檢察機關電子證據的提取和固定

摘 要：檢察機關在業務工作中，特別是職務犯罪案件，經常會接觸電子證據問題。對不涉及計算機使用或維護人員的犯罪案件，可以采取簡單取證程序收集和固定電子證據，反之應當采取復雜取證程序收集和固定電子證據。檢察機關電子證據司法鑒定需緊密圍繞證據的客觀性、合法性、關聯性，遵循合法、科學、客觀、公正、獨立、監督的原則進行。

關鍵詞：檢察機關；電子證據；提取；固定

2013年1月1日正式施行的新《刑事訴訟法》第四十八條進一步完善了刑事證據分類，增加了“電子數據”的證據形式。檢察機關在業務工作中，特別是職務犯罪案件，經常會接觸電子證據問題。筆者僅就在職務犯罪偵查中如何收集和固定電子證據問題作些介紹，供同行們參考。

一、電子證據的普通取證程序

普通取證，是指不需要專業技術人員協助進行的數據信證據的收集和固定活動。對不涉及計算機使用或維護人員的犯罪案件，可以采取簡單取證程序收集和固定電子證據。

取證時，首先由提供證據單位的計算機操作人員打開計算機，查找所需收集的證據。當找到證據時，取證人員應當通過顯示器觀察和確認該文件的形成時間。然后由操作人員打開文件，由取證人員確認該文件系所要收集的證據后，采用相應的方式予以提取固定。在查找證據過程中，如遇文件找不到或打不開等問題，應及時通知電子證據專家組予以協助。

常用的固定電子證據的方式，有打印和拷貝兩種。通常情況下應當采用打印方式，或兩種方式同時使用。只有在文件較多不方便現場打印的情況下，才可以單獨使用拷貝方式。無論采取那種取證方式，在固定證據后，應當現場制作檢查筆錄。檢查筆錄主要記載電子證據的收集和固定情。

二、電子證據的特殊取證程序

特殊取證，是指需要專業技術人員協助進行的電子證據的收集和固定活動。對涉及計算機使用、維護人員的犯罪案件，應當采取復雜取證程序收集和固定電子證據。

特殊取證程序包括：現場檢查與現場訪問。首先，由計算機專家檢查硬件設備，切斷可能存在的其他輸入、輸出設備，保證計算機儲存的信息在取證過程中不被修改或損毀。對計算機使用者拒絕提供密碼的情形，可考慮由計算機專家解密，但由于解密工作可能會對計算機儲存的資料造成損害，因而在做出這一決定時，應當十分慎重。檢查計算機文件時，計算機專家應當注意對隱蔽文件的查找。

有備份的，應由計算機專家同時檢查備份文件，查明備份文件與原文件是否一致。提取證據按照前述方法打印和拷貝計算機文件，固定電子證據。如發現在備份文件與原文件不一時，應當同時提取備份文件。.電子證據內容涉及電算化資料的，應當由司法會計專家對提取的資料進行現場驗證。驗證中如發現可能與軟件設計或軟件使用有關的問題時，應當由司法會計專家現場對電算化軟件進行數據測試（偵查實驗）。經測試確認軟件有問題時，則由計算機專家對軟件進行檢查或提取固定。制作檢查筆錄。除前述檢查筆錄的內容外，對解密、數據測試等過程也應當作出詳細的記錄。

三、職務犯罪電子證據的取證及分析

由于電子證據具有上述技術性、復合性、無形性以及脆弱性的特征，使得它與其他種類的證據具有很大的不同，電子證據也與一般傳統證據的取證、分析的方式完全不同。

1.電子證據的收集

職務犯罪偵查中涉及的電子證據主要是以涉案的手機、計算機的硬盤、USB存儲器等媒介中提取，要獲取目標系統中的所有文件，包括現有的正常文件、已經被刪除但仍存在于磁盤上（即還沒有被新文件覆蓋）的文件、隱藏文件、受到密碼保護的文件和加密文件等，盡可能全部恢復發現的刪除文件，并保證原有媒介沒有遭到改動，以及復制數據和原有數據的一致性。在進行電子證據取證前應制定提取某一電子證據的計劃、步驟以及相應的要領，提取證據時首先要求提取文件和軟件，必要時也可以提取計算機硬件。在勘查時，要注意將電子技術手段與普通勘查手段相結合，發現涉案文件和數據后應當進行復制，不能直接在原涉案計算機中進行文件和數據分析，以確保原證據的完整性和真實性，對復制后的硬件及時扣押封存，對于采集到的證據，要及時標注提取的來源、時間、提取過程、提取人員等，以保證電子證據提取的合法性。

2.對獲取的電子證據進行分析和處理

通過對復制提取的電子數據，可先通過數據恢復、影藏數據再現等技術將數據信息全部顯現出來，再通過分析與關鍵詞查詢，文件特征分析技術，鏡像文件、交換文件、臨時文件分析技術等方式分析在磁盤的特殊區域中發現的所有相關數據。利用磁盤存儲空閑空間的數據分析技術進行數據恢復，獲取文件被增、刪、改、復制前的痕跡。將收集的程序、數據和備份與當前運行的程序數據進行對比，從中發現篡改痕跡。還要注意分析計算機所有者、電子簽名、密碼、交易記錄、回復信箱、郵件發送服務器的日志、上網IP等計算機特有信息識別體。用證據分析能夠發現和反映案件客觀事實的數據，發現各種異常現象或者推斷作案人使用的作案工具、作案手法，從而發現作案人是在何時、采取何種手段、從哪些方面對系統進行了哪些侵害，從中選取有價值的偵查線索和證據材料。

四、檢察機關電子證據司法鑒定機制之構建

電子證據司法鑒定需緊密圍繞證據的客觀性、合法性、關聯性，遵循合法、科學、客觀、公正、獨立、監督的原則進行。在上述思想指導下我們初步應當構建檢察機關電子證據司法鑒定的機制。

1.明確電子證據司法鑒定的原則

根據電子證據具有高科技性、隱蔽性、易改性和形式多樣性等特點，我們確立了以下電子證據司法鑒定的基本原則：一是規范原則。即工作流程均有明確的步驟和要求，以確保工作的嚴密性。二是監督原則。為確保證據的可靠性，我們要求證據收集等重要流程進行全程錄像并要求第三方現場見證。三是安全原則。所有電子資料事先必須使用性能穩定可靠的司法級取證設備進行無損復制（即確保源盤不被擦寫破壞），并通過哈希值校驗確保復制盤與源盤保持一致性，然后源盤封存，并只對復制進行分析和恢復，以確保取證過程的安全可靠。四是保密原則。對于可能涉及的案情及個人隱私等等信息，要求操作人員必須嚴格按相關保密規定予以恪守。

2.確定檢察機關電子證據司法鑒定的類別

根據此項工作涉及辦案的不同部門和不同階段，主要劃分為電子證據的檢驗、電子證據的鑒定及相關電子證據法律文書的文證審查三類，并據此分別出具檢查意見書、鑒定書或文證審查意見書。其中第一類主要應用于反貪、反瀆等部門在案件偵查階段的工作。第二類和第三類主要應用于公訴、偵監等部門案件在審查階段的工作。

3.規范電子證據收集檢驗的基本工作流程

我們認為，盡管刑事電子證據取證尚無法律明文規定，但是與傳統證據收集一樣，刑事電子證據取證也應遵循我國法律規定的取證原則，不能因其特殊性有別于其他證據；我們結合電子證據的特點，設計了如下程序：

（1）調查收集證據時應主要包括委托受理和檢驗鑒定兩個階段、其中委托受理主要明確業務部門如何提出委托和要求事項等，技術部門如何受理并確定工作開展的時間地點等。檢驗鑒定主要涉及電子資料的收集固定，檢查分析的要求和流程。

（2）應當出具合法證件，搜查時應當出示搜查證并嚴格按照搜查證確定的范圍進行搜查，搜查證應當明確搜查的具體對象如具體的計算機、網絡服務器及終端存儲器、IP地址等。

（3）對采集到的電子證據，要及時標注來源、時間、人員，詳細記錄收集、扣押電子證據的全過程，載明扣押數據信息并有二個以上的見證人在記錄上簽字。

（4）在收集和運用電子數據的過程中，應注意保護當事人的隱私權。

參考文獻：

[1]魏韌思，顧星.論我國電子證據的可采性規則，犯罪研究，2007年第1期

[2]樊崇義.電子證據運用方式需創新，檢察日報，2014年5月18日

[3]程權，孟傳香.論新刑事訴訟法視野下電子證據的審查，重慶郵電大學學報，2013年第6期

[4]劉志軍，龔德忠.電子數據取證協同創新研究，湖北警官學院學報，2013年第12期