《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》理解与适用

在征求意见过程中，全国人大常委会法制工作委员会认为，根据2012年12月发布的《最高人民法院关于适用＜中华人民共和国＞的解释》（以下简称《解释》）第六十五条的规定，只要依法进行初查，其间收集提取的电子数据即可在刑事诉讼中作为证据使用。事实上，公安机关在立案前开展的初查活动属于行政机关的行政执法和查办案件活动，因此在初查过程中收集的物证、书证、视听资料、电子数据等证据材料，在刑事诉讼中可以作为证据使用；经法庭查证属实，且收集程序符合有关法律、行政法规规定的，可以作为定案的根据。如果初查阶段收集的电子数据不能在刑事诉讼中作为证据使用，要求侦查机关（部门）在立案后重新收集，会在很大程度上增加侦查机关（部门）的负担，并且，由于电子数据具有易丢失、易篡改、不稳定的特点，如不及时收集、提取和固定，事后很难再重新收集。为此，《规定》第六条专门规定，初查过程中收集、提取的电子证据，可以作为证据使用。

（一）对取员和取证方法的要求。关于电子数据取证人员，根据刑事诉讼法第一百二十六条的规定，侦查人员进行勘验或者检查，在必要的时候，可以指派或者聘请具有专门知识的人，在侦查人员的主持下进行勘验、检查。按照上述规定，在勘验、检查现场收集、提取电子数据时，可以在侦查人员的主持下指派或者聘请具有专门知识的人参与，这能够在一定程度上弥补侦查人员自身专业知识的不足。事实上，只要取证过程符合法定程序和相关技术规范，能够保证收集、提取的电子数据的真实性、完整性即可，没有必要在侦查人员是否具备专业知识的问题上作硬性要求。有鉴于此，《规定》删去了“具备相关专业知识”的内容。关于电子数据取证方法，2014年最高人民法院、最高人民检察院、公安部联合发布的《关于办理案件适用刑事诉讼程序若干问题的意见》（以下简称《意见》）规定：“取证设备和过程应当符合相关技术标准，并保证所收集、提取的电子数据的完整性、客观性。”但是，随着科技进步，取证设备的更新速度很快，相关技术标准很难跟得上取证设备的发展。在一些高科技犯罪案件的侦办过程中，甚至没有现成的取证设备，侦查人员只能自行开发取证工具。在这种情况下，如果以新式取证设备或者侦查人员自己开发的工具没有相关技术标准为由而将收集、提取的电子数据予以排除，显然不合适。因此，《规定》没有对取证设备的技术标准作出要求，仅要求取证方法应当符合相关技术标准。实践中，对相关取证设备有疑问，可以通过出具说明、侦查实验、程序功能检验或鉴定予以验证。

（二）扣押电子数据原始存储介质。针对实践中办案机关对电子数据原始存储介质的封存有不规范的问题，《规定》要求，封存电子数据原始存储介质，应当保证在不解除封存状态的情况下，无法增加、删除、修改电子数据。封存前后应当拍摄被封存原始存储介质的照片，清晰反映封口或者张贴封条处的状况。封存手机等具有无线通信功能的存储介质，应当采取信号屏蔽、信号阻断或者切断电源等措施。

（三）直接提取电子数据和通过网络在线提取电子数据。随着互联网的发展，电子数据与网络的关系越来越密切，提取电子数据可不受空间的限制，并能够保证电子数据的真实性和完整性，司法实践中，通过网络在线提取电子数据已经成为重要的侦查取证方式。在《规定》征求意见过程中，基层侦查实务部门强烈建议明确通过网络在线提取的电子数据的证据效力。全国人大常委会法制工作委员会也认为，对于通过网络在线提取的电子数据，只要取证过程能够保证电子数据的真实性、完整性，可以作为证据使用。为此，《规定》第六条明确了网络在线提取电子数据的证据效力，第九条第二款规定：“对于原始存储介质位于境外或者远程计算机信息系统上的电子数据，可以通过网络在线提取。”我们认为，对于原始存储介质位于异地，或者原始存储介质虽然位于本地，但案件尚在初查过程中，侦查人员不便进入现场、不及时提取电子数据可能造成证据灭失，且相关电子数据能够通过网络在线提取的，属于该款规定的“远程计算机信息系统上的电子数据”，可以通过网络在线提取。

（四）网络远程勘验和技术侦查措施。《规定》第九条第三款规定：“为进一步查明有关情况，必要时，可以对远程计算机信息系统进行网络远程勘验。进行网络远程勘验，需要采取技术侦查措施的，应当依法经过严格的批准手续。”以往司法实践中没有明确区分网络在线提取电子数据和网络远程勘验的概念，一般统称为远程勘验。二者都是通过网络进行操作，最终的目的也都是提取电子数据，区别在于，网络在线提取，只是通过网络公共空间对网页、网上视频、网盘文件上的电子数据进行提取，可以理解为从网上下载文件。而网络远程勘验，则是通过网络对远程计算机信息系统实施勘验，发现、提取与犯罪有关的电子数据，记录计算机信息系统状态，判断案件性质，分析犯罪过程，确定侦查方向和范围，为侦破案件、刑事诉讼提供线索和证据的侦查活动。由于一些技术侦查措施也能够通过网络完成，因此，利用计算机网络实施的技术侦查措施和网络远程勘验可能存在交叉。对于二者的界限，目前认识尚不统一，《规定》未予以明确，有待进一步研究。

（五）采取打印、拍照或者录像等方式固定证据。《意见》明确了收集、提取电子数据应当以扣押原始存储介质为原则，以直接提取电子数据为例外。《规定》重申了这一原则。但是，我们注意到，实践中存在既无法扣押、封存原始存储介质，又不能提取电子数据的情况。例如，目前市场上流行的一些即时通信软件（如“支付宝”“钉钉”等）开发了“阅后即焚”功能，开启这种通信模式后，用户在点击阅读信息后5秒左右该信息即被自动删除，并且常常采用覆盖删除的方式，难以恢复，这就需要在极短的时间内迅速将电子数据固定下来，否则相关证据将灭失，即使扣押、封存手机也无法恢复数据。还有船舶的导航系统等部分工控系统，只有操作界面，没有接口可以导出数据，侦查机关（部门）不可能将整个船舶或者大型系统扣押，因此，既有的取证规则明显不能适应现实需要。基于上述考虑，《规定》第十条规定：“由于客观原因无法或者不宜依据第八条、第九条的规定收集、提取电子数据的，可以采取打印、拍照或者录像等方式固定相关证据，并在笔录中说明原因。”需要注意的是，打印、拍照、录像等方式只能在无法扣押、封存原始存储介质，又不能提取电子数据的情况下使用，并在笔录中注明原因。

（六）冻结电子数据。随着云计算、大数据等信息技术的发展，越来越多的电子数据存储在云系统中，无法扣押原始存储介质，直接提取海量电子数据的难度非常大，不仅耗时、费力、低效，难以保证提取过程中电子数据不会被篡改和灭失，并且在提取后不便展示，这给侦查取证带来很大困扰。

为了解决上述问题，《规定》第十一条、第十二条创设性地规定了冻结电子数据的证据保全措施，明确了在四种情形下，经县级以上公安机关负责人或者检察长批准，可以要求电子数据持有人、网络服务提供者或者有关部门协助侦查机关（部门）对数据进行冻结：一是数据量大，无法或者不便提取的；二是提取时间长，可能造成电子数据被篡改或者灭失的；三是通过网络应用可以更为直观地展示电子数据的；四是其他需要冻结的情形。冻结电子数据的目的是在一定时间内（通常是诉讼期间内）使电子数据不被增加、删除或者修改，甚至不能被未经授权的人员查看。冻结电子数据的方法应当采取以下一种或者几种方法：一是计算电子数据的完整性校验值；二是锁定网络应用账号，如设置相应的访问控制权限；三是其他防止增加、删除、修改电子数据的措施。实践中，大部分网络服务提供商已经面向用户开展冻结服务，并且具备了内部的技术操作规范，能够保证在技术上安全可行。另外，公安部也正在就冻结的具体技术问题制定相应行业标准。关于冻结电子数据的展示问题，按照《规定》的要求，侦查机关（部门）应当要求网络服务提供者提供查看工具以及查看方法的说明。实践中，还可以请有专门知识的人协助进行展示。关于冻结和解除冻结电子数据的程序，《规定》明确，冻结电子数据应当制作协助冻结通知书，注明冻结电子数据的网络应用账号等信息，送交电子数据持有人、网络服务提供者或者有关部门协助办理。解除冻结的，应当在三日内制作协助解除冻结通知书，送交电子数据持有人、网络服务提供者或者有关部门协助办理。

此外，《规定》对调取电子数据，收集、提取电子数据的程序要求，对见证人的要求，电子数据检查和侦查实验进行了详细规定。《规定》还明确了电子数据的鉴定与检验、电子数据的移送与展示规则以及电子数据的审查与判断。（作者为最高人民检察院法律政策研究室主任万春，最高人民检察院法律政策研究室王建平、吴孟栓、高翼飞）