2021年1月22日，最高检引发《人民检察院办理网络犯罪案件规定》（以下简称《规定》）。其中“第二章 引导取证和案件审查”、“第三章 电子数据的审查”都围绕电子证据(数据)做出了若干规定。对（刘品新教授着重强调的）电子证据的内容、载体“双重关联性”的关注出现萌芽，可谓吉兆。本文将结合新规与真实案例，探讨电子证据的双重关联性问题并拟提出现实案件中的企业经营者刻意数据造假而形成的“双重真实性”问题供读者、同行思考。
一、电子证据的双重关联性
首先简介一下电子证据的双重关联性的含义。电子证据有一个明显特点：时常兼具物证的特征和书证的特征。物证的特征主要（但不是全部）体现在电子证据的载体上——硬盘、内存、U盘、光碟等，它们本身的产品特征（如品牌、规格等）、物理痕迹（如硬盘上磁道的擦写、损毁痕迹）、时空状态（如：硬盘、U盘[原本]布置、存放的位置等）等都可能对案件事实有证明作用。书证特征则集中反映于电子数据的内容上，即以电子数据所承载的信息证明案件事实。由此，电子数据产生了双重的“关联性”：一是电子数据载体与犯罪/案件当事人的关联关系，二是电子数据内容与犯罪/案件当事人的关联关系。 首先谈一谈《规定》第三十三条，明确要求审查电子数据（内容）与案件事实的关联性及电子数据及其储存介质与案件当事人之间的关联性。这是从“概念上”明确了电子证据的双重关联性问题，很有意义。但遗憾的是第三十三条在进行原则性规定之后戛然而止，没有对审查的具体要点和方法进行描述。 产生这种缺憾的原因我们或许可以从对以下条文的分析中窥见一斑：《规定》第三十条 对电子数据是否客观、真实，注重审查以下内容：（一）是否移送原始存储介质，在原始存储介质无法封存、不便移动时，是否说明原因，并注明相关情况；此一表述体现出一种认识上的模糊：是否原始储存介质是真实性问题还是关联性问题？首先我们应该认识到：电子证据与传统的物证、书证有一重大区别是：电子数据可以完全被克隆——复制件与原件（在内容上）没有任何区别。结合第三十条第（二）、（三）、（四）、（五）项，可以看出，此处重视的是电子证据内容上的证据价值，因此，此处对是否原始介质进行审查，其实只对证据/数据提取的真实性审查起一个辅助和支撑作用（甚至可以直白地说是相对次要的，因为只要能够证明经可靠的提取方法保证的数据与原始介质上的数据相同，那么原始介质是否移送对真实性影响很微弱。此即电子证据在“最佳证据规则”下的特殊之处。易言之，“最佳证据规则”应该在电子证据的内容面上做出适当的扩张解释：与原电子数据内容一致的数据，是原始证据，最佳证据。） 审查“是否原始介质”更有价值的部分其实应该是对电子证据关联性的影响。因为原始介质的产品特征和时空状态经常与案件当事人有强相关关系。最简单的例子：同案犯甲供称：“我见过乙有一块亮黄色的东芝移动硬盘。”那么数据是否提取自一块亮黄色的东芝移动硬盘，这块硬盘是否移送，就成为电子数据关联性的争点和审查要点。 与《规定》第三章第三十三条相应，在《规定》第二章第十一条要求“人民检察院办理网络犯罪案件应当重点围绕主体身份同一性……上下游行为关联性等方面……构建完整的证据体系。”在这一条文引领下，第十五条指明了两项有助于证明载体关联性的措施“（一）能够扣押、封存原始存储介质的，及时扣押、封存；（六）及时提取书证、物证等客观证据，注意与电子数据相互印证。”第一点上文已述及，举一例讲一下第六点：例如手机，有全球唯一的国际移动用户识别码(IMSI)，各大厂商也有用于标识的S/N码。根据IMSI码可以在蜂窝网（核心网）的归属位置寄存器（HLR）或拜访位置寄存器（VLR）中查询用户的信息。而利用S/N码通常可以查询到产品的销售、维保等交易和使用相关情况。如以此来，通过关联的书证就可能建立起电子数据的载体（手机）与手机使用人之间的关联关系。 《规定》第十七条针对主体身份同一性的难题涉及两项关于载体关联性的审查要点“（一）扣押、封存的原始存储介质是否为犯罪嫌疑人所有、持有或者使用；（四）域名、IP地址、终端MAC地址、通信基站信息等是否能够反映电子设备为犯罪嫌疑人所使用；”这里谈一谈第四项。IP地址是一种逻辑地址，不与硬件绑定。虽然偶尔能指向某一终端，但是完全不保险。MAC地址由网络设备制造商生产时烧录在网卡的EPROM（闪存）之中，前3个字节代表网络硬件制造商的编号，由IEEE(电气与电子工程师协会)分配；而后3个字节代表该制造商所制造的某个网络产品的系列号。MAC地址本应与特定的网络设备一一对应并且全球唯一，指向特定硬件设备的能力较强。但是很不幸的是，它仍然可以通过软件修改，并非万无一失。 至此，《规定》中再无其他审查电子证据载体关联性的其他说明。但笔者更愿意理解为电子证据的双关联性问题(突出体现在主体身份同一性)确实是一个技术上的大难题，很难以简明扼要的文件形式做出规定和指引。目前只能是在文件做出原则规定，认可和强调“双关联性”的指导下，倚重司法工作者、律师甚至IT工程师们在具体的实务工作中根据具体案件情况进行“兵来将挡，水来土掩”式的个案努力。 二、电子证据的双重真实性 如果说双重关联性是刘品新教授从电子证据的本质特征出发，慧眼如炬发现的新问题。那么“双重真实性”就是一个或许不值得证据法学者关心，但对于司法实务工作者却很容易遭遇、不得不面对的新困难。 首先还是从电子证据的一个理论上的争议问题出发：电子证据到底容不容易做假？笔者完全同意刘品新教授的观点：电子证据极难做假，几乎难到不可能的程度。稍微展开些说：如果仅仅关注电子证据的内容面，尤其是只关注电子证据与案件事实有表面的直接关联的部分，那么就会误以为电子证据非常容易做假。甲出借给乙一万元，二人无论如何也不可能采取以下证明形式：甲写一个电子邮件给乙，载明借条内容，乙回复OK。然后两人将邮件截图打印出来，以此作为债权债务凭证。因为傻子也知道乙可能修改截图中发件人、发件地址、邮件内容等等，然后重新打印，从而篡改债权债务凭证。所以，将电子证据的（部分）内容面打印为类似“书证”的形式，然后审查、评价其真实性的行为是非常无厘头的。任何形式的电子证据“主文”的部分确实非常容易修改其内容，但是电子证据的关联信息却是极难伪造的。因为电子数据的生成依赖于一整套系统程序，电子证据“主文”只是系统程序运行的“输出”，而整个系统在“输出”之外还会伴生大量过程数据（刘品新教授称之为“电子数据的系统性”，以下姑且如此称谓）；要在修改“主文”的同时保证过程数据也相应得到修改，不留死角和破绽，这几乎是不可能的。也就是说，电子证据的“外观”是容易伪造的，但通过对系统性的审查，是极易发现外观遭到过修改的。因此，电子证据极难伪造。回到刚才的例子：即使乙修改了电子邮件的截图并删除自己邮箱的邮件，那么云端的或甲本地存储的邮件怎么办呢？即使乙再利用邮件召回的功能撤回自己的邮件，那么从发到撤的的操作日志又如何处理？其实，在计算机系统中进行越多的操作，就会留下更多的痕迹，笔者姑且成为“可追溯性”。所以电子证据在经科学地、完整地取证的前提下，真实性是非常有保障的。 但不幸的是，实务中电子数据的提取总是不科学、不完整（这里面既有客观的取证能力限制问题，更有主观的有罪倾向下选择性取证的问题），造成电子数据的内容片面化、碎片化，系统性被破坏殆尽，追溯过程也被人为地打断，造成案件事实无法还原。更加不幸的是，我国刑事司法实践中，侦查机关、检察机关利用自身优势地位、公权力属性来填补由于电子证据系统性、可追溯性的破坏而带来的真实性阙如，使得电子证据的极易失真的（片面的）“外观”被带到了法庭，而电子证据本身具有的纠正失真的“自愈”机制却一开始就被侦查机关拒于案件之外。 下面以一件非法吸收公众存款案为例，说明电子证据的“双重真实性”及其重要意义。 一企业开发、运营的多款（类似的）网络小贷APP涉嫌套路贷。公安机关自云服务提供商处提取了企业后台的关于各APP用户和交易的电子数据。数据显示涉案金额高达X亿余元。至此，电子数据的第一重真实性问题是：这些记录本身是否是案件发生过程中形成的，能够反映案件客观事实的证据。对此，《规定》（以及之前出台的大量指引）提示了大量审查要点，提出了多种审查方法。包括但不限于：如《规定》第十五条对取证方法、第三十六条对提取原始储存介质上的数据并复制、第三十七条对在线提取电子数据、第三十八条对冻结的电子数据、第三十九条对调取的电子数据的规定等等。再次反映出真实性历来是我国司法机关最为关注的证据性质。但需要注意的是：即使电子证据能够经受这一系列审查，也只能说明“提取到的电子数据‘本身’是真实的。”或者说“提取到的电子数据能够反映案件当事人在案发期间真实的活动情况。”就案例来说，第一重的真实性将保证侦查机关所获取和提交的数据是“涉案企业在（涉案期间的）生产经营过程中形成的数据，这些数据未经修改。”用更形象比喻：如果侦查过程是盲人摸象，那么第一重的真实性保证的是侦查机关摸到的确实是“真正的象（的一部分）”而不是假象或穿着衣服、带有修饰的象。 但是，行为人的一项重要辩解揭示了第一重真实性的不足。行为人辩称：为虚构公司业绩，便于获得客户和投资人信任，公司决定命令技术总监在业绩中注水。于是技术团队大肆修改后台数据，注入了大量的虚假交易记录，从而使得各APP“业绩惊人地好”，交易金额虚高。也就是说：第一重的电子数据真实性，仅使得“电子证据真实地反映出一个‘经伪造的事实’”。于是刑事实务中最不幸的情景就出现了：是否提取“技术团队造假”的电子证据（痕迹）的决定权完全掌握在司法机关手中；此事既费时费力，还对“侦查-起诉-定罪”的流程没有任何“好处”。司法机关毫无意外地拒绝了律师调查取证的申请，仅提取“交易金额X亿余元”的电子数据的“外观”，而对电子数据的形成过程的真实性拒不审查。以获取电子证据“外观”的过程合法，数据“本身”真实为由，认定电子数据呈现的“外观”也是真实的。如此就混淆了电子证据两个不同层面上的“真实性”的意义，造成错误认定。用更形象的比喻：盲人摸到了象的尾巴像一根绳子，就说象和绳子类似，因为这“真是象的尾巴”，所以“象就真的像一根绳子”。 目前的《规定》中没有对电子数据的第二重真实性进行强调。当然，读者可能提出这是由于第二重真实性是需要与其他证据（包括常情常理等）结合，对全案进行综合判断来进行审查的，不（仅）是电子数据审查的要点，不应为《规定》所囊括（因为超出了《规定》针对的范围）。但是，即使仅就电子证据的取证来说，正是电子证据提取的选择性、片面性，导致了电子证据反映的案件事实带有选择性和片面性。而这本是电子证据依靠本身的系统性和可追溯性可以内生地克服的。如果不能通过对电子证据取证、审查的适当规定让这种“自愈”能力发挥出来，是白白浪费了电子证据的独特优势，非常可惜。 作者：上海靖予霖律师事务所 、辩护技能研究部副主任、辩论队教练 刘笛
