數據安全視野下商業機構在刑事訴訟中的角色定位研究

◆胡鴻福

數據安全視野下商業機構在刑事訴訟中的角色定位研究

◆胡鴻福

（中國人民公安大學法學院 北京 100038）

商業機構在刑事訴訟中可以扮演“特殊專家輔助人”“特殊證人”和監督者的角色。過時的協查機制限制了商業機構在刑事訴訟中的表現，直接導致協查效率低下、提供數據質量不高。刑事訴訟中商業機構的出路須以維護數據安全為基礎，以電子數據調取程序規范構建為重心，堅持辦案主體法定和比例原則，并形成銜接、保護、監督和制裁等具體的運行機制，才能使商業機構參與刑事訴訟趨于合理化、規范化。

刑事訴訟；商業機構；協查；數據安全

數據在社會治理中扮演的角色日益重要，刑事訴訟作為犯罪治理的重要環節也必須做出適應性的調整。大數據技術的發展打破了傳統的司法模式，以海量數據作為支撐，刑事訴訟由此更加智能高效。其中，商業機構因掌握大量用戶信息，在刑事訴訟中發揮重要作用。海量的數據為現代刑事訴訟的開展增添了動能，同時，數據安全和信息保護也成為現代刑事訴訟不可回避的問題。當前，數據獲取、傳輸、應用等機制不完善，使得商業機構參與刑事訴訟會出現數據安全隱患。因此，商業機構應充分發揮其專業監督作用，確保數據安全。

1 商業機構在刑事訴訟中的角色定位預設

大數據背景下的刑事訴訟區別于傳統刑事訴訟的顯著特征是以數據為中心，所以，數據獲取和數據分析能力成了評價辦案效能的核心要素。商業機構中有具備采集和處理數據專業能力的企業（以下簡稱第一類商業機構），也有掌握大量用戶信息的互聯網企業（以下簡稱第二類商業機構），這恰好與刑事辦案機關的需求相契合。如果這種契合能夠得到充分利用的話，那么商業機構在刑事訴訟中至少有三種角色定位可以被合理期待：一是“特殊專家輔助人”，二是“特殊證人”，三是監督者。

1.1 刑事訴訟中的“特殊專家輔助人”——主要是第一類商業機構的角色

第一類商業機構以單位的名義參與刑事訴訟，不符合刑事訴訟法關于專家輔助人（只能是具有專業知識的個人）的定義，但商業機構為辦案機關提供技術服務，實際上就是在運用專業知識參與刑事訴訟，故稱之為“特殊專家輔助人”。第一類商業機構以專家輔助人的身份介入刑事訴訟，這意味著其將以商業交易的模式提供專業知識的服務，比如接受辦案機關的委托，采集相關數據、提供數據分析報告、對數據進行可視化處理等等。實踐中，刑事辦案機關不僅采集具有強相關性的數據（即證據），更多是從關聯數據尋找辦案突破口。在關聯數據的擇取上，辦案機關應當加強與專業的商業機構的交流合作，尤其是在經濟犯罪和金融犯罪方面，無論是從數據的敏感度，還是從數據處理的能力而言，商業機構可能比辦案機關更有實力和精力收集數據、發現異常和呈現結論。

第一類商業機構參與到刑事訴訟當中，意味著辦案機關擁有了數據行家的支持。可以預見的是，以業務合作的方式推動辦案機關對數據領域規律和方法的把握，使辦案機關獲得源源不斷的技術補充，形成辦案合力。

1.2 刑事訴訟中的“特殊證人”——主要是第二類商業機構的角色

在刑事訴訟中，第二類商業機構因為掌握后臺數據而知悉一些案件的情況，所以它們在刑事訴訟中負有如實報告的義務，具體而言，商業機構具有履行協查的義務和主動報送線索數據的義務，前者表現為被動作證，后者表現為主動作證。商業機構充當證人的特殊之處在于它們不是個人，而是單位，這與我國刑事訴訟法的規定不相容，所以只能稱之為“特殊證人”。

被動作證是指商業機構接受辦案機關的協查請求，像證人作證一樣按照指令提供相關數據。商業機構以知情第三人的身份提供數據，在訴訟中的發揮著證人作證的作用，這在實質上符合證人的定義，盡管作證過程是通過履行協查義務的方式來實現。

主動作證主要表現為商業機構主動將一些可疑數據報送給辦案機關。盡管在立案之前報送數據的行為會使商業機構的身份與報案者、舉報者或者控告者的重合，但這不影響其作為知情證人的主體角色的成立。主動作證并非空穴來風，事實上，有些地方的辦案機關已經有初步的實踐探索，商業機構參與刑事訴訟的方式正在朝向多元發展，數據融合和共享正在發生，自動報送可疑數據也是應有之義。

1.3 刑事訴訟中的監督者——商業機構維護數據安全的角色

商業機關的參與為刑事訴訟活動開辟了新的通路，形成了“辦案機關——商業機構——被追訴人（用戶）”三角關系格局。辦案機關通過收集后臺數據，減少了與被追訴人的正面對抗，但不可否認這種做法也是存在一定的風險的，比如辦案人員篡改數據、收集數據不完整、收集不相關數據等等，如果商業機關不能有效監督辦案機關調取數據的行為，那么將使數據安全產生隱患。再者，刑事訴訟本身容易對公民基本權利造成侵害，而大數據背景下刑事訴訟的侵害性具有更強的隱蔽性，比如強行訪問某個相關人員私密的數據空間，這對他們的侵害可能并不亞于對于其現實住所的搜查，諸如此類的行為若不受到監督，必定會滋生公民對個人信息安全的憂慮情緒。所以，商業機構有條件也有義務在協助辦案機關的同時，監督相關辦案行為是否依法進行，保障用戶的個人信息權益。

2 商業機構在刑事訴訟中維護數據安全角色的缺失及成因

大數據體量巨大，類型繁多，半結構化、非結構化數據等大量涌現且成為主流，其復雜性使得數據安全所面臨的威脅和挑戰隨著數據規模非線性增長[1]。商業機構提供數據服務、履行協查義務和維護數據安全有時會出現價值沖突，實踐中，商業機構在刑事訴訟中缺少話語權，難以對刑事訴訟活動形成有效監督，所以其維護數據安全角色表現不佳，致使數據安全存在隱患。大數據的潛在價值，使相關的安全問題正日益凸顯[2]。究其原因，協查請求模糊、數據單向流動和協查規范缺失限制了商業機構的監督作用。

2.1 協查請求模糊

模糊的協查請求增加了商業機構履行監督職責的難度。為保證收集數據的全面性，辦案機關向商業機構調取數據時往往提出盡量模糊的協查請求。辦案機關請求調取的數據從因果性向相關性擴散，與之對應的是商業機構協查難度的提升和協查任務的增重，同時，商業機構對辦案過程合法性的監督也變得困難，數據安全難以得到保證。因為信息是經過加工且具有意義的數據，具有可為人類理性認識和理解的意義[3]，而相同的一組數據，經過不同的排列組合、篩選、補正等加工程序形成的信息能夠產生不同的證明作用，商業機構完成了模糊的協查請求之后就會失去對數據安全的控制。一方面，模糊的協查請求使商業機構難以明確具體被調查的對象，甚至不清楚某一具體的辦案行為的真實目的，更無從判斷辦案行為是否合法；另一方面，模糊的協查請求也使被調查者對相關調查行為毫不知情，無法向商業機構和辦案機關提出異議。

2.2 數據單向流動

在履行協查義務過程中，相關數據從商業機構流向辦案機關之后，對其真實用途商業機構無從得知，更談不上得到辦案機關的任何反饋，這存在極大的數據安全隱患。如果數據被不當利用，可能會侵害商業機構的商業秘密，甚至將來成為指控它們自身違法犯罪的證據。此外，商業機構履行協查義務還面臨著侵犯用戶信息自決權的風險。首先，大數據背景下用戶信息自決權極易受到侵犯，因為數據的無形性增加了侵權行為的隱蔽性，比如，商業機構提取用戶即時通信的內容就可能構成對用戶通信秘密的侵犯；其次，侵犯用戶的信息自決權可能會造成嚴重的后果，不僅會使用戶的合理信賴被破壞，還有可能使無辜的用戶卷入刑事訴訟當中。商業機構侵犯用戶信息自決權風險的上述特征決定了商業機構的協查行為容錯度很低，而數據的單向流動意味著商業機構履行協查義務時面臨更大侵權風險。

2.3 缺少中立的協查規范

中立規范的缺失使商業機構履行協查義務充滿了不確定性，數據安全無法得到保證。法律法規的欠缺一方面鼓勵多種形式的實踐探索，但另一方面也容易引起調取環節的混亂。實踐中，相關部門和企業的“立法”活動都各行其是，例如，2016年最高人民法院、最高人民檢察院和公安部聯合制定了《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》，2019年公安部發布了《公安機關辦理刑事案件電子數據取證規則》等文件，各商業機構都有各自的公司章程、工作規定，這些規范共同的特點是法律位階較低，因而適用主體有限。然而，上位指引規范的缺失，致使協查任務的具體內容只能通過個案協商的方式的確定，這不但不符合訴訟經濟的要求，更不利于辦案的及時有效性。最重要的是，上位規范的空缺還會使商業機構的監督缺乏基準，更難實現維護數據安全的目標。

上述因素在不同程度上阻礙著商業機構在刑事訴訟中發揮監督作用，使數據安全充滿隱患，因此，克服上述因素的制約，為商業機構在刑事訴訟中謀劃出路是時下的關鍵課題。

3 重塑商業機構在刑事訴訟中維護數據安全的角色

為提高商業機構在刑事訴訟中的協查實效，維護數據安全，結合實踐問題與現實條件，本文認為，刑事訴訟中的商業機構必須重塑維護數據安全的角色，以電子數據調取程序規范構建為重心，堅持辦案主體法定和比例原則，并形成具體的運行機制。

3.1 關于維護數據安全的原則性建議

（1）堅持辦案主體法定

憲法和法律明確規定了刑事案件的辦案主體的范圍，旨在防范不當的刑事訴訟行為對公民基本權利造成侵害。商業機構在刑事訴訟中因為具有多重身份而承擔多種職能，在參與刑事訴訟過程中（尤其是扮演專家輔助人和主動作證的環節中）很容易逾越界限，使外界產生商業機構即辦案主體的錯覺。所以，有必要在此重申憲法和法律關于辦案主體的規定，防范實踐中出現角色分工錯位，即商業機構無論在何種程度上參與刑事訴訟活動，都不可能成為辦案主體。此外，能夠參與刑事訴訟的商業機構也應當有所限定，只有在管理規范、技術水平、監管措施等方面都具備充分的數據安全保障能力的商業機構，符合數據安全使用要求的[4]，才允許作為“專家輔助人”或“特殊證人”進入刑事訴訟。

（2）比例原則再提倡

為使刑事訴訟可能帶來的負面影響降到最低，確保數據安全，有必要提倡比例原則，從目的和手段的關系角度把握商業機構參與刑事訴訟的尺度。因此，本文建議將數據體量、數據敏感度、數據穩定性、案件性質和訴訟階段作為參數，構建商業機構與辦案機關不同深度和梯度的合作體系。涉及的數據體量越大，需要經過的審查程序越嚴格；數據的敏感度（個人信息的私密度、商業秘密的密級等）越高，需要設置更多的數據安全排查和技術處理程序；數據越不穩定（自動刪除、人為竄改、銷毀等），越要優先安排協查；訴訟階段不同，相應的協查范圍、數據庫開放程度、數據挖掘的深度要有所區別。

3.2 關于建立維護數據安全具體機制的建議

（1）銜接機制

業務銜接機制。為使商業機構參與刑事訴訟活動步入正軌，解決模糊性協查請求等障礙，應該建立穩定的工作銜接機制：第一，協商建立異常報警機制，打通商業機構自動報送可疑數據的渠道；第二，建立協查請求類型化機制，由辦案部門匯編指導案例、數據查詢指南等手冊；第三，建立多方合作機制，通過第一類商業機構（即專業的大數據公司）提供的數據相關的服務，暢通辦案機關和商業機構數據需求和數據供給。

規范銜接機制。中立性規范是大數據參與刑事訴訟的制度保障，而規范的中立性既是維護各方利益的底線要求，也是保證協查的重要根據，所以，商業機構和辦案機關應該拋棄行政化的立法思路，共同致力于上位規范的制定，并充分吸納用戶的意見。

（2）保護機制

數據安全排查的機制。為了充分維護用戶信息權益和保護商業機構自身的商業秘密，加強脫敏技術的運用尤為必要，剔除無關數據，在調取過程中對數據進行過濾。商業機構須恪守隱私政策上的允諾，滿足用戶的信賴，對于用戶信息的收集和利用，可以借鑒域外的隱私合理期待理論，從主觀意愿與客觀所處之境遇進行判定。

處理無關數據的機制。信息處理者與信息主體強弱懸殊，處于實質不對等狀態，致使個人信息權難以發揮應有的保護功能[5]。所以，商業機構和辦案機關應當在事后及時主動處理無關的信息，將數據還原，并及時告知用戶，這不僅是對用戶信息自決權最基本的尊重，也是保護訴訟參與人權利的必然要求。

反饋機制。辦案機關使用數據后要給商業機構反饋，對于可能涉及侵權的行為和風險要及時通告，當然，反饋的時機可以已根據辦案的需要進行調整。

（3）監督機制

節點公開。以公開為原則的案件辦理程序更具有司法公信力，公開不僅增強了程序的正當性，也使得監督辦案成為可能，更擴展了共享的效應。公開的方式要結合技術運用，比如區塊鏈技術，使每一個節點都公之于眾，這樣也能保障數據相關人的知情權。當然，因案件特殊，不宜公開或及時公開的，允許一些案件的節點不公開、部分公開或滯后公開。

記錄留痕。為防范刑事訴訟過程中商業機構工作人員或辦案人員違規操作的風險，構建記錄留痕程序，將每一次協查調取過程記錄在日志上，取證合法性證明和責任倒查所用。

反向評價。商業機構善于運用評價，也很注重對評價的分析。賦予商業機構對相關辦案機關和辦案人員的執法規范情況作出評價的權利，能夠對辦案過程的合法性形成有效的監督。

用戶異議。商業機構和辦案機關應當為用戶開通異議通道，使對刑事訴訟活動合法性有異議的用戶能夠得到及時的回復或救濟，對于明顯的事實錯誤，應當立即處理，對于法律爭議和有分歧的事實問題，也要限期解決。

（4）制裁機制

責任追究。建立制裁機制是形成監督閉路的基本要求，對刑事訴訟活動的監督也不例外。制定制裁違法辦案行為的規則，使越權調取數據和不當利用數據的辦案人員受到工作處分、刑事處罰等責任追究。

數據排除。嚴格執行非法證據規則，倒逼辦案機關合法收集數據。辦案機關違反法定程序收集、使用數據，如果構成對用戶信息自決權的侵犯，則排除相關數據，否則，可以不排除。

限制權限。商業機構參與刑事訴訟，如果違反規定和要求，其主管部門有權對其信譽等級和運營資質做不利調整；辦案機關如果出現違法操作的情況，其上級機關有權限制其自主辦案的權限，商業機構也可暫停或終止相關的合作。

[1]齊愛民.論大數據時代數據安全法律綜合保護的完善——以《網絡安全法》為視角[J].東北師大學報（哲學社會科學版），2017（04）：108-114.

[2]韓偉.安全與自由的平衡——數據安全立法宗旨探析[J].科技與法律，2019（06）：41-48+67.

[3]裴煒.個人信息大數據與刑事正當程序的沖突及其調和[J].法學研究，2018，40（02）：42-61.

[4]林麗敏.大數據背景下我國個人數據安全保障體系的構建[J].海峽法學，2019，21（04）：38-44.

[5]王懷勇，常宇豪.個人信息保護的理念嬗變與制度變革[J].法制與社會發展，2020，26（06）：140-159.

中國人民公安大學2020年度拔尖創新人才培養項目（2020ssky001）