冲突与弥合：个人信息刑事调取的数字转型与法律因应
2024-08-21   来源：刘文琦   

信息技术的发展和大数据的连亘汇聚，持续推动犯罪治理迈向现代化、信息化与数字化。在社会交往、财物流转、行踪轨迹等海量公民个人信息普遍以数据形式留存于第三方数据库时，向大型互联网平台等第三方调取通话记录、交易记录、位置数据等个人信息业已成为一种常态化且效益显著的取证方式。其实，调取个人信息并非法律规范术语，其在《中华人民共和国刑事诉讼法》（以下简称《刑事诉讼法》）上的法源依据为“调取证据”条款（第54条），属于《人民检察院刑事诉讼规则》第169条规定的任意性侦查措施。

然而数字化浸润下，个人信息不仅是事实客体，更成为人格的碎片。特别在2021年8月《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）出台后，藉由“根据宪法，制定本法”条款（第1条），个人信息保护已被提升至宪法权益的高度，是以统一在任意性侦查措施定位下的个人信息调取行为的正当性不无疑问。同时，2021年9月1日正式施行的《中华人民共和国数据安全法》（以下简称《数据安全法》）对数据调取规定了“严格的批准手续”的审批要求（第35条），明确传递出立法者对基于侦查犯罪需要进行的数据调取行为构建起严格程序规范的旨意，这进一步对个人信息刑事调取行为的性质和程序规范合理性展开追问。

申言之，数字时代下个人信息刑事调取面临如下诘问：向第三方调取必然比直接取证对权利的干预程度更低？调取个人信息是否仍属于任意侦查、无需严格程序规制？信息主体自愿共享信息是否等同放弃权利保护？刑事调取的数字化是否打破了惩治犯罪与公民信息权益保障的平衡？在2012年琼斯案（United States v. Jones）和2018年卡朋特案（Carpenter v. United States）中，美国联邦最高法院尝试对上述诘问进行回答，但其固守隐私权保护模式的做法仍滞后于技术的发展，窒碍了个人信息保护的边际与景深。欧盟在2016年Tele2/Watson案要求调取通信数据必须限于惩治严重刑事犯罪的目的，并应取得法院或独立行政机关的事先审查，但其狭窄的裁判范围亦无法全面回应数据调取行为的上述质疑。

事实上，我国刑诉学界围绕个人信息刑事调取已有讨论。以个人数据承载的基本权利为标准，既有研究从干预通信权、财产权、隐私权  等维度，审视调取个人信息的法律性质，发现调取已难以单纯地被定位为任意性侦查措施，会产生隐私及数据保护、泛在监控问题的隐忧  。应对个人信息刑事调取作类型化处理并匹配相应的程序控制  ，强化调取中的数据安全保护  、个人信息权利保护  。上述研究成果为个人信息刑事调取的程序规制奠基了丰富的理论成果，并推动着这一命题的纵深发展，为刑事程序法的数字化转型及个人信息保护贡献了智识努力。

但是纵观既有研究成果，存在以下不足：一是缺失个人信息刑事调取的传统内涵与数字面向的对话与互动。个人信息刑事调取的主要内涵发生数字嬗变，但既有研究未能鲜明提炼，对比“传统”及“数字”的双重内涵，挖掘数字化为刑事调取带来的规则冲突。二是个人信息刑事调取的类型化标准暂未形成共同话语，调取的法律性质尚存争议。既有研究多从个人信息的隐私程度、敏感属性、承载权利类型、信息形式为标准对刑事调取作类型化区分，但这些标准存在混淆信息分类与分级、标准单一化的缺陷，缺少对取证行为性质的分析，尚不足以充分划分调取个人信息的类型。三是调取过程中个人信息权利导入的制度衔接不畅且内容单一。既有研究多主张知情权在调取中的建构，但对知情权于刑事诉讼中的对接制度缺乏论证，导致权利根基不稳。除此之外，对决定权、更正权等个人信息权利存在论证减省，尤其忽视对“同意调取”情形的分析论证。

对上述问题的回应关切个人信息刑事调取的理论基础与制度建构。鉴于此，本文首先分析个人信息刑事调取的数字面向，挖掘调取个人信息从“传统”向“数字”的内涵转变，再分析数字转型后刑事调取的治理规则冲突，解析调取个人信息程序规制的漏洞和症结所在，进而探索调取个人信息程序规范的数字化调适进路，衔接调取过程中的个人信息权利保障，以弥合技术运用与规范治理冲突，实现犯罪治理与个人信息保护的有效平衡。

刑事诉讼实质上是收集证据、审查判断证据和运用证据定案的过程。而证据是能够反映特定事实的信息媒体，因而刑事司法机关搜集与案件事实相关的证据，实际上是对与案件有关信息的获取，其中最主要的即是对涉案人员的个人信息的收集，尤其是对犯罪嫌疑人的身份信息、行为信息及活动信息的收集。在传统刑事司法中，执法机关主要通过调取物证、书证等证据材料的方式收集案件信息，获取犯罪嫌疑人等主体的个人信息。然而科技发展水平影响着执法人员的信息收集手段与取证方式。随着网络信息技术的飞速发展和广泛应用，信息的产生、存档、传播、交流等模式发生巨变。辐射至刑事诉讼领域，个人信息刑事调取对象的存在形态、信息含量及配合主体方面也随之发生数字化嬗变。

（一）存在形态嬗变：调取对象存储形式的数据化

过去，囿于犯罪类型的传统性与技术水平的有限性，执法机关向有关单位和个人调取的证据材料多为物证、书证等，普遍以纸质记录、物品痕迹等可视形态存在，典型表现为向犯罪嫌疑人近亲属调取犯罪工具等涉案财物、向银行机构调取金融交易单据、向邮电部门调取邮政信件。由于物证、书证等材料具有鲜明的现实空间的物质形态，可以为人们所直接感知，能够具体、明确地描述和指代。因此，通过详细列明所需调取的证据材料的相关信息，一方面，能有效固定调取的范围，防止办案人员、第三方主体扩大或限缩调取范围，确保将与案件不具有关联性的证据材料排除在诉讼程序之外。另一方面，又能便于第三方明确知悉调取内容，配合调取的执行。正因如此，《公安机关办理刑事案件程序规定》第62条规定调取时需要在调取函件中详细列明调取的证据和提供时限等信息。

而数字时代的降临开启了“全数据”模式的按钮，通信信息、行踪轨迹信息、生物识别信息等个人信息均处于“万维触角”的数据网络之下，以数据形态作为个人信息的主要存储方式。而数据是存在于虚拟空间的“0”“1”组合，具有无形性，既无法直接为肉眼所观察，也无实体之体量。因此，一方面，以数据为存储形式，个人信息会突破“空间大小与存储其中信息数量”之间的联系，信息的留存具有海量性与规模性。另一方面，以数据形式存储的个人信息以字节（Byte）为单位，具有相对确定的编码形式，可以统一设置数据模型参数和数据筛选条件，由系统进行快速处理。因此，不同于以纸质记录、物品痕迹为存在形式的书证、物证的人工逐个审查、分析的传统方式，数据形态的统一性，使数据处理系统可以独立完成海量数据中相关信息的提炼与萃取，极大减少了办案人员的投入，提高了工作效率与能力。

（二）信息含量嬗变：调取对象内容承载的复杂化

由于物证、书证等传统证据材料自身特性和调取函件关联性规则的限制，过去调取物证、书证等传统证据材料获取的信息内容有限。而个人数据成为刑事调取的主要对象后，调取所获的信息含量发生翻天覆地的变化。正如美国莱利案裁判文书中指出（Riley v. California），电子数据与传统实物证据之间的差距就如同“骑马去月球和坐飞机去月球的差异”，无论是在数量还是质量上，智能设备包含的大量个人数据的隐私揭示性都远超记事本、钱包、烟盒等实物。

相较物证、书证，个人数据在内容承载上具有复杂性，信息含量更为丰富。就信息含量的广度而言，物证是以其外部特征、物理属性发挥证明作用的物品或痕迹，书证是以其所表述的内容和思想来发挥证明作用的文件或其他物品，因此，物证、书证通常反映的是特定案件中，特定主体基于特定事由在特定时空范围内的相关信息，信息承载的范围相对确定。如犯罪现场的指纹信息、犯罪嫌疑人之间的往来信件、淫秽录像带等传递的信息均具有确定性和有限性，一般不会涉及大量与案件主体无关的信息。而日益发展的信息传感设备和射频识别技术，拓展了信息产生源头和记录详实程度，将万事万物与网络互联互通，使公民的行为、活动、交往等物理空间的一举一动被外化为虚拟空间的信息流动轨迹，无时无刻不被汇集存储于“数据集”中。这些以数据集形态存在的待调取个人信息覆盖范围广泛，是对信息主体身份、状态、行为、活动、交往等情况的记录，既可能包含被追诉人信息，又可能包含其亲属、朋友乃至素未谋面的社会一般人的信息；既可能包含与犯罪事实相关的信息，又可能包含与案件无关的信息；既可能包含诸如行踪轨迹信息、信用信息、医疗信息等敏感信息，又可能包含一般信息。

就信息含量的深度而言，物证、书证是在案件发生前或案件发生过程中形成的书面文件或其他物品，是对特定主体在犯罪事实发生中或发生一段时间前的记录，囿于技术水平，其在信息含量的时间外延上有限，不会也不可能对个人形成溯及既往的无限制记录和追溯未来的全面追踪。而以数据形式存储的个人信息可能包含个人从“摇篮”到“坟墓”的全部信息，在时间范围上具有延展性，会形成对个人全景式的深描与纵深式的刻录。除数据存储空间容量大、成本低廉的技术原因外，对个人形成广泛的数据记录的原因还在于法律规定的要求，如《中华人民共和国网络安全法》第21条规定网络运营者应采取监测、记录网络运行状态、网络安全事件的技术措施，并要按照规定留存相关的网络日志不少于六个月；《中华人民共和国反电信网络诈骗法》第41条规定电信业务经营者、互联网服务提供者未按照国家有关规定，记录并留存所提供相应服务的日志信息所要承担的法律责任。

（三）配合主体嬗变：无涉案件的网络平台协助调取的普遍化

在前数据时代，犯罪嫌疑人在实施犯罪后通常不会将相关证据或犯罪所得交由第三方保管，所以刑事司法机关收集物证、书证等传统实物证据多围绕被追诉人、被害人展开，即使向有关单位和个人调取证据，也多集中在与案件有关的主体，鲜有向案外无关第三人取证的情况。由于配合调取的主体的相对确定性和高度熟悉性，被调取主体通常而言会知悉、掌握调取行为的实施，一旦出现不当调取行为便能及时维护自己的合法权益。

然而随着云计算、物联网等技术的兴起，大型互联网平台为代表的第三方在社会生产、生活中扮演中枢神经角色。虽然犯罪嫌疑人自行占有、保管了部分个人信息，但绝大部分的个人信息是以“强制用户同意”的方式存储或回传于第三方数据库或远程计算服务提供者的服务器中。基于此，第三方控制的数据成为执法机构实施数据监控的网络通道。向网络平台第三方调取犯罪嫌疑人等主体的行踪轨迹信息、金融信息、生物识别信息、通信信息等个人信息日益成为主要的取证方式。如根据谷歌、苹果、微软、脸书披露的数据调取透明度报告，美国执法机构向这四家科技巨头调取用户账户的数量分别占其全球用户总数的46%、74%、36%和37%，且该调取数量仍保持着高速增长。事实上，相关法律对刑事调取配合主体的规定演进也反映了此种趋势，如1996年《刑事诉讼法》第45条授权公安司法机关证据收集职权时，规定“有关单位和个人”的证据提供义务。而随着数字时代的发展，2016年《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（以下简称《电子数据规定》）第13条将“有关单位和个人”限定为电子数据持有人、网络服务提供者或者有关部门；2022年《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》又进一步聚焦向网络服务提供者进行调取电子数据。

由是之故，数字化嬗变下，刑事调取配合主体从与案件息息相关的主体转向与案件无涉的网络平台等主体。一方面，向网络平台等第三方非接触性地调取个人数据避免了与相对人的直接接触与正面冲突，化解了侦查行为的激烈对抗性，规避了“打草惊蛇”的取证风险。另一方面，当个人信息在“信息主体—第三方主体”与“第三方主体—权力主体”之间发生双重传播，实际占有个人信息的控制主体与权利主体会产生分离，导致信息主体更难以知悉与察觉权利被侵犯，以致阻碍或延迟信息主体对自身合法权利的维护。

数字变革下，个人信息刑事调取呈现无形数据性、内容复杂性与第三方协助非接触性的特征。但个人信息调取规则却建构于物理空间，以物证、书证等为主要适用对象，即使是刑事诉讼领域对数字时代最新的回应型法律，《电子数据规定》《公安机关办理刑事案件电子数据取证规则》（以下简称《电子数据取证规则》）等新兴法律规范也未脱物理空间思维之窠臼，概括授权、宽泛规制、偏重鉴真的规则设计难以在以数据为主宰的虚拟空间适用和延续。故此，调取规则的滞后与数据调取的治理需求产生激烈冲突，导致数字化刑事调取治理陷入三重困境。

（一）概括授权：调取个人信息突破任意侦查之属性

刑事诉讼法法律规范授权调取权力的同时，未对调取对象展开进一步细分。有学者依据《电子数据规定》第1条第2款对电子数据作出的四项列举式分类中的四类信息的承载基本权利情况，将收集网络平台发布的信息界定为任意侦查，将收集网络应用服务的通信信息、用户注册信息、文档、图片等电子文件界定为强制侦查。但实际上，该规定仅是关于电子数据的具体列举，并无进行信息分类的意图，也未基于信息的基本权利含量差异进行分级处理。由是可知，我国刑事诉讼法律赋予刑事司法机关调取权能时采概括授权模式，一揽子赋权调取个人信息的所有权限，毋须权衡信息主体、信息类型、信息状态、敏感等级等要素，均一律浑括定性为任意侦查，忽略依据调取对象的差异性进而匹配法律属性、审批权限及程序规制。

这种概括将刑事调取界定为任意侦查的做法或许在适用于调取书证、物证等信息含量有限、信息内容单一的对象时尚可成立，但在以个人数据为取证对象时，会面临取证行为性质的冲突。也即刑事调取当以权利含量丰富的通信信息、行踪信息、金融信息等数据为对象时，可以以一种“权力挪用”的方式实现查询财产交易类信息、邮件扣押乃至技术侦查措施的目的与效果，即“借任意调取之名，行强制侦查之实”，致使调取个人信息的强制属性日益凸显。

首先，调取金融数据与查询财产交易类信息存在混合。根据《公安机关办理刑事案件程序规定》第238条，向金融机构等单位查询犯罪嫌疑人的存款、汇款等财产信息，应当经县级以上公安机关负责人批准，由是查询财产信息被定为强制侦查措施。而刑事调取的配合主体为“有关单位和个人”，其中“有关单位”可以解读为银行等金融机构。因此，当侦查人员向金融机构等单位调取记录交易时间、交易地点、交易双方地址、交易人员情况的金融信息时，亦可以实现对犯罪嫌疑人经济背景、资金交易等活动和异常经济行为的感知、核查、追踪与控制，本质上属于对财产状况及其变动信息的查询，当属于“财产查询措施”。

其次，调取电子邮件与邮件扣押措施存在耦合。邮件承载着公民宪法上的通信权利，因此《刑事诉讼法》第143条特别规定扣押犯罪嫌疑人邮件，须经公安机关或者检察院批准，然后通知邮电机关检交扣押。进入信息网络时代，电子邮件、电话、微信等电子通信大量取代纸质信件成为沟通交流的重要途径，相应地，扣押纸质信件就大量演变为扣押电子邮件。为此，《公安机关办理刑事案件程序规定》第232条将电子邮件纳入“邮件扣押”这一强制侦查范围内，要求扣押应当经县级以上公安机关负责人批准，制作扣押电子邮件通知书，通知网络服务单位检交扣押。而调取对象并未将电子邮件排除，于是侦查人员向网络平台调取犯罪嫌疑人等主体的电子邮件亦可以知悉电子邮件的内容，实现邮件扣押的效果。

最后，数据调取与技术侦查措施存在混同。技术侦查是信息技术飞速发展下的产物，在2012年《刑事诉讼法》第二次修正时才开启法治化进程。但《刑事诉讼法》对技术侦查的外延与内涵采取了回避态度，直至《公安机关办理刑事案件程序规定》第264条才将技术侦查措施划分为记录监控、行踪监控、通信监控与场所监控，从而将技术侦查的本质特征固定为“监控”。也即，技术侦查需在违法犯罪行为实施过程中同步开展，所收集的信息具有实时性、同步性及动态性。因而，当侦查人员调取记录实时通话时间、通话地点、通话对象等内容的通信信息时，调取会同时符合技术侦查中“记录监控”与“通信监控”的定义。调取持续性IP地址数据、智能终端定位数据、实时WIFI定位数据时，调取还可能形成个人轨迹的即时记录，实现动态追踪以及实时位置预测，同“行踪监控”等同。

（二）规制宽泛：调取个人信息违背程序法定主义

遵循刑事诉讼的基本法理，“干预性之侦查措施之行使，必须有法律的特别授权基础，且授权的内容、目的及范围必须具体明确，使侦查作为更具可度量性、可预见性与可信赖性，以保护人民免于遭到国家侦查作为的‘突袭’”。而作为任意侦查的个人信息刑事调取却替代邮件扣押乃至技术侦查措施，规避刑事诉讼法对强制侦查预设的严格法律规范，恰是对程序法定主义的消解与贬损。这看似是数字技术赋能刑事侦查后的合宪、合法路径，但实际上却是一种规避法律的“隐性”违法行为，会对公民基本权利造成过度干预。

具言之，个人信息刑事调取对程序法定原则存在以下方面的背离。

一是刑事调取的范围不受约束。《刑事诉讼法》授权证据调取权力的同时，除科以办案人员对涉及国家秘密、商业秘密、个人隐私的证据的保密义务外，无其他程序性约束。2016年《电子数据规定》第13条对数据调取权进行程序限制时吸收了《公安机关办理刑事案件程序规定》第62条对数据调取范围进行约束，要求调取电子数据应当制作《调取证据通知书》，注明需要调取数据的相关信息。基于此，《调取证据通知书》一方面可以表明被调取数据的来源，保证数据的完整性与真实性。另一方面可以限制调取范围，将调取对象限定为指向有罪、无罪及犯罪情节轻重等与案件事实有关的信息，防止概括性、无限制性调取的发生。但实际上这一规则受到数字技术的猛烈冲击，无法对数据调取范围进行实质控制。一方面，不同于物证、书证，个人数据无法为肉眼所观测的特性使基于调取函件载明对象、内容和时间的做法不能界定调取的范围，会导致数据调取范围的不当扩张。另一方面，大数据聚焦信息之间的隐性相关关系，将万事万物互联互通，同预设侦查目标及调取范围具有天然的排异性，即便侦查人员限定调取特定信息，但经由数据挖掘与分析，该信息却可能揭示出远超调取函件所限定的内容。

二是个人信息刑事调取的发动要件没有限制。在现行刑事诉讼法律框架下，调取个人信息完全由侦查人员自行决定启动情形与时机，毋庸受立案与否、适用目的、案件范围、适用对象、适用期限等事项的约束，纯粹由侦查人员自由裁量是否申请调取，由办案部门负责人自行判断是否批准调取，全然赋权侦查人员自行裁量，具有极强的便宜性。

三是个人信息刑事调取的审批权限较低。调取个人信息在法律层面系任意侦查措施，适用自行申请、自行审批的行政程序。对于侦查行为的审批，我国刑事诉讼法及公安部规章基本形成了从“设区的市一级以上公安机关负责人”到“县级以上公安机关负责人”再到“办案部门负责人”的逐级递减的批准权限，虽均体现为“自批自用”的状态，但不同层级的审批权限也意味着权限越低审批难度与要求越低，审批程序也越容易流于形式。依据《电子数据取证规则》第41条，调取个人信息的审批权限恰为低档位，仅需经办案部门负责人批准，审核批准程序控制稍显松弛。这种法律门槛较低的行政程序已然构成对程序法定主义的违背，造成公民相关权利被严重侵犯。

在此种调取规避严格程序规范的逻辑下，优先调取个人信息的路径依赖正在形塑。当向第三方收集信息的法律障碍和技术难度远低于其他侦查措施，基于“趋简避繁”的自然理性，办案机关自然会优先选择通过任意性调取措施来收集个人信息，以规避严格的程序规范。例如，当侦查人员欲实时定位犯罪嫌疑人，是选择仅需经办案部门负责人批准的调取实时手机基站信息，抑或是在报设区的市一级以上公安机关负责人批准后部署安装GPS定位器，答案也就不言而喻了。

（三）偏重鉴真：调取过程中个人信息权益保护不足

《个人信息保护法》将个人信息保护提升至宪法高度，打通了个人信息保护的部门法隔阂，持续推动个人信息保护从私法、实体法领域延伸至公法、程序法领域。作为个人信息保护领域的基本法，《个人信息保护法》在第二章第三节专门规定了“国家机关处理个人信息的特别规定”，第34条明确要求“国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。”由此可见，刑事司法活动中调取个人信息亦应对个人信息权益予以保护。

然而，仔细审度现行法律体系，可以发现以抗制犯罪为偏好价值，有关刑事调取的程序规范侧重技术性鉴真，在着重保障电子数据真实性与完整性的同时，忽视对个人信息权益予以法律保护。例如，2016年《电子数据规定》系我国首次以司法解释形式对电子数据制定的专门性规定，全文共计30条，其中18条关涉电子数据鉴真，占据该规定近三分之二的比重，并从取证主体与取证方法（第7条）、文书形式及注明义务（第13条）、笔录制作（第14条）及见证人出席（第15条）等方面重点保障调取的个人数据的真实性与完整性，而忽视对个人数据分类分级以匹配不同程序保护，对个人信息中蕴含人格尊严、人身财产安全、通信秘密与自由等信息权益予以遗忘。

诚然，2016年《电子数据规定》、2019年《电子数据取证规则》在保护完整性的技术性规则外，也对调取过程中的公民权利进行程序性保障构造。如《电子数据规定》第4条要求对涉及国家秘密、商业秘密、个人隐私的数据应当保密；2019年《电子数据取证规则》第41条规定“必要时，侦查人员应当采用录音或者录像等方式固定证据内容及取证过程”，折射出规范取证行为、表明证据收集的合法性与正当性之意蕴。但上述规定却均未明确引入权利之维，往往限于“个人隐私保密”层面，对个人信息权益的关照处于失语状态，未从个人数据的多样性、权利承载的丰富性等角度对个人数据调取规则进行构造，反而将公民权利保障隐含在公权力的行使之中，将个人信息保护问题束之高阁。

此外，调取过程中与案件无涉的网络平台协助的普遍化更加剧了个人信息权益保护的困难，这主要体现在对知情权以及以知情为基础的更正权、删除权等权利的干预上。相较于直接向侦查对象取证，向网络平台调取区隔了信息主体对侦查行为的感知，信息主体难以知悉与察觉调取行为的发生，更遑论权利是否被侵犯。加之，我国调取相关规范并未规定执法人员在调取过程中需对信息主体履行告知义务，如2019年《电子数据取证规则》第41条只要求调取数据需要通知数据持有人、网络服务提供者或者有关部门，无须告知信息主体。诚然，侦查机关履行法定职责之必需与保障侦查活动顺利进行的保密原则本身即可以在调取执行期间对信息主体进行正当限制。我国《个人信息保护法》第18条第1款和第35条之目的即在于为此类限制提供法律依据。但问题在于，在调取终结之后，侦查机关不对信息主体进行事后告知的行为将会对被调取主体的知情权造成极大干预。被调取主体难以获悉侦查机关调取个人信息的情况，便无从知晓调取是否违法，更难以寻求权利救济。况且，知情权在个人信息主体的权利体系中居于核心地位，能辐射至后续的系列权能。调取过程中对信息主体知情权利的保障不足，便会使得信息主体向侦查机关这一信息处理者请求删除、变更个人信息的通路受阻，窒碍删除权、更正权等权利的行使。特别是现有调取规则未对信息主体和强制程度进行区分，内嵌在刑事司法运行中，即使是被害人、证人等非刑罚权指向对象，在个人信息被调取时亦无法完整享受《个人信息保护法》所赋予的信息权利。虽然在有明确法律依据前提下，以具体惩罚犯罪目的限制被害人、证人的个人信息知情权、删除权、变更权有其正当性，但将被害人、证人等主体与被追诉人的信息调取规则混同对待，实属逾越比例原则的基本要求。

个人信息刑事调取的数字转型与治理规则的激烈冲突凸显了调取规范的滞后。这实质上反映出，以物理空间为主要治理场景的概括授权、规制宽泛、偏重鉴真的调取规则难以满足个人数据调取的治理需求，无法有效规范数字时代下的个人信息调取权力，业已造成惩治犯罪权力对公民个人信息权益的不当倾轧。为此，应当从体系建构、权力控制与权利保障三方面重构个人信息刑事调取的治理框架，以达至数字时代惩罚犯罪与个人信息保障的平衡。

（一）体系建构：个人信息刑事调取的类型化分层

鉴于个人信息内涵与外延的复杂性，以及信息承载公民权益的错综复杂性，为刑事诉讼中个人信息的正当调取提供制度保障，其基本思路应避免“一刀切”概括授权与规制，而要对刑事调取面向的个人信息予以类型化区分，即依据不同的个人信息内涵对信息调取活动予以精细化分层与体系建构，针对区别调取对象匹配差异的法律属性、必要性与合理约束。但“一切类型皆系不确定概念”，刑事诉讼中不同性质的取证措施的干预程度存在分殊。因此，仅以信息类型化标准对个人信息刑事调取予以体系建构不甚全面，还需要综合取证措施性质进行划分（见表1）。

就刑事诉讼中的个人信息类型化而言，长期以来，学术研究普遍概括探讨个人信息的分类与分级，“分类”“分级”概念处于混同适用的状态。但其实信息的分类与分级存在显著差异。个人信息分类是以“属性”为标准，遵照信息内容、来源、特征、作用等因素，将相同属性的信息归类聚合，其目的在于为后续针对某一类信息的特定属性而采取具体的收集、使用、保护措施提供基础。信息分级是以“后果”为标准，按照信息的敏感程度、重要性进行的层级划分，包括信息承载的基本权利有无或大小及非法收集、存储、篡改、破坏、泄露或使用后对受害者的影响程度大小等因素。2021年9月正式施行的《数据安全法》第21条即在法律层面明确将“分级”独立于“分类”，要求“建立数据分类分级保护制度”。

聚焦刑事诉讼场景，虽然我国刑事诉讼法律规范未有明确的个人信息分类分级规定，但在法理、法律规定之中、条款与条款之间隐含着若干刑事诉讼领域的个人信息分类与分级思路。将这些个人信息分类分级思路予以挖掘，再结合世界普遍立法经验和数字时代个人信息保护需求，可以建构出刑事程序法上的个人信息分类分级框架，以推动个人信息刑事调取的属性分层。

首先，在个人信息分类层面，刑事诉讼法暗含了两种分类方式：一是以信息主体为标准，个人信息分为犯罪嫌疑人的个人信息与其他诉讼参与人的个人信息。区别犯罪嫌疑人与其他诉讼参与人，并对前者采取强制性更高的措施是刑事诉讼整体制度设计普遍遵循的逻辑思路。被害人、证人等诉讼参与人作为普通公民，非刑罚权所针对的对象，其无同犯罪嫌疑人般完备的程序权利，亦无同嫌疑人般容忍义务，因此其信息收集强度、收集范围自然均弱于犯罪嫌疑人。顺此逻辑，基于信息主体的分类，可以对刑事调取进行基本分层：刑事诉讼中，被追诉人的个人信息调取强度更强、范围更广，应以调取必要性为前提，遵循比例原则的要求，保持在必要、合理的限度之内；对于被害人、证人等其他诉讼参与人的个人信息调取，应当回归至个人信息保护制度的一般框架之下，以“知情—同意”作为刑事调取的正当性根基。二是以信息承载内容为标准，刑事诉讼中的个人信息分为财产类信息、通信类信息以及其他类型信息。刑事诉讼法虽未明确规定信息内涵，但针对不同信息类型规定了不同的取证措施，如《刑事诉讼法》第143条规定的“扣押邮件、电报”措施标志着对通信类信息的收集；第144条规定的“查询”措施标志着对存款、汇款、债券、股票、基金份额等财产类信息的收集。基于此，可以将调取通信类信息、调取财产类信息与调取其他信息类型相区分，以合理衔接刑事调取措施与既有侦查措施。

其次，在个人信息分级层面，刑事诉讼法暗含了两种基本权利差异承载的分级方式：一是以信息私密性为标准，个人信息分为私密信息与公开信息。相较于私密信息，公开的个人信息往往因失去秘密性，基本权利的承载程度不高。如2019年《电子数据取证规则》第23条调整了2016年《电子数据规定》第9条的规定，将境外数据的在线提取限于“公开发布的电子数据”，其弦外之意在于公开发布的数据权利含量低于私密数据。二是以信息形式为标准，个人信息分为内容信息与非内容信息。与内容信息是对实质交流内容的描述不同，非内容信息是对信息的存在形式和产生过程的记录，承载的权利含量被默认为低于内容信息。对这一分级方式，可以从通信内容信息与通信形式信息法律保护的差异中窥见，如《公安机关办理刑事案件程序规定》第264条特别将收集通信内容信息纳入通信监控，在审批权限、适用对象、适用期限上予以严格约束，而对非内容性资料的获取则对应于规范强度更低的调取措施。进一步而言，非内容信息可以细分为权利承载程度递减的往来信息（traffic data）与用户注册信息(subscriber information)。这种划分方式在世界立法中显见，如第一部打击网络犯罪的国际公约《布达佩斯网络犯罪公约》将个人信息区分为权利含量逐层递减的内容信息、往来信息与用户信息三类；美国《存储通讯法》根据信息的隐私期待利益含量，将通信信息划分为内容信息、一般的非内容信息（往来信息）与用户资料三类。

但实际上，内容信息与非内容信息的划分方式在数字时代饱受挑战，其集中体现在信息规模化累积下往来信息的权利含量会几何式增长。为此，需要将往来信息细分为短期和长期信息以弥补这种划分方式的不足。理据在于，信息范围是影响基本权利含量的关键因素，一般而言，信息收集范围愈广、持续时间愈长，基本权利的承载程度越高、干预程度越强。域外国家遵循各自的法治传统创设了不同的范围标准，如德国《刑事诉讼法》第163f条规定持续24小时或者超过2天的行踪轨迹信息即蕴含个人信息自决权；美国卡朋特案规定至少7天的手机位置信息才承载隐私权。  至于我国短期和长期的信息范围界限需要结合刑事司法的特殊性、综合打击犯罪需要、基本权利保障程度、现有技术水平等因素综合审慎确定。

据此，根据个人信息的私密程度、内容含量和时间长度的分级标准，刑事诉讼中的个人信息可以分为基本权利承载程度递增的五部分：公开信息、用户注册信息、短期往来信息、长期往来信息、内容信息。前三者因揭示内容有限，基本上不含有或含有少量的基本权利，后二者因信息记录的详实，通常承载丰富的基本权利。

就侦查措施性质而言，刑事诉讼中的取证措施主要涉及静态取证和动态取证两种方式，前者针对的是已经留存或固定的静态信息；后者关涉处于流转、变动过程中的信息。申言之，静态取证面向过去开展，主要获取已经存储的个人信息；动态取证具有与犯罪活动的共时性特征，通常采取监听、监控或通信拦截等技术侦查措施获取实时信息。相对于静态取证，动态取证对基本权利的干预程度更深，需要设置更为严格的限制条件，其缘由在于动态信息生成是一个实时且持续的过程，指向的是未来一段时间的信息跟踪和持续获取，而非旨在复制过去已经存储信息的一次性行为，其以未来为面向，在信息的量与质上具有不确定性。

鉴于此，综合上述分析，可以将针对犯罪嫌疑人开展的调取划分为基本权利干预程度渐次提升的任意型、强制型与监控型三种理论模型，以便清晰呈现不同取证措施下，调取不同分类、不同级别个人信息行为的法律属性及差异规制路径。

一是任意型调取个人信息。任意型调取个人信息是指不干预公民基本权利的静态个人信息获取方式，系指调取公开信息、调取用户信息、短期调取往来信息。任意型调取的对象涉及时间较短、范围较小、公共性较强，基本权利含量较低，一旦调取完毕，即宣告侵扰行为的终止，故属于立案前即可实施的任意侦查，无需创设新的法律规范加以规制，在证据调取条款授权下即可实施，是侦查机关适用最为灵活的措施。

二是强制型调取个人信息。静态调取长期往来信息、内容信息一般蕴含基本权利之信息，调取会转化为强制侦查，超出现行证据调取条款授权范围，需重新探寻正当依据。对于构成强制侦查的调取，其体系建构的具体路径有两种：其一是纳入既有特定类型的强制侦查措施中。此做法的长处在于仅需对现行法律进行立法解释或者司法解释，而无需进行修改或者变动。但缺点在于可能无法将作为强制侦查的某些新型侦查行为纳入其中。其二是对成为强制侦查的个人信息调取予以专门规定。但这需要法律的修订与完善，可能不利于保持现有立法的连续性和稳定性。在构建个人信息调取制度时，可以考虑综合使用上述两种做法，将第二种做法的适用范围限于既有强制侦查无法囊括的新型信息调取。具言之，一则，调取微信、支付宝转账记录等财产交易类长期往来信息和内容信息，本质上属于对财产状况及其变动信息的查询，当属于“财产查询措施”。二则，调取电子邮件应归入“邮件扣押”，并且在实质解释下，将调取长期通信往来信息及其他通信内容信息均纳入其中。毕竟刑事诉讼法将扣押邮件单独列入强制侦查措施的底层逻辑在于邮件蕴含着丰富的宪法权利即通信自由与通信秘密权，而在通信大爆炸的年代，仅保护电子邮件，恐有不当干预通信权之嫌。三则，调取其他长期往来信息和内容信息纳入新设的强制调取措施。为保持规则体系的协调性与融贯性，可以在《刑事诉讼法》侦查一章新设“强制调取”措施一节，将强制调取增列为一种全新的侦查行为加以规范，凡是可能严重干预基本权利的向第三方调取行为均属其中。

三是监控型调取个人信息。监控型调取系指动态调取实时手机基站位置信息、实时数据传输记录、即时GPS定位信息等往来信息或内容信息的行为。当以实时信息为对象，调取个人信息可以做到持续而全面地监视及监控犯罪嫌疑人即时的举手投足和精确定位，同技术侦查具有相似性；就实施方式而言，二者均可以规避权利主体而秘密进行；就权利干预而言，二者均会过度干预公民隐私权等基本权利，具有即时“监控”之效果；就技术特征而言，二者都具有自动、持续收集使用嫌疑人相关信息的能力。加之技术侦查措施呈现“模糊授权”，其内涵与外延开放性、灵活性极大，制度设置及发展具有相当的空间，可以包容具有“监控”色彩的新兴侦查措施。因而构成监控型的调取个人信息可以纳入技术侦查措施予以规制。

（二）权力控制：个人信息刑事调取程序规范的比例构造

如前文所示，对被追诉人的个人信息调取进行治理，基本路径应是以比例原则为根基，在多种利益价值之间“执中行权”，也即调取的信息基本权利蕴含越丰富，调取干预强度越大、影响面越广，程序规范应当越严格、限制程度越深。是以，个人信息刑事调取程序规范的比例构造应将任意型、强制型及监控型调取的权能强弱与适用范围、发动要件及审批权限的程序控制宽严程度相匹配。

首先，调取个人信息应受目的拘束原则约束，信息调取目的应当是合法正当、明确具体的。调取目的的正当性是比例原则的内在要求，亦是个人信息保护法“帝王条款”——目的拘束原则的要求。遵循《个人信息保护法》第6条之规定，调取个人信息的范围只能与案件事实有关，且应当在依据信息分类分级与取证行为性质划定的职权范围内调取，不能超越职权跨级调取个人信息，也不得调取与案件无关的信息或将信息用于与案件无关的目的。对此，在调取个人信息之前，侦查机关应根据查明事实的需求，列明需要调取的信息主体、信息范围、信息类型、信息级别以及具体期限等内容，要严格控制以刑事追诉为目的的个人信息全面调取行为。在此基础上，当大数据技术深度嵌入刑事侦查时，信息的多次清洗、挖掘即能获取个人行为活动、社会交往、人格评价等方面的深入分析结果，这种信息是否与案件事实具有关联性，从而纳入调取范畴应审慎对待。例如，德国《个人资料保护法》为警察不随意组合、分析已占有的相关个人资料，明确规定了目的联结原则，同时区分全面比对查缉，资料比对、查询权等不同资料处理行为。

其次，调取个人信息应合乎必要性，发动要件应合比例。即使为实现惩治犯罪这一正当目的，调取个人信息也应当保持合理的限度，须按照必要性原则的要求进行合理配置，即对于不同的调取个人信息行为要匹配相应的启动门槛条件。譬如，英国《数据留存和调取规则》第5条明确要求调取通讯数据需满足目的性要件和必要性要件，同时还要求侦查权力专员在授权调取信息之前应当对手段与实现目的之间的合比例性进行审查。遵照上述三类调取行为的权力干预程度，可以构建如下梯级式必要性条件：任意型调取的发动要件较为宽松，在立案前公安机关发现事实不清或者线索不明的，经办案部门负责人批准即可实施；强制型调取个人信息作为强制侦查措施，应在具备初步的犯罪嫌疑下经刑事立案程序后启用，并在决定采取强制调取个人信息的法律文书中应当明确表明依据何种已有事实材料证明存在何种具体的犯罪嫌疑；监控型调取个人信息则聚焦为技术侦查措施，需在刑事立案后，且符合严重犯罪案件范围与满足最后手段原则之要求。

最后，个人信息刑事调取应形成由“办案部门负责人—县级以上公安机关负责人—设区的市级以上公安机关负责人”批准的梯度审批权限。令状是权力控制的有效方式，通过令状规范个人信息调取权力业已成为域外国家的普遍做法。如美国《存储通讯法》以调取行为对隐私权的干预程度为标尺分别规定了传票、法院命令、搜查令状等申请难度依次递增的外部法律令状。英国通过《侦查权力法》《数据留存和调取规则》针对通讯数据调取行为构建起“侦查权力专员授权—指定的高级官员授权—指定的高级官员紧急授权”的内部令状体系。虽未有一致的令状模式，但是其根据权利干预层级匹配令状授权的基本思路亦可以延伸至我国。因此，根据基本权利干预层级的差异，在任意型调取的实施须经办案部门负责人批准，监控型调取为设区的市级以上公安机关负责人批准的情况下，强制调取个人信息的审批权限理应高于任意型、低于监控型，与财产查询、邮件扣押等强制侦查一致，即由县级以上公安机关负责人审批。

（三）权利保障：刑事调取过程中个人信息权利的导入

向网络平台取证最突出的特征在于，信息主体与信息分离。在这个过程中，信息主体所享有的基本权利并不因为向第三方调取而贬损，但信息主体主张和保护自身权利的能力却被弱化。造成此种矛盾的源头在于信息主体能否及时获知调取行为并启动有效的程序救济。因此，在设计和构建调取个人信息的程序规范时，应注重加强被追诉者的个人信息权利保障，尤其是对知情权的保护，以寻求有效取证与权利保障的平衡。

首先，应赋予被追诉人知情权，保障其知悉调取个人信息的主体、内容、目的、用途、范围及技术手段等情况，为其监督调取行为、获取法律救济奠定权利基础。知情权的赋予需要刑事诉讼制度的承接，其应以刑事司法机关在个人信息调取活动中的告知义务为保障。如《个人信息保护法》第35条就对国家机关履行法定职责处理个人信息时的告知义务作出明确规定。对告知义务设计应从告知时机、告知情形、告知内容、告知限制四方面进行。一是，就告知时机而言，为防止破坏调取的秘密性，且保证调取而来的个人信息的完整性，防止信息被删减、增加或篡改，应在调取结束后，及时以书面形式向被调取主体告知，并让其签字确认。二是，就告知情形而言，应限定为强制型与监控型调取个人信息两种干预基本权利的范式，对任意型调取可以适度放宽。美国《存储通讯法》对于调取超过180天的内容信息与非内容信息的告知差异即为典型例证。三是，就告知内容而言，应当区分为逐层递进的调取行为告知和调取内容告知，应尽可能确保告知信息主体存在数据调取行为。四是，就限制告知而言，刑事司法机关可以基于取证顺利进行的合理理由推迟告知调取个人信息的事实，但延迟告知的适用条件、实施方式、推迟期限等应当经法律明文规定。

其次，在知情权的充分保护下，可以在一定程度上将更正权、删除权等权利导入个人信息调取程序中。以更正权为例，更正权是信息主体发现信息不准确或者不全面、完整时，向个人信息处理者请求更正、补充个人信息的权利，是信息质量原则的具象体现。刑事司法与公民的生命、自由、基本权利息息相关，在刑事司法中个人信息的准确性不仅关乎公民的自我定位与社会评判，还可能关涉生命权、自由权、隐私权等权利的干预状况。因此，有必要在刑事诉讼中，赋予被追诉者积极主动的更正权，防范调取过程中因数据失真引发错误司法行为。如《欧盟刑事司法数据保护指令》便规定信息主体有要求执法机关等信息控制者及时更正、补充其不准确或不完整的个人信息的权利。在刑事诉讼中，可以考虑在以下三种应用场景引入信息主体的更正权：一是更正错误信息；二是补充遗漏信息；三是更新过时信息。据此，面对不准确或者不完整的个人信息，被追诉人有权向公安司法机关提出异议并请求更正、补充，相关部门应当及时查证、核实，若确有错误、遗漏、过时情形的，应当及时更正、补充，并将更正结果及时告知。

最后，应排除决定权在个人信息刑事调取中的引入。有学者认为在犯罪嫌疑人自愿将个人信息共享给第三方的目的范围内，向第三方调取的行为可以因信息主体的同意适用任意侦查的程序。但笔者认为将决定权引入刑事调取的观点值得商榷。一方面，即使以用户签署的隐私保护协议为限，犯罪嫌疑人向第三方提供信息的目的也难以判断。“隐私声明”“隐私政策”具有“概括性授权”和“强制同意”的问题，协议内容的过于复杂与繁多已致使客户充分知悉所有隐私保护协议、明确自己享有何种权利，并就同意对象形成清晰把握本身就不具有现实可行性。另一方面，犯罪嫌疑人的同意不构成刑事执法的正当性基础。我国《个人信息保护》第13条第3项即将“履行法定职责或者法定义务所必需”规定为“取得个人的同意”之外的处理个人信息的合法性基础，表明个人信息的收集、共享、使用等均不受犯罪嫌疑人的主观意志限制。类似规定也在《欧盟刑事司法数据保护指令》中有所体现，即《欧盟刑事司法数据保护指令》就《一般数据保护条例》规定的数据主体同意专门作出例外性规定，强调信息主体的同意并不构成刑事执法机关处理个人数据的法律依据。

时下，根据全国人大常委会公布的第十四届人大任期内的立法规划，《刑事诉讼法》第四次修改已提上日程。本次修法的重要任务是顺应当今乃至未来政治、经济、文化、社会发展的新形势，更新刑事诉讼制度。“过去未去，未来已来”，从侦查、起诉、审判到执行，刑事诉讼正经历着全方位的数字化，既有规范框架与制度在数字冲击下面临着激烈的规则冲突。因此，刑事诉讼法第四次修改已然无法回避如何就新兴技术应用与刑事程序自身价值、原则和规则的兼容问题作出系统性回应。个人信息刑事调取仅是刑事诉讼数字化的一个缩影，但其能否得到《刑事诉讼法》的规范治理，不仅关乎《刑事诉讼法》与《个人信息保护法》《数据安全法》等新兴立法的有效衔接，还关乎惩治犯罪与公民信息数据权益保障的平衡。因而，以调取为代表的电子数据取证措施入法应当成为刑事诉讼法第四次修改的重要内容之一。对此，应当从体系建构、权力控制与数字权利保障三重维度展开，以化解刑事执法权力数字扩张困境，实现技术进步与个人权益保护“最大公约数”的达成。