北京互联网法院副院长赵瑞罡介绍，该院集中审理北京市辖区内应当由基层人民法院审理的涉网个人信息保护案件。2018年至2023年的5年间营救徐九，该院共受理此类案件58件，而近一年受理的案件数量呈增长趋势。从侵权形态来看，涉及侵害个人信息的知情权与决定权的案件最多，主要侵权形式为未经同意收集、公开、提供个人信息，或超范围收集个人信息，共计73件。特别是互联网、大数据、人工智能等技术的快速发展，给个人信息保护带来新的挑战。以“AI换脸”纠纷为例，“AI换脸”为用户提供了一种新奇的体验和情感满足，但它所利用的人工智能技术，涉及人脸识别、关键点定位、特征提取等多项技术，将静态图片中的特征与原视频的面部特征、表情等通过算法融合，可能涉及肖像权及个人信息权益侵害问题。
“个人信息保护案件涉诉信息类型较为丰富，既包含基础个人信息营救徐九，如手机号、身份证号等，也有因人工智能技术引发的‘AI换脸’等新类型侵权案件，还包括多种衍生信息，亦包括大量法律未明确列举的个人信息，如电子商务平台上形成的用户订单交易详情、客服沟通记录等。”赵瑞罡表示，这反映出个人信息与企业的衍生数据相互交织，呈现复杂化的状态和趋势。部分案件中反映网络平台运营者未尽到保障用户个人信息安全的法定义务，导致用户个人信息遭受泄露、篡改、冒用，如网络平台未经有效审查，导致侵权人盗用他人身份信息用于企业账号认证。
法院认为，案涉短视频动态呈现了廖某的面部特征等个体化特征，可以以数据形式呈现，符合个人信息保护法规定的“与已识别或可识别的自然人有关的信息”的定义，属于廖某的个人信息。针对案涉换脸行为，被告需要先收集包含廖某人脸信息的出镜视频，将该视频中的廖某面部替换成自己提供的照片中的面部，该合成过程需要将新的静态图片中的特征与原视频部分面部特征、表情等通过算法进行融合。上述过程，涉及对廖某个人信息的收集、使用、分析等，属于对廖某个人信息的处理。被告无证据证明其经过原告廖某同意，因此构成对原告个人信息权益的侵害。
法官表示，“AI换脸”与个人肖像密切相关，不免引起公众对肖像权与个人信息权益的担忧。上述案件明确了肖像权“可识别性”不局限于面部，但应当主要集中于自然人的个人生理特征，避免肖像权的任意扩张影响妆容、造型等领域的合法使用及创作传播。同时，案件明确了肖像与个人信息的关系与认定差异，即肖像以特定范围内的公众可识别为要件，主要保护个人在社会生活中肖像识别带来的精神和财产利益；而个人信息认定标准不以公众识别为前提，重点在于预防个人信息被滥用的风险。
法院认为，个人信息保护涉及对象多、领域广，多个部门职责交叉或者职权定位不够明晰，亟须形成监管合力。同时，加密通信等新技术在黑灰产活动中的加速应用，加大了执法和监管成本。在面对个人信息收集、处理、使用等不同环节，行政执法部门可能难以及时采取相对应的监管措施。此外，行政机关在依法履职或提供公共服务过程中基于处理个人信息产生的公共数据的开发利用规则尚未完全建立。