电子数据的关联性实证研究

2017-01-24魏勇

中国刑警学院学报 2017年2期

关键词：关联性介质关联

魏勇

（广州市公安局指挥中心广东广州 510000）

电子数据的关联性实证研究

魏勇

（广州市公安局指挥中心广东广州 510000）

现代社会电子数据与犯罪密切相关。实践中，侦查人员由于不熟悉电子数据提取、存储技术，未能发挥电子数据科学证据的特性。通过实证分析，结合证据理论，梳理了电子证据关联性节点，形成了初步的研究成果，即归纳了电子证据的3个关联性规则：形式关联、实质关联和技术关联。

电子数据形式关联实质关联技术关联

电子数据关联规则是刑事证据规则的内容之一。本研究通过实证分析，结合证据理论，梳理了电子证据关联性节点，形成了初步的研究成果，即确立了电子证据的3个关联性规则：形式关联、实质关联和技术关联。

1 电子数据关联性实证研究的背景、目的和意义

1.1 现代社会犯罪方式的变化使电子数据的数量不断增加

电子数据是记录或存储于电子计算机或者类似装置之中，且能够被人或者电子计算机系统或者其他类似的设备所读取和感知的数据信息。随着社会的发展，犯罪嫌疑人使用计算机、网络、电子设备进行犯罪的案件不断增多，在电子设备中遗留、储存的电子数据反映的犯罪信息也不断增多。在实践中，侦查部门收集了大量记录犯罪的服务器后台数据、计算机磁质储存介质所留存的与犯罪有关的电子信息、犯罪行为人通过网络传递的与犯罪有关的信息、移动通信工具储存介质的短信、通讯录及技术侦查手段获取的电子信息等。这些电子信息以数据形式存在于电子介质中，对侦查犯罪、证实犯罪有重要作用。

1.2 电子证据作为科技证据的特殊性造成其关联性难以很好把握

由于电子数据是通过科技方法生成，存储于特定的电子设备中，其生成、提取、展现均具有一定的技术性，存储方式具有科技性，使用过程具有易损毁性，检查提取具有专业性，属于科学证据。实践中，侦查人员由于不熟悉电子数据提取、存储技术，无法直接发现犯罪证据；技术人员由于对法律知识匮乏，案情了解不深入，无法在电子设备中发现电子数据；证据审查判断人员由于缺乏电子数据专业知识，无法审查判断电子数据。这一信息量大、客观性强的证据由于其技术性和专业性的特点，阻滞了司法工作人员对其认识的深入，影响了其证明力的发挥。在司法实践中未能发挥其应有的科学证据的特性。如何将电子数据关联规则明晰化、规范化，对收集电子数据的技术人员、司法工作人员均有现实意义。

1.3 刑事诉讼法的新发展对电子证据关联性规则建立提出迫切要求

2012年刑事诉讼法第48条已将电子数据列为独立的证据种类，这意味着电子数据与其他证据的界限已经比较清晰，具有独立的地位；这也意味着立法对作为证据的电子数据提出了专门性新要求，应当根据电子数据的固有特征，建立收集及运用必须遵守的程序、规则。只有如此，才能还原事实真相，保证该类证据的证据能力和证明力。关联性作为证据证明力的核心，有必要在建立证据规则时首先进行研究。

1.4 目前我国理论界、实务界对电子数据关联性的研究成果相对匮乏，探索其关联性规则具有理论、实践意义

目前我国对证据关联性的理论探讨尚不够全面与深入，立法上亦未明确规定关联性规则以及其他相关的证据规则，理论界很少有人对关联性法则给予应有的关注，而立法与实务部门从未明确对审判人员提出相应的要求。由此导致实践中对证据关联性的判断以及对关联性证据的使用均比较混乱，不仅不利于对案件事实真相的查明，而且阻滞了司法公正的实现。如上所述，电子数据科技性强的自身特性，以及作为独立证据种类的立法定位晚的现实状况，决定了电子数据在司法实务界、理论界研究成果的相对匮乏，虽有些理论性研究，但缺乏实证案例研究的支撑，因此，有必要对此进行深入研究，以解决当前司法实务界的迫切需要。

2 研究进路及其主要内容

2.1 理论依据

本研究的理论基础是我国刑事诉讼法中关于证据关联性研究的主流理论，即证据关联性是证据的重要特性，证据只有与待证事实之间有一定关联才能作为证明案件的依据，其证据属性才能得以发挥。以提升证据的证明力作为关联性研究的目标，以电子数据与待证事实的关系作为研究的关键点进行研究。

2.2 研究步骤

在研究中，我们通过收集电子数据分析报告，确定取样方法，分析相关数据，总结关联性规律，总结论证，确立关联性规则的步骤进行实证分析。具体如下：

（1）收集实证案例。在研究中，我们收集了广州市公安局电子数据实验室2010年至2011年所做出的全部电子数据勘验记录，按照分层取样的方法抽取了100个标本案例进行研究。

（2）确定电子证据取样分析点。在研究中，我们以《计算机犯罪现场勘验与电子证据检查规则》（公信安〔2005〕161号）（以下简称《规则》）为标准，将收集到反映电子数据情况的《电子证物检查工作记录》样本按照主体考察，电子数据完整性、真实性和原始性考察，固定方式考察，现场勘验检查考察，远程勘查考察，电子证据检查考察，勘验检查记录考察7部分，设计出20个取样点进行数据取样。

（3）统计数据。通过将设计的收集与运用规则取样表，交给研究人员由其对样本案例进行收集演示，最后归类统计，从而完成收集与运用规则的前期整理工作。

（4）分析数据，总结规律。对取样所得的数据进行统计分析，掌握电子数据在实践中收集与运用的规律。采用理论分析与专家意见结合的方法进行。通过上述综合研究，得出关联性的基本意见。

（5）论证与结论。将前期的实证研究情况与技术人员交换意见，与相关专家征询意见，总结出关联性规则，得出研究结论。

3 实证案例的收集与分析

3.1 收集样本案例的基本情况

案例性质共有26类，100件。赌博案32件，开设赌场案11件，利用邪教破坏法律实施案11件，非法侵入计算机系统案6件，非法经营案5件，伪造公文印章案4件，传播淫秽物品案4件，从事邪教活动案3件，诈骗案3件，敲诈勒索案2件，强奸案2件，破坏计算机信息系统案、职务侵占案、盗窃案、颠覆国家政权案、销售侵权商品案、非法获取公民个人信息案、买卖公文案、聚众扰乱公共场所秩序案、非法从事宗教活动案、出售伪造的发票案、合同诈骗案、走私珍贵野生动物案、编造虚假恐怖信息案、走私毒品案各1件；性质不明的案件3件。

以上数据可见，电子数据作为证据已经在多种性质的案件中使用。常见的多发性案件如赌博，开设赌场，已经从现实社会转移到网络虚拟社会；一些隐蔽性强的危害国家安全的犯罪也在网上进行。在实践中，出售非法获取公民个人信息案多在网络上进行交易，网络已经成为一种重要的犯罪场所。在多类案件中，电子数据已经是非常重要的证据种类。

3.2 对电子证据的收集固定情况的分析

对《电子证物检查工作记录》反映的100件案件电子数据的检查取证过程进行了考察取样。分析的目的主要是考察电子数据的收集是否符合相应规范，因为只有符合规范的电子数据才是确定其关联性的必要条件。

（1）电子证据的勘查主体和见证人。电子数据的科技性决定了收集主体必须是通晓相关知识的专业人员，我们对电子数据检验勘查主体进行研究发现，100件案件全部是在1名检查人员的指挥下，有两名检查人员进行检验，这与《规则》第9条规定的“计算机犯罪现场进行勘验和对电子证据进行检查人员必须二人以上”是一致的。

根据电子数据收集主体的规定，现场勘验检查应邀请一至两名与案件无关的公民作见证人。研究发现，在对全部案件的全部电子介质检查中，均没有见证人在场。见证人的缺席必然会对电子数据的来源可靠性产生质疑。

（2）电子数据的真实性和原始性检查。电子数据与案件关联的前提是，该电子数据在勘查收集时是完整的、真实的，在实践中主要通过对检查人员在检查时是否采用封存方法封存了电子设备，是否拍摄被封存电子设备和存储媒介的照片并制作了《封存电子证据清单》来分析的。我们研究了100份样本案例，从书面情况来看，这些电子数据送检时均有封条封存，并有照片记录。

（3）存储媒介和电子数据的固定。完整性校验是保证电子数据全貌的重要方法，《规则》规定检查电子设备应当进行完整性校验方式并制作、填写《固定电子证据清单》，对于无法计算、存储媒介完整性校验值或制作备份的情形，应当依照第13条规定的方法封存原始存储媒介，并在勘验、检查笔录上注明不计算完整性校验值或制作备份的理由。在实践中完整性校验是通过计算Hash值①Hash，译为哈希，是把任意长度的输入，通过散列算法变换成固定长度的输出，该输出就是散列值，是储存单位的效验码。任何储存单元，如一个文件，无论是可执行程序、图像文件、临时文件或者任何类型的文件，不管体积多大，都有一个独一无二的哈希值，如果文件被修改，其哈希值也随之变化。的方法进行的。研究发现，在100个案件中有31个案件提取的电子设备没有进行完整性校验，31份中有5个电子设备是由于设备自身问题无法读取其完整数值。其余69件案件均进行了完整性校验。这些没有进行完整值校验的电子数据直接影响其作为证据的效力，影响其真实性。

（4）电子证据的检查提取过程。电子数据的存储、提取具有科技性，操作不当会造成数据灭失。因此，电子数据的提取过程直接关系到数据的原始性和真实性，我们在研究中发现：①电子数据提取前对电子物证的原始性描述欠缺。研究发现，在对电子数据的复制、制作过程中，检查人员在对原始存储媒介备份时，对解除封存状态、开始复制、复制结束、重新封存等关键步骤均没有以录像记录的方式反映具体的步骤，这些《原始证据使用记录》未附在工作记录中；②电子数据的提取方法没有在记录中反映。《规则》第37条要求，在检查过程中应当对检查过程使用的工具，检查的方法与步骤，提取数据的方法等记载明确。研究发现，在取样的198份电子介质中，仅有10份描述了提取数据的具体工具和检查方法。

4 电子数据关联性规则

4.1 电子数据关联性规则之形式关联

电子数据的特性与存储方式直接关系到关联性的建立，因此，首先要明确电子数据的存储方式。电子数据存储在电子介质中，电子介质属于特定人所有。三者之间的关系为：

（1）形式关联即物理关联，解决的是人与有形物（存储电子数据的介质）的关联性问题。所谓形式关联是指，电子数据存储介质与犯罪嫌疑人之间存在着某种联系，这种联系使犯罪嫌疑人与其犯罪行为、犯罪行为所使用的工具、或犯罪产生的后果联系在一起。

电子数据存储在储存介质、电子设备中，电子数据介质与犯罪嫌疑人关联，即要确定该存储电子数据的介质与犯罪嫌疑人是相关的，确定关联必须选定存储电子数据的介质与犯罪嫌疑人之间的关联点。此相关性主要通过侦查收集电子数据的过程来实现。电子数据的存储介质与犯罪嫌疑人的关联点主要有如下情形：所有、所有并使用、使用（视频、DNA、用户名、IP地址）。

（2）关联点。一是所有权。基于所有权关系而产生的形式关联，是指犯罪嫌疑人对存储电子数据的介质有所有权。所有权是一种绝对权，是人对物的占有、使用、收益和处分的权利。在实践中，个性物品、私人物品，如手机、MP3等，往往是犯罪嫌疑人所有的、专用的。因此当查实该介质是犯罪嫌疑人所有的时候，就可认为该介质与犯罪嫌疑人相连。二是所有并使用。基于所有并使用电子介质而产生的形式关联，这是一种最为标准的关联。犯罪嫌疑人是电子介质的所有者，并有证据证明其使用了该介质，因此足以认定犯罪嫌疑人与该介质有关联。之所以强调所有并使用是因为在实践中所有权与使用权分离的情况比较多，但凭所有权难以使犯罪嫌疑人与案件产生关联。三是使用。基于使用关系而产生的形式关联是指，在实践中，虽然犯罪嫌疑人不是介质或者网络的所有人，但有证据证明其使用了电子介质，可通过对使用关系的调查确认其与案件的关联。在实践中，确定犯罪嫌疑人使用电子数据介质的主要途径有证人指认、视频资料、DNA、用户名密码、IP地址等。证人指认犯罪嫌疑人使用了电子介质或者网络具有直观全面、解释力强的优势，此不赘述；视频资料被称为与刑事技术、行动技术、网络侦查并行的第四刑事技术，已经在实践中发挥越来越大的作用，其证据具有客观准确直观的特性，视频资料对使用的证实具有独特证明力；DNA技术是比较成熟的个体识别技术，具有准确进行同一认定的证明力，如果能在介质上提取犯罪嫌疑人的DNA生物样本，可以认定嫌疑人使用了该电子介质；用户名密码、IP地址是网络用户注册的个性身份代码，具有独特性和个体性，通常只有犯罪嫌疑人本人使用。在非法侵入计算机系统案件、网络赌博案件中，其网络用户注册的身份即是证明其与犯罪相关联的关键证据。

4.2 电子数据关联性规则之实质关联

形式关联解决的是人与物的外在有形关联问题，但存储在电子介质中的电子数据是如何生成的，该电子数据与具体案件之间的关系如何，这是判定案件性质、确定定罪量刑的核心。实质关联是指电子数据的内容与待证犯罪事实是相关的，电子数据的内容直接影响着案件性质。案件性质的差异决定了实质关联的不同，对实质关联需要通过具体的案件来决定关联点。从收集的样本来看，电子数据实质关联主要有3种方式：

（1）以网络为犯罪现场的案件，犯罪嫌疑人进入网络、在网络内活动，则可认定其实质参与了犯罪。信息化和网络化的发展，形成了虚拟世界，虚拟世界为犯罪嫌疑人犯罪提供了虚拟空间，然而造成的危害社会的结果同样适用于现实世界。犯罪嫌疑人利用科技手段在虚拟世界施行犯罪行为，将虚拟世界作为犯罪现场，其痕迹却被客观地记录在虚拟世界中。在实践中，此类案件主要有网络赌博案、非法侵入计算机信息系统案。例如，开设赌场案件，犯罪嫌疑人在网站开设赌场聚集他人赌博，其在该网址的活动痕迹即是实质关联点。在该案件中，检查送检计算机主机是否存有使用账号登录永利高网站域名为“www.pp2222.com/888”、“www. ee2222.com/888”、“www.gg3333.com/888”、“www. ff5555.com/888”、“www.ee3333.com/888”、“www. ff1111.com/888”、www.ee5555.com/888的记录信息；是否存有涉嫌赌博的网页文件，如有，就可认为该电子数据与赌博犯罪有实质关联。

（2）以网络为犯罪手段的案件，传输的电子数据为实质关联点。犯罪嫌疑人的行为在虚拟的犯罪现场进行，具有立体化、全面性特点，在实践中并不多，但犯罪嫌疑人利用网络作为犯罪手段的案件在实践中占有很大比例。这类案件中，犯罪嫌疑人以网络为通信手段，或传达犯意，或虚构事实，或进行敲诈，或纠结同犯，或制造影响，等等。实质的关联具有典型的个案特征，不同案件有不同的关联内容，由于犯罪手段的内容存留在网络中的电子数据中，暴露了其行为的犯罪性质，因而该传输的内容就是这类犯罪的实质关联点。

当然，确认实质关联主要从犯罪嫌疑人是电子数据生成者、犯罪嫌疑人是电子数据传输者、犯罪嫌疑人是电子数据的接触者三方面进行调查取证。

（3）以存储设备为存储信息的案件，存储设备内容为实质关联点。当电子数据只是存储于介质中时，该介质只是充当了“存储”的功能，其内容即是实质关联点。在实践中，作为存储功能的介质有电脑、手机、U盘、移动硬盘、MP3、电子阅读器、服务器、数码相机、SD存储卡、电子书等，对这些存储内容的直接调取，即可证明与案件的关联性。在实践中往往通过对电子数据的存储位置、内容的描述来确定其在介质中的位置。

4.3 电子数据关联性规则之技术关联

电子数据和其他证据相比，其显著特点在于电子数据的生成与再现的科技性和专业性，因此在保全、提取、验证电子数据时需要专业人员的专业手段进行。在电子数据收集、鉴定、再现中需要多种与电子数据生成相关的知识，常见的计算机表示技术（基本数据表示、字节序、时间的表示、字符集），密码学基础（密码算法、隐写术、数字签名、公钥基础设施），硬件技术（计算机体系结构、主板处理器与内存、数字与数据接口、配置与调试），软件技术（程序语言、操作系统、虚拟化技术、数据库、应用软件、逆向分析），网络技术（网络结构、网络协议、网络安全），存储技术（逻辑、物理、分区、文件系统）等，这些知识均通过相应技术语言和方法得以体现。电子数据必须通过技术手段转化方能被侦查人员、检察人员、审判人员所阅读理解。因此，电子数据的下载、转换为可视听、可理解的技术手段是实现电子数据从科技性证据向普通证据转换的关键。

（1）通过网络实施的犯罪，操作技术为关联点。例如，破坏计算机信息系统案，远程勘查确定其具体的活动方式。以某远程勘查记录为例：使用安装有Windows XP操作系统的电脑进行远程勘验。经初查，URL为“http:// www.high001.com”的网站，IP为119.84.71.223，属地为重庆市。对远程勘验对象的内容进行勘验，情况如下：使用Internet Explorer网页浏览器打开URL为“http:// www.high001. com”的网站页面，其页面标题为“韩国真高（摄卫堂钙加维D咀嚼片）”，其首页页面内容有“产品介绍”、“增高原理”、“成功案例”、“媒体报道”、“防伪查询”等字样。依次点击浏览该网站上的“产品介绍”、“增高原理”、“成功案例”、“媒体报道”、“防伪查询”等栏目，其内容中含有“韩国真高最科学的长高法”、“上百万次临床医学验证韩国韩医学会唯一推荐产品”、“订购热线：400-628-3133”、“成功档案增高8cm不是梦”、“每个用户都有的专门资料统计”、“6重保证零风险订购韩国成长医学会权威认证、韩国国家卫生部审批推荐、国家卫生部门备案核准销售、亚洲CE认证咨询中心认证、全国2850城市货到付款、全程保密配送绝对隐私保障”等字样。

该勘查记录中，使用Internet Explorer网页浏览器打开URL为“http:// www.high001.com”的网站页面，该打开网页所使用的技术方式，决定了其所打开的是否为涉嫌犯罪的网页。

（2）利用网络作为传输手段的案件，传输技术为关联点。通过网络犯罪的案件中，犯罪嫌疑人往往通过网络即时通讯工具QQ、MSN等传递犯罪信息，这种情况下，获取犯罪嫌疑人所发邮件的来源点，例如，邮件客户端程序、用户邮箱、邮件头、服务器日志记录等，可以确定犯罪嫌疑人。追溯邮件来源，从而确定犯罪嫌疑人的技术方法就是将电子数据与犯罪嫌疑人连在一起的关联点。

（3）利用电子设备为存储设备的案件，其存储技术为关联点。在实践中，绝大多数案件是通过对查封扣押的存储设备分析，从中发现犯罪相关证据的。本次100个样本案例中，共有198个电子介质，其中电脑135台，占68.1%；手机18部，占9.1%； U盘12个，占6.1%；移动硬盘10个，占5.1%； MP3播放器7个，占3.5%；电子阅读器10个，占5.1%；服务器2台，数码相机1台，SD存储卡2张，电子书1本。以上数据可见，在多数案件中，电脑和手机仍然是电子数据的存储主体，总数已经达到153个，占全部电子介质的77.3%。

常见的存储设备可分为硬盘、光盘、电存储介质、文件系统等4类。不同的存储设备有不同的技术原理，调取、识读这些存储设备所存电子数据时所用的工具软件，就是电子数据与技术关联点。以硬盘为例，不同厂商、不同的硬盘产品，其物理特性、编码方式、驱动机构、伺服方式、控制接口均不同，但基本结构相似。要识读该硬盘内的电子数据，就要针对硬盘的特点选取不同的技术工具，否则可能破坏硬盘内数据，影响电子数据的真实性与原始性。