洪 洋

（中南財經政法大學，湖北 武漢 430073）

相較于傳統(tǒng)意義上的“線下犯罪”，具有科技性、智能性、數字化、跨國化等特點的網絡犯罪已成為犯罪活動的主力軍。為了收集網絡犯罪證據、揭露并證實犯罪行為，應將證據調查的目光聚焦在“電子證據”的范疇之中，充分挖掘數字信號、電磁記錄及其存儲介質的證據能力與證明力。頗為遺憾的是，我國的網絡取證工作并未緊隨時代發(fā)展的步伐，其立足點依然建立在有效應對傳統(tǒng)犯罪的基礎之上。雖然我國《刑事訴訟法》《民事訴訟法》《行政訴訟法》已經確立了電子數據法定的證據資格，但這一立法回應在推動網絡犯罪調查取證的層面上并未譜寫出優(yōu)美的樂章，立法的原則性規(guī)定與注重可操作性的司法實踐之間已經出現了愈加明顯的鴻溝。質言之，由于“專門知識的人”取證能力規(guī)范存在疏漏、取證程序規(guī)范不明晰、取證方法與標準規(guī)范不合理等立法缺憾，植根于網絡時代的證據調查活動正面臨著日益突顯的困境。職是之故，應以完善現階段的立法規(guī)范為核心，探尋證據調查的可能出路，改進與重構證據調查的具體操作范式。

一、證據調查與網絡取證的張力

網絡技術的發(fā)展為網絡詐騙、網絡賭博、網絡涉毒涉黃涉恐等犯罪行為提供了滋生蔓延的虛擬空間。在網絡犯罪面前，偵查人員應廣泛收集證據，使證據達到確實、充分的程度并排除合理懷疑。可以說，網絡時代的證據調查實際上正是網絡取證的生動體現。為了較好地展現網絡取證的價值構造與運行模式，應對其進行概念層面的界定，以探明其與傳統(tǒng)證據調查之間存在的張力。

美國計算機安全專家首次提出了“網絡取證”概念，但或由于網絡開發(fā)應用尚未形成風潮，網絡取證常與計算機取證、電子取證、數字取證糾纏在一起，內涵與外延不甚分明。時至今日，網絡取證有了更為確切與明晰的定義。如有學者指出，網絡取證植根于云計算環(huán)境之中，是記錄與分析網絡事件以發(fā)現安全攻擊或安全事件的來源，防范因網絡連接與數據傳輸而產生的被非法利用、入侵及其他犯罪行為的活動。[1]另有學者主張，網絡取證是指對能夠為法庭接受、足夠可靠與有說服性的，存在于計算機網絡與相關設備中的電子證據的確認、保護、提取與歸檔的過程。[2]還有學者認為，網絡取證是對電子數據等網絡數據資源的提取、存儲與分析，并用于證明各種網絡違法行為及其造成的損失。[3]雖然上述觀點有所分歧，但其要旨大同小異，均從某一側面反映了網絡取證的基本特征。首先，在取證活動的性質方面，網絡取證具有明顯的“事前性”，其是犯罪行為發(fā)生前的積極應對，重視犯罪的預防效果；其次，在取證活動的范圍方面，計算機及其配套設備固然應包含在內，而更重要的則是電子數據及其存儲介質；再次，在取證活動的依據與標準方面，應采取合法的方式進行，使獲得的電子數據具有證據資格與較強的證明力；最后，在取證活動的過程方面，主要包括證據收集的準備、提取并保全證據、檢驗并分析證據、歸檔并提交證據等階段。

從網絡取證的概念與特征中可以發(fā)現，其與證據調查之間具有不言自明的張力——網絡取證是證據調查的“升級版”，彰顯了證據調查網絡轉型的時代風貌?？墒?，在目前的司法實踐中，傳統(tǒng)的證據調查思維與取證方法依然是籠罩在網絡取證上空揮之不去的陰霾，取證思維與方法的錯位不僅使電子數據的真實性與合法性游走在不確定性的邊緣，更制約了通過電子數據揭露犯罪行為進而依法打擊網絡犯罪這一調查取證目標的實現。申言之，網絡取證不同于傳統(tǒng)的證據調查活動，其擁有自己的運行軌跡與方法論選項，網絡取證逐漸陷入實踐困境的根源在于，違背客觀規(guī)律與技術要求的取證行為忽視了證據調查的專業(yè)性特征，取證前的準備、電子數據的提取與保全以及檢驗與分析尚無統(tǒng)一的法律規(guī)范標準與行之有效的操作規(guī)則。

二、網絡取證的立法困境探賾

（一）從電子數據的規(guī)范界定看立法困境

若對網絡取證的主要對象也即電子數據的立法定位作一概括分析，那么可以發(fā)現立法對其終持謹慎保守的態(tài)度，作為獨立證據種類的電子數據在我國經歷了漫長的演變發(fā)展過程。一方面，電子數據是否等同于視聽資料？若不等同，二者是否必然交織在一起？二者的界限應作何厘定？為了合理解答上述疑問，我國的法律規(guī)范先將電子數據劃分到視聽資料的證據范疇中，認為視聽資料包括電子數據，不需刻意區(qū)分二者的界限。伴隨著信息技術的飛躍，電子數據日益超出了視聽資料的涵攝范圍，其走向獨立的腳步更加堅定。因此，我國的《刑事訴訟法》《民事訴訟法》《行政訴訟法》均賦予了電子數據獨立的法律地位。另一方面，應當關注的是，不同于《民事訴訟法》與《行政訴訟法》，《刑事訴訟法》將視聽資料與電子數據并列作為獨立的證據種類，①我國《刑事訴訟法》第50條第1款規(guī)定了證據的種類，即“（一）物證；（二）書證……（八）視聽資料、電子數據”。看似并無任何不妥，而若揭開包裹在這一立法安排之上的神秘面紗，出現的問題便會浮出水面——作為“最新也最具開發(fā)潛力的科學證據”[4]的電子數據會受制于視聽資料間接證據性質的束縛，如此減損了電子數據本應具有的證明力，根本不利于其證據作用的充分發(fā)揮。[5]對此，應厘清電子數據與視聽資料的界限，使其成為《刑事訴訟法》中單列的證據種類。

除此之外，我國的訴訟法律規(guī)范并未涉及電子數據取證的具體標準與審查判斷的基本要求?！度嗣駲z察院刑事訴訟規(guī)則》《計算機信息系統(tǒng)安全保護條例》《公安機關辦理刑事案件程序規(guī)定》《計算機犯罪現場勘驗與電子證據檢查規(guī)則》（以下簡稱《計算機犯罪檢查規(guī)則》）等部門規(guī)定雖然對電子數據的收集、扣押、保全等事項進行了回應，但其要么具有應急性的面向，要么帶有零散化的色彩，要么因原則化而難以切實執(zhí)行?？梢哉f，當務之急是建立系統(tǒng)化的電子數據法律規(guī)范體系，擬制并細化法律標準，徹底改變“有立法，無規(guī)則，難落實”的尷尬境地。

（二）從網絡取證的具體階段看立法困境

1. 網絡取證的準備階段，主要包括取證人員與技術的準備以及取證監(jiān)督機制的設立兩個維度。其一，對具有濃厚信息化色彩的電子數據的收集需要專門的取證人員與先進的取證設備?！队嬎銠C犯罪檢查規(guī)則》第8條規(guī)定，“計算機犯罪現場勘驗與電子證據檢查，應當由縣級以上公安機關公共信息網絡安全監(jiān)察部門負責組織實施。必要時，可以指派或者聘請具有專門知識的人參加”。由此可知，參與取證活動的兩類參與主體分別為偵查人員與“專門知識的人”，其也是“人員準備”的應然之意。但是問題在于，“專門知識的人”應作何認定？是否有劃定統(tǒng)一標準對“專門知識的人”進行立法規(guī)范的必要？對此該《規(guī)則》語焉不詳，這也制約著網絡取證主體取證能力的發(fā)揮。此外，該《規(guī)則》并未規(guī)范取證設備，“應當具備計算機現場勘驗與電子證據檢查的專業(yè)知識和技能”的取證人員必須借助合法有效的取證設備方可收集具有證據能力的電子數據，可以說，在法律規(guī)范中明確取證設備的合法性確有必要。其二，在諸多網絡犯罪案件中，電子數據往往兼有合法與非法雙重面向，取證不當必然會侵犯他人的合法權益，造成不必要的損失。為了改變這一被動局面，應當設置科學合理的取證監(jiān)督機制。然而，《公安機關辦理刑事案件程序規(guī)定》《公安部刑事案件現場勘查規(guī)則》《計算機犯罪檢查規(guī)則》等指導偵查實踐開展的規(guī)范文件對該機制或避而不談，或“輕描淡寫”①如《計算機犯罪現場勘驗與電子證據檢查規(guī)則》第5條規(guī)定，“計算機犯罪現場勘驗與電子證據檢查，應當嚴格遵守國家法律、法規(guī)的有關規(guī)定。不受其他任何單位、個人的干涉”；第7條規(guī)定，“計算機犯罪現場勘驗與電子證據檢查工作，應當以事實為依據，防止主觀臆斷，嚴禁弄虛作假”。，取證監(jiān)督機制的疏漏怎能保障證據的合法性？

2. 網絡取證的提取與保全階段。電子證據的提取與保全應認定為是同一過程，或者說二者是網絡取證的一體兩面——第一，提取電子證據是對其進行保全的前提，電子數據的不穩(wěn)定性、易篡改性急切呼喚固定保全事宜；第二，唯有及時保全電子證據才能保障其完整性與真實性。[6]由于提取與保全同步進行的取證意識缺失，《關于辦理網絡犯罪案件適用刑事訴訟程序若干問題的意見》對收集、提取電子證據進行了較為詳盡的規(guī)范，而對證據的封存、固定與保全程序只作了“應當以封存狀態(tài)隨案移送，并制作電子數據的復制件一并移送”的簡要規(guī)定?？上攵?，在司法實踐中網絡證據的提取與保全很難保持同步性與統(tǒng)一性。此外，不同于傳統(tǒng)實物證據的封存方式，電子數據必須依賴一定的存儲介質方可存在，對存儲介質的封存其實充滿技術挑戰(zhàn)性。如電子數據被加密處理后，只能在特定的設備與電磁環(huán)境中才能使用，這對封存方式提出了新的挑戰(zhàn)：以物理方式封存仍有潛在風險——證據部分或全部滅失以至其真實性無法判斷。縱觀我國現階段的法律規(guī)范與網絡取證實踐，最大的問題即是采取何種技術性手段進行封存保全。

3. 網絡取證的檢驗與分析階段。網絡取證的檢驗是對電子數據進行的技術性審查，分析是將數據中的信息予以重新整合，以形成一個合理的結論來回溯案發(fā)的經過，這一過程的主要任務是確認電子數據收集的完整程度及其證據能力與證明力。證據完整性的檢驗與分析聚焦在電子數據的整體連貫性場域之中，主要包括三項審查任務：一是電子數據本身記載內容的完整性；二是負載電子數據內容信息的完整性；三是電子數據依附系統(tǒng)的完整性。[7]不容回避的是，我國的法律規(guī)范并未過多關注網絡取證的檢驗與分析。如《關于辦理網絡犯罪案件適用刑事訴訟程序若干問題的意見》（以下簡稱《辦理網絡犯罪案件的意見》）第17條第4款只從側面規(guī)定了“對數據統(tǒng)計數量、數據同一性等問題，公安機關應當出具說明”，《關于電子數據收集提取判斷的規(guī)定》第19條第2款“對數據統(tǒng)計量、數據同一性等問題，偵查機關應當出具說明”的規(guī)定如出一轍，均未對何為電子數據的完整性作出任何說明解釋，“數據統(tǒng)計數量”的模糊用語根本無法表達出數據的完整性之意?！队嬎銠C犯罪檢查規(guī)則》雖然規(guī)定了“檢查電子證據的完整性”的三項原則，①《計算機犯罪現場勘驗與電子證據檢查規(guī)則》第26條規(guī)定，“（一）對于以完整性校驗方式保護的電子數據，檢查人員應當核對其完整性校驗值是否正確；（二）對于以封存方式保護的電子設備或存儲媒介，檢查人員應當比對封存的照片與當前封存的狀態(tài)是否一致；（三）存儲媒介完整性校驗值不正確、封存狀態(tài)不一致或未封存的，檢查人員應當在《電子證據檢查筆錄》中注明，并由送檢人簽名”。但其側重點在于對存儲媒介完整性校驗值的檢驗，忽視了完整性的其他維度以及電子數據本身的合法性與真實性的審查與檢驗。由此便在司法實踐中埋下了隱患——出于偵查破案的迫切需要，取證人員帶上了“有色眼鏡”，專門收集有罪證據，將罪輕乃至無罪證據排除在取證范圍之外，人為地割裂了懲罰犯罪與保障人權的聯系。

三、網絡取證的立法出路展望

由于“電子數據技術無限性與法律有限性的沖突”[8]愈加嚴重，對法律有限性的克服亟需予以重點關注?；诖?，應統(tǒng)籌兼顧、立足現實、著眼長遠，從基本原則與具體規(guī)則兩個方面完善現階段的立法，最大限度地緩和網絡時代證據調查面臨的沉重壓力。

（一）確立網絡取證的基本原則

電子數據是證據的獨立種類，理應符合客觀性、關聯性、合法性的要求，我國三大訴訟法確立的諸如合法取證原則、全面取證原則與及時取證原則對于電子數據依然適用。[9]當然，不同于傳統(tǒng)的取證方式，網絡取證需遵循一定的特殊原則。如有學者指出，網絡取證應“盡早收集證據防止其受到破壞、保證證據的連續(xù)性、取證過程必須受到監(jiān)督”[10]；另有學者將特殊原則歸納為“對于含有電子證據的媒體至少應制成兩個副本原則、環(huán)境安全原則、取證管理過程原則”[11]?？紤]到立法完善的便捷性，筆者更傾向于以“原始存儲介質優(yōu)先收集、專業(yè)人員共同參與、取證監(jiān)督與合法權益保護”作為網絡取證的特殊原則。

1. 原始存儲介質優(yōu)先收集原則。電子證據具有介質依賴性，其本質上正是存儲于某一介質之中的數字化信息。有學者援引美國的網絡取證經驗，指出諸多美國法院已經把電子證據的存儲介質當作傳統(tǒng)取證中的“容器”，脫離了“容器”的保護其很可能“變質”。[12]此外，優(yōu)先收集原始存儲介質還可以滿足法庭認證過程中的“原件青睞”，即向法庭提交的證據應為原件，在原件無法提交的情況下才允許提交復制件。為了使該原則能夠較好地指導網絡取證活動，不妨在第三方認證的前提下運用電子簽名、哈希值校驗等電子手段收集電子數據。如有學者主張，由于我國并無“電子數據最佳證據規(guī)則”，立法理應確認“原件是原件”：提交的電子數據須有原件價值；經過認證的電子數據才能擁有原件價值；認證的內容為同一性認證、制作者真實身份認證、制作時間認證；認證通常由第三方進行，第三方可以是法院、公證機構、電子認證單位；若只進行“自我認證”應得到對方當事人的認可。[13]

2. 專業(yè)人員共同參與原則。網絡取證固然應收集、保全原始存儲介質，而若介質被犯罪嫌疑人惡意破壞或意外滅失，僅通過數據拷貝則難以完成取證事宜。因此，應把突破口放在專業(yè)人員共同參與之上，這也是偵查工作“群眾路線”的應有之義。詳言之，可從如下兩個方面進行立法規(guī)制。其一，規(guī)劃定期的培訓學習與實踐演練，提高偵查人員的信息技術水平。在信息主導警務的洪流不可逆轉的前提下，偵查人員尤其是取證人員理應獲得遏制“信息犯罪”的主動權，理應具備網絡取證的基本技能。其二，把規(guī)制的重點放在“專門知識的人”之上。“專門知識的人”包括但不限于具有相關資質與中立屬性的人或第三方機構，其往往精通計算機、通信等技術知識，可以洞察電子取證的現實需求，能夠提供先進的軟硬件設施與技術支持，與偵查人員形成良性互動。[14]鑒于《互聯網信息服務管理辦法》與《計算機犯罪檢查規(guī)則》已有“專門知識的人”的相關規(guī)定，使其有序參與網絡取證的條件已經成熟，目前需要改進的是規(guī)范其準入門檻。首先，應賦予中立的人或第三方機構以取證權能，使其有權利協助偵查人員進行網絡取證。其次，應設置督促機制，依法要求其義務提供相應的網絡數據。①我國《刑事訴訟法》第54條第1款規(guī)定，“人民法院、人民檢察院和公安機關有權向有關單位和個人收集、調取證據。有關單位和個人應當如實提供證據”，這從法律上肯定了網絡服務者如實提供電子數據的義務。最后，應仿照鑒定人職業(yè)資格考試、法律職業(yè)資格考試等職業(yè)化的考試制度，建立適用于“專門知識的人”的考試標準，要求其參加考試以獲得協助偵查人員取證的準入資格，使其既諳熟法律知識，又能在網絡服務與數據監(jiān)管等專業(yè)化知識層面更上一層樓。

3. 取證監(jiān)督與合法權益保護原則。網絡取證是公私權力的博弈場，該原則是防止網絡取證活動越軌、逾矩的良方妙藥，在取證的準備階段即應設立監(jiān)督機制，并貫穿取證過程始終。電子數據具有海量儲存性、分散儲存性、高速流轉性等特征，其常與合法的存儲數據相混同，如果不加區(qū)別徑自收集證據，很可能會侵犯他人的隱私權等合法權益。[15]為了平衡公權力與私權利、偵查權與隱私權之間的緊張關系，應區(qū)分情形對取證的范圍進行必要的限制。若不可避免地侵犯了第三方的權利與正當利益，應采取可行的措施降低損失并給予適當補償。[16]對取證人員行為的監(jiān)督極易理解，但筆者認為對取證設備也應予以合法性監(jiān)督、備案型監(jiān)管。其一，應運用合法的取證設備收集證據，杜絕非法取證的出現；其二，應制作完備的網絡取證設備清單；其三，應由專業(yè)人員定期或不定期對設備進行維護，并記錄詳細的維護情況。這些皆可大幅降低取證過程中的突發(fā)風險，使收集的電子數據遠離“毒樹之果”的侵蝕。

（二）確立網絡取證的具體規(guī)則

1. 網絡取證的準備階段。第一，設立多元化的取證主體。應積極推進電子取證平臺建設，盡早組建“偵技合一”的電子取證專門隊伍，[17]使經過專業(yè)學習與系統(tǒng)培訓的網偵、技偵人員主導網絡取證的開展。為了節(jié)省偵查資源、提高取證效率，具備網絡取證準入資格的“專門知識的人”亦是合法的取證主體，應使“專門知識的人”參與取證工作成為常態(tài)，擴大其在網絡取證范疇內的生存空間。第二，對現場予以全面保護。網絡犯罪的現場基本上包括物理現場與虛擬現場兩部分?！豆矙C關刑事案件現場勘驗檢查規(guī)則》對保護程序進行了規(guī)范，①《公安機關刑事案件現場勘驗檢查規(guī)則》第15條規(guī)定：“負責保護現場的人民警察應當根據案件具體情況，劃定保護范圍，設置警戒線和告示牌，禁止無關人員進入現場?！钡撘?guī)定掛一漏萬，難以滿足電子取證現場保護的需要。對此，應作如下補充規(guī)定：首先，封鎖可疑的犯罪現場，防止無關人員破壞現場環(huán)境；其次，封鎖整個計算機區(qū)域，包括通信線路、電磁輻射區(qū)，重點保護好計算機系統(tǒng)與日志、應用軟件備份以及數據備份；[18]再次，及時復制計算機內的數據信息資料，完整記錄有關的犯罪活動，防止電子數據的篡改與滅失；最后，務必切斷遠程控制，并對存儲介質、網絡部件等涉案物品進行查封。概言之，兩種現場應分別保護，保護物理現場設置警戒線與告示牌即可，保護電子現場必須斷開網絡鏈接，斷開電子設備與其他設備的連接，切斷電子設備的電源。第三，現場勘查不放松。取證人員應對案發(fā)地點的電腦、手機、網絡及相關存儲介質進行勘驗、檢查，通過文字、繪圖、錄音、錄像等方式全面記錄與犯罪有關聯的客觀事實。

2. 網絡取證的提取與保全階段。電子數據的提取包括兩項相互銜接的步驟，其一是搜查、扣押存儲介質，其二是對存儲介質中的電子數據進行收集?！掇k理網絡犯罪案件的意見》與《計算機犯罪檢查規(guī)則》對證據的提取進行了規(guī)范，但其尚有明顯的疏漏之處，即見證人或許被邊緣化?！掇k理網絡犯罪的案件》給予了見證人可有可無的形象，即只有在提取以及封存原始存儲介質時原始存儲介質持有人無法簽名或拒絕簽名，才能由見證人簽名或蓋章。而《計算機犯罪檢查規(guī)則》直接規(guī)定，“現場勘驗檢查，應當邀請一至兩名與案件無關的公民作見證人”。見證人不僅是程序合法性的必備要素，更是監(jiān)督取證活動不可或缺的一員，應統(tǒng)一其法律地位：提取電子數據，應由二名以上具備相關專業(yè)知識的偵查人員和與本案無關的個人或第三方機構進行，同時應邀請一至兩名與本案無關的公民擔任見證人。出于維護取證程序公正性的現實考量，偵查人員應依據相關法律規(guī)范予以回避。

在提取電子數據的過程中，證據的保全應如影隨形，并應把重點放在介質的信息保全之上。獲得原始存儲介質后，最穩(wěn)妥的保全方式是對電子數據進行備份，如此不僅可以固定原件，還可以防止其遭受任何污染與破壞。還應注意的是，電子數據原件的保全無法脫離特殊的存儲環(huán)境，應使其遠離高溫、高磁場、潮濕、灰塵密布的空間。在保全的程序方面，取證人員首先應記錄案由、證據內容、復制的時間與地點、文件的規(guī)格與類別等信息；其次是進行復制，復制的過程應全程錄像并接受見證人的監(jiān)督；最后是復制件的保存，應將復制件一式三份，取證人員一份，原始存儲介質持有人一份，與案件無關的輔助取證人員一份，原始存儲介質持有人應以簽名或蓋章的方式予以確認。除此之外，一種應運而生的保全——以“公證云”為平臺的網絡公證亦頗有值得參考借鑒之處。當傳統(tǒng)意義上的公證制度脫胎換骨之際，為網絡與電子商務服務的網絡公證漸漸映入人們的眼簾。網絡公證通過在實體上對電子數據進行實質性審查，能夠以不偏不倚的公證程序、公開透明的公證過程保障電子數據的證據資格。[19]當事人雙方只需在計算機中輸入指令，數據電文便會以加密的形式傳送到網絡公證機構，在網絡公證員對當事人的數據核實無誤后，加上自己的數字簽章并存檔備查公證即宣告完成。[20]可以說，公證與網絡世界的完美融合已成為提高電子數據保全效率的最佳出路，其理應獲得立法的支持。

3. 網絡取證的檢驗與分析階段。對收集的電子數據進行檢驗與分析主要是為了審查其證據能力與證明力，如果具有證據能力，得歸檔并向法庭提交。通常情況下，檢驗與分析的客體應為原始存儲介質的復制件。為了彌補我國現階段的立法困局，應從如下方面探索網絡取證檢驗與分析的應然出路。首先，取證人員應檢驗存儲介質的來源是否具有合法性，具體包括取證主體是否合法、取證設備是否合法、取證程序是否合法等。其次，電子數據是數字化的電磁記錄，其易被篡改、毀滅，更何況由于反取證技術的發(fā)展，網絡犯罪嫌疑人常會運用科技手段無痕地修改涉案數據，這對完整性的分析鑒定提出了更高的要求。在數據恢復或修復技術尚未完全發(fā)展成熟的時代背景下，或許可以要求擁有信息技術優(yōu)勢的網絡服務提供者承擔起更多的完整性審查的義務：及時檢驗電子數據中待證事實信息與審計信息是否有刪改跡象，并整合兩種數據信息，盡可能地還原案件的本來樣貌。最后，取證人員還應檢驗存儲介質的真實性。原始存儲介質“生存”在一定的設備與系統(tǒng)中，其真實性會受到設備與系統(tǒng)狀態(tài)的影響，對于出現異常且運行不穩(wěn)定的設備與系統(tǒng)應予以重點檢驗。唯有如此，網絡時代的證據調查活動才會永保青春與活力，獲得更多的與網絡犯罪博弈的籌碼。