【以《电子证据检查工作记录》为例——】刑事案件电子数据证据审查
“我买菜两年都没用过现金了。”母上大人说。
“扒窃没法干啊，找十个钱包九个是空的，我转型搞网络诈骗那真是被逼的，不然也不会整这么大金额。唉！”一名有数次扒窃前科的犯罪嫌疑人怀旧地对我说。
“最近一份纸质信件写于十年前。” 我的资深IT兄弟说。
“如果说在物质世界、能源世界里，人们主要靠所谓的神灵、证人与实在之物，以至于“能源证据”来定案的话，那么，在信息世界里这些所谓的传统证据肯定退居次席，唯有电子证据才是解决法律纠纷与纷争的致胜武器。换言之，在信息世界里，电子证据当仁不让地成为新的‘证据之王’。”英国大法官丹宁说。
世界早已经深陷电子通信、支付时代不能自拔，犯罪活动也同样如此。研判此间形成的电子证据，就不可避免地成了辩护人工作的主要内容之一。
笔者近期办理的数起案件中均存在电子证据，而《电子证据检查工作记录》是一份与之相关的重要材料，包含《电子证据检查笔录》《提取电子证据清单》《封存电子证据清单》《原始证物使用记录》《勘验检查照片记录表》《电子证物检查记录签名》等部分，现将有关审查经验予以总结。
1、公安部《计算机犯罪现场勘验与电子证据检查规则》（2005施行）；
2、最高检《人民检察院电子证据鉴定程序规则（试行）》（200904下发）；
3、两高三部《关于办理死刑案件审查判断证据若干问题的规定》（20100701施行）第29条[i] ；
4、最高法《关于适用〈中华人民共和国刑事诉讼法〉的解释》（20130101施行）第93条[ii] ；
5、中华全国律师协会《律师办理电子数据证据业务操作指引》（2013年6月汇编）；
6、两高一部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（20161001施行）；
7、公安部《公安机关执法细则》（2016修订）；
8、《〈关于办理刑事案件收集提取和审查判断电子数据若干问题的规定〉的理解与适用》（作者：周加海，喻海松 单位：最高人民法院，发表于《人民司法（应用）》2017年第28期）；
9、公安部《公安机关办理刑事案件电子数据取证规则》（20190201施行）。
内容较全面的为两高一部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（20161001施行，以下简称《电子证据规定》）和公安部《公安机关办理刑事案件电子数据取证规则》（20190201施行，以下简称《公安电子证据规则》）。
二、常见问题
1、关于原始证据与检材同一性问题
（1）没有依法封存，被扣押电子数据、存储介质和受检查检材的同一性存疑
因为电子数据的收集和提取貌似有较高专业性，一般侦查人员可能很难有对电子数据及其存储介质进行封存的意识。这就导致许多案件中涉案电子数据载体，如最常见的手机，在送专业部门检查前通常未被依法封存。
而《电子证据规定》第8条2、3款规定：
封存电子数据原始存储介质，应当保证在不接触封存状态的情况下，无法增加、删除、修改电子数据。封存前后应当拍摄被封存原始存储介质的照片，清晰反映封口或者张贴封条处的情况。
封存手机等具有无线通信功能的存储介质，应当采取信号屏蔽、信号阻断或者切断电源等措施。
《公安电子证据规则》第10条规定：“…能够扣押原始存储介质的，应当扣押、封存原始存储介质，并制作笔录，记录原始存储介质的封存状态。”
第11条规定：“封存前后应当拍摄被封存原始存储介质的照片。照片应当反映原始存储介质封存前后的状况，清晰反映封口或者张贴封条处的状况；必要时，照片还要清晰反映电子设备的内部存储介质细节”、“封存手机等具有无线通信功能的原始存储介质，应当采取信号屏蔽、信号阻断或者切断电源等措施。”
《公安机关执法细则》（2016年修订）第7-03 电子证据的固定与封存 中第2点第（2）项规定：封存前后应当拍摄被封存电子设备和存储媒介的照片并制作《封存电子证据清单》，照片应当从各个角度反映设备封存前后的状况，清晰反映封口和张贴封条处的状况。
查阅案卷时发现，一般在案的确有《扣押笔录》《扣押决定书》《扣押清单》等材料，侦查机关也确实对涉案的电子数据存储介质，如手机进行了扣押，并制作了相关笔录和清单，但因为未进行合法封存，往往没有证据可以证明侦查人员对手机采取了信号屏蔽、信号阻断或者切断电源等措施排除原始电子数据被增加、删除、修改的可能。
（2）《电子证据检查工作记录》中的封存手续不能确保同一性
笔者经常会发现案卷中往往会确实存在一份《封存电子证据清单》，但仔细审查，会发现该清单是由组织电子证据检查的部门，即某市公安的网络安全保卫部门，而非扣押原始电子证据载体手机的部门：办案派出所或其他一线办案部门制作，这个封存过程，已经是存储介质被扣押了许久之后的事情。从笔者亲历的案件来看，很多涉案电子数据存储介质，如手机，从扣押到送检，中间往往间隔十数天之久。也就是说，在长达十几天的时间里，涉案手机处于什么状态，是否仍开机，是否仍联网，是否仍在不停地在与外界进行信息交流，是否其上的信息被增删改，我们均不得而知。现代社会，外部电子环境是极其复杂的，只要能连接上网，甚至不需要连接互联网，电子设备就可以与其他电子设备进行无线连接、数据交换，原始的电子数据极易发生变化。
（3）《电子证据检查工作记录》中一般也会提到的MD5值，但也不能证明检材的同一性
笔者注意到很多检查记录中记载，在对于涉案手机连接取证系统进行取证前，也均计算了相应设备中电子数据的MD5值，也就是电子数据完整性校验值，但该MD5值只能证明该值被检查前有关手机的数据状态，但无法证明十几天之前手机被扣押时的电子数据与进行检查时的电子数据具有同一性。就像今天我去照的相，只能证明我今天照相时的发型、服饰和有没有戴眼镜，但证明不了半个月之前我的的发型、服饰和是否戴了眼镜。问题的根本仍在于没在第一时间对电子数据的存储媒介和电子数据本身进行合法封存。
2、关于电子证据检查程序和方法的合法性问题
《电子证据规定》第16条第2款规定，“电子数据检查，应当对电子数据存储介质拆封过程进行录像，并将电子数据存储介质通过写保护设备接入到检查设备进行检查；有条件的，应当制作电子数据备份，对备份进行检查；无法使用写保护设备且无法制作备份的，应当注明原因，并对相关活动进行录像。”
首先，电子数据检查的第一步，是应该对存储介质拆封，并对查封过程进行录像，但真实案件中因为往往事前没有合法封存，在正式开始电子数据检查时也不存在合法拆封的问题。
其次，将存储介质接入检查设备进行检查时，必须通过“写保护设备”，目的是为了防止检查过程对电子数据产生误操作，产生增删改的动作，从而破坏电子数据的原始性。但从笔者审查过的数份检查工作记录来看，发现有几份中通篇都没有提到进行了写保护的操作，因此，这个检查过程本身很可能是不合规定的，所得出的结论也很可能是与原始数据不相符合的。
综上，如果《电子证据检查工作记录》存在以上问题，如检材没有经过法定程序处理，不能保证同一性；电子证据检查的程序和方法也存在严重瑕疵，该记录不能证明案件事实，不具备证据能力，不能作为相关案件的定案根据。
[i] 第二十九条 对于电子邮件、电子数据交换、网上聊天记录、网络博客、手机短信、电子签名、域名等电子证据，应当主要审查以下内容：
（一）该电子证据存储磁盘、存储光盘等可移动存储介质是否与打印件一并提交；
（二）是否载明该电子证据形成的时间、地点、对象、制作人、制作过程及设备情况等；
（三）制作、储存、传递、获得、收集、出示等程序和环节是否合法，取证人、制作人、持有人、见证人等是否签名或者盖章；
（四）内容是否真实，有无剪裁、拼凑、篡改、添加等伪造、变造情形；
（五）该电子证据与案件事实有无关联性。
对电子证据有疑问的，应当进行鉴定。
对电子证据，应当结合案件其他证据，审查其真实性和关联性。
[ii] 第九十三条 对电子邮件、电子数据交换、网上聊天记录、博客、微博客、手机短信、电子签名、域名等电子数据，应当着重审查以下内容：
（一）是否随原始存储介质移送；在原始存储介质无法封存、不便移动或者依法应当由有关部门保管、处理、返还时，提取、复制电子数据是否由二人以上进行，是否足以保证电子数据的完整性，有无提取、复制过程及原始存储介质存放地点的文字说明和签名；
（二）收集程序、方式是否符合法律及有关技术规范；经勘验、检查、搜查等侦查活动收集的电子数据，是否附有笔录、清单，并经侦查人员、电子数据持有人、见证人签名；没有持有人签名的，是否注明原因；远程调取境外或者异地的电子数据的，是否注明相关情况；对电子数据的规格、类别、文件格式等注明是否清楚；
（三）电子数据内容是否真实，有无删除、修改、增加等情形；
（四）电子数据与案件事实有无关联；
（五）与案件事实有关联的电子数据是否全面收集。
对电子数据有疑问的，应当进行鉴定或者检验。
江苏振强律师事务所律师，法学硕士，专业法律平台“无讼”作者、“律赢惠”作者，中共党员，十年公安派出所、刑侦、经侦、法制、特警等多办案部门从业经历，数次立功授奖，发表文章若干。致力于用简单、生活化、形象的方式说明复杂、枯燥、深奥的法律问题，寻求最快、最短、最高效路径解决法律难题，工作语言英语可选，多从事企业家及个人刑事法律风险防范、企业及个人刑民商跨界法律事务、刑事案件代理。
转自：振强律师事务所