美国加密数据的强制性披露*

熊志海，周国平

(重庆邮电大学法学院，重庆 400065)

今天，很轻易便可获得加密软件用于保护数据，这些软件具有很高的安全性，许多执法机构都无法对其破解。警方在未经同意的情况下要想绕开被告的密码以对其计算机执行搜查，在实践中往往存在严重阻碍。当技术可行时，执法人员可运用这些技术访问加密的数据。例如，当密码只有几个字符的长度时，计算机可以尝试依次运用每个可能的字母或数字组合对密码进行破译，直到获得正确的密码。但是，一旦技术不可行，对刑事诉讼程序的继续进行就可能构成严重阻碍。如在2011年发生的Common wealth v.Hurst一案中〔1〕Regina Medina:Educator Accused of Sexting Teen，Phila.Inquirer，Sep.25，2010.［2012-07-25］.http://articles.philly.com/2010-09-25/news/24977846.，受害者主张被告向其发送了色情短信并向检察机关提交了自己的手机作为证据。被告辩称自己的手机遭受病毒感染，导致了短信的发送。为从表面上表示自己的诚实，被告向检察机关提交了自己的手机，但手机已受到加密。被告明确表示，他不愿向检察机关提供手机密码，并打算把案件拖入审判程序。然而，当一名合作的证人披露密码后，被告最终决定接受诉辩交易。

Hurst案的结果显示了在这类案件中加密数据的重要性。警方从Hurst手机中获取的不良文本短信是反驳他的有力证据。然而，它们的证据价值，从某些方面说，是边缘化的:当警方无法破译手机密码时，是否还能获取这些不良文本短信?事实上，Hurst案是因被告认罪而得出判决，从某种程度上，这些价值边缘化的证据，强调了一个事实，即在特定案件中，解密数据行为本身就能够决定审判的结果。

破解加密数据的加密算法已超越了执法机构的能力范围，即使法庭传唤被告披露密码或提供解密数据，当被告拒绝服从传唤就可能导致控诉失败。这一事实表明，有必要创建一种替代性的并且更有效的程序，以迫使被告披露加密设备的内容。然而在美国，任何这样的程序，很显然都需符合宪法第四和第五修正案的严格规定。

于是，对加密电子设备的调查就引出了如下问题:(1)对加密电子设备的搜查是否受到美国宪法第四修正案的特殊性保护;(2)通过传票强制被告披露密码或提供解密数据是否违反美国宪法第五修正案自证其罪的规定;(3)当被告拒绝服从法庭传唤，拒不提供密码或解密数据时，应采用何种法律机制予以补救。本文对美国近几年在司法实践中遇到的以上问题及其应对策略进行介绍与分析，希望通过此文能为细化我国电子数据的调查程序提供借鉴。

一、电子设备受到美国宪法第四修正案的特殊性保护

(一)对电子设备的搜查

对电子设备的搜查，不管设备是否加密，均涉及隐私权保护问题。根据美国宪法第四修正案，有证搜查是必要，无证搜查是例外。只有存在合理原因表明在搜查地点能够发现犯罪证据，并依据搜查证的搜查才是合法有效的。此外，搜查证必须能足够具体地描述搜查地点及搜查和扣押的物品〔2〕U.S.Const.amend.IV.。

以上特殊性规定旨在防止“翻箱倒柜式的对个人财产进行任意过度的搜查”，致使无法利用描述其他案件的搜查证扣押当前案件的任何物品。对于要获取什么物品，并不由执行搜查证人员的自由裁量权决定。这一规定存在一个有限的例外，即“一眼看清原则”。按照此项原则，警方依据搜查证进入特定场所执行搜查时，无意中发现有关犯罪的物件，并一眼认出与犯罪有关，可即时予以扣押，即使搜查证并未列明该被扣押的物品。传统的搜查主要针对的是物理空间，但随着计算机科学技术的发展，搜查的对象进一步延伸至虚拟空间〔3〕刘品新.论计算机搜查的法律规制［J］.法学家，2008，(4):115-123.。

然而不幸的是，计算机搜查并不能简单的适用第四修正案。计算机数据具有易修改性和误导性的特点，这决定了计算机文件在未被打开的情况下是无法确定其中内容的，因此每一次的计算机搜查随时都有可能转变为过度的搜查。此外，由于计算机数据无法像有形证据一样一眼就被看清，一眼看清原则在电子技术背景下就难以适用。当计算机包含多重敏感数据时，隐私权遭受侵犯的风险是加倍的，如计算机可能含有医疗记录、遗嘱和信托文件、商业邮件以及律师与被告间进行的受法律保护的交流等。

美国最高法院尚未解决这个问题，各巡回法庭则采取了不同的策略以应对这一现实。其中美国第九巡回上诉法院在保护个人隐私方面关注最多，一份2010年由首席法官科金斯基作出的判决意见中提到:“搜查证一般应包括，或发布命令的司法人员应增加这一策略:禁止调查人员审查或保留除已出示合理根据以外的其他任何数据。程序上可能涉及，如本案中，要求特别训练的且与调查过程无关的计算机人员对数据进行隔离。在类似案件中，应该明确规定只有以上人员可以审查和隔离数据。执法机构也应当支持在未得到法庭批准的情况下，这些计算机人员不得泄露任何在数据隔离过程中获悉的信息……数据被隔离后，调查人员只允许搜查在搜查证中指定的信息。如果缺乏进一步的司法授权，任何多余的数据副本应当被销毁，若依法可被当事人拥有的，可随同被扣押的原始介质归还当事人。执法机构不得擅自保留数据副本，除非获得具体的司法授权。”〔4〕United States v.Comprehensive Drug Testing，Inc.，621 F.3d 1162，1179(9th Cir.2010).

第二和第八巡回法院没有采用科金斯基的搜查规则作为自身的规定，但表示认同这一程序。然而，第六巡回区的田纳西州东部地方法院却完全反对采用这一规则，其认为“搜查证程序主要用于确定搜查或扣押对象(而不是搜查或扣押的方式)以及是否有充足的理由表明有必要侵犯个人隐私”。在此基础上，该法院认定“当搜查证允许调查人员搜查计算机时，他们可以搜查计算机中的所有文件，以发现可被扣押的文件”。〔5〕United States v.Kernell，No.308-CR-142，2010 WL 1491873，at*8(E.D.Tenn.Mar.31，2010).

美国第十巡回上诉法院采用了一种折中的方式。该法院既没有采用第九巡回法院要求的在搜查证中包含一个特定的计算机搜查策略，也没接受第六巡回法院所认为的依据搜查证可查看所有计算机文件。相反，第十巡回法院指令搜查人员尝试，技术可行的情况下，在打开文件前将文件按类型分成相关与不相关的文件(如图片、电子表格、视频或者音乐文件)。完成后，调查人员被赋予充分的裁量权以对相关数据进行搜查。主审法官可以根据以下因素来审查搜查程序是否合理:“(1)搜查的对象;(2)可合理包含这些对象的文件类型;(3)调查人员是否因查找其他罪行的证据文件而实际上扩大了搜查的范围。”〔6〕United States v.Brooks，427 F.3d 1246，1251-52(10th Cir.2005).

第三巡回法院采用了类似的方法，指令搜查人员采用的搜查方式，如将搜查集中于搜查证中确定的文件类型、文件名、关键字搜索及目录结构〔7〕United States v.Stabile，633 F.3d 219，239-40(3d Cir.2011).。第五巡回区的美国德克萨斯州南部地区法院则更进一步，其敦促执法机关在搜查过程中应根据元数据排除不相关的文件〔8〕United States v.Kim，677 F.Supp.2d 930，947(S.D.Tex.2009).。例如，执法人员不应打开在当前所调查罪行很久以前创建的文件。第七和第十一巡回法院虽然并未明确在审查搜查证执行过程中的具体考虑因素，但均表示支持文件分类及关键字搜索的使用。

(二)对加密电子设备的搜查

当被告加密他们的电子设备时，同时引出了宪法第四修正案与技术挑战的问题。

在Hurst案中，被告自愿向警方提供手机。一方面，Hurst通过协商一致交出了他的手机，这似乎可被认为他放弃了对手机所含数据的隐私权。然而，事实上，Hurst同意警方获取和调查手机并不一定意味着他明确同意警方搜查手机中受密码保护的内容;另一方面，移交密码保护设备却拒不提供密码，被告也可被认为不同意警方对其手机所含数据进行搜查。这样一来，受密码保护的设备，如Hurst的手机，对搜查就形成了两种严重阻碍:首先，若没有被告的帮助，警方可能无法解密设备。即便警方可以破解或猜测出密码，搜查是否符合第四修正案的规定可能受到质疑;其次，对已过时或非常罕见的设备执行分类搜查，可能难以甚至无法找到相对应的司法分析软件，这也是第九巡回法院实施的搜查策略将会面临的问题。

事实上这并不是一个全新的问题，美国法院很早就曾面临过这样的情况，即因所需证据的性质而导致搜查难以符合宪法规定〔9〕In re Establishment Inspection of Skil Corp，846 F.2d 1127，1133(7th Cir.1988).。为应对这一挑战，通常法院会通过传票的形式强制被告提供受追查的信息。这种程序避免了警方读取不相关私人信息的危险，并且巧妙地绕开了以上提到的各种与第四修正案相关的问题。然而，却引出了第五修正案的问题。

二、强制披露密码和提供解密数据是否违反自证其罪

(一)宪法第五修正案的规定

宪法第五修正案目的是防止执法机构强迫被告提供归罪证言或证据。依据第五修正案，举证行为本身是受特权保护的。如果仅仅举证行为就能够“暗示性地传达犯罪事实，如承认归罪文件存在、为举证者拥有或控制并且是真实的”，在未给被告提供豁免权或其他保障的情况下，法院就不得传唤这种举证行为。第五修正案一向只排除本质上为证言的证据，言词证据区别于实物证据。要形成言词证据，不管明示还是暗示，被告的交流行为本身必须与事实主张相关或披露了事实信息。

然而，只要举证行为本身不违反证言规则，法院和检察机关就可强制被告提供归罪证据，只要证据的生成本身不是强制的。换句话说，检察官可以强制被告提供私人信息或商业记录，以作为确定信息制作人罪行的实质性证据，而不考虑自证其罪的禁止。这就是1976年在著名的费希尔(Fisher v.United States)判例中确立的原则〔10〕陈芳，吴宏耀.费希尔案与反对强迫自我归罪特权［J］.中国审判，2007，(12):68-71.。

例如，在1988年审理的Doe v.united States案中〔11〕Doe，487 U.S.at 202-03.，大陪审团命令被告就隐瞒财产的行为作证。大陪审团发出传票，要求他提供在开曼群岛和百慕大群岛的三个银行交易记录，但被告援引第五修正案特权反对自证其罪，并拒绝服从传唤。联邦检察官试图绕过这个问题，直接从国外银行传唤交易记录。但银行声称，按当地法规条例，禁止发布账户持有人没有签署同意书的交易记录。检察机关传唤被告签署同意书，然而被告仍然利用其特权，反对强迫自证其罪。美国德克萨斯州南部地区法院以同意书披露了对具体银行账户的所有权而构成证言为由驳回了执法机构的传票申请。作为回应，联邦检察官重新起草同意书，不再针对具体银行，并要求被告签署。然而，被告再次拒绝服从。

最终，美国最高法院认为，新的同意书是精心起草的，被告的举证行为本身并不会使其遭受归罪牵连。同意书不足以形成证言，不受第五修正案的约束，因为它并未涉及对事实主张或事实信息的披露。同意书中并未指定被告针对哪些银行，执法机构也没有强迫被告披露他曾使用过的银行，并无证言信息得到揭露。

(二)强制提供密码和解密数据的判例

前已述及，在追查的数据经过加密的案件中，没有被告的帮助，要破解计算机或电子设备以执行搜查可能很困难甚至是不可行的。因为执法机构可以强制被告提供罪证文件，只要文件本身并非强制生成，其中一个解决以上问题的办法就是法院通过传票传唤被告披露密码或提供解密数据。然而，对于强制被告披露的密码或解密数据行为本身是否构成归罪证言，存在争议。目前美国有三间法院处理过这一具体问题，即第五修正案是否保护计算机密码。

在2010年的United States v.Kirschner一案〔12〕United States v.Kirschner，No.09-MC-50872，2010 WL 1257355，at*1(E.D.Mich.Mar.30，2010).，联邦大陪审团参与了对被告涉嫌私藏儿童情色作品三项重罪的调查。被告利用文件加密阻碍调查。检察官传唤被告向大陪审团作证，并要求其揭示密码，以解密文件的内容。被告援引第五修正案特权反对自证其罪，拒绝传唤，并提出动议要求撤销传唤。美国密歇根州东部地区法院将这一问题的特点归结为“要求被告提供密码是否构成证言交流”。该法院指出，与Doe案重新起草的同意书不同，强制披露密码的行为已构成事实信息的交流，因此违反了第五修正案对证言的禁止。法院最终撤销了执法机构的传票申请。

佛蒙特州地方法院审理In Re Boucher一案中得出了不同的结论〔13〕In re Boucher，No.2:06-mj-91，2009 WL 424718，at*1(D.Vt.Feb.19，2009).。在该案中，巡逻人员在边境拦截被告并在其计算机内发现超过40000张的情色图片，其怀疑很多涉及儿童色情，但这些文件已受到密码保护。参与调查的大陪审团传唤被告披露自己的密码，或提供硬盘的解密副本。被告拒绝遵守传唤，并援引第五修正案中的特权。法院指出:“毫无疑问，笔记本电脑中的内容是自行编写或编译的，并不属于证言，因此不受第五修正案的保护。”此外，法院还指出，被告提供解密文件的行为虽可作为所有权的证据，但执法机构无需这一证据也可将被告与笔记本关联起来，被告的主张毫无意义。因此，法院要求被告提供笔记本硬盘的解密副本。

2012年1月，在United States v.Fricosu一案中〔14〕United States v.Fricosu，No.10-cr-00509-REB-02，2012 U.S.Dist.LEXIS 11083，at*1(D.Colo.Jan.23，2012).，科罗拉多州地区法院也面临了类似的情况。和Boucher案类似，执法机构向法院提出申请，要求强制被告提供加密硬盘的解密副本。法院依据费希尔判例，认为执法机构要求被告提供已存在的解密文件，而不是密码，这并不会违反第五修正案对证言的禁止。因此，法院同意了执法机构的申请。

三、解决宪法修正案问题的应对策略

综上，美国各巡回法院更倾向于把电子设备看成独特的宪法客体，受到宪法第四修正案的特殊保护，在对电子设备执行搜查的过程中应在搜查证中根据电子数据的特点限制搜查范围，并考虑鉴定软件在对加密设备进行破解或搜查过程中的技术局限性。此外，密码是否构成证言存在争议，但加密设备所含数据无疑是计算机自行生成的，并不属于证言，这一点得到了Boucher与Fricosu案法院的认可。依据费希尔判例，第五修正案只保护证言或实质上构成证言的举证行为。在举证行为不构成归罪证言或举证行为本身不会归罪的基础上，执法机构可以强制被告提供归罪证据，只要证据本身并非强制生成。因此，在对加密电子数据执行搜查或传唤时，要符合第四与第五修正案的严格规定，必须综合考虑以上各种因素。

在美国，最好的方式是将传票与搜查证式的具体描述相结合。

首先，执法机构通过传票要求被告提供加密硬盘的解密副本，而不是披露密码这一已受到Kirschner和Fricosu案法院否定的方式。虽然披露密码与解密数据从技术上说并无区别，并且密码本质上也是计算机自行生成的数据〔15〕Phillip R.Reitinger:Compelled Production of Plaintext and Keys，1996 U.Chi.Legal F.171，195-97.，但执法机构也没有必要冒着被法院否定的风险强制被告披露密码。如果提供数据行为本身是可以归罪的，那么执法机构可以向被告宣读其对该行为享有豁免权。根据美国法律，在没有采取强制措施、赋予证人豁免权或者不存在自我归罪危险时，证人必须提交受传唤的私人信息。在英美法系中，证人并不是一种独立于被害人、被告人的角色，而是对任意能够提供证言之人的统称〔16〕吴宏耀.反对强迫自证其罪特权原则的引入与制度构建［J］.法学，2008，(6):20-27.。

其次，当设备所含数据数量庞大，提供整个硬盘的解密副本将显得过于宽泛的，法院可以依据自由裁量权限制数据提交的范围，如根据文件类型提交解密数据。这样一来，在既定原则下，一方面，保护了被告的隐私权，使其免受第四修正案所禁止的过度搜查;另一方面，执法机构也不会因为强制被告提供密码而形成证言，违反第五修正案的特权规定。

然而，这种方式存在固有的缺陷，这也是所有涉及强制被告披露密码的方案所共有的:它依赖被告服从法庭命令，提供归罪数据。因为传播一张描绘未成年人色情行为的图片可导致五年以上有期刑期〔17〕18 U.S.C.§2252.，许多藏有类似违禁品的被告宁愿承担藐视法庭的罪名也不愿提供解密数据。

四、被告拒绝服从传唤的补救机制

如上所述，特定案件中，被告不服从传唤的动机很强烈，执法机构可能付出的代价也很高。因此，有必要实施额外的法律机制来以弥补这一缺陷。过去美国法院常用的处分就是藐视法庭罪，但许多被告宁愿承担藐视法庭的罪名也不愿警方对他们的计算机或设备进行调查。为应对这一问题，美国学者约翰·拉金提出了更为有效的处分方式:证人缺失推定〔18〕John E.D.Larkin:COMPELLED PRODUCTION OF ENCRYPTED DATA［M］，Vand.J.Ent.＆ Tech.L.253(2012).。

证人缺失推定并不是新事物。在美国，当证据或潜在的证人只为一方当事人掌握时，并且该份证据很可能是关键并且唯一的，假如该当事人基于恶意而不愿出示该份证据或证人，那么法院就可以指示陪审团基于该缺失的证据或证言作出对该当事人不利的推断。显然，这种推断指令同时适用于执法机构和被告。将强制被告提供密码或解密数据的传唤与证人缺失推定结合起来，有两方面的好处:首先，在缺乏解密数据而使控诉完全受阻的案件中，陪审团指令允许控方继续控诉程序。这样一来，就剥夺了被告因加密而建立的不公平优势，允许控方在无法解密的情况下采用推定的方式理解加密文件的内容;其次，就如搜查证的具体规定，证人缺失推定将控方的搜查范围限定于具体的证据，只要有理由相信该证据存储于被告的计算机中。因此，虽然该指令行为看上去像是推定式搜查，但实质上并没有打开被告的硬盘进行“过度而随意性的搜查”。此外，相比藐视法庭，有理由相信被告会更担心证人缺失推定。因为证人缺失推定对陪审团有着强大的影响力，在这种影响下，不符合要求的被告面临的将可能不只是藐视法庭的罪名，还有可能伴随定罪宣判的严厉惩罚〔19〕Robert H.Stier，Jr:Revisiting the Missing Witness Inference—Quieting the Loud Voice from the Empty Chair，44 Md.L.Rev.137，175-76(1985).。因此，当面临证人缺失推定的可能性时，被告就不会拒绝服从传唤，而会依据传唤提供相关证据。

证人缺失推定成为了允许调查者调查加密数据的必要法律机制。当结合搜查证、传票以及藐视法庭处分都无法促使被告解密其数据时，法院可发布指令，调查者可根据指令推定缺失的数据是可归罪的。这样的指令并不要求打开被告的计算机或电子设备进行搜查，也不强迫被告提供可归罪证言。只有这样，法律制度才能打击罪犯的技术优势并为受害者伸张正义。

五、对我国的启示

我国于2011年3月14日通过审议的刑事诉讼法修正草案，对证据的搜查程序以及“反对自证其罪”作出了明确的规定。此外，美国的证人缺失推定类似于我国《最高人民法院关于民事诉讼证据的若干规定》第75条的拒证推定规则:“有证据证明一方当事人持有证据无正当理由拒不提供，如果对方当事人主张该证据的内容不利于证据持有人，可以推定该主张成立。”

但相比法制发达的美国，不难发现我国现行法律制度的缺陷，原则性有余而具体性不足。首先，信息技术的发展日新月异，云计算时代即将到来，对隐私权的保护显得愈加迫切。虽然我国也主张有证搜查，但并未对搜查证的搜查范围和搜查方式作出具体规制，忽视了隐私权的保护;其次，虽然刑诉修正案将“不得强迫任何人证实自己有罪”在第50条作出了规定，但在既保留原刑事诉讼法第93条“犯罪嫌疑人对侦查人员的提问，应当如实回答”规定的同时，又增加了侦查人员在讯问时应当告知犯罪嫌疑人如实供述自己罪行可以从宽处理的法律规定，令人不禁质疑“不得自证其罪”的具体适用条件〔20〕梁欣.不得自证其罪原则适用的几个问题——兼评刑事诉讼法修正案(草案)第49条［J］.法律适用，2012，(3):30-33.。

以上缺陷在计算机取证调查背景下容易导致一系列的问题。就加密数据而言，对加密计算机或设备所有文件执行搜查是否构成过度搜查?当执法机构无法破解加密设备时，要求被告提供密码或解密数据是否构成自证其罪?当被告拒绝服从提供密码或解密数据的法庭命令时，应该采取何种补救机制?这些都是司法机关急需解决的问题。美国在实践中遇到的以上问题及其应对策略就为我国提供了很好的借鉴。要解决加密数据的以上问题，以切实维护受害人与被告的合法权益，平衡国家公权力与个人隐私权的关系，有必要进一步细化我国电子数据的搜查与扣押程序以及“反对自证其罪”的相关规定，并能在刑事诉讼中合理的引用民事诉讼中的拒证推定规则。