刑事數據調取與數據安全深度融合銜接
□《關于辦理信息網絡犯罪案件適用刑事訴訟程序若干問題的意見》對接了數據安全法的相關要求，將全流程數據安全管理制度引入刑事數據調取流程，對跨地域調取電子數據的規(guī)范，兼顧了異地調取電子數據的便利性和安全性，必將在信息網絡犯罪案件辦理程序中發(fā)揮重要作用。
□檢察機關、法院可以通過核驗電子簽名、數字水印、電子數據完整性校驗值及調證法律文書編號是否與證明文件相一致等方式，對電子數據進行審查判斷。這實際上是在電子數據審查階段再次強調以技術核驗的方式保證刑事司法中運用的數據電文的安全性。
2022年8月30日，最高人民法院、最高人民檢察院、公安部聯合發(fā)布《關于辦理信息網絡犯罪案件適用刑事訴訟程序若干問題的意見》（以下簡稱《意見》），其中第14條、第17條對公安機關向網絡服務提供者調取電子數據及檢察機關、法院對電子數據的審查判斷作出了最新規(guī)定，首次在規(guī)范層面規(guī)定了電文形式的數據調取、傳輸和接收，對接了數據安全法的相關要求。
刑事數據調取與全流程數據安全管理制度的銜接
近年來，適應信息網絡犯罪案件辦理新要求，偵查機關跨地域調取數據的需求逐年增長，傳統(tǒng)的派員赴異地調取數據的辦案模式已經難以適應刑事偵查實踐的需要。為此，公安機關統(tǒng)一搭建了適用于電子數據異地調證的信息化系統(tǒng)，極大地便利了電子數據調取工作的開展，降低了偵查成本，同時也提升了偵查效率。但是，司法實踐發(fā)現，經上述系統(tǒng)調取后以電文形式呈現的數據并未得到有關部門普遍認可，這便出現了某些地區(qū)認可這種形式的電子數據，而其他地區(qū)對此不予認同的落差現象。之所以出現這種情況，主要原因在于，對異地調證信息化系統(tǒng)的規(guī)范化運行缺乏統(tǒng)一認識，從而容易對以此方式調取的電子數據的真實性、完整性產生疑問。
這種對數據真實性、完整性的擔憂，實質上就是指向數據生成、固定、傳輸和接收等一整套流程的疑慮。因此，《意見》對跨地域調取電子數據的規(guī)范，實際上就是對經異地調證信息化系統(tǒng)所獲取的電子數據的安全性的保障。這種規(guī)范思路精準銜接數據安全法第27條規(guī)定，本質上滿足了其對全流程數據安全管理制度的要求。
具體到跨地域調取電子數據的全流程數據安全管理制度而言，《意見》從三個方面進行了規(guī)范：
其一，網絡服務提供者向公安機關提供電文形式的電子數據，應當保證電子數據的完整性?！兑庖姟访鞔_要求相關電文載明調證法律文書編號、單位電子公章、完整性校驗值等保護電子數據完整性方法的說明等信息，從而保證了數據生成階段的安全性。
其二，跨地域調取的電子數據，通過公安機關信息化系統(tǒng)傳輸。該系統(tǒng)已經經過多年運行，在實踐中得以持續(xù)完善，確保了跨地域傳輸的數據電文的安全性。
其三，檢察機關、法院可以通過核驗電子簽名、數字水印、電子數據完整性校驗值及調證法律文書編號是否與證明文件相一致等方式，對電子數據進行審查判斷。這實際上是在電子數據審查階段再次強調以技術核驗的方式保證刑事司法中運用的數據電文的安全性。
筆者認為，將全流程數據安全管理制度引入刑事數據調取流程，是《意見》的一大亮點?！兑庖姟穼绲赜蛘{取電子數據的規(guī)范，兼顧了異地調取電子數據的便利性和安全性，必將在信息網絡犯罪案件辦理程序中發(fā)揮重要作用。
刑事數據調取與數據分類分級保護的融合
除了全流程數據安全管理制度外，數據安全法還規(guī)定了其他一系列數據安全制度，其中便包括與刑事司法密切相關的數據分類分級保護制度。具體而言，數據安全法依據數據在經濟社會發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用而對國家安全、公共利益或者個人、組織合法權益造成的危害程度，將其劃分為國家核心數據、重要數據和一般數據。
不過，數據安全法并未就三類數據的具體范圍進行明確劃定。該法第21條第2款規(guī)定，各地區(qū)、各部門應當按照數據分類分級保護制度，確定本部門以及相關行業(yè)、領域的重要數據具體目錄，對列入目錄的數據進行重點保護?！兑庖姟肪痛俗鞒隽艘?guī)定，公安司法機關立足刑事司法的實際情況，對數據進行分類分級保護，考慮到刑事司法實踐中涉及國家核心數據的情況相對有限，因此此項工作的重心將落腳于對重要數據的保護。
在信息網絡犯罪案件辦理實踐中，就公安機關向網絡服務提供者調取的電子數據而言，目前實際上已經存在規(guī)范層面的分類。例如，《人民檢察院辦理網絡犯罪案件規(guī)定》第27條就將電子數據的形式劃分為網絡平臺發(fā)布的信息、網絡通訊信息、用戶身份信息、用戶行為信息、行為工具信息、系統(tǒng)運行信息和附屬信息。然而，雖然網絡服務提供者掌握的電子數據已經存在形式意義上的分類，但規(guī)范層面卻并未基于數據保護的重要性而對相應數據進行分級處理，這便導致刑事數據的調取尚無法在完全意義上落實數據安全法所規(guī)定的數據分類分級保護制度。對此，國內已有不少學者主張參考其他國家的做法，將“用戶數據”“通信數據”和“內容數據”作為面向網絡服務提供者開展數據調取的分類依據，并就“內容數據”進行重點保護。
刑事數據調取與數據安全執(zhí)法協助及保護義務的兼容
數據安全法第35條規(guī)定了刑事數據調取的執(zhí)法協助義務，即“公安機關、國家安全機關因依法維護國家安全或者偵查犯罪的需要調取數據，應當按照國家有關規(guī)定，經過嚴格的批準手續(xù)，依法進行，有關組織、個人應當予以配合”。從規(guī)范體系的角度而言，上述條款位列數據安全法第四章“數據安全保護義務”的內容當中。之所以這樣安排，原因在于，作為提供數據的主體即有關組織和個人，不僅應當協助公安機關和國家安全機關的執(zhí)法活動，同時也應當在此過程中履行數據安全保護義務。
對此，《意見》明確要求網絡服務提供者向公安機關提供電文形式的電子數據，應當保證電子數據的完整性，這便是后者承擔數據安全管理職責、履行數據安全保護義務的具體表現。因此，上述第35條后半段可以定位于有關組織和個人的“數據安全執(zhí)法協助及保護義務”。既然是法律義務，網絡服務提供者在信息網絡犯罪辦案程序中協助公安機關調取數據時，就可能承擔相應的法律責任。為此，根據數據安全法第48條規(guī)定，如果網絡服務提供者拒不配合數據調取的，公安機關就有權責令改正、給予警告，或對網絡服務提供者、直接負責的主管人員和其他直接責任人員施以罰款。然而，數據安全法規(guī)定的這些法律責任尚未在刑事辦案程序規(guī)范中得到明確的體現。以包括《意見》在內的刑事程序法律及司法解釋來看，還未觸及數據調取法律責任的對接。在刑事數據調取程序中兼容數據安全執(zhí)法協助及保護義務的首要問題，就是對上述處罰形式進行定性。對此，筆者認為，這些處罰都應當定性為行政處罰。
其一，除了數據安全法第48條外，公安機關還可以依據數據安全法第四章即“數據安全保護義務”部分的諸多條款開展行政處罰。換言之，該法規(guī)定了指向網絡服務提供者不履行職責與義務的體系化的行政處罰，后者拒不配合數據調取的處罰形式屬于其中的組成部分。
其二，從數據安全法第48條規(guī)定的處罰類型來看，責令改正、給予警告、罰款本身都屬于行政處罰法規(guī)定的行政處罰方式。
綜上，在信息網絡犯罪案件偵查程序中，對于網絡服務提供者拒不履行數據安全執(zhí)法協助及保護義務，公安機關需要給予行政處罰的，應當依據行政處罰法規(guī)定作出相應處罰，并為行政相對人提供相應的救濟程序。
當然，對于這種偵查程序中的行政處罰，網絡服務提供者或網絡用戶如何適用行政處罰法的規(guī)定提出陳述或申辯，甚至提起行政復議或行政訴訟等救濟，還有待在信息網絡犯罪案件辦案程序中予以明確。如果可以獲得行政復議或行政訴訟救濟，這實際上是在刑事司法程序中構架了一種指向權利救濟的獨特的行政性中間程序，其法理和程序都有待理論界深入加以研究。
（梁坤 西南政法大學刑事偵查學院教授、博士生導師）
編輯：張怡時
京公網安備 11010502000576號