Wonderful activities
【行业资讯】最高院法官喻海松解读《刑事电子数据规定》的特点与重点
发布时间：2021-04-18 21:56:01
来源：刑事实务 作者：喻海松
一、《规定》彰显的特点
近年来，云计算、物联网等互联网应用迅猛发展，传统犯罪快速向互联网迁移，犯罪手段不断翻新。各类刑事案件几乎都涉及电子数据，电子数据广泛应用于刑事诉讼活动。修改后刑事诉讼法将电子数据增列为新的证据种类，进一步丰富了证据的外延。作为“两高一部”首次就电子数据制定的专门性文件，《规定》对规范电子数据的收集提取和审查判断，提高刑事案件办理质量必将发挥重要作用。本文认为，《规定》的相关条文彰显了如下特点：
一、规则延续与丰富发展的并进。根据修改后刑事诉讼法的规定，《最高人民法院关于适用〈中华人民共和国刑事诉讼法〉的解释》（法释〔2012〕21号，以下简称《解释》）对电子数据的审查判断作了专门规定。在此基础上，最高人民法院、最高人民检察院、公安部《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》（公通字〔2014〕10号，以下简称《意见》）对电子数据取证人员资质与技术要求、电子数据取证原则、收集提取电子数据的笔录制作要求、电子数据的移送规则和电子数据的鉴定与检验等问题作了进一步明确。《规定》以刑事诉讼法为依据，沿用了《解释》《意见》关于电子数据收集、提取、移送、审查的相关规定，同时针对司法实践出现的新情况、新问题，进一步贯彻证据裁判原则的要求，不断丰富发展电子数据收集提取和审查判断的规则。
二、体系完备与问题导向的兼顾。《规定》从“一般规定”“电子数据的收集与提取”“电子数据的移送与展示”“电子数据的审查与判断”“附则”五个方面，对电子数据刑事诉讼活动作了全面规定。
三、惩罚犯罪与保障人权的统一。同其他刑事诉讼活动一样，电子数据的收集提取与审查判断应当兼顾惩罚犯罪与保障人权的机能，不可偏废。基于严厉惩治网络犯罪的现实需要，《规定》根据刑事诉讼法的规定，对在线提取电子数据，采取打印、拍照、录像等方式固定电子数据，电子数据冻结，电子数据检查，电子数据侦查实验等问题作了明确，以进一步方便相关案件的办理。同时，《规定》突出了人权保障的机能，规定电子数据的收集、调取须依法进行，要求采取技术方法保证电子数据的完整性，严格网络远程勘验的适用，细化电子数据的审查与判断要求，明确电子数据的补正与排除，以有效防范相关侦查活动对隐私权、通信自由等权利的侵犯。
四、法律规则与技术规范的融合。科学技术的发展，使得证明案件事实的材料不断扩展，不断有新的证据种类被纳入刑事诉讼法之中。在互联网时代，以计算机和网络为依托的电子数据在证明案件事实的过程中发挥着越来越重要的作用。电子数据是计算机信息技术发展的产物，电子数据的收集、提取应当符合相关技术标准，对于收集、提取的电子数据的审查判断，应当坚持技术与法律的双重标准。
二、《规定》涉及的重点问题
1.电子数据的界定。《规定》第一条第一款对电子数据作了概括规定：“电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据。”之所以限定为“案件发生过程中”，是为了将案件发生后形成的证人证言、被害人陈述以及犯罪嫌疑人、被告人供述和辩解等电子化的言词证据排除在外。需要注意的是，对于“案件发生过程中”不应作过于狭义的把握，从而理解为必须是实行行为发生过程中。
根据《规定》第一条第二款的规定，电子数据包括但不限于下列信息、电子文件：（1）网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息；（2）手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息；（3）用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息；（4）文档、图片、音视频、数字证书、计算机程序等电子文件。需要注意的是，其一，以数字化形式存储的音视频属于电子数据而非视听资料，而以模拟信号存储的磁带、录像带等音视频仍然属于视听资料。其二，上述信息、电子文件虽然都属于电子数据，但对不同类型的电子数据的取证程序要求可能存在差别。其三，根据刑事诉讼法第五十二条第一款“人民法院、人民检察院和公安机关有权向有关单位和个人收集、调取证据。有关单位和个人应当如实提供证据”的规定，《规定》第四条重申了公检法机关收集调取电子数据的依法原则与有关单位的配合义务，明确：“人民法院、人民检察院和公安机关有权依法向有关单位和个人收集、调取电子数据。有关单位和个人应当如实提供。”需要注意的是，对于公检法机关而言，法无授权不可为，具体电子数据的适格取证主体和程序须严格遵守相关规定。
电子数据是新的证据类型。目前，对于如何准确划分电子数据与其他类型证据的界限存在不同认识。以笔录形式记载的证人证言、被害人陈述以及犯罪嫌疑人、被告人供述和辩解等言词证据，虽然记载形式是笔录，但在证据分类上应纳入言词证据而非笔录的范畴。同理，以数字化形式记载的言词证据，虽然载体是电子数据，但在证据分类上也应纳入言词证据而非电子数据的范畴。规定》第一条第三款规定：“以数字化形式记载的证人证言、被害人陈述以及犯罪嫌疑人、被告人供述和辩解等证据，不属于电子数据。确有必要的，对相关证据的收集、提取、移送、审查，可以参照适用本规定。”当然，随着信息技术的进一步发展，关于电子数据与其他类型证据的界分问题，还可以进一步研究探讨。
2.保护电子数据完整性的方法。电子数据完整性是真实性的要素之一。基于此，《规定》第五条规定了完整性的保护方法。具体而言，对作为证据使用的电子数据，应当采取以下一种或者几种方法保护电子数据的完整性：（1）扣押、封存电子数据原始存储介质。存储介质，是指具备数据信息存储功能的电子设备、硬盘、光盘、优盘、记忆棒、存储卡、存储芯片等载体。原始存储介质即存储电子数据的原始载体。（2）计算电子数据完整性校验值。完整性校验值，是指为防止电子数据被篡改或者破坏，使用散列算法等特定算法对电子数据进行计算，得出的用于校验数据完整性的数据值。实践中要求第一时间计算完整性校验值，并在笔录中注明。当需要验证电子数据是否完整、是否被增加、删除、修改时，便可以采用同一算法对电子数据再计算一次，将两次所得的值进行比较，如果一致则电子数据没有发生变化，如果不一致则证明电子数据发生了变化。（3）制作、封存电子数据备份。具体操作中，可以制作多个备份，封存其中部分备份件，将其余备份件用于进一步的侦查。（4）冻结电子数据。（5）对收集、提取电子数据的相关活动进行录像。鉴于录音相较于录像反映的信息量不足，此处要求录像，而非录音或者录像。（6）其他保护电子数据完整性的方法。需要强调的是，收集、提取电子数据的情形复杂多样，实践中应当灵活掌握相应的完整性保护方法，至少采取一种，有条件的情况下应当采取多种。以本条规定的电子数据完整性保护方法为基础，《规定》第二十三条进一步规定了审查电子数据完整性的方法。
3.电子数据的取证原则。为确保电子数据的真实性和完整性，《解释》第九十三条对电子数据的审查判断作了明确要求，其中确立的规则就是“以收集原始存储介质为原则，以直接提取电子数据为例外”。《意见》沿用上述原则，并作了进一步明确。《规定》第八条、第九条对此进行了重申，并作了具体细化规定。《规定》第八条第一款规定：“收集、提取电子数据，能够扣押电子数据原始存储介质的，应当扣押、封存原始存储介质，并制作笔录，记录原始存储介质的封存状态。”实践中，在可行的情况下，应尽量封存原始存储介质，以保证其完整性和真实性。同时，《规定》第八条第二款、第三款对原始存储介质的封存要求作了专门规定，即“封存电子数据原始存储介质，应当保证在不解除封存状态的情况下，无法增加、删除、修改电子数据。封存前后应当拍摄被封存原始存储介质的照片，清晰反映封口或者张贴封条处的状况。”“封存手机等具有无线通信功能的存储介质，应当采取信号屏蔽、信号阻断或者切断电源等措施。”需要强调的是，实践中对原始存储介质的封存方法灵活多样，既可以装入物证袋封存，又可以通过对电源接口以及机箱螺钉处加贴封条达到封存目的。但是，对于手机等具有无线通信功能的存储介质，除采取普通封存方式（如装入物证袋封存）外，还应当附加其他保护措施，或者直接装入屏蔽袋（盒）。
《规定》第九条第二款规定在例外情况下可以直接提取电子数据。具体包括如下情形：（1）原始存储介质不便封存的。从实践来看，有些情况下难以将原始存储介质封存或者全盘复制、提取，比如网络服务器一般采取集中存储的方式，其硬盘动辄成百上千T，但其中很多内容与案件无关，不必收集，在这种情况下一般只提取与案件相关的部分数据。（2）提取计算机内存数据、网络传输数据等不是存储在存储介质上的电子数据的。内存、网线等介质无法稳定存储电子数据，不属于存储介质的范畴。对计算机内存数据、网络传输数据等必须在开机运行的状态下获取，一旦关机或者重新启动系统，电子数据就会消失，难以再次获取。故而，对于上述电子数据无法通过封存原始存储介质的方式加以收集。（3）原始存储介质位于境外的。对位于境外的服务器无法直接获取原始存储介质，一般只能通过网络在线提取电子数据。（4）其他无法扣押原始存储介质的情形。
《规定》第十条明确规定：“由于客观原因无法或者不宜依据第八条、第九条的规定收集、提取电子数据的，可以采取打印、拍照或者录像等方式固定相关证据，并在笔录中说明原因。”自此，电子数据取证确立了“以扣押原始存储介质为原则，以直接提取电子数据为例外，以打印、拍照、录像等方式固定为补充”原则。
4.电子数据冻结。为适应实践需要，针对云计算、大数据环境下电子数据取证的问题，《规定》第十一条、第十二条规定了电子数据冻结。
具体而言，具有下列情形之一的，经县级以上公安机关负责人或者检察长批准，可以对电子数据进行冻结：（1）数据量大，无法或者不便提取的。如在一起传播淫秽物品牟利案中，涉案70个网络云盘涉及淫秽视频150余万部，共1000T，按照传统固定证据方式，需要2T硬盘500块。（2）提取时间长，可能造成电子数据被篡改或者灭失的。如在一起网络贩卖、传播淫秽视频案中，共查扣涉案网盘近千个，按照一条100兆光纤（属较高级别带宽）下载速度及运行商能够提供的最高限速，在全程无中断情况下，预计时间为15至16个月。（3）通过网络应用可以更为直观地展示电子数据的。如在一起非法集资案中，大量电子数据是从云系统提取的，而这些数据只有在云环境下才能方便的查看、筛选。（4）其他需要冻结的情形。
对于冻结电子数据的具体操作，《规定》第十二条明确规定：“冻结电子数据，应当制作协助冻结通知书，注明冻结电子数据的网络应用账号等信息，送交电子数据持有人、网络服务提供者或者有关部门协助办理。解除冻结的，应当在三日内制作协助解除冻结通知书，送交电子数据持有人、网络服务提供者或者有关部门协助办理。”“冻结电子数据，应当采取以下一种或者几种方法：（一）计算电子数据的完整性校验值；（二）锁定网络应用账号；（三）其他防止增加、删除、修改电子数据的措施。”
5.电子数据检查。电子数据同传统证据存在不同，传统物证、书证等在侦查过程中一般只涉及两个阶段，即现场勘验、搜查、提取、扣押阶段以及鉴定检验阶段，一般工作在现场即可完成，对于专门性技术问题通过鉴定检验就可以解决。但是，电子数据仅两个阶段并不能实现所有侦查目的，实践中电子数据的形式、来源复杂多样，通过简单收集、提取的电子数据很难清晰地证明某一犯罪事实，对于电子数据需要在现场取证和鉴定、检验之间增加一个阶段，即扣押后由侦查人员对电子数据的进一步恢复、破解、统计、关联、比对等处理。该阶段处于现场取证和鉴定、检验之间，是现场取证工作的自然延续，不属于专门性技术问题的检验、鉴定。
需要说明的是，《规定》并没有明确要求见证人对电子数据检查进行见证。关于检查过程电子数据的真实性、完整性的保护，《规定》第十六条第二款规定：“电子数据检查，应当对电子数据存储介质拆封过程进行录像，并将电子数据存储介质通过写保护设备接入到检查设备进行检查；有条件的，应当制作电子数据备份，对备份进行检查；无法使用写保护设备且无法制作备份的，应当注明原因，并对相关活动进行录像。”第三款进一步规定：“电子数据检查应当制作笔录，注明检查方法、过程和结果，由有关人员签名或者盖章。”
6.电子数据真实性的审查与判断。鉴于对电子数据真实性的审查具有一定的技术性，为给司法实务提供更具操作性的指引，《规定》第二十二条规定从五个方面审查判断电子数据的真实性：
（1）是否移送原始存储介质；在原始存储介质无法封存、不便移动时，有无说明原因，并注明收集、提取过程及原始存储介质的存放地点或者电子数据的来源等情况。
（2）电子数据是否具有数字签名、数字证书等特殊标识。数字签名，是指利用特定算法对电子数据进行计算，得出的用于验证电子数据来源和完整性的数据值。数字证书，是指包含数字签名并对电子数据来源、完整性进行认证的电子文件。实践中，对数字签名、数字证书的验证既可以通过简单的软件工具进行验证，也可以请具有专门知识的人帮助验证，还可以请有关侦查人员进行验证演示。需要强调的是，并非所有的电子数据都有数字签名或者数字证书，不能因为电子数据没有数字签名或者数字证书就否定其真实性。
（3）电子数据的收集、提取过程是否可以重现。电子数据即使已经被提取，其提取过程仍然可以被完全、准确、一致的重现，审查电子数据时，也可以充分利用该特性通过复现收集、提取过程进行审查，比如审查电子数据检查过程中从扣押的原始存储介质中恢复的电子数据真实性时，除了审查扣押时的有关笔录和原始存储介质的封存状态外，还可以再次进行数据恢复，并比较两次数据恢复的内容是否相同。鉴于此，《规定》提出了复现性审查来判断电子数据真实性的相应规则。
（4）电子数据如有增加、删除、修改等情形的，是否附有说明。一般情况下，电子数据发生增加、删除、修改，其真实性必然受到质疑。但是，电子数据发生增加、删除、修改的，并不必然导致其不真实，在审查电子数据真实性时，当发现电子数据存在增加、删除、修改的情形时，应当作进一步审查：如果增删改是为了顺利展示或者分析电子数据，对电子数据所承载的内容或者证明的事实没有影响，可以认为其是真实的；如果故意篡改或者保管不当导致的增删改，则无法保证电子数据所承载的内容不受影响，也就无法保证其真实性。
（5）电子数据的完整性是否可以保证。电子数据完整性是保证电子数据真实的重要因素，如果电子数据完整性遭到破坏，则意味着电子数据可能被篡改或者破坏，其真实性也无法保证。鉴于此，《规定》在审查电子数据时，仍然从证据的三性出发，从真实性、合法性、关联性地角度提出审查要点。同时，将电子数据完整性纳入了真实性范畴，在进行真实性审查时必须进行完整性审查。
