電子證據的審查與辯護

文◎韓 哲

電子證據的審查與辯護

文◎韓 哲*

本案電子證據審查和辯護的重點，在于偵查人員取證的人數、現場勘驗、網絡遠程勘驗以及被害人電子郵件、QQ聊天記錄的提取和固定是否合乎程序規范。電子證據審查和辯護的規范依據，不僅包括刑事訴訟法和相關司法解釋，還包括電子證據的技術性規范和行業標準。電子證據審查和辯護的重點是其真實性、合法性和關聯性，同時要對證明力進行專門辯護。

電子數據審查 辯護規范依據 證據能力 證明力

刑事辯護是追求事實真相，維護犯罪嫌疑人、被告人合法權益的職業，其面對的對象是法官和公訴人，辯護律師要想取得辯護的實質效果，就必須比公訴人想的更加全面、深刻、細致，盡可能說服法官采納辯護意見，電子證據的審查和辯護也不例外。本案當中涉及電子證據比較多，關于現場勘驗、扣押、查封和提取問題，遠程網絡勘驗和證據固定問題，對被害人QQ聊天記錄、電子郵件的提取問題等，都存在質證和辯護的空間。

一、本案電子證據的審查與辯護

（一）關于收集、提取電子證據偵查人員的人數

根據2016年9月最高人民法院、最高人民檢察院、公安部《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》（以下簡稱《規定》）第7條，偵查人員在收集、提取電子數據的過程中應當由二名以上進行，且取證的方法應當符合相關技術標準的要求。根據2016年公安部《公安機關執法細則》的規定，計算機犯罪現場電子證據的勘驗、檢查，應當由網絡安全保衛部門專門負責組織實施，并且可以指派或者聘請具有專門知識的人一同參加。

本案中，公安機關立案后現場搜查犯罪嫌疑人的電腦，由一名民警和一名聘用制技術人員對被告人的電腦進行數據提取。根據上述規定，本案搜查現場提取的電子數據屬于瑕疵證據。因為，對于計算機現場勘驗應當由網絡安全保衛部門的民警負責，一般二人以上，必要時聘用專門技術人員。本案當中有一名民警，聘用的技術人員不是真正的偵查人員，沒有偵查執法權。所以，辯護時應當指出這種證據本身是瑕疵證據，由公訴一方進行補正或合理解釋。同時，還應重點審查電子數據提取是否符合技術規范和行業標準。

（二）電子證據的現場勘驗和提取

根據《規定》第8條，在偵查過程中，在能夠扣押電子數據原始存儲介質的情況下，應當扣押原始介質，制作筆錄，記錄封存狀態，同時還應當保證無法增加、刪除、修改存儲在內的電子數據。封存前后對被封存的原始存儲介質應當進行拍照，反映出封口或者張貼封條處的狀況等等要求。

本案中，2016年10月25日公安機關立案后，現場搜查了犯罪嫌疑人的電腦，由一名民警和一名聘用制技術人員對被告人的電腦進行了數據提取。從辯護的角度看，公安機關現場提取電子數據違反程序規定，正確做法是，首先應當扣押、封存犯罪嫌疑人的電腦，同時制作筆錄，然后進行電子數據的檢查、提取、移送，而不能直接現場提取電子證據。根據《規定》第9條，如果現場提取電子數據的，只有在無法扣押原始儲存介質的情況下才能進行，并且在筆錄中要注明不能扣押原始存儲介質的原因、介質的存放地點以及電子數據的來源等情況，并要求計算電子數據的完整性校驗值。

此外，本案還可以從現場勘驗程序的角度對電子證據的收集和提取進行審查和辯護。比如，現場勘驗檢查的程序包括：先要對現場進行保護，在保護的基礎上收集證據，提取、固定容易丟失的數據，之后進行在線分析，最后要提取、固定證物。同時，還要重點審查《現場勘驗檢查工作記錄》，包括《固定電子證據清單》、《封存電子證據清單》、《勘驗檢查照片記錄表》，對于在線分析提取的電子數據應當認真審查《現場勘驗檢查筆錄》，偵查人員實施的提取操作是否對目標系統造成影響。

（三）電子證據的遠程勘驗問題

本案涉及電子證據的遠程勘驗問題。根據《規定》第9條，對于位于境外的原始存儲介質，以及遠程計算機信息系統上的電子數據，還可以通過網絡進行在線的提取。必要的時候，可以進行網絡上的遠程勘驗。但要注意的是，進行網絡遠程勘驗需要采取技術偵查手段的，要履行嚴格的批準手續。公安機關在第一個被害人報案后，考慮到數額及情節難以達到司法解釋規定的立案追訴標準，所以沒有立案，而是先進行了初查。初查過程中，除了調取了被害人的陳述、被害人提供的手機QQ聊天記錄外，還對犯罪嫌疑人的QQ進行了監控。

對于本案而言，審查和辯護時需要考慮以下問題：

1.公安機關進行網絡遠程勘驗提取電子數據的過程中，是否采取了技術性偵查手段，該手段是否經過了相應的審批程序。如果沒有經過嚴格審批程序，涉嫌程序違法。如果嚴重侵犯公民個人權利或者違背司法公正，不得作為定案的根據。

2.在對遠程計算機系統的電子數據進行網絡在線提取時，是否對收集、提取電子證據的完整過程進行了相應的拍照或者錄像；是否備份了制作和封存的電子數據，意見是否對數據完整性的校驗值進行了計算。

3.重點審查《遠程勘驗工作記錄》和屏幕截圖的相關內容。比如，審查遠程勘驗工作筆錄中是否全面記錄了案件的案由、犯罪的對象、記載的內容、收集、提取電子數據的時間、地點、方法以及完整過程等，是否附有相應的電子數據清單，清單中是否載明了電子數據的類別，相應的文件格式以及相關的完整性校驗值等。

（四）電子郵件、QQ聊天記錄的提取和固定

從辯護角度看，本案對被害人的QQ聊天記錄進行截屏并打印照片的做法不妥，因為電子郵件和QQ聊天記錄都屬于電子證據，應當按照電子數據收集和提取的規定進行。對于被害人手機或電腦，不適合進行扣押和封存，只能進行在線提取，應對提取的過程錄音錄像并進行規范筆錄，對電子數據的類別、文件格式等應注明清楚。同時，要計算電子數據完整性的校驗值，一并移送檢察機關和人民法院。

二、電子證據審查和辯護所依據的規范體系

刑事訴訟法對證據進行專門的規定，是電子證據審查與辯護的主要法律依據。除此之外，2016年9月的《規定》中，第一次針對電子數據的收集提取和審查判斷等方面做出了全面、系統的規定。根據《規定》第30條，自2016年10月1日該規定施行起，之前發布的規范性文件如有與其不一致的地方，以該規定為準。因而，這部司法解釋是電子證據審查和質證的最為重要的規范之一。

實際上，針對電子數據調取、審查運用等問題，2005年公安部就發布了《計算機犯罪現場勘驗與電子證據檢查規則》和《公安機關電子數據鑒定規則》，2016年制定了《公安機關執法細則》。2009年最高人民檢察院頒布《電子證據鑒定程序規則（試行）》、《人民檢察院電子證據勘驗程序規則（試行）》。2012年最高人民法院出臺 《關于適用刑事訴訟法若干問題的解釋》（以下簡稱《解釋》）。2014年最高人民法院、最高人民檢察院、公安部曾聯合頒布了《關于辦理網絡犯罪案件適用刑事訴訟程序若干問題的意見》（以下簡稱《意見》）。此外，2010年最高人民法院、最高人民檢察院、公安部、國家安全部司法部聯合發布的 《關于辦理死刑案件審查判斷證據若干問題的規定》以及“兩高”在關于賭博罪、走私罪等適用法律問題相關司法解釋當中對電子證據也有相應的一些規定。

電子證據的技術性規范和行業標準在其審查和質證當中起著十分重要的作用,如果嚴重違反技術規范和標準取得的電子證據，其真實性、科學性難以保障，從而對電子證據的真實性、關聯性和證明力產生重大影響，從而影響案件事實的認定。電子證據的技術標準和規范大致包括以下三個方面：

（一）國家標準

1.GB／T 29360—2012《電子物證數據恢復檢驗規程》

2.GB／T 29361—2012《電子物證文件一致性檢驗規程》

3.GB／T 29362—2012《電子物證數據搜索檢驗規程》

（二）公共安全行業標準

1.GA／T 754—2008《電子數據存儲介質復制工具要求及檢測方法》

2.GA／T 755—2008《電子數據存儲介質寫保護設備檢測方法》

3.GA／T 756—2008《數字化設備證據數據發現提取固定方法》

4.GA／T 757—2008《程序功能檢驗方法》

5.GA／T 825—2009《電子物證數據搜索檢驗技術規范》

6.GA／T 826—2009《電子物證數據恢復檢驗技術規范》

7.GA／T 827—2009《電子物證文件一致性檢驗技術規范》

8.GA／T 828—2009《電子物證軟件功能檢驗技術規范》

9.GA／T 829—2009《電子物證軟件一致性檢驗技術規范》

10.GA／T 976—2012《電子數據法庭科學鑒定通用方法》

l1.GA／T 977—2012《取證與鑒定文書電子簽名》

12.GA／T 978—2012《網絡游戲私服檢驗技術方法》

13.GA／T 1069—2013《法庭科學電子物證手機檢驗技術規范》

14.GA／T 1070—2013《法庭科學計算機開關機時間檢驗技術規范》

15.GA／T 1071—2013《法庭科學電子物證 Windows操作系統日志檢驗技術規范》

16.GA／T 1770—2014《移動終端取證檢驗方法》

17.GA／T 1771—2014《芯片相似性比對檢驗方法》

18.GA／T 1772—2014《電子郵件檢驗技術方法》

19.GA／T 1773—2014《即時通訊記錄檢驗技術方法》

20.GA／T 1774—2014《電子證據數據現場獲取通用方法》

21.GA／T 1775—2014《軟件相似性檢驗技術方法》

22.GA／T 1776—2014《網頁瀏覽器歷史數據檢驗技術方法》

（三）司法鑒定技術規范

1.SF／ZJD0400001—2014《電子數據司法鑒定通用實施規范》

2.SF／ZJD0401001—2014《電子數據復制設備鑒定實施規范》

3.SF／ZJD0402001—2014《電子郵件鑒定實施規范》

4.SF／Z JD0403001—2014《軟件相似性檢驗實施規范》

三、電子證據審查和辯護的重點內容

（一）真實性

電子證據是借助于現代數字化的電子信息技術及其設備存儲，以相應信息的存儲、處理、輸入及輸出用以證明案件事實的一種證據形式，這其中，不僅包括計算機程序、信息的處理，也包括一些專門技術設備檢測到的信息。電子證據為數字化電磁記錄，本質上屬于一種電子信息，其具有脆弱性、隱蔽性等特點，容易被刪除、篡改，且難以被發現，因此電子證據審查和質證的重點是其真實性。電子證據的真實性的審查包括客觀性、完整性和科學性三個方面。

1.客觀性。根據《規定》第22條，對電子數據的真實性應從以下幾個方面著重審查：首先，移送的是否是原始的存儲介質，并且在原始存儲介質因為特殊原因無法移送的情況下，是否附有未移送的說明，說明中是否寫明了收集、提取電子數據的過程，以及原始存儲介質未移送的存放地點、電子數據的來源等情況；其次，對電子數據的數字簽名、數字證書等特殊標識是否予以說明；第三，是否可以重現電子數據的收集、提取過程；第四，是否存在增加、刪除或者修改電子數據的情形，如果有，是否附有相應的說明；第五，一定要求保證電子數據的完整性。

辯護律師審查電子證據的客觀性，主要審查電子數據的來源是否真實可靠，是否保存儲存介質，數字簽名、數字證書等特殊標識是否予以說明，其中數字簽名是一個數據值，它代表的是利用某種一定的算法對電子數據進行計算，通過計算得出的數值，該數值可以用于驗證電子數據的來源、電子數據的完整性，而數字證書則是一個電子文件，它代表的是包含數字簽名，并對電子數據的來源、電子數據的完整性進行電子認證的一種電子文件，它們是電子證據真實性的可靠保證。此外，客觀性的審查還需要審查電子證據的收集和提取過程是否可以重現，即電子證據關鍵性的取證環節和步驟的“錄像”和“照相”是否反映和體現證據收集的全貌和重點。

2.完整性。根據《規定》第23條，應當根據保護電子數據完整性的相應方法對電子數據是否完整進行相應的驗證：首先，要對原始存儲介質的扣押、封存狀態進行審查；其次，以通過查看錄像，要對電子數據的收集、提取過程進行審查；第三，對電子數據完整性的校驗值進行比對；第四，將電子數據和已經備份的電子數據進行比較；第五，對凍結后的訪問操作日志進行必要的審查；第六，其他兜底的方法。

電子證據的完整性既是其真實性、客觀性的體現，同時，也對電子證據的關聯性產生重大影響。比如，通過審查電子證據的訪問操作日志，就可以了解到電子數據是否存在被增加、刪除或者修改的情況，這是因為計算機信息系統會對電子數據的訪問和操作情況進行自動的詳細記錄。另外，通過審查電子數據的完整校驗值，或者通過比對備份電子數據，可以知曉在案的電子數據是否完整，是否客觀真實。

3.科學性。《規定》第24條第1項規定，應當著重審查電子數據的收集方法是否符合相關的技術標準。該條規定對辯護律師審查電子數據提出了明確的要求，也指明了審查的方向和重點。根據上述規定，辯護律師可以通過以下兩種方法來進行審查：首先，辯護律師要熟悉電子數據的相關規定、技術標準，并且在熟悉的基礎上，進一步達到精通和熟知的程度；其次，可以通過借助有專門知識的人來審查電子數據，甚至可以聘請專家輔助證人。但從實踐來看，多數辯護律師要采取后一種方式審查電子證據收集、提取的科學性。

需要重點說明的是，電子數據的真實性、關聯性，與電子證據收集過程中對相關技術標準的遵循與否有直接關聯。如果在收集過程中不遵循相關技術標準，可能就會對其中蘊含的相關案件信息產生破壞，從而影響電子數據的完整性、真實性。此外，偵查機關在收集電子證據時，也應當全面收集與案件有關的電子證據，辯護律師在審查案件過程中，應當根據具體案件，充分了解涉案行為中可能涉及的電子證據的種類和過程，根據卷宗材料查詢，并及時向行為人進行核實，唯如此，才能最大程度地維護被告人的合法權益。

（二）合法性

電子證據的合法性，是指電子證據收集、固定及移送必須在主體、形式和程序方法上符合有關法律的規定。合法收集的電子證據才具有證據能力，才能作為定案的根據。電子證據相對于傳統證據，具有特殊性，因此對于電子證據的收集，在程序和方法上亦有不同于傳統證據的特殊要求。刑事訴訟中，對電子證據合法性的審查主要體現在取證主體是否合法，取證程序是否合規兩個方面。

1.電子證據的取證主體。根據我國《刑事訴訟法》第50條規定，作為證據收集主體的司法人員，包括審判人員、檢察人員和偵查人員，在搜集證據過程中，必須依照法定程序全面收集能夠證實犯罪嫌疑人、被告人是否有罪、犯罪情節輕重的各種證據。

然而，根據2014年“兩高一部”頒布的《意見》第13條規定，收集、提取電子證據，應當由具備專業知識的偵查人員進行，并要求取證設備和過程應當符合技術標準，保證所收集、提取的證據的完整性和客觀性。根據上述規定，電子證據的收集、提取的主體是具備專業知識的偵查人員。根據《規定》第7條，收集、提取電子證據，要由二名以上偵查人員進行。并且取證的方法還應當符合相關技術標準。該規定與意見相比，對取證主體的要求又有一定不同，取消了 “具備相關專業知識”的標準，但同樣要求電子證據的取證方法必須符合相關技術標準。

從辯護的角度看，雖然《規定》沒有要求取證主體必須具備相關專業知識，但是，對電子證據取證的方法并沒有降低要求，必須符合電子證據的技術標準。所以，當偵查人員不具備專門知識的情況下，從電子證據的取證方法和是否符合技術標準方面，聘請專家輔助證人對電子證據進行質證，能夠取得較好的質證和辯護效果。

2．電子證據的取證程序。關于電子證據的取證程序，包括一般性的收集提取程序，現場或遠程勘驗程序，電子證據扣押、封存、凍結和檢查程序，電子證據的移送和展示程序等等，相關司法解釋對這些程序都有具體的規定。

辯護律師對取證程序合法的審查和辯護，是對電子證據是否具備證據能力、能否作為定案的根據的判斷，應當對以下內容進行重點審查：首先，是否是二名以上偵查人員對電子數據進行收集和提取，偵查人員的取證方法必須符合相關的技術標準；其次，在收集、提取過程中，是否附有相應的筆錄、清單，并經偵查人員、電子數據的持有人或者提供人、提取過程的見證人進行簽名或者蓋章；第三，如果沒有相應筆錄沒有持有人或者提供人簽名或者蓋章，是什么原因應當進行說明；第四，電子數據的類別、文件格式應當予以清晰的注明；第五，見證人的人選應當符合法律規定；第六，是否對相關提取過程進行了現場照相、錄像；第七，是否將電子數據存儲介質通過寫保護設備接入到檢查設備；第八，具備條件的，是否還制作了電子數據備份，備份是否經過檢查；第九，無法制作備份且無法使用寫保護設備的，是否附有相應的錄像。

對于電子證據的審查和辯護，根據不同情況，做出如下處理：首先，對于電子數據的收集、提取程序有程序性瑕疵的，根據法律規定，可以予以補正或者作出合理解釋，在此情況下，相關證據可以予以采信；如果不能補正或者作出合理解釋，相關證據則不得作為定案的根據；其次，對于電子證據的收集、提取過程嚴重違法的，相關的電子證據不得作為定案的根據，比如，電子數據在提取、存儲過程中遭到篡改、偽造以及無法確定真偽的情況；或者電子數據有增加、刪除等情況，該情形不再僅僅屬于程序性瑕疵，而直接影響到電子數據真實性，則不得作為定案的根據。

（三）關聯性

證據的關聯性，是指證據所證明的事實與案件事實之間是否存在聯系，即證據證明的事實能夠證明案件事實。

電子證據不同于一般證據，區別在于，在使用電子證據證明案件事實時，除了電子證據的載體與案件事實關聯外，載體所記載的內容也必須與案件事實關聯，載體關聯和內容關聯二者缺一不可。其中，內容關聯指電子證據記載的數據信息同案件事實之間存在一定的關聯；載體關聯指用于記載電子證據的載體同案件事實之間亦存在一定的關聯。內容關聯決定案件事實存在或者不存在，載體關聯決定電子證據本身同案件事實有沒有關系。前者屬于一種經驗上的關聯，后者屬于法律上的一種關聯。前者等同于對傳統證據提出的一致要求，后者體現出對電子證據關聯性的特殊要求;前者主要涉及物理空間，即判斷電子證據的內容是否對證明物理空間的案件事實產生了實質性影響，后者則主要涉及虛擬空間，即借助電子證據的形式確立虛擬空間的案件事實并搭建兩個空間的對應關系。［1］

因此，對于電子證據關聯性的審查和辯護，既要考慮電子證據自身內容與案件事實的關聯性及其程度，還要考慮犯罪嫌疑人、被告人網絡身份與現實身份之間對應關系是否具有唯一性。前者偏重于電子證據證明力大小，后者偏重于電子證據的形成是否由犯罪嫌疑人或被告人所為。“電子證據必須既能夠從內容上影響對案件事實的認定，同時能夠從載體上證明虛擬空間的身份、行為、介質、時間、地址同物理空間的當事人或其他訴訟參與人具有某種聯系。電子證據的關聯性，就是連接兩個空間、使之貫通并形成對應關系的重要紐帶。其中，載體關聯性是電子證據關聯性的核心。 ”［2］

審查犯罪嫌疑人、被告人在網絡上使用的身份與本人是否系同一人，應當通過技術手段，如審查網絡IP地址、活動記錄、上網終端歸屬進行判斷，同時還應當結合證人證言、犯罪嫌疑人、被告人供述和辯解等言詞證據綜合予以判斷，從而使電子證據與人的關聯性、事的關聯性、物的關聯性、時的關聯性和空間的關聯性對應并保持一致。否則，如果出現矛盾且難以解釋，可以從電子證據關聯性的角度進行辯護，從而動搖法官對案件事實的認定。

（四）證明力

所謂證明力，即證據力，是指證據證明的待證事實存在大小的狀態與強弱的程度。所謂電子證據的證明力，就是指電子數據本身或者電子數據與案件中其他證據一起能否證明待證事實以及在多大程度上能夠證明待證事實，其實質是電子證據的可靠程度如何以及與待證事實的關聯程度如何。

關于證據證明力的大小，其實質是司法人員的經驗判斷問題，一般不應規定在法律和司法解釋當中。但由于我國處于新法定主義證據時代［3］，現行的司法解釋有關于證明力的一些規定，比如2010年“兩高三部”《關于辦理死刑案件審查判斷證據若干問題的規定》和《關于辦理刑事案件排除非法證據若干問題的規定》，以及各省高級人民法院的一些規范性解釋等都有關于證明力的一些規定，這是一個方面。另一方面，電子證據具有其特殊性，即電子證據的真實性、合法性、關聯性有時是相互交叉的。司法實踐當中，既有從關聯性角度印證真實性，也有從真實性的角度否定關聯性，甚至從合法性角度來否定證據的真實性，其在司法判斷中上述界限并不涇渭分明。所以，有學者提出應當從電子證據形式和內容的完整性方面來考察證明力的大小，并且認為可靠性也是衡量電子證據證明力大小的一個重要指標。基于此，我們認為，從辯護實務的角度看，應當將電子證據的證明力作為專門的一個部分進行審查和辯護，即在電子證據具備真實性、合法性和關聯性的前提下，根據掌握的專門的電子技術知識和司法經驗針對證明力問題進行專門辯護，因為證明力的大小對準確認定案件事實具有十分重要的意義。

注釋：

［1］參見劉品新：《電子證據的關聯性》，載《法學研究》2016年第6期。

［2］同［1］。

［3］參見陳瑞華：《以限制證據證明力為核心的新法定證據主義》，載《法學研究》2016年第6期。

*北京市雨仁律師事務所合伙人、刑事合規部主任，法學博士［100045］