从证据审查角度探析刑事诉讼中电子数据收集提取的规范化

　　目前我国三大诉讼法都已明确将电子数据作为一种新的证据种类规定在立法中,但是对电子证据在收集、提取、保全、审查等程序中的关键问题,仍以司法解释和规范性文件形式存在,迄今还没有统一的电子证据规则或规范。 尤其是电子数据收集、提取程序,完全取决于技术的应用和发展,取决于条件与环境的不同,依赖于取证与反取证工具和手段的对抗,直接影响电子数据的真实性、 合法性、关联性,导致司法实践中对于电子证据的采信和认定等关键问题存在较大争议。

　　对电子数据收集和提取等环节的审查、判断和认定,是司法实践中的重要内容。 本文根据《中华人民共和国刑事诉讼法》(2018年10月26日起执行,简称《刑事诉讼法》)、《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定(法发[2016]22号,简称《刑事电子数据规定》)、 《公安机关办理刑事案件电子数据取证规则》(2019年2月1日起施行,简称《刑事电子取证规则》)等的要求,结合三个具体案例,从刑事诉讼证据审查角度出发,对电子数据收集和提取的规范化问题进行探析。

　　一、审查判断电子数据的原则

　　近年来电子数据广泛应用于刑事诉讼活动,同时收集和提取电子数据的难度增加,电子数据的客观性、关联性等问题在实践中容易引发争议。 《刑事电子数据规定》等对电子数据的审查判断作了专门规定,对人员资质与技术要求、收集提取电子数据的笔录制作要求、移送与展示、审查与判断等问题作出进一步明确。

　　电子数据的收集必须运用专业的电子取证技术,确保所收集电子数据免受人为破坏,收集的质量免受人为影响;对于电子数据的采信与否,必须从合技术性和合法律性的角度予以审查。 证明案件事实的电子数据,必须符合《刑事诉讼法》对证据的一般要求。 《刑事电子数据规定》第二条规定: “侦查机关应当遵守法定程序,遵循有关技术标准,全面、客观、及时地收集、提取电子数据;人民检察院、人民法院应当围绕真实性、合法性、关联性审查判断电子数据。”

　　关于电子数据的收集与提取, 《刑事电子数据规定》第七条到第十七条,从主体适格到程序方法都有明确规定。对于电子数据的审查与判断, 《刑事电子数据规定》第二十二条到第二十八条,从真实性、合法性和关联性等方面,即“三性”,采取概括、列举、排除的方法,对电子数据的证据资格进行了界定。

　　关于对电子数据的审查与判断, 《刑事电子数据规定》第四部分第二十二条到第二十八条,从真实、完整、合法等方面进行了详细规定,并明确了不得作为定案的根据的情形。

　　从上述相关法规、司法解释和规范性文件来看,电子数据的审查和判断涉及合法律性、合技术性。 合法律性要依赖合法性和关联性来保障,通过主体、方法、程序以及见证人等因素来说明。 合法性包括主体、程序、过程,关联性涉及同一性,依靠对证人证言以及犯罪嫌疑人、被告人供述和辩解等进行综合判断。 关联性要通过与其它事物证据相互印证来予以确定,要把电子证据与其它类型证据结合起来考察,分析从不同来源、不同种类的证据,各自证明的结论是否一致,在时间、地点等要素上是否逻辑统一。例如,仅依靠网站服务器日志中的源IP地址,不能唯一确定对应的计算机设备,仅依靠电子帐簿中的记账数据,也不能确定真实的资金往来。

　　从合技术性角度看,电子数据的真实性是最重要的方面,对完整性、客观性的审查和判断,是合技术性审查判断的主要原则。 电子数据的收集与提取的规范化,直接影响完整性和客观性,成为刑事诉讼中电子数据审查的重要内容.

　　ニ、完整性和客观性及规则

　　(ー)完整性及规则

　　电子数据的完整性主要体现在:1.获取数据的过程真实,且在获取之后没有被篡改;2.保存证据的链条一致且可信,形成完整的证据链条。

　　与传统证据种类不同,电子证据以电子数据形式存在,人们通常见到的是电子数据的外在表现形式,如文本、图片等。 电子证据有别于传统证据的最主要方面在于其易丢失特性(如境外主机上的数据、计算机内存的数据,一旦获取后可能无法再次获取),以及易篡改特性(侦查机关获取数据后很容易对该数据进行篡改,如果没有规范的工作要求,则难以证明该数据的真实性)。因此应当严格规范收集、提取电子数据的程序和方法,以确保电子数据完整性。

　　《刑事电子数据规定》第五条规定了完整性的保护方法。对作为证据使用的电子数据,应当结合现场条件和环境,采取不同方法保护其完整性。 这些方法包括扣押、封存原始存储介质,计算完整性校验值,制作、封存原始数据的备份,冻结原始电子数据,对保护的相关活动进行录像等。
       (二)客观性及规则

　　电子数据的客观性重点体现在:是否移送原始存储介质;是否具有数字签名、数字证书等特殊标识;收集提取过程是否可以再现;有无增加、删除、修改等情形,是否附说明等。

　　《刑事电子数据规定》第八、九、十条确立了“扣押电子数据原始存储介质为原则,以提取电子数据为例外,以打印、拍照或者录像等方式固定相关证据为补充”的规则。《刑事电子取证规则》第二章则从收集提取电子数据、扣押原始存储介质、封存原始存储介质、现场提取电子数据、网络在线提取电子数据、冻结电子数据、调取电子数据等公安部门常用的技术和手段方面,制定了明确而具体的规则。

　　三、案例分析

　　(ー)短消息和即时通信聊天记录的收集和提取

　　因为手机短信息存在易于删改的特性,一般情况下很难单独作为认定案件事实的依据,所以对于手机短信息的收集提取,除了将短信息的内容、发(收)信手机的电话号码、发(收)信的时间、保存位置等相关信息提取外,为确保完整性和客观性,还要注意一些特殊情况:

　　1.调查手机的完整信息,例如手机的SIM卡、IMEI/MEID信息、序列号、操作系统版本、时区设置等。2.手机的时间是否与标准时间同步,误差有多大。通常情况下,手机会自动与标准时间同步,但如果手机是手动设置时间的,就要去查明误差有多大。

　　3.如果手机的SIM卡缺失或租用过期,或者同一部手机上使用过多个SIM卡,这种情况下,由于通常的取证软件无法直接获得本机电话号码,还需要调查者从手机的其它文件中获得相关信息。

　　即时通信软件非常多,国内常用的包括QQ、微信、阿里旺旺、钉钉、UC、米聊、陌陌、探探、飞信、叮咚等。调查聊天记录是当前取证中很基本的工作,以下这些完整性和客观性规范很容易被忽视:

　　1.即时通信软件的用户登录帐号往往与其它个人信息关联,可以起到证据补强作用。

　　2.同一个即时通信软件登录多个用户帐号的情形经常发生,这种情况下应该详细说明聊天记录的内容属于哪个账号。因为收集和提取到的聊天记录中发现的文件、图片、语言等信息,有时候不能确定是收还是发,也不能确定是哪个账号的行为。这种电子数据缺乏证明力,应该排除。

　　3.删除的聊天消息在恢复后,内容往往不完整,甚至有错误,与事实明显不符,例如有可能显示发送的时间是1970年等。这样的电子数据应该首先排除。

　　(二)撤回的微信视频的收集和提取

　　在调查即时通信软件微信的过程中,对于撤回的微信文字消息、图片、视频等,需要严格从完整性、客观性出发,依据规范进行操作。因为如果仅仅使用常规的取证软件进行调查,无法得到关键的证据,例如撤回的消息是什么无法确定(见图1).

　　图1显示微信撤回的消息

　　这种情况下,需要调查员借助工具进行深入的分析和关联,并具体说明方法和过程。然后通过分析数据库中的字段,追溯到撤回消息的类型与名称,进一步确定撤回消息的内容(见图2)。可以看到撤回的消息是一个文件,以及文件名和存放路径。

　　图2撤回消息的内容

　　(三)网站数据的网络在线收集和提取

　　网站数据在未冻结时具有极大的易变形性,同时网站数据的网络在线收集和提取也受到更多因素的影响,其规范性显得尤为重要。目前各类法规、司法解释和规范性文件并未确定具体的操作方法。 为确保电子数据的完整性、客观性,作业指导书应该包括下面的内容:

　　1.说明进行网络在线收集和提取的设备和环境,例如计算机型号、操作系统名称和版本、网络设置等。

　　2.记录调查员对用于在线收集和提取的计算机进行安全性及操作环境检查,并确认过程和结果,包括:

　　·使用杀毒软件进行全盘查杀,以保证取证电脑未受病毒和木马感染入侵。

　　·打开“任务管理器”,查看计算机中的进程,确保其中未被安装恶意程序。

　　·网络环境检查。包括(以Windows为例):检查hosts文件,以保证计算机未被连接到虚拟网站; 通过运行“ipconfig/all”命令查看其IP地址,保证网络连接方式的真实性;运行“ping”,以确认目标页面IP地址,保证接入网站的真实性;运行“tracert”,以确认连接到目标页面网络服务器的路径的真实性。

　　·确认使用的软件名称和版本。以E为例,包括在E浏览器Internet选项下的“常规”选项中选择删除“浏览历史记录”并删除默认网址,输入“about:blank”,在“连接”选项中点击“局域网”设置,以保证取证电脑没有连接网络代理.

　　3.运行屏幕录像软件开始录屏,也可以使用摄像设备对整个操作过程进行记录。

　　4.记录调查员访问授时网站方式和过程,确认本机时间与标准时间的同步情况,并记录开始的时间信息。

　　5.开始在线收集和提取数据,下载文件并保存到指定路径,计算文件的哈希校验值。

　　6.记录调查员再次访问授时网站,确认结束的时间信息。

　　四、结束语

　　电子数据收集和提取过程中的完整性、客观性及其规则,是刑事诉讼中合技术性审查的重要因素,也是电子数据真实性审查的重要内容。 为确保电子数据的完整性、客观性,取证调查员应该遵循作业指导书,进行规范化的操作。

作者：张俊

编辑：广翰楼