信息时代电子数据取证程序的反思与重构——兼评《电子数据取证规则》的谬误与修正

       随着科技的发展，在互联网时代信息网络已经成为了人们生活密不可分的一部分，与之相伴的是绝大多数的犯罪行为亦普遍呈现互联网化的特点。这些网络犯罪的审查与认定均需要以电子数据作为核心的证据支撑，电子数据毫无疑问，已然成为了互联网时代的“证据之王”。但由于电子数据天然的易变性、非实物性及高技术性，决定了对于电子数据的取证与其他传统刑事证据的取证有着极大的差异。因此，刑诉法学界与实务界一直在摸索如何对于电子数据的取证行为进行规制。随着2016两高一部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（以下简称《电子数据规定》）及2019公安部《公安机关办理刑事案件电子数据取证规则》（以下简称《电子数据取证规则》）的相继发布中，对于电子数据的取证基本概念、基本原则、收集、提取等基本取证方法有了专门的规范，形成了我国电子数据取证的基本规则。但现行的规则依然未解决电子数据取证与相关权利人合法权益保障之间的冲突，在电子证据提取、远程勘验、网络技术侦查等诸多程序设计上亦存在着重大的缺陷，给侦查人员及司法工作人员留下了很多权力滥用的空间。因此，本文拟从目前最为全面的《电子数据取证规则》的评述入手，进一步探讨电子数据取证程序中需要明确或进一步完善的内容，以期对于我国电子数据取证行为的法治化进程提供相应的理论参考。

       现行的电子数据取证规则中，对于电子数据取证的相关技术概念及法律概念未能进行有效的界定与界分，以至于大量的核心法律概念被混同和乱用，这是造成现行电子数据取证规则设计存在重大缺陷的根本原因。因此，我们有必要对于电子数据取证程序中基本概念及法律内涵予以厘清。

（一）电子数据的基本概念及法律内涵

       从信息论角度出发，数据是信息的具体表现形式，是信息的载体，信息需要经过数据化转变成数据才能存储和运输，用公式化的语言表达也就是——“数据=信息+数据冗余”。而《电子数据规定》第一条，亦从数据的基本概念出发，对于电子数据的法律内涵进行了明确，即认为电子数据系“案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据”，同时，该条规定亦将电子数据的类型进行了明确，即电子数据包括反映各类信息的数据及相关的电子文件。因此，电子数据对于刑事案件的证据意义，并不在于其数字化的记载方式，而更重要的是数字化方式记载的能够反映案件事实的信息内容。换言之，对于电子数据取证工作的核心，是在法律的框架下，通过技术手段，确保相关反映案件事实的信息能够合法、真实的在刑事案卷中予以记载并在庭审中进行展示。

（二）提取行为的基本概念及法律内涵

       由于电子数据作为一种数字化的虚拟信息记载形式，其非实物性的特征，导致我们如果想要将该种证据在刑事案卷中予以记载就需要依赖特定的储存介质。因此，电子数据的提取行为，本质就是通过特定的技术手段和储存介质将原本储存在原始介质电子数据迁移至刑事案卷之中。《电子数据取证规则》第二章规定的五种提取方式，即扣押、封存原始存储介质、现场提取电子数据、网络在线提取电子数据、冻结电子数据、调取电子数据，充分反映了前述电子数据提取行为的核心特征。

       但具体而言，实际上电子数据的提取亦可以分为两大类别，即不改变电子数据储存介质的提取方式及跨介质的电子数据提取方式。不改变电子数据储存介质的提取方式下，电子数据仍然通过原始的储存介质进行保存，核心的取证行为在于确保储存电子数据的原始介质的安全性及不可修改性。而跨介质的电子数据提取方式下，电子数据将迁移至新的储存介质之中，对于原储存介质的安全性及不可修改性不进行控制。该种取证行为，需要确保迁移至新储存介质的电子数据与原储存介质中的电子数据具有同一性。

       因此，《程序意见》《电子数据规定》《电子数据取证规则》均规定，收集、提取电子数据应当制作笔录并记录数据的完整性校验值即数据的哈希值。结合通行的国际技术标准ISO/IEC27037:2012《信息技术-安全技术-电子数据识别、收集、获取和保存指南》中规定，对于电子数据跨介质迁移的行为，在技术术语中实际上是电子数据的“获取”行为。该标准规定所谓电子数据的“获取（acquisition）”是指“在特定的数据集合中进行数据副本创建的过程（processof creating a copy of data within a definedset）”；同时对于该条款的注释亦明确“获取的内容是对于拟获取的数据信息的备份（Theproduct of an acquisition is a potential digital evidencecopy）”。因此，对于数据跨介质迁移的数据提取过程，实际上是对于既有电子数据的副本创建过程。

（三）网络远程勘验的基本概念及法律内涵

       在传统刑事案件中，犯罪分子通常会在犯罪现场留下指纹、足迹、血痕、凶器等痕迹或物品，因此通常刑事勘验的适用对象主要包括场所、人身、物品、尸体。但在网络犯罪中，犯罪分子在使用计算机、手机等智能终端时也会在相关电子设备或网络空间中留下以电子数据形式存在的相关痕迹信息，对于这些痕迹信息，亦可以通过勘验的方式进行收集。因此，在《电子数据规定》《电子数据取证规则》中，均规定了对于电子数据的网络远程勘验程序。但上述规定中，网络远程勘验程序均被规定在电子数据的远程提取程序中，这实际上是对于勘验行为与电子数据提取行为的错误混同。如前所述，对于电子数据的提取，是将电子数据通过原介质或跨介质固定的取证行为，是以原有电子化的记载方式来反映与案件相关的事实。而勘验行为，则是通过侦查人员的亲临查看、了解与检验，以发现和规定犯罪活动所留下的各种痕迹和物品。勘验行为作为一种取证行为，所形成的载体系对于侦查人员客观所见的痕迹信息进行记载的勘验笔录。

       现行的电子数据取证规则中，对于侦查机关取证行为的界限亦未明确，因此，实践中普遍存在对于侦查权滥用的情形，侦查行为对于被追诉人和第三人的合法权益存在极大程度的侵害。我们有必要进一步明确电子数据取证中侦查行为的界限和侦查行为合法性的基础，方能更妥善的设计电子数据的取证程序。

（一）任意性侦查与强制性侦查措施适用标准

       在刑事诉讼中，侦查措施根据是否会影响被调查对象的重大权益，可以被分为任意性侦查和强制性侦查。对于不会影响被调查对象重大权益的侦查，属于任意性侦查，侦查机关可以自行采取，并没有严苛的程序性要求；但对于会影响被调查对象重大权益的侦查，则是属于强制性侦查的范畴，需要遵循令状主义、法律保留主义、比例原则等程序性限制。而这两种侦查措施的适用，核心的衔接程序就是刑事搜查程序，但现有的电子数据取证规则中对于《刑事诉讼法》中规定的搜查程序的适用并未进行规定，实践中亦未能形成有效衔接。计算机搜查是现代各国规范刑事案件中电子数据取证的一个重点，不论是电子数据的调取，还是电子数据的网络远程勘验都会涉及是否要以搜查程序为基础进行“要式侦查”的问题。

       基本上，为了获得电子数据证据载体，对实体空间和人员进行搜查，需采用《刑事诉讼法》规定的搜查程序，这一点并无争议。但对于云服务器、特定的网络空间等虚拟空间中进行电子数据在线提取和网络远程勘验的，是否需要按照搜查手续和程序实施，则是一个需要明确的问题。这就需要我们回归任意性侦查与强制性侦查措施的适用标准，即是否会影响被调查对象在网络空间中的重大权益，进行寻找两者适用的界限。

（二）网络空间中被调查对象的权益保障界限

       对于网络空间这类虚拟空间中电子数据的取证，需要考虑的核心要素，就是取证行为对于电子数据所有者的合法权益是否可能造成重大影响，如果存在造成这种重大影响的可能，则就需要对于侦查行为进行合理的程序和程度的限制。但网络空间不同于传统的物理空间，传统的物理空间的侦查行为的限制主要集中在对于人身权、财产权存在妨碍时，应当进行必要的限制。但由于网络空间的虚拟性，加之电子数据的虚拟性，很难在网络空间中找到能够与物理空间相对应妨害人身权和财产权的情形。因此，对于网络空间中侦查措施的适用，我们需要以网络空间的特性为出发点，寻找其中合理区分任意性侦查与强制性侦查的界限。由于网络空间全球性与公有性的特点，对于网络空间中公开发布的电子数据任何人都具有访问的权限，对于这类电子数据的取证，不会严重影响其他第三人的合法权益，因此对于网络空间公开发布的电子数据的取证，可以进行任意性侦查。但同时，对于网络空间中很多非公开或者半公开的电子数据，均通过特定的计算机信息系统安全保护措施予以加密或保护，对于该类电子数据，如果不具有特定的访问权限，则无法进行访问。因此，如果想要对于这些存在权限限制的电子数据进行取证的，应当按照强制性侦查的要求，进行必要的审查并出具相应的令状，按照搜查程序作为访问权获取和突破的法定事由。这种界分的标准，在《电子数据取证规则》第三十三条中亦有所体现。