“大数据”时代背景下电子数据取证工具标准化研究

陈楠 王国荣

2012 年3 月14 日，全国人大对《刑事诉讼法》进行了大幅度修改，将旧法中的7 种证据增加为8种，新增了电子数据。电子数据的提取与保存在一些具体案件中直接关系到案件事实能否查明和有效认定，由于电子数据区别于其他证据种类的特点，为了使电子数据在侦查阶段和审判阶段具有证明力和法律效力，电子数据及时、科学、合法地提取以及保护就显得十分重要。目前，由于缺乏对电子数据取证工具标准化的界定和规范，导致在侦查实践和审判环节中电子数据的证明力和法律效力无法充分发挥，因此，电子数据取证工具的标准化研究显得意义重大。

一、电子数据取证工具现状和基本特征

由于历史原因、使用习惯、地域特点等因素，全国各地公安机关以及相关侦查部门在电子数据取证时，使用不同公司、厂家生产的取证工具，例如厦门美亚柏科信息股份有限公司、上海弘连网络科技有限公司、睿海科技等，又根据现场勘查的需求，采用不同公司的相关产品。品牌繁多、种类丰富是目前电子数据取证工具的现状，这也造成了对同类案件、同种电子数据不同的侦查人员会使用不同的电子数据取证工具这一新情况。目前仍主要依靠CMA、CNAS 准则，通过各类电子设备和电子数据的检验标准对电子数据取证工具进行验证，缺乏符合公安工作实际的行业标准。在公安机关具体办案实践中，侦查机关采用何种电子数据取证工具，大部分取决于资金预算、侦查部门对公司产品的了解、历史使用情况的延续和现场勘查的实际情况。

电子数据取证工具有一般取证工具和专用取证工具，一般取证工具是指为实现取证目的而被取证人员所采用的常用软件、设备，如文本搜索工具、分区检测软件等；专用取证工具是指侦查机关用于提取电子数据，根据取证工作的需要而使用的取证软件、设备①丁丽萍、王永吉：《计算机取证的相关法律技术问题研究》，《软件学报》2005 年第2 期。，如银行卡信息采集仪、手机数据采集系统、取证塔系统、计算机查缉终端等。本文所讨论的电子数据取证工具指的是专用取证工具，这些取证工具通常具有以下属性。

（一）取证结果的稳定性

取证工具的使用涉及嫌疑人的权益，关系到司法活动的公平性、权威性。从电子数据本身特征来看，是一种机器语言，以二进制编码的形式存在于电子设备中，极易因修改、剪接、合成、覆盖等外在因素发生变化。②孙晓冬：《计算机犯罪案件侦查实务教程》，中国人民公安大学出版社2010 年版，第89 页。另外，不同电子设备所产生的电子数据表现形式、存储状态等各不相同，不同的取证工具在同一或相似环境下可能得到的电子数据状态、表现形式存在差异。因此，同一种取证工具要确保能够在同一或者相似环境下反复使用时，得出的取证结论高度一致，具备较强的稳定性。

（二）取证过程的智能性

电子数据的提取要求侦查人员掌握磁盘分析、数据复原、加密解密、数据分析等多方面的知识和技能。③何建波：《国内外电子数据取证标准规范研究》，《保密科学技术》2016 年第3 期。传统的犯罪现场勘查是通过收集有形的痕迹物证来勾画和重建犯罪，其主观能动性较强；而勘察电子数据需要通过挖掘、破译、对比、解读这些信息来寻找和锁定犯罪嫌疑人，客观分析的成分多。因此，大部分电子数据提取软件本身具有一定的智能性，具备在海量数据中确定或者缩小侦查范围，自动分析、提取、对比数据的功能，以提高取证质量、效率和准确性。

从以上特征来看，单一的电子数据取证工具本身虽具有稳定性和智能性，但在侦查实践中，种类繁多的取证工具让这种稳定性和智能性呈现出多样性，导致取证结果也就是电子数据呈现出多样性，影响了电子数据的证据力和法律效力。目前，这种情况在证据运用层面缺乏有效的规制和统一，不仅影响到电子数据在侦查阶段的使用价值，还影响到电子数据在审判阶段的证据价值。

二、电子取证工具标准化的意义

对于标准化的定义，可以这样理解：为在一定范围内获得最佳秩序，对实际的或潜在的问题制定共同的和重复使用规则的活动，称为标准化。电子数据取证工具的标准化，就是在整个诉讼阶段，对电子数据取证工具制定共同的使用规则，避免电子数据因提取工具导致的证据力缺失。

（一）符合法律关于证据属性的要求

《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（2016 年）第1 款规定：“电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据。”2015年2 月4 日最高人民法院发布的一份司法解释显示，网上聊天记录、博客、微博、手机短信、电子签名、域名等形成或者存储在电子介质中的信息可以视为民事案件中的证据。由此可以看出，电子数据作为证据种类，在存在形式上十分多样化，同时还会随着网络信息科技的发展不断更新变化；在用途上，其不仅在刑事案件中被广泛使用，在许多民事案件中也逐渐作为常见的证据使用。按照目前电子数据的使用情况来看，其取证工具的标准化具有十分重要的意义。

1.有利于充分体现电子数据的证据力。从法律对证据的描述来看，证据的核心作用是证明案件事实，即能够客观真实地反映案件中的事实情况。电子数据作为证据种类之一，无论是存在形式还是提取、保存的方式与其他证据种类均有较大区别，体现在：（1）存在形式不同。电子数据包括网页、博客、微博等网络平台发布的信息；手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息；用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息；文档、图片、音频、视频、数字证书、计算机程序等电子文件；其他以数字化形式存储、处理、传输的能够证明案件事实的信息。①《最高人民法院关于修改〈关于民事诉讼证据的若干规定〉的决定》第14 条。电子数据通常产生于计算机、移动终端等电子设备，不仅存在于本地主机、服务器，也会存在于互联网中。（2）表现形式不同。电子数据不仅包括直观的表现形式，也有很多抽象的表现形式。比如，一段聊天记录可以表现为机器语言、代码等；一次操作行为可以表现为系统日志信息、系统进程信息、注册表信息等。此外，由于电子数据的传播性很强，更容易在局域网、广域网中传播，可能会在不同环境下呈现出不同表现形式。

2.有利于充分体现电子数据的证据力。作为法律术语的“证据”，所反映的是与案件相关的某种客观事实。通常电子数据反映的内容为两方面：一是间接记录相关人行为。指的是对与案件有关的电子设备运行状态的记录。这种运行状态能够反映出相关人对电子设备的操作行为，或者是操作后电子设备所呈现的状态。②王进、李校星：《行为分析在犯罪现场勘查中的应用研究》，《今日南国（中旬刊）》2010 年第8 期。例如犯罪嫌疑人登录电脑的方式和身份、在电脑中运行的进程和程序等。二是直接记录相关人行为。指的是相关人通过电子设备进行信息交流、电子信件往来而产生的信息。这种记录更加直观、具体，能够直接反映行为过程。例如图像资料、聊天信息、电子邮件、手机短信等。从电子数据的特点来看，其“三性”即客观性、关联性、合法性都比其他证据更容易受到取证环节的影响，传统证据的提取主要是依赖现场勘查人员的技术、经验，且大部分传统证据的提取已经形成了较为统一的标准和程序，例如指纹、脚印、血迹的提取等。电子数据的属性和特点导致其提取结果受取证工具本身的影响较大，同一类型的电子数据可能因不同取证工具的提取，呈现出不同的形式、状态甚至结果，这并不取决于取证人员的水平和判断。电子数据取证工具的标准化更有利于在不同环境、不同取证主体提取证据时保证电子数据的统一性、规范性，从而保证侦查阶段和审判阶段对电子数据的使用具有证据力和法律效力。

（二）符合侦查实践的需要

1.规避因电子数据的隐蔽性导致的证据矛盾。电子数据通常依附于电子设备存在，例如电脑、移动终端（如手机）等，电子数据本身是抽象的，只有通过侦查人员的提取和分析才能使用，其对电子设备状态的记录不同于其他证据对案件事实的记录，如被害人陈述、证人证言、笔录、视听资料等，都能够直观反映与案件相关的事实情况。一起抢劫案件，可以调取案发现场路边的监控摄像作为证据之一，监控录像能够直观地记录与案件有关的犯罪信息。电子数据并非如此，在网络盗窃案件中，通过向被害人主机发送伪造文件植入木马的方式，盗取被害人的银行卡密码进行盗窃，植入木马这一行为通过修改注册表来实现，作为重要证据的注册表信息须经过侦查人员提取和分析后才能使用。如通过将木马程序的扩展名“.exe”改写为“.jpg”，把木马伪装成图片文件，达到隐藏真实文件的目的。③孙晓冬：《计算机犯罪案件侦查实务教程》，中国人民公安大学出版社2010 年版，第89 页。在提取电子数据的过程中，需要先发现伪造文件，再进一步还原文件，提取电子数据。由此可以看出，在侦查实践中，犯罪嫌疑人为了逃避侦查，常常对与案件有关的文件、图片等信息进行加密、隐藏，在电子数据的属性层面上增加了隐蔽性。不同种类的电子数据取证工具，在分析、还原隐藏的电子数据时可能会呈现出不同结果，这种情况与证据的唯一性相互矛盾。证据之所以能够反映案件事实，就是无论在何种状态下，证据本身的属性不会因为提取工具的不同而改变，取证工具的标准化，就是对取证工具本身的适用性、合法性的规制和认定，从而达到对取证结果的法律性认可和证据性认可，规避电子数据隐蔽性带来的证据矛盾。

2.避免因电子数据易变性导致的证据力不足。易变性是指电子数据容易修改、丢失。在关于电子数据的相关文献资料中，均提到电子数据具有较强的易失性。但是，从很多案例看，电子数据不仅表现为易失性，还具有容易修改、容易被破坏等特征。电子数据和其他证据相比更抽象，可以是代码、机器语言、文字、图片等等。它的存在依赖于电子设备、存储介质等，又不仅限于单一的电子设备、存储介质中，因此不仅容易被人为修改，还很容易受到硬件条件的影响。例如保存在硬盘中的电子数据可能会因为硬盘磁头、扇区受损而无法被提取，从而丢失；装有还原程序的计算机在重新启动后，会恢复原有状态，导致信息丢失；电脑突然断电，会导致内存中的电子数据丢失等。不仅如此，容易丢失的电子数据包括尚未保存的文档、正在浏览的网页信息、网页上的用户名、当前网络连接状态、内存中的内容、系统时间和时区等重要信息。正因为电子数据的易变、易失性，在侦查实践中，勘查人员的取证操作和技术能力可能会引起取证过程中电子数据发生变化，从而失去其证据力。在这种情况下，随着近年来取证工具种类的不断增加，由取证工具导致的电子数据证据力缺失情况也随之出现。从司法程序的角度来看，规范取证工具的行业准入标准以及研发技术①郭弘、施少培、李岩、卢启萌：《电子数据取证鉴定标准化建设工作的实践与思考》，《中国信息安全》2019 年第5 期。，就是规范了整个取证行为的主观方面和客观方面，在因取证工具导致的电子数据本身发生变化时，不会影响电子数据的证据力。

3.避免因电子数据的传播影响其唯一性。电子数据属于时代进步、科技发展的产物，在互联网高度发达的当今社会，电子数据很难独立于网络存在。互联网本身具有很强的共享性、开放性，电子信息可以通过网络在不同的载体之间传播，因此电子数据本身也体现出很强的传播特征。电子数据的传播有两种方式：一是主动传播。常见的主动传播表现为直接发送数据。以当前网络社交习惯举例，通过微信、微博、电子邮箱，直接发送软件、图片、文档等电子信息，或者是通过自媒体软件直播等方式，达到传递信息的目的。这种方式下，软件、图片、视频的制作人或者持有人，主动向目的主机或目的受众传播电子信息，再由目的主机或目的受众进行转发等二次传播。二是共享。例如将软件、图片等内容以开放的形式存储在网络中，允许他人进行下载、转发等行为，通过这种方式达到传播的目的。电子数据的传播性，导致电子数据的表现形式不统一、存储形式不一致，实践中绝大部分网络犯罪案件的电子数据均有传播过程，而证据的唯一性在传播过程中很容易被打破。正如前文所说，不同侦查机关使用的取证工具有所区别，在侦查实践中跨区域取证时，同一案件的同一种电子数据在转播过程中可能呈现不同的表现形式，导致侦查人员使用不同的取证工具和取证方式提取、保存电子数据，若没有统一标准的取证工具，会增加破坏电子数据唯一性的机率。

三、电子数据取证工具标准化研究的发展目标

（一）明确电子数据取证工具的研发管理部门及备案程序

电子数据取证工具研发组织和机构所做的工作实际是开发侦查破案工具，应属于公安机关或其他司法机关认定备案的特殊行业。因此，首先应当对取证工具的研发主体的主管部门作出明确。国内知名的取证软件公司厦门美亚柏科资讯科技公司，其相关资质证书有10 余项，资质管理授权涉及司法、科技、商务等多个部门。目前就我国的应用实际来看，由于电子数据取证工具涉及公共安全和国家安全，应该将其列为公共安全产品加以规范，并由公安部门作为电子数据取证工具研发的主管部门，审核研发机构的资质。规范现有的研发组织和机构，未经资质认证的组织和机构研发的取证工具，不应在公安机关侦查阶段现场勘查使用。同时，还应对引进国外电子数据取证工具进行规范，明确报批、审核的程序。

（二）明确电子数据取证工具的测试标准和认证机构

由于电子数据取证工具的需求较大，许多组织和机构都投入了大量的精力进行研究攻关，但因缺乏统一的标准和规范，使用单位无法对取证工具进行有效性和可靠性甄别。因此，电子数据取证工具的测试认定标准，应当由公安机关所属科研机构进行研究和测试，不同的科研机构对同一电子数据取证工具的测试和认证标准应该是一致的，司法、公安等部门应组织相关厂商、研究机构共同制定电子数据取证工具的国家标准。此外，公安部门、产品质量监督部门应该组织公安机关侦查部门电子数据取证专家和其他计算机专业人员对电子数据取证工具进行检验、测试，通过认定后的产品才可以投入使用。

（三）明确电子数据取证工具研发机构和人员的法律责任

电子数据取证工具的质量关系到案件能否及时侦破，关系到司法活动的公平性和公正性。取证工具质量不过关或者存在功能缺陷，有可能导致无辜的人受到法律追诉，从而致使法律失去尊严、丧失公正。①陈迪、刘涛、姬艳涛：《审判中心主义下的电子取证规范化研究》，《广西警察学院学报》2019 年第1 期。因此，必须明确电子数据取证工具研发组织和机构及研发人员的法律责任，研发组织和机构及研发人员在电子数据取证工具的研制过程中存在过失（无法预知的技术缺陷除外），导致在侦查阶段电子数据灭失或错捕错拘，损害公民权利，影响诉讼活动顺利进行的，应当追究相关法律责任，以此杜绝缺乏研发能力的研发单位盲目立项等现象的发生，确保电子数据取证工具的质量。

四、结语

互联网技术的发展已开启新篇章，尤其是我国网络应用技术的发展日新月异，这也让各类新型电子数据层出不穷，在“大数据”时代背景下，网络犯罪已经从新型犯罪演变成常态化、高发犯罪种类。除此之外，许多传统类型的犯罪也与互联网、信息发展密切关联，侦查环节的信息化、数字化已是大势所趋，这种情况下，审判阶段电子数据的使用频率更高，法律也对电子数据的质量提出了更高要求。电子数据取证工具标准化制度的完善和规范，有利于电子数据“三性”的彰显和发挥。随着网络信息技术的发展，只有不断分析电子数据本身的特点以及其在整个诉讼阶段的作用，才能在取证源头上有所作为，确保整个诉讼阶段电子数据的证据力。法律的完善总是滞后于技术的更新，在当前以审判为中心的侦查背景下，只有不断规范完善电子数据取证的各个环节，电子数据的提取和保存才能从技术的角度上弥补法律的滞后。电子数据取证工具的标准化建设对电子数据在刑事和民事案件中的运用具有十分重要的意义，更可以对相关制度、规定的构建和完善起到积极作用。