马德焕：从司法判决归纳电子证据关联性的审查要点
倡导对法律人的人文关怀，促进法律人的新知新方法。
（感谢张法官题字）
马德焕 | 北京市尚权律师事务所实习律师， 山东大学法学硕士、吉林大学法学学士
按照学理的定义，电子证据是指以电子形式存在的、用作证据使用的一切材料及其派生物，如电子邮件、电子数据交换、网上聊天记录、博客、微博客、手机短信、电子签名、域名等等。
与传统证据相比，电子证据依赖于电子介质存储，存在于无形的虚拟空间，因而电子证据以其虚拟空间性为突出特征，并体现在不同方面。如在取证方面，电子数据及其原始存储介质有“一体收集”和“单独提取”两种取证方式，立法规范也对两种方式作出了不同要求。又如在电子证据的审查判断方面，如何审查电子证据与案件事实之间的人机关联性，或如何通过虚拟系统性文件（如附属信息、关联文件、痕迹文件等）来实现对主文件真实性的校验等，这些均离不开对虚拟空间性的把握。再如，在电子证据的认定方面，因技术的专业性问题，往往是由鉴定人员对海量电子数据的证明力作出判断，这难免会对法官的自由心证产生“压缩”的后果。
电子证据较传统证据而言，在诸多层面有所不同，本文拟以电子证据的人机关联性为研究视角，检索、分析相关案例，并结合刘品新教授在《电子证据的关联性》一文中所提出的“载体关联性”包含“人、事、物、时、空”五个方面的关联性，以期归纳电子证据关联性审查判断的要点。笔者通过“威科先行”司法裁判文书数据库进行检索，设置“电子证据”为关键词检索得到刑事案件37812条结果。其中，位居前列的案由是诈骗罪（6944件）、开设赌场罪（3103件），这也在一定程度上反映了诈骗犯罪和开设赌场犯罪朝着网络犯罪的趋势发展。为确保研究对象的集中性，笔者在结果中进一步检索“关联性”，得到2546条结果，人工选取了关联性命中频次较高的近30个判决。本文以这些案例为基础样本，归纳分析司法判决对“电子证据关联性”的审查判断要点。
（一）人的关联性
人的关联性是指通过电子证据对应到物理空间中的人，实现“人机关联”。由于电子证据处于虚拟空间中，司法工作者首先会查询电子证据反映的账号信息，如上网账号、登陆网址、IP地址等，再根据账号信息锁定物理空间中的人。然而，现实生活中账号所有者与使用者分离的情况，以及涉案行为人拒不供认账号信息与自己有关的情形，都会给司法实践带来认定上的难度。
目前的司法实践往往采取综合验证的办法，即利用多项“识别性信息”叠加印证，从而锁定涉案行为人。如核查QQ号码、微信号码、IP地址、网络活动记录、上网终端归属以及相关证人证言等进行综合判断认定。
案例1. 古某某、杨某某、谢某某等诈骗罪一案，本案是一起网络诈骗案件，一审判决采用多项账号信息的识别性作用，将诈骗事实与被告人、被害人关联起来。
本案侦查机关在案发现场查获了一部手机（背面贴纸写有微信、QQ号码）、一个白色路由器及一张写有IP地址黄色纸张。案发时，没有他人在场，且相关涉案人员均证实其等到达别墅后，手机都会被收走，故在案发现场缴获的手机的背面纸条所写的微信号码可以认定为该团伙作案所用的微信号码和QQ号码。且上述路由器及其上方字条经被告人辨认证实MAC地址（媒体访问控制地址）和IP地址是该团伙所使用，且路由器的MAC地址和IP地址具有唯一性。由此关联出了被告人。侦查机关又利用该团伙使用的银行账户、QQ号码、手机号码等关联出相关被害人，结合被害人所提供的诈骗人所使用的银行账户，能够相互吻合印证。
本案中侦查人员利用电子证据关联出被告人和相关被害人，利用的就是被告人所特有的主叫号码、手机号码、QQ号码、微信号码、银行账号，在一个或多个点上具有识别性，与该团伙建立了关联，相互印证。
案例2. 磨某某诈骗罪一案，本案是一起网络诈骗案，被告人庭审时拒不供认犯罪事实，一审依据相关电子证据证明了被告人与本案的关联性。
一审判决从其作案现场扣押到的电脑中查获大量诈骗使用的术语、图片工具及QQ账号，其中的“化妆”文件夹中保存有冒充何某的好友王某对何某实施诈骗的QQ号，QQ账号可以认定被告人与本案的关联性。
案例3. 邵某某等人犯诈骗罪一案，本案也是一起网络诈骗案，公诉机关出示了电子证据，证明涉案诈骗网站名称是“子”。但辩方质疑网站“子”账号与被告人之间的实际关联性。
辩方举证证明了，涉案网站“子”在被告人邵某某被羁押期间仍在继续运行，登入地点为深圳电信端口，由此无法排除“子”网站是被共用或并非被告人控制的可能性，但一审判决没有采纳该辩护意见。
（二）事的关联性
事的关联性是指，电子证据所记载的信息与案件事实相关，如电子证据所载明的转账金额是否是涉案的犯罪金额，如电子证据反映出的发送、接收行为是否是本案被告人的犯罪行为等等。由于电子证据也需要人来解读，很多情形下，电子证据所反映出的数据信息、行为信息与本案的关联性，需要结合被告人供述或证人证言来形成印证证明关系。司法实践中也多是采用印证的方式，如被告人供述与电子证据之间形成印证证明，从而认定电子证据所反映出的事实。
此外，事的关联性通常影响量刑情节的认定，如伪基站发送短信失败数量、自然人会员与机器会员的区分、实际点击率的确定等等，这些对量刑有着重要影响的因素都关涉着电子证据的关联性判断。
案例1. 被告人郭某某、李某某、苏某某信用卡诈骗罪一案，无法认定被害人所收到的网址是被告人发出的，以行为关联性推翻了部分指控数额。
一审判决认定，第25起至第35起在上海的诈骗事实，三被告人均未有在上海实施诈骗的供述，认定该事实的证据仅有多名被害人被骗取钱财的陈述，被害人登录的钓鱼网站是否是被告人郭某某制作，收到的诈骗短信是否是被告人郭某某指示发送、是否是被告人李某某通过伪基站发送，被骗取的钱财是否是被告人找人取走均无证据予以证实，即被害人被骗取钱财与三被告人的犯罪行为之间是否具有关联性无法证实，证据不能形成完整的证明体系，故公诉机关指控三被告人实施了第25起至35起诈骗事实，证据不足。
案例2. 姜某、刘某某破坏广播电视设施、公用电信设施罪一案，这是一起利用伪基站破坏通讯的案件，本案中辩方提出，第一点，利用伪基站发送短信的数量不等同于通信用户脱网的数量；第二点，伪基站发送短信成功率有限。一审判决采纳了第二点意见。
本案中，公诉机关指控被告人利用伪基站向移动手机用户发送招聘、服装等广告信息55万余条，造成50余万用户通信中断不满一小时。并出示了伪基站设备截图，截图记载了发送短信的数目。
辩方律师指出，伪基站设备截图仅有发送短信数目，而发送短信并不一定导致用户脱网。此外，正规基站还有收不到信号的现象，本案的伪基站也会有广告信息发送不到移动手机用户的现象。
一审判决认定，伪基站截获手机用户唯一身份信息的IMSI，向不特定手机用户发送广告短信，具有强制性、阻断性的特点，且该设备电脑中存储的数据明确显示了发送广告短信的数据，该数量与通信中断的移动手机用户数量两者之间形成必然的关联性，应予以认定。但考虑到日常中存在未能接到短信的个别现象，可作为量刑酌情从轻的情节予以考虑。
案例3. 罗某侵犯公民个人信息罪一案，本案中对公民个人信息数量的计算存在争议，一审判决去除了重复数据内容、去除了行为作为入罪处理前的数据内容。
一审判决认定，公安机关对罗扬的两个U盘中提取的公民个人信息进行了证据固定，去除重复数据内容，去除打不开的文件内容，去除保险公司业务数据内容，去除2015年11月1日前的内容，统计所有公民个人信息数量，记录文件的名称、原始路径、大小、创建时间等属性信息，计算文件对应的MD5值进行固定，并附有详细内容。
案例4. 吴某、郑某某制作、复制、出版、贩卖、传播淫秽物品牟利罪一案，关于涉案平台注册会员人数的问题，应当明确区分机器会员与自然人会员。
本案中，辩方律师指出，公诉方提取的注册会员人数不客观，有一部分平台用户实际是虚拟的“机器人”，故后台显示的注册人数等数据并不真实、不客观。根据后台数据的截图和视频，可以在会员统计中看到“机器人”的设置，结合现阶段直播平台的一般运营模式，后台数据中的注册会员人数确有可能存在一定“水分”，一审法院采纳了此辩护意见。
（三）物的关联性
物的关联性是指“电子介质”的关联性，由于电子证据依赖于特定的载体存在，如电脑、手机、U盘和网络服务器等。为保障电子证据的原始存储状态，也为了证明电子证据的来源，法律规范要求采取一体化的取证方式，即将电子证据与其载体一体取证，这与最佳证据规则中的“原件”要求是一致的。
对于介质的关联性，司法实践常常采取笔录证明、录音录像、见证人证明或司法鉴定等方式来证明涉案介质就是原始载体，电子介质本身未遭到过侵入或破坏。若对某一介质的保管链条不完整，往往会成为控辩双方的争议焦点。
案例1. 王某某、郑某某侵犯著作权罪一案，被害单位所在地是SH市，侵权人所在地在SZ市，报案机关是JS省XZ市警方。原因在于被害单位在XZ市某公司租赁了服务器，但是辩方认为租赁事实是虚构的，由此质疑本案中的管辖权问题，本案属于利用介质关联性质疑管辖权的案例。
依据《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》关于网络犯罪案件的管辖的规定，被害人的计算机系统所在地也属于犯罪地。
一审刑事判决为查明在受害单位报案之前即2015年1月8日之前，被害单位在XZ市的服务器（IP地址：112.85.231.16，远程管理端口：39433）是否被实际使用过，经XZ市公安局奎山派出所委托，2016年8月31日SH东方计算机司法鉴定所出具《关于服务器运行情况的鉴定》通过远程登录服务器查看日志文件，在日志文件ServerManager.log、CBS.log和WindowsUpdate.log中检出有2014年11月3日和2014年11月15日的运行记录，证实了报案之前被害单位在XZ市的服务器被实际使用过，由此XZ市警方享有管辖权。
案例2. 吴某等制作、复制、出版、贩卖、传播淫秽物品牟利罪一案，即2016年快播案，辩方质疑4台服务器接入互联网的IP地址无法直接关联到快播公司，即介质关联性存疑。
辩护律师提出，涉案4台服务器的扣押、移交、鉴定过程中，执法机关只登记了服务器接入互联网的IP地址，没有记载服务器的其他特征，而公安机关的淫秽物品审验鉴定人员错误地记载了硬盘的数量和容量，由于接入互联网的IP地址不能充分证明服务器与快播公司的关联关系，前后鉴定意见所记载的服务器的硬盘数量和容量存在矛盾，可以让人对现有存储淫秽视频的服务器是否为原始扣押的服务器、是否由快播公司实际控制使用产生合理怀疑。
一审法院针对这一争议，委托了信息鉴定中心对在案扣押的4台服务器及存储内容进行检验，分析了4台服务器（包括原鉴定当中因无法打开而未提取视频的1台服务器）的系统日志，检索到服务器的管理者频繁远程登录使用的IP地址218.17.158.115。公安机关和检察机关又调取了快播公司与深圳高新区信息网有限公司的上网专线协议，最终确认该IP地址为快播公司专用IP地址。同时，鉴定人员经对4台服务器内现存快播独有视频格式文件qdata文件属性等各类信息的检验分析，没有发现2013年11月18日后从外部拷入或修改qdata文件的痕迹。由此认定了4台服务器与快播公司的关联性。
案例3. 李某某、刘某破坏计算机信息系统罪一案，侦查机关扣押涉案U盘时未对该U盘进行封存，辩方质疑涉案软件来源，认为不具有排他性，与本案不具有关联性，但一审判决未采纳。
一审判决认定，公安机关在扣押涉案电脑、手机、U盘等涉案物品的过程、步骤中囿于侦查条件及办理案件的紧迫性等并未封存，存在程序的瑕疵，但瑕疵与非法当属不同的概念，如能对瑕疵进行补正或者作出合理解释，由此获得的相关证据仍可作为定案依据。本案中，公安机关出具的情况说明对于扣押的U盘未封存的原因进行了合理解释，且无改变U盘中电子数据的情形，保护了电子证据的完整性、真实性、原始性。
案例4. 董某某、秦某某诈骗案，本案关涉诈骗数额的证据是2015年、2016年两份电子表格形式的业绩单。辩方提出其中2015年的业绩单与本案无关联。
辩方称2015年的业绩单是从扣押的U盘中提取，但跨境取证移交的材料目录中并无该U盘，后在物证清单中凭空出现三个U盘，无法证实该U盘与本案的关联性，也无法证实从中提取出的电子数据与本案的关联性。
一审法院最后查证，2015年的业绩单是在查扣的ADATAU盘中获取，至于ADATAU盘，虽未在现场查扣清单、移交清单中出现，后在警方逐一清点随案移送物证时被发现并登记，经侦查人员拍照固定并附卷，同时有清点物证的全程同步录音录像佐证，故警方制作的这份证据清单的合法性、客观性应予认定。本案两份业绩单的来源清楚、提取程序合法，其合法性应予认定。
（四）时的关联性
时间的关联性是指电子证据所处的机器时间与物理空间中的时间应当吻合，若存在一定的差值，也应当准确计算出实际差值，再将相对应的时间作为与案件事实相关的时间界点。对于与机器时间无法对应的物理时间内所发生的事项，就与案件事实没有关联。在司法实践中对于时间关联性的关注，往往对案件辩护能起到意想不到的效果。
案例.刘品新教授在其《电子证据的关联性》一文中提到了一个利用时间关联性证明鉴定的时间节点有错误的案例。在利用伪基站破坏通讯的案件中，由于机器时间与物理时间存在一定的时间差，那么按照机器时间所做的鉴定意见就与客观事实存在误差，即机器时间界点内通信信息被中断的用户数与相同物理空间中的时间界点内的用户数并不一致，应当以对应的物理时间界点才准确。因此，鉴定意见因鉴定的时间范围错误而不具有可靠性。
（五）空的关联性
空间的关联性是指电子证据所处的虚拟空间也有虚拟的位置，具体到司法实践中，主要也是用于人机关联，如GPS定位、IP地址、基站定位地址、网址等等均能从不同角度反映出某个行为人的行踪轨迹，这为锁定行为人或排除行为人都起着重要作用，与之前所说的人的关联性具有相当的功能。
案例. IP地址用作证据第一案，这是一起行政处罚的案件，警方利用IP地址等虚拟空间的信息锁定了物理空间的行为人，实现了人机关联。
本案中，报案人称其电子邮件被他人冒用发送了色情图片，于是公安机关通过查询邮件信息和市电信局服务器工作日记查到了发送信息的电脑当时所使用的IP地址，并查询到使用此IP地址的电话号码和上网账号，还查到发送邮件的机器名“liang”。而这几项“识别性信息”均指向梁某，是梁某所有。此时账号所有者确定。
接下来公安机关要确定账号所有者梁某就是实际使用者，于是警方盘问了梁某，梁某承认发送邮件的期间确实是其一人在家上网，警方还对电脑进行了勘验，排除了黑客侵入的可能性。由此，警方锁定涉案行为人是梁某。警方对账号使用者的锁定也是通过虚拟空间中的多项识别性信息综合认定得出。
参考文献：
[1]何家弘主编.电子证据法研究[M].法律出版社2002年版:03.[2]刘品新.电子证据的关联性[J].法学研究,2016,38(06):175-190.[3]刘品新.电子证据的基础理论[J].国家检察官学院学报,2017,25(01):151-159.[4]刘品新.论电子证据的定案规则[J].人民检察,2009(06):37-40.[5]郑君，赵南坚，曾庆春，阳静，毛智明．IP 地址首次作证网民败诉[N]．南方日报，2003－5－27．（来源：公众号“尚权刑辩”）
以下点击可读：
王玉晴：区块链存证技术在司法领域的应用之研究
孙 巍：电子货币应用风险的法律防范措施
侯爱文：电子数据鉴定和司法会计鉴定质证攻略
侯爱文：电子证据质证攻略——案例、要义、原理
内含二个电子证据有效辩护案件 | 阚吉峰：组织、领导传销活动罪辩护的思路与要点
梁 坤：论初查中收集电子数据的法律规制——兼与龙宗智、谢登科商榷
黄 云：如何对物证、书证、鉴定意见及电子数据质证？| 南开法学院煦朗讲坛
郑 曦：数据时代的刑事领域被遗忘权
郑 曦：个人信息保护视角下的刑事被遗忘权对应义务研究
朱桐辉、王玉晴：电子数据取证的正当程序规制——《公安电子数据取证规则》评析
朱桐辉：如何规制电子证据的搜集、固定、移送及审查？
朱桐辉、张旭华：再论远程勘验中取证要受搜查、扣押的程序规制
朱桐辉、王玉晴 | 顶层设计与绩效改革：检察机关电子卷宗的应用效果透视
照片与讲座 | 朱桐辉：一个完美比喻看网络在线提取、远程勘验、技术侦查与大数据侦查的异同及法律控制
编辑 | 南开大学法学院研究生 王鑫