“大數(shù)據(jù)”時代背景下電子數(shù)據(jù)取證工具標準化研究

陳楠 王國榮

2012 年3 月14 日，全國人大對《刑事訴訟法》進行了大幅度修改，將舊法中的7 種證據(jù)增加為8種，新增了電子數(shù)據(jù)。電子數(shù)據(jù)的提取與保存在一些具體案件中直接關系到案件事實能否查明和有效認定，由于電子數(shù)據(jù)區(qū)別于其他證據(jù)種類的特點，為了使電子數(shù)據(jù)在偵查階段和審判階段具有證明力和法律效力，電子數(shù)據(jù)及時、科學、合法地提取以及保護就顯得十分重要。目前，由于缺乏對電子數(shù)據(jù)取證工具標準化的界定和規(guī)范，導致在偵查實踐和審判環(huán)節(jié)中電子數(shù)據(jù)的證明力和法律效力無法充分發(fā)揮，因此，電子數(shù)據(jù)取證工具的標準化研究顯得意義重大。

一、電子數(shù)據(jù)取證工具現(xiàn)狀和基本特征

由于歷史原因、使用習慣、地域特點等因素，全國各地公安機關以及相關偵查部門在電子數(shù)據(jù)取證時，使用不同公司、廠家生產的取證工具，例如廈門美亞柏科信息股份有限公司、上海弘連網(wǎng)絡科技有限公司、睿海科技等，又根據(jù)現(xiàn)場勘查的需求，采用不同公司的相關產品。品牌繁多、種類豐富是目前電子數(shù)據(jù)取證工具的現(xiàn)狀，這也造成了對同類案件、同種電子數(shù)據(jù)不同的偵查人員會使用不同的電子數(shù)據(jù)取證工具這一新情況。目前仍主要依靠CMA、CNAS 準則，通過各類電子設備和電子數(shù)據(jù)的檢驗標準對電子數(shù)據(jù)取證工具進行驗證，缺乏符合公安工作實際的行業(yè)標準。在公安機關具體辦案實踐中，偵查機關采用何種電子數(shù)據(jù)取證工具，大部分取決于資金預算、偵查部門對公司產品的了解、歷史使用情況的延續(xù)和現(xiàn)場勘查的實際情況。

電子數(shù)據(jù)取證工具有一般取證工具和專用取證工具，一般取證工具是指為實現(xiàn)取證目的而被取證人員所采用的常用軟件、設備，如文本搜索工具、分區(qū)檢測軟件等；專用取證工具是指偵查機關用于提取電子數(shù)據(jù)，根據(jù)取證工作的需要而使用的取證軟件、設備①丁麗萍、王永吉：《計算機取證的相關法律技術問題研究》，《軟件學報》2005 年第2 期。，如銀行卡信息采集儀、手機數(shù)據(jù)采集系統(tǒng)、取證塔系統(tǒng)、計算機查緝終端等。本文所討論的電子數(shù)據(jù)取證工具指的是專用取證工具，這些取證工具通常具有以下屬性。

（一）取證結果的穩(wěn)定性

取證工具的使用涉及嫌疑人的權益，關系到司法活動的公平性、權威性。從電子數(shù)據(jù)本身特征來看，是一種機器語言，以二進制編碼的形式存在于電子設備中，極易因修改、剪接、合成、覆蓋等外在因素發(fā)生變化。②孫曉冬：《計算機犯罪案件偵查實務教程》，中國人民公安大學出版社2010 年版，第89 頁。另外，不同電子設備所產生的電子數(shù)據(jù)表現(xiàn)形式、存儲狀態(tài)等各不相同，不同的取證工具在同一或相似環(huán)境下可能得到的電子數(shù)據(jù)狀態(tài)、表現(xiàn)形式存在差異。因此，同一種取證工具要確保能夠在同一或者相似環(huán)境下反復使用時，得出的取證結論高度一致，具備較強的穩(wěn)定性。

（二）取證過程的智能性

電子數(shù)據(jù)的提取要求偵查人員掌握磁盤分析、數(shù)據(jù)復原、加密解密、數(shù)據(jù)分析等多方面的知識和技能。③何建波：《國內外電子數(shù)據(jù)取證標準規(guī)范研究》，《保密科學技術》2016 年第3 期。傳統(tǒng)的犯罪現(xiàn)場勘查是通過收集有形的痕跡物證來勾畫和重建犯罪，其主觀能動性較強；而勘察電子數(shù)據(jù)需要通過挖掘、破譯、對比、解讀這些信息來尋找和鎖定犯罪嫌疑人，客觀分析的成分多。因此，大部分電子數(shù)據(jù)提取軟件本身具有一定的智能性，具備在海量數(shù)據(jù)中確定或者縮小偵查范圍，自動分析、提取、對比數(shù)據(jù)的功能，以提高取證質量、效率和準確性。

從以上特征來看，單一的電子數(shù)據(jù)取證工具本身雖具有穩(wěn)定性和智能性，但在偵查實踐中，種類繁多的取證工具讓這種穩(wěn)定性和智能性呈現(xiàn)出多樣性，導致取證結果也就是電子數(shù)據(jù)呈現(xiàn)出多樣性，影響了電子數(shù)據(jù)的證據(jù)力和法律效力。目前，這種情況在證據(jù)運用層面缺乏有效的規(guī)制和統(tǒng)一，不僅影響到電子數(shù)據(jù)在偵查階段的使用價值，還影響到電子數(shù)據(jù)在審判階段的證據(jù)價值。

二、電子取證工具標準化的意義

對于標準化的定義，可以這樣理解：為在一定范圍內獲得最佳秩序，對實際的或潛在的問題制定共同的和重復使用規(guī)則的活動，稱為標準化。電子數(shù)據(jù)取證工具的標準化，就是在整個訴訟階段，對電子數(shù)據(jù)取證工具制定共同的使用規(guī)則，避免電子數(shù)據(jù)因提取工具導致的證據(jù)力缺失。

（一）符合法律關于證據(jù)屬性的要求

《關于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》（2016 年）第1 款規(guī)定：“電子數(shù)據(jù)是案件發(fā)生過程中形成的，以數(shù)字化形式存儲、處理、傳輸?shù)?，能夠證明案件事實的數(shù)據(jù)?！?015年2 月4 日最高人民法院發(fā)布的一份司法解釋顯示，網(wǎng)上聊天記錄、博客、微博、手機短信、電子簽名、域名等形成或者存儲在電子介質中的信息可以視為民事案件中的證據(jù)。由此可以看出，電子數(shù)據(jù)作為證據(jù)種類，在存在形式上十分多樣化，同時還會隨著網(wǎng)絡信息科技的發(fā)展不斷更新變化；在用途上，其不僅在刑事案件中被廣泛使用，在許多民事案件中也逐漸作為常見的證據(jù)使用。按照目前電子數(shù)據(jù)的使用情況來看，其取證工具的標準化具有十分重要的意義。

1.有利于充分體現(xiàn)電子數(shù)據(jù)的證據(jù)力。從法律對證據(jù)的描述來看，證據(jù)的核心作用是證明案件事實，即能夠客觀真實地反映案件中的事實情況。電子數(shù)據(jù)作為證據(jù)種類之一，無論是存在形式還是提取、保存的方式與其他證據(jù)種類均有較大區(qū)別，體現(xiàn)在：（1）存在形式不同。電子數(shù)據(jù)包括網(wǎng)頁、博客、微博等網(wǎng)絡平臺發(fā)布的信息；手機短信、電子郵件、即時通信、通訊群組等網(wǎng)絡應用服務的通信信息；用戶注冊信息、身份認證信息、電子交易記錄、通信記錄、登錄日志等信息；文檔、圖片、音頻、視頻、數(shù)字證書、計算機程序等電子文件；其他以數(shù)字化形式存儲、處理、傳輸?shù)哪軌蜃C明案件事實的信息。①《最高人民法院關于修改〈關于民事訴訟證據(jù)的若干規(guī)定〉的決定》第14 條。電子數(shù)據(jù)通常產生于計算機、移動終端等電子設備，不僅存在于本地主機、服務器，也會存在于互聯(lián)網(wǎng)中。（2）表現(xiàn)形式不同。電子數(shù)據(jù)不僅包括直觀的表現(xiàn)形式，也有很多抽象的表現(xiàn)形式。比如，一段聊天記錄可以表現(xiàn)為機器語言、代碼等；一次操作行為可以表現(xiàn)為系統(tǒng)日志信息、系統(tǒng)進程信息、注冊表信息等。此外，由于電子數(shù)據(jù)的傳播性很強，更容易在局域網(wǎng)、廣域網(wǎng)中傳播，可能會在不同環(huán)境下呈現(xiàn)出不同表現(xiàn)形式。

2.有利于充分體現(xiàn)電子數(shù)據(jù)的證據(jù)力。作為法律術語的“證據(jù)”，所反映的是與案件相關的某種客觀事實。通常電子數(shù)據(jù)反映的內容為兩方面：一是間接記錄相關人行為。指的是對與案件有關的電子設備運行狀態(tài)的記錄。這種運行狀態(tài)能夠反映出相關人對電子設備的操作行為，或者是操作后電子設備所呈現(xiàn)的狀態(tài)。②王進、李校星：《行為分析在犯罪現(xiàn)場勘查中的應用研究》，《今日南國（中旬刊）》2010 年第8 期。例如犯罪嫌疑人登錄電腦的方式和身份、在電腦中運行的進程和程序等。二是直接記錄相關人行為。指的是相關人通過電子設備進行信息交流、電子信件往來而產生的信息。這種記錄更加直觀、具體，能夠直接反映行為過程。例如圖像資料、聊天信息、電子郵件、手機短信等。從電子數(shù)據(jù)的特點來看，其“三性”即客觀性、關聯(lián)性、合法性都比其他證據(jù)更容易受到取證環(huán)節(jié)的影響，傳統(tǒng)證據(jù)的提取主要是依賴現(xiàn)場勘查人員的技術、經驗，且大部分傳統(tǒng)證據(jù)的提取已經形成了較為統(tǒng)一的標準和程序，例如指紋、腳印、血跡的提取等。電子數(shù)據(jù)的屬性和特點導致其提取結果受取證工具本身的影響較大，同一類型的電子數(shù)據(jù)可能因不同取證工具的提取，呈現(xiàn)出不同的形式、狀態(tài)甚至結果，這并不取決于取證人員的水平和判斷。電子數(shù)據(jù)取證工具的標準化更有利于在不同環(huán)境、不同取證主體提取證據(jù)時保證電子數(shù)據(jù)的統(tǒng)一性、規(guī)范性，從而保證偵查階段和審判階段對電子數(shù)據(jù)的使用具有證據(jù)力和法律效力。

（二）符合偵查實踐的需要

1.規(guī)避因電子數(shù)據(jù)的隱蔽性導致的證據(jù)矛盾。電子數(shù)據(jù)通常依附于電子設備存在，例如電腦、移動終端（如手機）等，電子數(shù)據(jù)本身是抽象的，只有通過偵查人員的提取和分析才能使用，其對電子設備狀態(tài)的記錄不同于其他證據(jù)對案件事實的記錄，如被害人陳述、證人證言、筆錄、視聽資料等，都能夠直觀反映與案件相關的事實情況。一起搶劫案件，可以調取案發(fā)現(xiàn)場路邊的監(jiān)控攝像作為證據(jù)之一，監(jiān)控錄像能夠直觀地記錄與案件有關的犯罪信息。電子數(shù)據(jù)并非如此，在網(wǎng)絡盜竊案件中，通過向被害人主機發(fā)送偽造文件植入木馬的方式，盜取被害人的銀行卡密碼進行盜竊，植入木馬這一行為通過修改注冊表來實現(xiàn)，作為重要證據(jù)的注冊表信息須經過偵查人員提取和分析后才能使用。如通過將木馬程序的擴展名“.exe”改寫為“.jpg”，把木馬偽裝成圖片文件，達到隱藏真實文件的目的。③孫曉冬：《計算機犯罪案件偵查實務教程》，中國人民公安大學出版社2010 年版，第89 頁。在提取電子數(shù)據(jù)的過程中，需要先發(fā)現(xiàn)偽造文件，再進一步還原文件，提取電子數(shù)據(jù)。由此可以看出，在偵查實踐中，犯罪嫌疑人為了逃避偵查，常常對與案件有關的文件、圖片等信息進行加密、隱藏，在電子數(shù)據(jù)的屬性層面上增加了隱蔽性。不同種類的電子數(shù)據(jù)取證工具，在分析、還原隱藏的電子數(shù)據(jù)時可能會呈現(xiàn)出不同結果，這種情況與證據(jù)的唯一性相互矛盾。證據(jù)之所以能夠反映案件事實，就是無論在何種狀態(tài)下，證據(jù)本身的屬性不會因為提取工具的不同而改變，取證工具的標準化，就是對取證工具本身的適用性、合法性的規(guī)制和認定，從而達到對取證結果的法律性認可和證據(jù)性認可，規(guī)避電子數(shù)據(jù)隱蔽性帶來的證據(jù)矛盾。

2.避免因電子數(shù)據(jù)易變性導致的證據(jù)力不足。易變性是指電子數(shù)據(jù)容易修改、丟失。在關于電子數(shù)據(jù)的相關文獻資料中，均提到電子數(shù)據(jù)具有較強的易失性。但是，從很多案例看，電子數(shù)據(jù)不僅表現(xiàn)為易失性，還具有容易修改、容易被破壞等特征。電子數(shù)據(jù)和其他證據(jù)相比更抽象，可以是代碼、機器語言、文字、圖片等等。它的存在依賴于電子設備、存儲介質等，又不僅限于單一的電子設備、存儲介質中，因此不僅容易被人為修改，還很容易受到硬件條件的影響。例如保存在硬盤中的電子數(shù)據(jù)可能會因為硬盤磁頭、扇區(qū)受損而無法被提取，從而丟失；裝有還原程序的計算機在重新啟動后，會恢復原有狀態(tài)，導致信息丟失；電腦突然斷電，會導致內存中的電子數(shù)據(jù)丟失等。不僅如此，容易丟失的電子數(shù)據(jù)包括尚未保存的文檔、正在瀏覽的網(wǎng)頁信息、網(wǎng)頁上的用戶名、當前網(wǎng)絡連接狀態(tài)、內存中的內容、系統(tǒng)時間和時區(qū)等重要信息。正因為電子數(shù)據(jù)的易變、易失性，在偵查實踐中，勘查人員的取證操作和技術能力可能會引起取證過程中電子數(shù)據(jù)發(fā)生變化，從而失去其證據(jù)力。在這種情況下，隨著近年來取證工具種類的不斷增加，由取證工具導致的電子數(shù)據(jù)證據(jù)力缺失情況也隨之出現(xiàn)。從司法程序的角度來看，規(guī)范取證工具的行業(yè)準入標準以及研發(fā)技術①郭弘、施少培、李巖、盧啟萌：《電子數(shù)據(jù)取證鑒定標準化建設工作的實踐與思考》，《中國信息安全》2019 年第5 期。，就是規(guī)范了整個取證行為的主觀方面和客觀方面，在因取證工具導致的電子數(shù)據(jù)本身發(fā)生變化時，不會影響電子數(shù)據(jù)的證據(jù)力。

3.避免因電子數(shù)據(jù)的傳播影響其唯一性。電子數(shù)據(jù)屬于時代進步、科技發(fā)展的產物，在互聯(lián)網(wǎng)高度發(fā)達的當今社會，電子數(shù)據(jù)很難獨立于網(wǎng)絡存在?；ヂ?lián)網(wǎng)本身具有很強的共享性、開放性，電子信息可以通過網(wǎng)絡在不同的載體之間傳播，因此電子數(shù)據(jù)本身也體現(xiàn)出很強的傳播特征。電子數(shù)據(jù)的傳播有兩種方式：一是主動傳播。常見的主動傳播表現(xiàn)為直接發(fā)送數(shù)據(jù)。以當前網(wǎng)絡社交習慣舉例，通過微信、微博、電子郵箱，直接發(fā)送軟件、圖片、文檔等電子信息，或者是通過自媒體軟件直播等方式，達到傳遞信息的目的。這種方式下，軟件、圖片、視頻的制作人或者持有人，主動向目的主機或目的受眾傳播電子信息，再由目的主機或目的受眾進行轉發(fā)等二次傳播。二是共享。例如將軟件、圖片等內容以開放的形式存儲在網(wǎng)絡中，允許他人進行下載、轉發(fā)等行為，通過這種方式達到傳播的目的。電子數(shù)據(jù)的傳播性，導致電子數(shù)據(jù)的表現(xiàn)形式不統(tǒng)一、存儲形式不一致，實踐中絕大部分網(wǎng)絡犯罪案件的電子數(shù)據(jù)均有傳播過程，而證據(jù)的唯一性在傳播過程中很容易被打破。正如前文所說，不同偵查機關使用的取證工具有所區(qū)別，在偵查實踐中跨區(qū)域取證時，同一案件的同一種電子數(shù)據(jù)在轉播過程中可能呈現(xiàn)不同的表現(xiàn)形式，導致偵查人員使用不同的取證工具和取證方式提取、保存電子數(shù)據(jù)，若沒有統(tǒng)一標準的取證工具，會增加破壞電子數(shù)據(jù)唯一性的機率。

三、電子數(shù)據(jù)取證工具標準化研究的發(fā)展目標

（一）明確電子數(shù)據(jù)取證工具的研發(fā)管理部門及備案程序

電子數(shù)據(jù)取證工具研發(fā)組織和機構所做的工作實際是開發(fā)偵查破案工具，應屬于公安機關或其他司法機關認定備案的特殊行業(yè)。因此，首先應當對取證工具的研發(fā)主體的主管部門作出明確。國內知名的取證軟件公司廈門美亞柏科資訊科技公司，其相關資質證書有10 余項，資質管理授權涉及司法、科技、商務等多個部門。目前就我國的應用實際來看，由于電子數(shù)據(jù)取證工具涉及公共安全和國家安全，應該將其列為公共安全產品加以規(guī)范，并由公安部門作為電子數(shù)據(jù)取證工具研發(fā)的主管部門，審核研發(fā)機構的資質。規(guī)范現(xiàn)有的研發(fā)組織和機構，未經資質認證的組織和機構研發(fā)的取證工具，不應在公安機關偵查階段現(xiàn)場勘查使用。同時，還應對引進國外電子數(shù)據(jù)取證工具進行規(guī)范，明確報批、審核的程序。

（二）明確電子數(shù)據(jù)取證工具的測試標準和認證機構

由于電子數(shù)據(jù)取證工具的需求較大，許多組織和機構都投入了大量的精力進行研究攻關，但因缺乏統(tǒng)一的標準和規(guī)范，使用單位無法對取證工具進行有效性和可靠性甄別。因此，電子數(shù)據(jù)取證工具的測試認定標準，應當由公安機關所屬科研機構進行研究和測試，不同的科研機構對同一電子數(shù)據(jù)取證工具的測試和認證標準應該是一致的，司法、公安等部門應組織相關廠商、研究機構共同制定電子數(shù)據(jù)取證工具的國家標準。此外，公安部門、產品質量監(jiān)督部門應該組織公安機關偵查部門電子數(shù)據(jù)取證專家和其他計算機專業(yè)人員對電子數(shù)據(jù)取證工具進行檢驗、測試，通過認定后的產品才可以投入使用。

（三）明確電子數(shù)據(jù)取證工具研發(fā)機構和人員的法律責任

電子數(shù)據(jù)取證工具的質量關系到案件能否及時偵破，關系到司法活動的公平性和公正性。取證工具質量不過關或者存在功能缺陷，有可能導致無辜的人受到法律追訴，從而致使法律失去尊嚴、喪失公正。①陳迪、劉濤、姬艷濤：《審判中心主義下的電子取證規(guī)范化研究》，《廣西警察學院學報》2019 年第1 期。因此，必須明確電子數(shù)據(jù)取證工具研發(fā)組織和機構及研發(fā)人員的法律責任，研發(fā)組織和機構及研發(fā)人員在電子數(shù)據(jù)取證工具的研制過程中存在過失（無法預知的技術缺陷除外），導致在偵查階段電子數(shù)據(jù)滅失或錯捕錯拘，損害公民權利，影響訴訟活動順利進行的，應當追究相關法律責任，以此杜絕缺乏研發(fā)能力的研發(fā)單位盲目立項等現(xiàn)象的發(fā)生，確保電子數(shù)據(jù)取證工具的質量。

四、結語

互聯(lián)網(wǎng)技術的發(fā)展已開啟新篇章，尤其是我國網(wǎng)絡應用技術的發(fā)展日新月異，這也讓各類新型電子數(shù)據(jù)層出不窮，在“大數(shù)據(jù)”時代背景下，網(wǎng)絡犯罪已經從新型犯罪演變成常態(tài)化、高發(fā)犯罪種類。除此之外，許多傳統(tǒng)類型的犯罪也與互聯(lián)網(wǎng)、信息發(fā)展密切關聯(lián)，偵查環(huán)節(jié)的信息化、數(shù)字化已是大勢所趨，這種情況下，審判階段電子數(shù)據(jù)的使用頻率更高，法律也對電子數(shù)據(jù)的質量提出了更高要求。電子數(shù)據(jù)取證工具標準化制度的完善和規(guī)范，有利于電子數(shù)據(jù)“三性”的彰顯和發(fā)揮。隨著網(wǎng)絡信息技術的發(fā)展，只有不斷分析電子數(shù)據(jù)本身的特點以及其在整個訴訟階段的作用，才能在取證源頭上有所作為，確保整個訴訟階段電子數(shù)據(jù)的證據(jù)力。法律的完善總是滯后于技術的更新，在當前以審判為中心的偵查背景下，只有不斷規(guī)范完善電子數(shù)據(jù)取證的各個環(huán)節(jié)，電子數(shù)據(jù)的提取和保存才能從技術的角度上彌補法律的滯后。電子數(shù)據(jù)取證工具的標準化建設對電子數(shù)據(jù)在刑事和民事案件中的運用具有十分重要的意義，更可以對相關制度、規(guī)定的構建和完善起到積極作用。