第二章 电子邮件证据基本概念界定
第一节 电子邮件证据概念解读：主体与系统
一、电子邮件概念的界定
电子邮件证据是电子证据概念下的子概念，为确定研究对象，有必要界定电子邮件的概念或者电子邮件的范围。电子邮件的英文名称为electronic mail，简称E-mail，其标志是@。电子邮件又可以称为电子信箱、电子邮政，我们习惯上将其称为电子邮件。从其性质上看，电子邮件是一种通过网络实现相互传送和接收信息的现代化通信方式。电子邮件在万维网出现之前就已经存在。因此，也就有两种电子邮件工作原理模式：基于客户机与服务器模式的电子邮件工作原理和基于WEB的电子邮件工作原理。
第一种是基于客户机与服务器模式的电子邮件工作原理。该模式包括发送邮件与收取邮件两部分。发送邮件者通过SMTP协议与SMTP1邮件服务器连接，如果向本机发送邮件则通过POP3服务器直接将邮件存入用户的邮箱。如果接收方为远程用户，SMTP服务器以客户端的身份与远程的邮件服务器（SMTP2）建立连接，将邮件传送给远程的服务器。在TCP/IP协议中，存在一个对电子邮件进行远程存取的协议，被称为邮局协议（POP），现在是第三个版本，通常称为POP3。邮局服务器通过TCP端口开始POP3服务。接收方首先通过账号、密码向邮件服务器发出申请命令，邮件服务器验证身份信息后发送邮件信息，并在每接收一封邮件后，可以用DELETE命令删除邮件服务器上的信息，全部邮件接收后便可退出，与邮件服务器断开。
第二种是基于WEB的电子邮件工作原理。WEBMAIL不像第一种模式那样需要借助专用的邮件客户端，用户可以WEB方式直接登录服务器上的电子邮箱进行读写、发送和管理电子邮件。现在很多网站都提供WEB电子邮箱服务，如新浪、搜狐与网易等。WEBMAIL系统由客户端、WEB服务器、应用程序服务器、数据库服务器、SMTP服务器、POP3服务器组成。本模式工作原理与第一种模式基本相似，其差异之处是用户不需要在客户端上操作，可直接在WEB服务器上操作，电子邮件的收取与查阅都可以在浏览器上完成。本模式工作原理亦分为发送邮件与收取邮件两部分。用户利用FORM表单填写邮件信息，通过电子邮件地址发送到WEB服务器，WEB服务器再将信息发送到应用程序服务器，应用程序服务器通过组件或者外部程序将邮件发送至SMTP服务器，即可完成邮件的发送。接收邮件时，用户向WEB服务器发出请求，WEB服务器接收后，将信息发送给应用程序服务器，应用程序服务器将电子邮件信息发送给WEB服务器，然后WEB服务器再以网页的形式将电子邮件信息发送给客户。
上述两种电子邮件的工作原理基本相同，其核心要素是一致的，即大体上都由三部分构成；客户端、SMTP邮件服务器与POP3邮件服务器。从邮件进程看，由发送与接收两部分构成；从工作原理上看，电子邮件是指由客户从客户端发出而经由SMTP邮件服务器与POP3服务器处理后发送至另一客户端或本客户端的信息通信方式。据此界定可以排除手机短信、即时聊天工具、微博、博客、BBS等通信方式，上述通信方式没有利用专门的SMTP协议与POP3服务器，不属于电子邮件。但如果工作原理与电子邮件收发进程一致只是载体有区别的，则属于电子邮件，如利用手机邮箱系统收发电子邮件的。
二、电子邮件证据的特点
与传统证据相比，电子邮件证据有其自身特征，并在一定程度上会影响证据能力与证明力。
首先是电子邮件证据的非原始性特征。传统证据存在于现实世界中，行为人难以对其进行修改，即使予以修改，也可借助技术手段予以鉴别。从外在表现形式上看，因其载体的不同，容易区分复制件与原始证据。电子邮件证据存在于虚拟环境中，其生成环境的高度相似性，使我们难以区分是否属于原始电子邮件证据。另外，我们还可以借助电子邮件软件与特定的电脑技术制作出大量“高度一致”的电子邮件，依靠传统手段难以区分电子邮件是否属于原始证据。对于证据形式一致但内容迥异的证据，依靠现有技术很难查明何者为原始证据。众所周知，根据证据是否直接来源于案件事实可以将传统证据区分为原始证据与传来证据，这类证据区分的意义在于，一般情况下原始证据的证明价值大于传来证据，这是因为随着证据经手主体的增多会增加外来影响因素，案件真实信息在复制或传递过程中呈递减状态。有人以此为基础提出可以借鉴“原件”与“复印件”的区别，区分电子邮件证据的证明力。笔者认为，此种说法欠妥。电子邮件证据有别于传统证据，是主体与系统相互作用下的产物，电脑系统对电子邮件证据的形成起着极为重要的作用。传统证据中客观环境对证据的影响不大，且不会因环境的不同而明显增加证据信息。电子邮件证据在传输过程中，因系统原因会增加诸多附属信息，包括时间、地点及其他附属状况，甚至电子邮件在经过邮件服务器系统时会有留存，从而增加印证电子邮件的证据信息。这意味着，随着电子邮件传输过程的增多，电子邮件证据信息非但没有出现传统证据传递过程中事实信息减少的现象，反而增加了电子邮件信息内容，也就增加了电子邮件证据证明力。电子邮件的非原始性特征，使得传统证据分类的意义降低，或者其分类标准不能完全适用于电子邮件。
其次是电子邮件证据证明的间接性。与传统证据相比，电子邮件证据证明作用的发挥表现出明显的间接性特点。这主要表现为以下两个方面：一是电子邮件证据载体形式的间接性。传统证据可以通过直接的物质载体来证明案件事实，但电子邮件证据必须借助虚拟环境，在某些情况下，还必须借助特定的软件与特定的硬件系统来证明案件事实，即电子邮件证据需要借助所依赖的一系列的存储介质来证明案件事实，本身无法直接证明案件事实。二是电子邮件只有经过特定系统的传输才具备法律意义上的电子邮件证据要件。在这一过程中，需要有相应的证据证明电子邮件本身与特定主体之间的关系。传统证据凭借本身即可证明案件事实（如带有血迹的斧头），但电子邮件证据只能借助其他证据才能证明案件事实，其证明性带有间接证明特点。[1]电子邮件证据证明的间接性特征使得电子邮件的证明力一般低于其他原始凭证。如厦门某公司一位高级主管庄某自2000年7月到2001年7月在公司任职期间，以个人名义向公司借款，总计达人民币10万元（签有借条）。2002年7月，该公司要求庄某还款。因庄某一直未归还上述借款，遂引起诉讼。在一审诉讼过程中，庄某承认向公司借款的事实，但声称此笔款项是公司向其支付并购某网站的款项，而非借款，其证据是一封“经过公证”的采集自庄某笔记本电脑里的数据邮件。一审法院认为：在没有相反证据的情况下，该邮件的真实性可以认定。这一重要的证据导致原告在一审中败诉。[2]但这一判决结果被二审推翻，二审判决理由为：电子邮件被篡改的可能性远远大于原始借条。该案中的电子邮件虽然经过公证机关的公证，但公证内容是“电子邮件的现状”，并没有对电子邮件的真实来源及内容的真实性进行公证，因此其证明力低于原始凭证。
最后是电子邮件证据的相互印证性。与普通证据相比，电子邮件证据具有明显的相互印证性特点。普通证据对案件事实的证明具有单一性，即一般而言，原始证据只能有一份。在电子邮件证据中，证据的原始性单一特征被打破。若发件人在发送电子邮件时选择了备份按钮，则收件人与发件人都会获得内容一致的电子邮件。这两份电子邮件都具有原始证据特征。更为重要的是，因邮件服务器系统的存在，电子邮件还会在邮件服务器系统中留存一份。这三份电子邮件主体内容具有高度一致性。虽然电子邮件头部信息会随着电子邮件的传递而丰富，表现出不一致的特点，但电子邮件发送、传递、接收时间信息及系统对电子邮件的固定分配信息使得邮件头部信息也起到了一种相互印证的作用。这启示我们，司法主体应对收发主体的电子邮件及系统服务商留存电子邮件进行比对，以鉴别电子邮件的真实性。
三、传统证据概念对电子邮件证据的不适当限缩
我国《刑事诉讼法》对“证据”作了相应界定。旧《刑事诉讼法》第42条第1款规定：“证明案件真实情况的一切事实，都是证据。”该条第2款规定：“证据有下列七种：（一）物证、书证；（二）证人证言；（三）被害人陈述；（四）犯罪嫌疑人、被告人供述和辩解；（五）鉴定结论；（六）勘验、检查笔录；（七）视听资料。”该条第3款规定：“以上证据必须经过查证属实，才能作为定案的根据。”该法条在形式上对证据概念作了较为全面的界定。对于本概念，已有众多学者指出了其固有缺陷，并提出了诸多良好的建议。上文中已对其部分缺陷作了分析，在此只就其对电子邮件证据的限制性影响作一分析。
限制之一：关键术语。证据概念中的几个关键术语分别是“真实”、“事实”与“查证属实”、“定案根据”。首先看“真实”。“真实”是指与事实相符，确切清楚。根据本词义，如果电子邮件证据不能证明事情的本来面貌，则该电子邮件不属于证据。如经过篡改的证据，其内容是虚假的，则不构成证据。“查证属实”的才能作为“定案的根据”，言外之意是，如果查证不属实的就不能作为定案的根据。如控诉方以一封含有谋杀经过的电子邮件为主要证据起诉被告，而经过法庭审查，该封邮件系由另一人所写，用以栽赃陷害被告人的。根据上述定义，该电子邮件证据属于查证不属实的，不能作为证据使用，即不能作为定案的根据。但对于辩方来说，该封虚假的电子邮件成为有利证据，是否定被告人犯罪的证据，是不予定罪的证据。法院作出的无罪判决仍属于定案，只是无罪而已。“事实”包含肯定性的事实与否定性的事实。“在诉讼上，承认肯定的事实与否定的事实的区分有重要意义。如果不引入否定的事实概念，那么，对于否认一方当事人事实主张的对方当事人所主张的，便不能称为事实，而刑事不作为犯的不作为也不能称为事实，对不作为犯的指控也就无事实基础。”[3]传统证据概念中用“真实”来修饰具有肯定意义与否定意义的事实本身就是一个矛盾。传统证据概念对电子邮件证据或所有证据的不适当限制在于以真命题的统一形式排除了假命题的情况。
限制之二：证据种类。传统证据概念规定了证据的种类，强调证据内容和形式的统一。根据旧《刑事诉讼法》第42条第2款的规定，如果某个材料要成为最终定案的根据，它必须符合七种法定证据种类之一。立法限制证据种类带来的最大问题是不能随着社会的发展而及时吸纳新出现的证据。如关于电子邮件问题，从外在表现形式看，它不符合任何既定的七种证据种类，根据法定原则应予以排除。但随着网络技术的发展，电子邮件已进入我们的生活，此种即时的通信方式对我们的生活方式有着很大的影响。电子邮件作为一种诉讼证据形式，在世界范围内都已得到认可。“联合国在1996年贸法会《电子贸易示范法》第9条中，对电子邮件作为证据的可接受性与证据价值作了示范性规定：在任何法律诉讼中，证据规则的适用在任何方面均不得以下述任何理由否定一项数据电文作为证据的可接受性：（a）仅仅以它是一项数据电文为由；或（b）如果它是按合理预期所能得到的最佳证据，以它并非原件为由。”[4]将电子邮件视为诉讼证据是网络时代的需要，是证据法律制度发展的重要表现。但如何在现有的证据种类制度框架下吸纳电子邮件证据又是一个较为复杂的问题。下文将详细叙述。
限制之三：其他法律规定与司法解释。电子邮件证据的客观功效使得理论与实务上都承认其属于证据范畴，但囿于立法原因，无法准确地将其归于证据种类中的哪一种。其他部门法与相关司法解释对此也作出了诸多努力。我国《合同法》第11条规定：“书面形式是指合同书、信件和数据电文（包括电报、电传、传真、电子数据交换和电子邮件）等可以有形地表现所载内容的形式。”《合同法》将电子邮件看成书面证据的做法对刑事诉讼法中的电子邮件证据归类产生了重要影响。一些学者以此为根据，认为可以把电子邮件看成书面证据，司法实务中也逐渐接受了这一说法。但将电子邮件作为书证仍不适当地限制了电子邮件证据。首先，电子邮件与书证的相似性不大。书证是有形的，可以直观地反映记载的信息，一旦修改很容易留下痕迹；而电子邮件是无形的，不能直观地反映记载的信息，修改不易留下痕迹。其次，书证出现的原因是基于行为人的书写行为。而电子邮件作为证据不单有人的行为，还有系统因素。最后，将电子邮件作为书证看待，会排除部分电子邮件证据。如电子邮件在传输过程中是以代码的形式出现的，对动态的电子邮件进行截获，其表现形式不符合书证的特征，有可能不被作为证据看待。书证销毁后很难留下被销毁的证据，但电子邮件被销毁（删除）后有可能通过数据恢复系统或在其他系统中查找到。总之，将电子邮件看成书证的观点会不适当限制电子邮件证据的存在范围，降低电子邮件证据的证明力。
理论界与实务界都看到了电子邮件证据或其他电子证据在归属上存在的问题，并努力为电子类证据寻找种类归属。2010年6月13日最高人民法院、最高人民检察院、公安部、国家安全部和司法部联合颁布的《关于办理死刑案件审查判断证据若干问题的规定》第29条对其他类证据审查规定中明确：“对于电子邮件、电子数据交换、网上聊天记录、网络博客、手机短信、电子签名、域名等电子证据，应当主要审查以下内容：（一）该电子证据存储磁盘、存储光盘等可移动存储介质是否与打印件一并提交；（二）是否载明该电子证据形成的时间、地点、对象、制作人、制作过程及设备情况等；（三）制作、储存、传递、获得、收集、出示等程序和环节是否合法，取证人、制作人、持有人、见证人等是否签名或者盖章；（四）内容是否真实，有无剪裁、拼凑、篡改、添加等伪造、变造情形；（五）该电子证据与案件事实有无关联性。对电子证据有疑问的，应当进行鉴定。对电子证据，应当结合案件其他证据，审查其真实性和关联性。”该司法解释虽然没有明确将电子邮件作为独立的证据种类，但从审查内容上来看，电子邮件连同其他类电子证据有别于传统上任何一种证据的审查，具备本类证据的独特性。实际上本司法解释间接地承认了包括电子邮件在内的电子证据新种类。但其局限性也是明显的，司法解释的效力较低，且没有明确电子邮件证据的独立性，这将限制电子邮件证据的全面适用。
2012年新修订的《刑事诉讼法》对证据的概念采材料说。如前所述，材料说只能部分地解决证据真假问题，但不能解决证据“经查证属实才能作为定案的根据”这一规定所带来的问题。电子邮件具有易篡改性，会大量存在不能对其查证属实的情形，但仍可以将其作为定案的根据，只是作为否定性证据罢了。新修订的《刑事诉讼法》对证据制度修订的进步之处还表现在适当地扩充了证据的种类，增加了电子数据。电子邮件作为重要的电子数据的一种，立法将其予以明确化，是对司法现实的尊重，具有重大的进步意义。但需要注意的是，在法律层面上，电子邮件证据的法律地位并没有完全独立。此次立法修订将电子数据与视听资料并列，而没有将电子数据单列。可能有人会认为，并列模式能够解决电子数据与视听资料不好区分带来的问题。但笔者认为，此理由并不充分。新修订的《刑事诉讼法》第48条第1款将物证与书证单列足以证明，并列式规定与单列式规定具有实质的差别。立法将视听资料与电子数据并列规定在一起，会进一步混淆两者，不利于针对不同的证据种类设置不同的取证、质证、认证等规则，不利于司法主体客观公正地判断使用证据。如有声电子邮件是作为视听资料还是作为电子数据呢？根据本条规定似乎可以将其视为视听资料也可以作为电子数据证据。这将影响到证据种类的确认，并进一步引发诸如非法证据排除规则等其他有关的证据制度问题。总之，此次立法修订并没有完全确立电子邮件证据的独立性地位，未来立法有必要采取单列模式，确保电子邮件等电子数据证据种类的独立性。
四、系统因素引入对传统证据的冲击
电子邮件的产生与形成都发生在虚拟的系统环境中，这与现实生活中出现的证据有很大的不同。系统因素对传统证据概念产生了强烈的冲击效应，主要表现为以下几个方面。
第一，证据生成原因由单一性到双元性发展。传统刑事证据是犯罪嫌疑人作用下的产物。如某人的脚印出现在案发现场，人们就可以得出该人进入过案发现场的结论。脚印这一物证生成的主要原因是犯罪嫌疑人的踩踏行为。周围的环境虽然也能影响到这一证据内容和证据形式，但起决定性作用的仍是犯罪嫌疑人的行为。又如，书证必须有犯罪嫌疑人或他人的书写行为，是有关人的直接作用下的产物。至于鉴定结论、证人证言、犯罪嫌疑人供述和辩解及被害人陈述等言词证据更是如此，与周围的环境没有紧密的联系。电子证据的产生与传统证据的生成有着很大的不同，其存在的虚拟环境是计算机系统。计算机系统在电子证据生成的过程中具有重要的作用。
如在电子邮件证据中，电子邮件表头是电子邮件的重要组成部分，大部分内容并非行为人作用的结果，而是在电子邮件系统内自动生成的。电子邮件表头提供了丰富的证明信息，如邮件发信人、用于撰写的软件种类、邮件传输经过的服务器种类及数量等。这些信息对查明邮件的发送人、收件人，追踪邮件的真实来源具有重要的作用。而现实中的普通邮件起证明作用的内容主要是笔迹与邮件内容，这些都是行为人作用留下的证据。系统对证据生成的作用使得传统上证据由单一的行为人作用发展成为系统与行为人的双重作用。这对于证据法律制度的发展有着极为重要的启示：重视系统遗留的痕迹，是追查犯罪的重要一环；应注意虚拟证据向现实证据转化过程中可能会遗漏的一些无法转化的重要系统信息。
第二，证据所涉主体由少数向多数转变。传统证据关涉的主体较少，如物证、书证等主要涉及犯罪嫌疑人和鉴定人及取证人员，且在很多情况下不需要进行鉴定，即证据关联主体不多。但在电子邮件证据中，随着系统因素的加入，证据所涉主体开始增多。如侦查机关在获取一封虚假邮件过程中，必然涉及的主体有侦查人员、技术取证人员、技术鉴定人、行为人等，有可能涉及的主体有电子邮件服务商、网络服务商、电子邮件软件服务商、登录该电脑的所有人员以及诸如黑客等其他人员。随着证据所涉主体的增多，相关电子邮件证据会凸显如下特点：电子邮件证据被修改的可能性增多；系统不稳定、软件不统一亦会影响电子邮件证据的内容，进而影响到电子邮件的证据能力与证明力。因此，司法主体在审查运用电子邮件证据时，有必要从多方面关注电子邮件证据所涉主体，注意审查电子邮件证据的真伪。从另一方面看，对电子邮件证据其他辅助证明的机会增多，如果能恰当地运用好间接证据、间接证明方法则能提高电子邮件证据证明的准确度。
第三，证据证明方式由简单性向复合性转变。传统证据在发挥证明作用时一般只用一种证明方式，这也是我国刑事诉讼法划分证据种类的重要根据。如物证是靠自身属性来证明案件情况的，一般起到间接证明的作用；书证是靠表达的思想内容来证明案件情况的；视听资料主要是通过其记录和储存的与客体的声音和图像有关的信息来证明案件事实的。在电子邮件证据中，因系统因素的加入使得相关证据的证明方式发生了变化，由简单性向复合性转变。如电子邮件中可以使用声音、图像及文字，可以起到视听资料、书证的作用；而在电子邮件发送、接收或删除、修改时，会在相应系统中留下特定的痕迹，这又起到了物证的作用。可以说，系统（多媒体）因素的加入，使得每一种电子证据都有可能涵盖所有传统证据类型。因此，在提取有关电子邮件证据时，必须采用多技术的方式，契合电子邮件证据证明方式，以确保取得的电子邮件证据能发挥多角度的证明作用，并防止因取证方式不佳而削弱电子邮件证据的证明力。
五、主体与系统的互动：电子邮件证据概念的生成
虚拟环境中电子邮件是行为主体与系统双重作用的结果，但系统要素与主体要素在电子邮件证据中所处的地位是不同的。从发生的时间来看，系统要素要早于主体要素。每一类电子邮件都有特定的系统，行为主体只能选择某一种电子邮件系统。从这个意义上看，电子邮件证据的某些特点是固定的，具有不可更改性，不因行为主体的不同而不同。如Message-ID是邮件系统在创建邮件时的唯一标志。它由三部分构成：编号、@符号与主机名称，其中编号是唯一的。这是由邮件发送方的邮件服务器配发给此类邮件的，并且一直附随，具有唯一性，即任何一封电子邮件都有一个唯一的Message-ID，不因使用主体的改变而改变。这提示我们在获取电子邮件证据或审查电子邮件证据时应注意查看系统中固有的证据因素，它是识别证据真假的重要标志。
系统要素在电子邮件中的重要作用还体现在回复邮件的自动性上。现在绝大多数门户网站中的电子邮箱都具备自动回复的功能。在系统设置中，行为人可以设置自动回复按钮。在系统接收到对方邮件后会自动将行为人预留的信息回复给对方邮件系统。对于自动回复的信件应该将其归为电子邮件的范畴。因为电子信箱的自动回复功能并不是强制性的，需要行为人自行设置。若行为主体设置了自动回复功能，则应推定行为人同意以系统为标准接收邮件，这在认定经济类诈骗犯罪中具有重要的作用。比自动回复功能更进一步的是电子邮箱的push功能，在较为高端的移动终端，可以连接电子邮件系统，设置在新邮件出现时提醒客户查看邮件。至于设置的内容，可以根据实际需要设置提醒还是查看，或者查看图片、文字、声音，或者设置接收的容量大小。信箱push功能虽然是系统起主要作用，但仍是行为人选择的结果，邮件的发送与接收与正常电子邮件无异，应属于证据法意义上的电子邮件，具有证明意义。
电子邮件证据的出现离不开人的行为。电子邮箱的申请、设置与使用，必须有行为人的参与，也正因为如此，电子邮件才具有证明作用。行为人在虚拟环境中与系统互动产生的电子邮件证据和现实生活中行为人在特定的环境中与作用物互动产生的证据具有相似性，但亦有显著的差别。行为人与系统的互动无论是在外观上还是在实质相互作用上，两者的紧密程度远远高于现实生活中行为人与环境的互动。可以说，电子邮件证据是系统因素与主体因素共同作用的结果，两者缺一不可，单一因素不能构成法律意义上的电子邮件证据。
综合以上分析，笔者认为从证据法的角度可以对电子邮件证据作出如下界定：电子邮件证据是指，在行为主体与电子邮件服务系统因素作用下以其内容、形式、痕迹等主客观存在的特征来证明案件事实的综合性信息。