從辯護角度看現場勘驗提取電子證據的可信性
作者：陸鳳陽 2021-03-25一、大數據信息化背景下犯罪偵查模式
電子證據取證早期稱為數據取證，早在20世紀80年代，數字取證就在美國軍方與司法部門出現，1984年美國聯邦調查局（FBI）的計算機分析響應組就成立，90年代，美國聯邦調查局又創建了“數字取證科學工作組”。1993年，第一屆計算機證據的國際會議成功舉辦，1995年，致力于處理電子證據國際準則的計算機證據國際組織（International Organization on Computer Evidence, IOCE）正式成立。2000年，FBI建立正式的區域性計算機取證實驗室。 國內電子證據在法庭上出現是21世紀以后的事，網絡犯罪的出現使得一些國內法律、法規提及到了電子證據。國內傳統的偵查模式主要依靠“一張嘴、一支筆、兩條腿”，查詢資料主要靠人力。隨著我國信息技術的高速發展，電子數據記錄了人們大部分行為和生活軌跡，手機、電腦、網絡等成為人們日常生活所必需，在這種情況下，大數據和云計算技術使偵查模式轉型升級成為可能，以此作為基礎，通過對犯罪嫌疑人員的如手機短信、通訊記錄、電子文檔、聊天記錄、電子郵件等電子數據，進行收集、分析、研判，便能夠確定犯罪嫌疑人的各種活動信息。隨著電子數據取證工具由單機版的取證工具替換為綜合取證系統，再加上大數據挖掘技術的發展，偵查人員、辦案人員通過收集和整理這些“數據基因”，即可為查明犯罪事實提供案件線索和指控證據。 作為辯護律師在實務中遇到過偵查機關對電子證據提取的形式主要有二種：一種是現場收集提取電子數據；一種是網絡在線提取電子數據，本文主要分析的是從辯護的角度解析現場收集提取的電子數據合規性以及此種電子數據作為證據具有的證明力和證明能力。 二、偵查機關現場勘驗提取電子證據的標準流程及律師辯點 根據2016年9月最高人民法院、最高人民檢察院、公安部頒發的《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》以及2019年1月公安部正式出臺《公安機關辦理刑事案件電子數據取證規則》，要求電子證據取證主體適格，電子證據的取證程序規范，電子證據取證標準和技術規范適合國家和行業的要求，電子取證技術、取證工具符合可信性要求。 （一）現場提取電子數據 1. 記錄現場情況 偵查人員確定為某地為犯罪現場后，需要通過繪圖、錄像、拍照等對現場情況作詳細記錄，記錄發案地點、發案時間、制圖制表，標明現場主位、中心現場們位置，配以例圖加以說明。偵查人員需要對所有設備觸摸與移除之前，需要通過繪圖、錄像、拍照等對現場進行記錄。 2. 全面搜查證據 搜查證據的目的是發現所有可能與案件相關的證據和設備。偵查人員檢查的對象需要包括與犯罪涉及的計算機互聯系統、手機及相關設備，搜查數字化證據存儲設備。 3. 固定易失證據 易失證據指的是在關閉電源之后或者在運輸中可能丟失的信息。偵查人員應確定需要固定易丟失證據的情形與注重時間信息的提取。偵查人員如果發現系統當前運行的進程，需要對每個進程當前打開的文件進行拍攝。 4. 關閉計算機 偵查人員應盡量避免對證據造成破壞，并且不得在這些部件上留下調查人員的指紋。偵查人員需要養成從機箱背部拔下插頭的習慣，以避免對數據造成潛在破壞。 5. 封存與包裝扣押設備 對于扣押的設備應當進行打包和貼標簽處理。包裝和標簽的目的是防止證據在運輸的過程中遭受破壞。 對于上述流程，作為辯護律師此時應該注意是： 1. 收集、提取電子數據的偵查人員的人數為二名以上。《公安機關辦理刑事案件電子數據取證規則》（2019）第六條明確規定，收集、提取電子數據，應當由二名以上偵查人員進行。必要時，可以指派或者聘請專業技術人員在偵查人員主持下進行收集、提取電子數據。 與此同時，根據《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》第七條的規定，收集、提取電子數據，應當由二名以上偵查人員進行。 2. 對于封存與包裝要看偵查人員是否對標的物貼標簽和封條，是否貼上具有唯一標識的封條，以證明同一性，嫌疑人需要在封條上簽字確認，且要見證人簽字。 根據《公安機關辦理刑事案件電子數據取證規則》（2019）第十條的規定，在偵查活動中發現的可以證明犯罪嫌疑人有罪或者無罪、最輕或者罪重的電子數據，能夠扣押原始儲存介質的，應當扣押、封存原始存儲介質，并制作筆錄，記錄原始介質的封存狀態。《公安機關辦理刑事案件電子數據取證規則》（2019）則詳細地規定了封存的有關規范。 根據《公安機關辦理刑事案件電子數據取證規則》（2019）第十二條的規定，對扣押的原始存儲介質，應當會同在場見證人和原始存儲介質持有人（提供人）查點清楚，當場開列《扣押清單》一式三份，寫明原始存儲介質名稱、編號、數量、特征及其來源等，由偵查人員、持有人（提供人）和見證人簽名或者蓋章，一份交給持有人（提供人），一份交給公安機關保管人員，一份附卷備查。 3. 對于可移動介質，如移動硬盤、U盤，在貼上標簽后，需要要用防靜電袋裝好。特別說明一下，對于扣押手機，依據《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》第八條規定，封存手機等具有無線通信功能的存儲介質，應當采取信號屏蔽、信號阻斷或者切斷電源等措施。在筆者的辦案實務中，幾乎沒有看到偵查人員完全按照如上規定取證。 4. 注意偵查人員相關單據，偵查人員應制作：（1）現場勘驗筆錄：記錄現場勘驗的時間、處理的方法、以及處置的理由。（2）封存電子證據清單：記錄所封存物證的名稱、型號、特征和數量等。（3）勘驗檢查照片記錄：勘驗過程中所拍攝的照片及說明。（4）固定電子證據清單：記錄所固定的電子數據的文件名稱、來源、校驗值等。（5）現場勘驗筆錄簽名：記錄參與現場勘驗人員的信息及簽名。對于相單據，辯護律師應逐一核對，發現不規范之處就是辯點。 根據《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》第十條由于客觀原因無法或者不宜依據第八條、第九條的規定收集、提取電子數據的，可以采取打印、拍照或者錄像等方式固定相關證據，并在筆錄中說明原因。 根據《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》十四條的規定，收集、提取電子數據，應當制作筆錄，記錄案由、對象、內容、收集、提取電子數據的時間、地點、方法、過程，并按要求附電子數據清單，注明類別、文件格式、完整性校驗值等，由偵查人員、電子數據持有人（提供人）簽名或者蓋章；電子數據持有人（提供人）無法簽名或者拒絕簽名的，應當在筆錄中注明，由見證人簽名或者蓋章。有條件的，應當對相關活動進行錄像。 根據《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》十五條的規定，收集、提取電子數據，應當根據刑事訴訟法的規定，由符合條件的人員擔任見證人。由于客觀原因無法由符合條件的人員擔任見證人的，應當在筆錄中注明情況，并對相關活動進行錄像。針對同一現場多個計算機信息系統收集、提取電子數據的，可以由一名見證人見證。 與此同時，《公安機關辦理刑事案件電子數據取證規則》（2019）中第八條、第九條、第十條、第十一條、第十二條對此也有相應規定。 筆者每次將卷宗中電子證據與法律規定相比較時，都會有大量的辯點，偵查人員的行為和技術差錯一方面違反了刑事程序正義的要求，另一方面也會使得相關鑒定結果出現瑕疵或者錯誤。 （二）電子證據的提取和固定的方法 辦案機關在完成上述步驟之后，接下來就需要根據規范要求提取電子數據，分析這些證據。實務中筆者代理的案件中發現偵查機關通常采用以下方法： 使用硬盤復制機進行數據進行提取、固定。偵查機關或鑒定機構工作流程為以下步驟：記錄現場計算機的連接現狀→固定當前對講算機的易失性數據→關閉不前計算機系統→拆卸當前計算機取出硬盤介質→對硬盤介質進行寫保護處理→使用專用設備進行硬盤復制→計算原始硬盤介質并封存→封存硬盤介質副本→現場固定結束。 在實務中現場提取電子數據以及網絡在線提取電子數據，偵查工作人員難免存在操作不規范的情形，而在這項工作中每一個步驟都環環相扣，一個步驟的失誤或者錯誤，在一定程度上就有可能導致鑒定結論的不同，影響司法的公正。在這種情況下，辯護律師可以根據《公安機關辦理刑事案件電子數據取證規則》（2019）中第三節和第四節的規定進行一一對照，對于不規范之處可以予以指正，一方面在庭審時提出相關規范，可以提升庭審效果，另一方面，在一定情況下可以使得有關證據失去證明能力，影響法官的心證。 說實在的，作為律師可能對于有些電子數據專業性的知識可能比較陌生，有些方面不是很了解。筆者通過研究學習，了解到高速硬盤復制機是一種基于位對位復制原理的硬盤復制設備，通過MD5進行一致驗證的。發現從以下方面去質疑即可：是否有二個哈希值，二個哈希值是否一致。因為筆者梳理代理的五個不同省份的案件中有的發現只有一個哈希值，不能滿足計算完整性校驗值的過程和結果，所以辯護律師的辯點可以從此處入手，其他的專業方面想搞懂確實有所難度。 三、電子證據可采信性的標準 我國刑事訴訟法第五十條將證據分為八種形式，這些證據都必須具備關聯性、合法性和真實性，才能作為定案的根據，電子證據亦不例外。 （一）電子證據的關聯性 關聯性是證據的自然屬性，是指作為證據的內容與案件的事實之間客觀存在某種聯系，即證據相對于證明對象是否具有實質性，以及證據對于證明對象是否具有證明性。 電子證據不同于一般證據，其在用于證明案件事實時，必須滿足內容與載體的雙重關聯性，且該雙重關聯性之任一側面都不可或缺。筆者對此的感悟著重是嫌疑人網絡身份與現實身份之間對應關系是否具有唯一性。如何證明嫌疑人的網絡身份與現實身份是對應的在實踐中如果沒有公安機關出具的相關證明會顯得非常困難。但律師可以通過采取核查相關IP地址、網絡活動記錄、上網終端歸屬、相關證人證言、嫌疑人供述等進行綜合判斷，并提交相關證明材料，從而使電子證據從載體的角度與人的關聯性、事的關聯性、物的關聯性、時的關聯性、空間的關聯性對應并保持一致。 （二）電子證據的合法性 電子證據的合法性是指電子證據的收集、固定及移送必須在主體、形態式程序方法上符合現行法律的規定。合法收集作為一種相對特殊的證據形式，其收集的程序、方法都有具體的要求，前文對此已有敘述，在此不在贅述。 （三）電子證據的真實性 電子證據是借助于現代數字電子信息技術及其設備存儲、處理、傳輸、輸出的信息作為證明案件事實的證據形式。其本質上屬于電子信息，具有脆弱性、隱蔽性、易失性等特點，加上易刪除、易篡改、難發現等實務問題，因此對于電子證據真實性的要求就顯得極其重要。 根據2016年9月最高人民法院、最高人民檢察院、公安部頒發的《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》第22條規定，對電子數據是否真實，應當著重審查以下內容： （一）是否移送原始存儲介質；在原始存儲介質無法封存、不便移動時，有無說明原因，并注明收集、提取過程及原始存儲介質的存放地點或者電子數據的來源等情況； （二）電子數據是否具有數字簽名、數字證書等特殊標識； （三）電子數據的收集、提取過程是否可以重現； （四）電子數據如有增加、刪除、修改等情形的，是否附有說明； （五）電子數據的完整性是否可以保證。 以及第二十三條規定，對電子數據是否完整，應當根據保護電子數據完整性的相應方法進行驗證： （一）審查原始存儲介質的扣押、封存狀態； （二）審查電子數據的收集、提取過程，查看錄像； （三）比對電子數據完整性校驗值； （四）與備份的電子數據進行比較； （五）審查凍結后的訪問操作日志； （六）其他方法。 從以上的法律規定可以看出，電子數據的完整性和真實性是不可分割的，電子數據的完整性是真實性的保障。作為辯護律師可通過比對備份電子數據審查電子數據的完整校驗值。另，對偵查人員保存儲存介質的方式方法是否合規，審查電子證據是否具有數字簽名、數字證書等特殊標識，審查電子證據的收集和提取過程是否可以重現等內容，判斷電子證據是否真實。 前一篇文章筆者用數據、法律規定說明《律師已置身于電子證據時代》，本文旨在指出辯護律師除了精通法律知識外，還要讀懂電子證據，熟知電子數據的相關技術標準，才能最大限度地維護被告人的合法利益。我國目前法律、法規對于現場勘驗提取電子證據的規定已經較為完善，在這種情況下，律師應對于相關法律、法規進行深入的學習和研究，從深層次的角度解析實務案件中電子證據提取的合規性以及其證據能力，以便于更好地維護客戶、犯罪嫌疑人的合法權益，防止冤假錯案的發生。
