依法搜集提取和审查判断电子数据

插图/沈欣

随着现代科学技术的迅猛发展，计算机、手机等电子产品已成为人民群众生活中不可缺少的一部分。从电子产品中提取的电子数据能提供其他有形资料无法提供的信息，所以2012年修改的《刑事诉讼法》将电子数据列为法定证据之一。近年来，电子数据对刑事案件的侦查起着越来越重要的作用。《刑事诉讼法》和公安部对电子数据的规定都比较笼统，而电子数据具有易变性、可复制性、海量信息性，与传统的物证、书证、人证在性质上有明显不同，所以实践中搜集、提取证据还不够规范，如何根据电子数据的性质进行审查、判断以确定其证据能力和证明力也不够明确。为规范电子数据的搜集提取和审查判断，提高刑事案件办理质量，2016年9月9日，最高人民法院、最高人民检察院、公安部联合印发了《关于办理刑事案件搜集提取和审查判断电子数据若干问题的规定》（法发【2016】22号，以下简称《规定》）。

@清风徐来：什么是电子数据？电子数据主要包括哪些？

刘警官：根据《规定》第一条，电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据。电子数据包括但不限于下列信息、电子文件：（1）网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息；（2）手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息；（3）用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息；（4）文档、图片、音视频、数字证书、计算机程序等电子文件。以数字化形式记载的证人证言、被害人陈述以及犯罪嫌疑人供述和辩解等证据，不属于电子数据。确有必要的，对相关证据的搜集、提取、移送、审查，可参照适用《规定》。

@凯蒂：公安机关应如何依法搜集、提取电子数据？

刘警官：根据《规定》第二至第十七条，公安机关应遵守法定程序，遵循有关技术标准，全面、客观、及时地搜集、提取电子数据。公安机关有权依法向有关单位和个人搜集、调取电子数据。有关单位和个人应如实提供。电子数据涉及国家秘密、商业秘密、个人隐私的，应保密。对作为证据使用的电子数据，应采取以下一种或几种方法保护电子数据的完整性：（1）扣押、封存电子数据原始存储介质；（2）计算电子数据完整性校验值；（3）制作、封存电子数据备份；（4）冻结电子数据；（5）对搜集、提取电子数据的相关活动进行录像；（6）其他保护电子数据完整性的方法。初查过程中搜集、提取的电子数据，以及通过网络在线提取的电子数据，可作为证据使用。

搜集、提取电子数据，应由2名以上侦查人员进行。取证方法应符合相关技术标准。搜集、提取电子数据，能够扣押电子数据原始存储介质的，应扣押、封存原始存储介质，并制作笔录，记录原始存储介质的封存状态。封存电子数据原始存储介质，应保证在不解除封存状态的情况下，无法增加、删除、修改电子数据。封存前后应拍摄被封存原始存储介质的照片，清晰反映封口或张贴封条处的状况。封存手机等具有无线通信功能的存储介质，应采取信号屏蔽、信号阻断或切断电源等措施。具有下列情形之一，无法扣押原始存储介质的，可提取电子数据，但应在笔录中注明不能扣押原始存储介质的原因、原始存储介质的存放地点或电子数据的来源等情况，并计算电子数据的完整性校验值：（1）原始存储介质不便封存的；（2）提取计算机内存数据、网络传输数据等不是存储在存储介质上的电子数据的；（3）原始存储介质位于境外的；（4）其他无法扣押原始存储介质的情形。对于原始存储介质位于境外或远程计算机信息系统上的电子数据，可通过网络在线提取。为进一步查明有关情况，必要时，可对远程计算机信息系统进行网络远程勘验。进行网络远程勘验，需要采取技术侦查措施的，应依法经过严格的批准手续。

由于客观原因无法或不宜依据上述规定搜集、提取电子数据的，可采取打印、拍照或录像等方式固定相关证据，并在笔录中说明原因。具有下列情形之一的，经县级以上公安机关负责人批准，可对电子数据进行冻结：（1）数据量大，无法或不便提取的；（2）提取时间长，可能造成电子数据被篡改或灭失的；（3）通过网络应用可更为直观地展示电子数据的；（4）其他需要冻结的情形。冻结电子数据，应制作协助冻结通知书，注明冻结电子数据的网络应用账号等信息，送交电子数据持有人、网络服务提供者或有关部门协助办理。解除冻结的，应在3日内制作协助解除冻结通知书，送交电子数据持有人、网络服务提供者或有关部门协助办理。冻结电子数据，应采取以下一种或几种方法：（1）计算电子数据的完整性校验值；（2）锁定网络应用账号；（3）其他防止增加、删除、修改电子数据的措施。调取电子数据，应制作调取证据通知书，注明需要调取电子数据的相关信息，通知电子数据持有人、网络服务提供者或有关部门执行。

搜集、提取电子数据，应制作笔录，记录案由、对象、内容、搜集、提取电子数据的时间、地点、方法、过程，并附电子数据清单，注明类别、文件格式、完整性校验值等，由侦查人员、电子数据持有人（提供人）签名或盖章；电子数据持有人（提供人）无法签名或拒绝签名的，应在笔录中注明，由见证人签名或盖章。有条件的，应对相关活动进行录像。搜集、提取电子数据，应根据刑事诉讼法的规定，由符合条件的人员担任见证人。由于客观原因无法由符合条件的人员担任见证人的，应在笔录中注明情况，并对相关活动进行录像。针对同一现场多个计算机信息系统搜集、提取电子数据的，可由一名见证人见证。

对扣押的原始存储介质或提取的电子数据，可通过恢复、破解、统计、关联、比对等方式进行检查。必要时，可进行侦查实验。电子数据检查，应对电子数据存储介质拆封过程进行录像，并将电子数据存储介质通过写保护设备接入到检查设备进行检查；有条件的，应制作电子数据备份，对备份进行检查；无法使用写保护设备且无法制作备份的，应注明原因，并对相关活动进行录像。电子数据检查应制作笔录，注明检查方法、过程和结果，由有关人员签名或盖章。进行侦查实验的，应制作侦查实验笔录，注明侦查实验的条件、经过和结果，由参加实验的人员签名或盖章。对电子数据涉及的专门性问题难以确定的，由司法鉴定机构出具鉴定意见，或由公安部指定的机构出具报告。

@万象：公安机关在向检察院报捕和移送审查起诉时，如何移送电子数据？

刘警官：根据《规定》第十八至第二十条，搜集、提取的原始存储介质或电子数据，应以封存状态随案移送，并制作电子数据的备份一并移送。对网页、文档、图片等可直接展示的电子数据，可不随案移送打印件；检察院因设备等条件限制无法直接展示电子数据的，公安机关应随案移送打印件，或附展示工具和展示方法说明。对冻结的电子数据，应移送被冻结电子数据的清单，注明类别、文件格式、冻结主体、证据要点、相关网络应用账号，并附查看工具和方法的说明。对侵入、非法控制计算机信息系统的程序、工具以及计算机病毒等无法直接展示的电子数据，应附电子数据属性、功能等情况的说明。对数据统计量、数据同一性等问题，公安机关应出具说明。公安机关报捕或对侦查终结的案件移送检察院审查起诉的，应将电子数据等证据一并移送检察院。检察院在批捕和审查起诉过程中发现应移送的电子数据没有移送或移送的电子数据不符合相关要求的，应通知公安机关补充移送或进行补正。公安机关应自收到通知后3日内移送电子数据或补充有关材料。

@星空：公安机关对电子数据应如何进行审查判断？

刘警官：根据《规定》第二十二至第二十八条，对电子数据是否真实，应着重审查以下内容：（1）是否移送原始存储介质；在原始存储介质无法封存、不便移动时，有无说明原因，并注明搜集、提取过程及原始存储介质的存放地点或电子数据的来源等情况；（2）电子数据是否具有数字签名、数字证书等特殊标识；（3）电子数据的搜集、提取过程是否可以重现；（4）电子数据如有增加、删除、修改等情形的，是否附有说明；（5）电子数据的完整性是否可保证。

对电子数据是否完整，应根据保护电子数据完整性的相应方法进行验证：（1）审查原始存储介质的扣押、封存状态；（2）审查电子数据的搜集、提取过程，查看录像；（3）比对电子数据完整性校验值；（4）与备份的电子数据进行比较；（5）审查冻结后的访问操作日志；（6）其他方法。

对搜集、提取电子数据是否合法，应着重审查以下内容：（1）搜集、提取电子数据是否由2名以上侦查人员进行，取证方法是否符合相关技术标准；（2）搜集、提取电子数据，是否附有笔录、清单，并经侦查人员、电子数据持有人（提供人）、见证人签名或盖章；没有持有人（提供人）签名或盖章的，是否注明原因；对电子数据的类别、文件格式等是否注明清楚；（3）是否依照有关规定由符合条件的人员担任见证人，是否对相关活动进行录像；（4）电子数据检查是否将电子数据存储介质通过写保护设备接入到检查设备；有条件的，是否制作电子数据备份，并对备份进行检查；无法制作备份且无法使用写保护设备的，是否附有录像。

认定犯罪嫌疑人的网络身份与现实身份的同一性，可通过核查相关IP地址、网络活动记录、上网终端归属、相关证人证言以及犯罪嫌疑人供述和辩解等进行综合判断。认定犯罪嫌疑人与存储介质的关联性，可通过核查相关证人证言以及犯罪嫌疑人供述和辩解等进行综合判断。

电子数据的搜集、提取程序有下列瑕疵，经补正或作出合理解释的，可采用；不能补正或作出合理解释的，不得作为定案的根据：（1）未以封存状态移送的；（2）笔录或清单上没有侦查人员、电子数据持有人（提供人）、见证人签名或盖章的；（3）对电子数据的名称、类别、格式等注明不清的；（4）有其他瑕疵的。电子数据具有下列情形之一的，不得作为定案的根据：（1）电子数据系篡改、伪造或无法确定真伪的；（2）电子数据有增加、删除、修改等情形，影响电子数据真实性的；（3）其他无法保证电子数据真实性的情形。■