收集用戶人臉信息，可能涉嫌違法。三是類似于此次“人大事件”，即未經個人同意，使用個人信息的范圍超出了收集目的，比如盜竊大量個人信息進行模型訓練等，同樣涉嫌違法。
王琮瑋建議，在使用這類軟件時需注意三個方面。首先，人臉等生物識別技術已廣泛應用于支付、安防、金融、醫療等場景，直接關系個人的隱私及財產安全，用戶需衡量使用這類軟件是否必要。其次，用戶應對使用后可能產生的后果進行風險評估。此外，用戶應盡量選擇大平臺下載的正規軟件，其安全防護措施相對完善，風險較低。
同時，“用戶在上傳人臉信息時，還應多關注用戶協議、隱私政策中是否有相關說明。比如是否在完成一次測試后，軟件就會及時刪除數據等。如果沒有相關說明，我傾向于不要使用這些應用并上傳自己的敏感個人信息。”她說。
采寫：南都記者樊文揚