電子數(shù)據(jù)的內(nèi)容豐富，表現(xiàn)形式多樣。根據(jù)《人民檢察院辦理網(wǎng)絡(luò)犯罪案件規(guī)定》第27條規(guī)定，電子數(shù)據(jù)是以數(shù)字化形式存儲(chǔ)、處理、傳輸?shù)模軌蜃C明案件事實(shí)的數(shù)據(jù)，主要有七種表現(xiàn)形式：

• 網(wǎng)頁、社交平臺、論壇等網(wǎng)絡(luò)平臺發(fā)布的信息；

• 手機(jī)短信、電子郵件、即時(shí)通信、通訊群組等網(wǎng)絡(luò)通訊信息；

• 用戶注冊信息、身份認(rèn)證信息、數(shù)字簽名、生物識別信息等用戶身份信息；

• 電子交易記錄、通信記錄、瀏覽記錄、操作記錄、程序安裝、運(yùn)行、刪除記錄等用戶行為信息；

• 惡意程序、工具軟件、網(wǎng)站源代碼、運(yùn)行腳本等行為工具信息；

• 系統(tǒng)日志、應(yīng)用程序日志、安全日志、數(shù)據(jù)庫日志等系統(tǒng)運(yùn)行信息；

• 文檔、圖片、音頻、視頻、數(shù)字證書、數(shù)據(jù)庫文件等電子文件及其創(chuàng)建時(shí)間、訪問時(shí)間、修改時(shí)間、大小等文件附屬信息。

從上述電子數(shù)據(jù)的定義與表現(xiàn)形式，不難總結(jié)其證據(jù)特征有以下：

1. 科技性。電子數(shù)據(jù)的生產(chǎn)、傳輸、存儲(chǔ)和讀取等環(huán)節(jié)，借助現(xiàn)代信息技術(shù)。存儲(chǔ)介質(zhì)、通信網(wǎng)絡(luò)、編程、軟件、取證技術(shù)、硬件與軟件，因此，我們要學(xué)習(xí)計(jì)算機(jī)、通信網(wǎng)絡(luò)方面的知識，以更好的研究電子數(shù)據(jù)。

2. 海量性。形式多樣，電子數(shù)據(jù)的上述七大表現(xiàn)形式，存儲(chǔ)介質(zhì)多樣性，U盤、硬盤等，容量超大。經(jīng)常遇到經(jīng)濟(jì)類犯罪案件，數(shù)據(jù)光盤10G，甚至幾百個(gè)G的。如何在海量的數(shù)據(jù)篩查出定案證據(jù)，需要掌握智能取證技術(shù)與方法，方能游刃有余。

3. 留痕性。在計(jì)算機(jī)上的任何操作均有痕跡，即使通過篡改、刪除等，可以通過技術(shù)恢復(fù)，也體現(xiàn)了電子數(shù)據(jù)的穩(wěn)定性與可恢復(fù)性，具備實(shí)物證據(jù)、客觀證據(jù)屬性，其證明力較強(qiáng)的體現(xiàn)，喻稱新時(shí)代的“證據(jù)之王”。專業(yè)人員在檢查數(shù)據(jù)時(shí)，操作過程應(yīng)全程留痕，具有可回放性。

因此，我們的審查證據(jù)時(shí)，不能僅停留在紙質(zhì)案卷材料，還要研究光盤中的電子數(shù)據(jù)，從而做到全面閱卷。

(一) 合法性

合法性是指證據(jù)的取證主體、形式及程序或者提取方法符合法律規(guī)定。

1. 取證主體。根據(jù)2016年《兩高一部關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》第七條規(guī)定，收集、提取電子數(shù)據(jù)，應(yīng)當(dāng)由二名以上偵查人員進(jìn)行。取證方法應(yīng)當(dāng)符合相關(guān)技術(shù)標(biāo)準(zhǔn)。由于電子數(shù)據(jù)的提取具有較強(qiáng)的專業(yè)性，通常需要專業(yè)的偵查人員提取，或者在偵查人員的主持下，由電子數(shù)據(jù)取證專業(yè)人員如計(jì)算機(jī)專家、第三方機(jī)構(gòu)提取。要注意審查取證人員的專業(yè)資質(zhì)、從業(yè)經(jīng)驗(yàn)，判斷取證主體的適格性。實(shí)務(wù)中，網(wǎng)安大隊(duì)民警的取證能力較為專業(yè)，其他的警種相對不足。

2. 取證手續(xù)。對于常規(guī)現(xiàn)場勘驗(yàn)、檢查過程中發(fā)現(xiàn)的電子數(shù)據(jù)，偵查人員應(yīng)當(dāng)持有《刑事犯罪現(xiàn)場勘驗(yàn)證》；在搜查過程發(fā)現(xiàn)的電子數(shù)據(jù)，應(yīng)當(dāng)向被搜查人出示《搜查證》；進(jìn)行網(wǎng)絡(luò)遠(yuǎn)程勘驗(yàn)時(shí)，需要采取技術(shù)偵查措施的，應(yīng)在立案后依法經(jīng)過嚴(yán)格審批，相關(guān)手續(xù)隨案移送；向相關(guān)個(gè)人或單位調(diào)取電子數(shù)據(jù)的，應(yīng)當(dāng)依法制作《調(diào)取證據(jù)通知書》。

3. 收集、提取筆錄。現(xiàn)場提取電子數(shù)據(jù)應(yīng)當(dāng)制作《電子數(shù)據(jù)現(xiàn)場提取筆錄》。注明申子數(shù)據(jù)的來源、事由和目的、對象、提取電子數(shù)據(jù)的時(shí)間、地點(diǎn)、方法、過程、不能扣押原始存儲(chǔ)介質(zhì)的原因、原始存儲(chǔ)介質(zhì)的存放地點(diǎn)，并附《電子數(shù)據(jù)提取固定清單》。該清單應(yīng)注明類別、文件格式、完整性校驗(yàn)值等內(nèi)容，由偵（調(diào)）查人員、電子數(shù)據(jù)持有人（提供人）簽名或者蓋章。電子數(shù)據(jù)持有人（提供人）無法簽名或者拒絕簽名的，偵（調(diào)）查人員應(yīng)當(dāng)在筆錄中注明，由見證人簽名或者蓋章。應(yīng)當(dāng)將收集、提取筆錄與流轉(zhuǎn)、保管清單、現(xiàn)場勘驗(yàn)錄音錄像等材料一并審查，確保初始提取—流轉(zhuǎn)保管法庭出示各個(gè)環(huán)節(jié)的證據(jù)一致性，且無滅損。如有損，應(yīng)由偵（調(diào)）查機(jī)關(guān)、檢察機(jī)關(guān)作出合理解釋。

4. 檢查程序與方法。電子數(shù)據(jù)檢查，應(yīng)當(dāng)對電子數(shù)據(jù)存儲(chǔ)介質(zhì)拆封過程進(jìn)行錄像，并將電子數(shù)據(jù)存儲(chǔ)介質(zhì)通過寫保護(hù)設(shè)備接入到檢查設(shè)備進(jìn)行檢查；有條件的，應(yīng)當(dāng)制作電子數(shù)據(jù)備份，對備份進(jìn)行檢查；無法使用寫保護(hù)設(shè)備且無法制作備份的，應(yīng)當(dāng)注明原因，并對相關(guān)活動(dòng)進(jìn)行錄像。

關(guān)于電子證據(jù)的提取、固定、檢查等除了應(yīng)當(dāng)符合2015年《計(jì)算機(jī)犯罪現(xiàn)場勘驗(yàn)與電子證據(jù)檢查規(guī)則》、2016年《兩高一部辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》、2019年《公安機(jī)關(guān)電子數(shù)據(jù)取證規(guī)則》、2021年《人民檢察院辦理網(wǎng)絡(luò)犯罪案件規(guī)定》以及《刑事訴訟法司法解釋》等法律規(guī)定外，還應(yīng)遵守相關(guān)國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)。（1）國家標(biāo)準(zhǔn)（4個(gè)），如GB/T29360-2012《電子物證數(shù)據(jù)恢復(fù)檢驗(yàn)規(guī)程》，（2）公共安全行業(yè)標(biāo)準(zhǔn)（35個(gè)），如GA/T1770-2014《移動(dòng)終端取證檢驗(yàn)方法》（3）司法鑒定技術(shù)規(guī)范（17個(gè)），如SF/Z JD0400001-2014《電子數(shù)據(jù)司法鑒定通用實(shí)施規(guī)范》。

5. 其他方式獲取的證據(jù)是否合法？通信、網(wǎng)絡(luò)技術(shù)日益發(fā)達(dá)，相關(guān)訴訟參與人可以自行收集視聽資料、電子數(shù)據(jù)。例如，某尋釁滋事案中，證人用自己的手機(jī)拍下案發(fā)經(jīng)過；某敲詐勒索案中，被害人偷錄案發(fā)經(jīng)過。對于案外人或被害人未經(jīng)被告人/犯罪嫌疑人同意或是在被告人/犯罪嫌疑人不知情時(shí)收集的電子數(shù)據(jù)、視聽資料是否可以作為定案證據(jù)的問題，筆者認(rèn)為應(yīng)當(dāng)視情況而定。例如，目擊證人自行拍攝的完整客觀無修改、刪減的視頻，不能因?yàn)槭窃诜缸锵右扇瞬恢榈那闆r下錄制而被排除適用。

如果以違背公序良俗、誘導(dǎo)等方式私自收集的證據(jù)，該類證據(jù)則不得作為定案證據(jù)。

6. 采用技術(shù)偵查措施的審批程序。采取技術(shù)調(diào)查、偵查措施收集、提取電子數(shù)據(jù)的，應(yīng)當(dāng)在立案后經(jīng)過設(shè)區(qū)的市一級以上公安機(jī)關(guān)負(fù)責(zé)人批準(zhǔn)手續(xù)，并由設(shè)區(qū)的市一級以上公安機(jī)關(guān)技偵部門實(shí)施。具體詳見《公安規(guī)定》第263-273條

(二) 真實(shí)性：鑒真規(guī)則，物證保管鏈條完整性

1. 電子數(shù)據(jù)真實(shí)性的要素。關(guān)于電子數(shù)據(jù)的來源、形式、制作過程及設(shè)備情況等是否正常且無被修改破壞的情況，需著重審查以下內(nèi)容：是否移送原始存儲(chǔ)介質(zhì)；在原始存儲(chǔ)介質(zhì)無法封存、不便移送時(shí)，有無說明原因，并注明收集、提取過程及原始存儲(chǔ)介質(zhì)的存放地點(diǎn)或者電子數(shù)據(jù)的來源等情況；電子數(shù)據(jù)是否具有數(shù)字簽名、數(shù)字證書等特殊標(biāo)識；電子數(shù)據(jù)的收集、提取過程是否可以重現(xiàn)；電子數(shù)據(jù)如有增加、刪除、修改等情形的，是否附有說明；電子數(shù)據(jù)的完整性是否可以保證。

以上總結(jié)為：原物原件法、環(huán)節(jié)審查法（數(shù)據(jù)生成、存儲(chǔ)、傳送、收集、固定）、過程重現(xiàn)法。

電子數(shù)據(jù)的原始性、完整性就是認(rèn)定同一性的重要方式，審查電子數(shù)據(jù)原始性與完整性目的是確定電子數(shù)據(jù)的同一性。通俗說，計(jì)算機(jī)存儲(chǔ)的電子數(shù)據(jù)信息與法庭上展示的是一樣的，與傳統(tǒng)物證的鑒真原理是一致的。

實(shí)務(wù)中，公安人員直接采取打印、拍照方式固定手機(jī)內(nèi)的聊天記錄、轉(zhuǎn)賬記錄。違反取證規(guī)定，《公安電子取證規(guī)定》第八條，無法扣押原始存儲(chǔ)介質(zhì)并且無法提取電子數(shù)據(jù)的，才可以采取打印、拍照或者錄像等方式固定相關(guān)證據(jù)。

2. 電子數(shù)據(jù)的完整性。對電子數(shù)據(jù)是否完整，應(yīng)當(dāng)根據(jù)保護(hù)電子數(shù)據(jù)完整性的相應(yīng)方法進(jìn)行驗(yàn)證：審查原始存儲(chǔ)介質(zhì)的扣押、封存狀態(tài)；審查電子數(shù)據(jù)的收集、提取過程，查看錄像；比對電子數(shù)據(jù)完整性校驗(yàn)值（MD5，前后兩次）；與備份的電子數(shù)據(jù)進(jìn)行比較；審查凍結(jié)后的訪問操作日志。

3. 電子數(shù)據(jù)的損耗。電子數(shù)據(jù)存于特定的物質(zhì)媒介之中，如硬盤或磁盤之中。為了便于觀察，需要將電子數(shù)據(jù)轉(zhuǎn)化為能夠解釋的形式，如文本、錄音或錄像等。電子數(shù)據(jù)的析取過程中可能產(chǎn)生損耗。從硬盤收集電子數(shù)據(jù)的許多工具都存在程序錯(cuò)誤，導(dǎo)致只能復(fù)制部分?jǐn)?shù)據(jù)或者析取結(jié)果存在錯(cuò)誤。因此，為確保電子數(shù)據(jù)對原始數(shù)據(jù)的精確復(fù)制，應(yīng)當(dāng)提交原始數(shù)據(jù)，以便在電子數(shù)據(jù)發(fā)生損耗時(shí)核對原始數(shù)據(jù)。

4. 電子數(shù)據(jù)內(nèi)容的真實(shí)。認(rèn)定電子數(shù)據(jù)內(nèi)容真實(shí)性主要有五種方法，即自認(rèn)法、推定法（所生成的電子數(shù)據(jù)的計(jì)算機(jī)及軟硬件系統(tǒng)正常）、專家證人具結(jié)法、司法鑒定法、電子簽名法。通過上述任一方法檢驗(yàn)，可認(rèn)定該電子數(shù)據(jù)經(jīng)過了鑒定，視為電子數(shù)據(jù)具有真實(shí)性。

案例5：快播案中，4臺服務(wù)器保管鏈條斷裂，證據(jù)真實(shí)性存疑。北京市海淀區(qū)人民法院審理后認(rèn)為，在案證據(jù)顯示，海淀區(qū)文化委員會(huì)針對侵犯著作權(quán)違法活動(dòng)進(jìn)行行政執(zhí)法檢查時(shí)，于2013年11月18日從光通公司扣押了涉案4臺服務(wù)器，隨即移交給北京市版權(quán)局進(jìn)行著作權(quán)鑒定。2014年4月10日，海淀公安分局依法調(diào)取了該4臺服務(wù)器，隨即移交給北京市公安局治安管理總隊(duì)進(jìn)行淫穢物品審驗(yàn)鑒定。在該4臺服務(wù)器的扣押、移交、鑒定過程中，執(zhí)法機(jī)關(guān)只登記了服務(wù)器接入互聯(lián)網(wǎng)的IP地址，沒有記載服務(wù)器的其他特征，而公安機(jī)關(guān)的淫穢物品審驗(yàn)鑒定人員錯(cuò)誤地記載了硬盤的數(shù)量和容量。由于接入互聯(lián)網(wǎng)的IP地址不能充分證明服務(wù)器與快播公司的關(guān)聯(lián)關(guān)系，前后鑒定意見所記載的服務(wù)器的硬盤數(shù)量和容量存在矛盾，讓人對現(xiàn)有存儲(chǔ)淫穢視頻的服務(wù)器是否為原始扣押的服務(wù)器、是否由快播公司實(shí)際控制使用產(chǎn)生合理懷疑。

案例6：吳某某等人網(wǎng)絡(luò)詐騙案。電子數(shù)據(jù)現(xiàn)場提取筆錄顯示：打開犯罪嫌疑人吳某某使用的工作電腦中保存的聊天話術(shù)，在電腦中提取docx文檔12個(gè)。電子證據(jù)檢查筆錄顯示：對吳某某的手機(jī)檢材進(jìn)行技術(shù)檢驗(yàn)，提取發(fā)出去的聊天短信8112條，內(nèi)容代表截圖1份。通過研究，我們發(fā)現(xiàn)以下問題：

第一，《電子數(shù)據(jù)現(xiàn)場提取筆錄》存在兩個(gè)問題。一是現(xiàn)場扣押原始存儲(chǔ)介質(zhì)即電腦，并按要求封存，拍照，當(dāng)場開列《扣押清單》；二是《電子數(shù)據(jù)提取固定清單》沒有計(jì)算完整性校驗(yàn)值。

第二，《電子證據(jù)檢查筆錄》的質(zhì)證。1. 檢材手機(jī)來源不明。9月3日扣押清單扣了四部手機(jī)，11月11日送檢兩部，保管過程不清，無法確定同一性?！豆搽娮尤∽C規(guī)定》第46條，移交時(shí)電子數(shù)據(jù)完整性校驗(yàn)值不正確、原始存儲(chǔ)介質(zhì)封存狀態(tài)不一致或者未封存可能影響證據(jù)真實(shí)性、完整性的，檢查人員應(yīng)當(dāng)在有關(guān)筆錄中注明。

第三，數(shù)據(jù)沒有查重，短信內(nèi)容是否為詐騙沒有核實(shí)。筆錄中的舉例，就有幾條短信內(nèi)容不是詐騙內(nèi)容，顯然不能認(rèn)定短信數(shù)量。

(三) 關(guān)聯(lián)性

1. 人的關(guān)聯(lián)。被告人網(wǎng)絡(luò)身份與現(xiàn)實(shí)身份的同一性認(rèn)定。身份關(guān)聯(lián)性，即涉案電子賬戶、電子系統(tǒng)、電子設(shè)備是否為案涉當(dāng)事人所使用，是當(dāng)前電子數(shù)據(jù)載體關(guān)聯(lián)性審查的重中之重，尤其是針對一人使用多個(gè)虛擬身份，同一個(gè)虛擬身份由多人共同使用的情況，必須確認(rèn)虛實(shí)的同一性，否則相應(yīng)電子數(shù)據(jù)就不具有關(guān)聯(lián)性，不得作為證據(jù)使用。

《人民檢察院辦理網(wǎng)絡(luò)犯案件規(guī)定》第17條規(guī)定，確定犯罪嫌疑人網(wǎng)絡(luò)身份與現(xiàn)實(shí)身份的同一性，注重審查以下內(nèi)容：

① 扣押、封存的原始存儲(chǔ)介質(zhì)是否為犯罪嫌疑人所有、持有或者使用；

② 社交、支付結(jié)算、網(wǎng)絡(luò)游戲、電子商務(wù)、物流等平臺的賬戶信息、身份認(rèn)證信息、數(shù)字簽名、生物識別信息等是否與犯罪嫌疑人身份關(guān)聯(lián)；

③ 通話記錄、短信、聊天信息、文檔、圖片、語音、視頻等文件內(nèi)容是否能夠反映犯罪嫌疑人的身份；

④ 域名、IP地址、終端MAC地址、通信基站信息等是否能夠反映電子設(shè)備為犯罪嫌疑人所使用。

案例7：曾某某非法經(jīng)營案中，曾某某販賣偽劣香煙給下家湯某某，委托客運(yùn)班車司機(jī)洪某某運(yùn)輸，通過手機(jī)微信支付香煙貨款和運(yùn)費(fèi)。偵查機(jī)關(guān)從上述三人的手機(jī)提取相關(guān)證據(jù)，結(jié)合相關(guān)筆錄材料，確認(rèn)被告人曾某某的微信名為“文義”，被告人湯某某的微信名為“賺得回”，司機(jī)洪某某的微信名為“洪弟”。

2. 事的關(guān)聯(lián)。又行為關(guān)聯(lián)，確認(rèn)當(dāng)事人或相關(guān)人員有無實(shí)施影響當(dāng)事人等主體法律責(zé)任的行為?？梢酝ㄟ^登入記錄，發(fā)送消息記錄、郵件記錄，是否下載某個(gè)網(wǎng)頁，是否修改某個(gè)文件等證明。

3. 物的關(guān)聯(lián)。存儲(chǔ)介質(zhì)與被告人關(guān)聯(lián)，又稱介質(zhì)關(guān)聯(lián)。類型化信息，品牌、型號等，更進(jìn)一步借助特定化信息，例如，手機(jī)的品牌，內(nèi)置手機(jī)號碼、內(nèi)存照片、微信賬戶等；介質(zhì)通常根據(jù)被告人的供述與辯解、證人證言、辨認(rèn)筆錄等綜合判斷被告人的與存儲(chǔ)介質(zhì)的關(guān)系。

4. 時(shí)間關(guān)聯(lián)。確定機(jī)器時(shí)間與物理時(shí)間對應(yīng)，進(jìn)而確認(rèn)在涉案時(shí)間內(nèi)是誰的行為產(chǎn)生了相應(yīng)的電子數(shù)據(jù)。如作案時(shí)間的認(rèn)定。例如，存儲(chǔ)電子數(shù)據(jù)的電腦、手機(jī)時(shí)間與北京時(shí)間不一致，致使難以確定涉案時(shí)間內(nèi)誰的行為產(chǎn)生了相應(yīng)的電子數(shù)據(jù)，時(shí)間關(guān)聯(lián)性發(fā)生爭議。

5. 空間關(guān)聯(lián)。又稱地址關(guān)聯(lián)性，需要確認(rèn)電子數(shù)據(jù)產(chǎn)生所有的內(nèi)置或外置地址信息與當(dāng)事人或其他相關(guān)人之間的關(guān)系，這些地址司法歸他們所有或所用，是否存在共有、共用或冒用的情況。案例，賬號共用、冒用的情況。

注重挖掘同一電子數(shù)據(jù)往往具有的多元關(guān)聯(lián)證明作用。由于電子數(shù)據(jù)記錄信息的豐富性，一份電子數(shù)據(jù)往往可以證明多方面的案件事實(shí)。以一份完整的微信聊天記錄為例，通過審查微信賬號的昵稱、注冊信息等，可能發(fā)現(xiàn)反映行為人身份的信息；通過審查微信聊天的對話內(nèi)容，可能發(fā)現(xiàn)反映行為人主觀方面和行為內(nèi)容的信息；通過審查微信聊天的附屬信息如生成時(shí)間等，可能發(fā)現(xiàn)反映行為人作案時(shí)間的信息。因而，審查電子數(shù)據(jù)時(shí)，要注重從多個(gè)角度挖掘電子數(shù)據(jù)與案件事實(shí)的多元關(guān)聯(lián)，充分發(fā)揮電子數(shù)據(jù)的證明作用。判斷證據(jù)是否有關(guān)聯(lián)性需要邏輯推理，豐富的實(shí)踐經(jīng)驗(yàn)，包括法律實(shí)務(wù)經(jīng)驗(yàn)與生活經(jīng)驗(yàn)。

綜上，電子數(shù)據(jù)出現(xiàn)真?zhèn)尾幻鲿r(shí)，不得作為定案的根據(jù)。其他的證據(jù)瑕疵情形，均可補(bǔ)正或解釋，不能補(bǔ)正或者合理解釋的，才納入排除范圍，因此，鑒真規(guī)則是審查電子數(shù)據(jù)真實(shí)性的有效法寶，對電子數(shù)據(jù)審查的最終落腳點(diǎn)是對其真實(shí)性的判斷。我們學(xué)好證據(jù)法的基礎(chǔ)上，要加強(qiáng)計(jì)算機(jī)、網(wǎng)絡(luò)通信、電子鑒定等技術(shù)常識與原理的學(xué)習(xí)，力爭成為電子數(shù)據(jù)審查的行家里手。