电子证据的审查与辩护

文◎韩 哲

电子证据的审查与辩护

文◎韩 哲*

本案电子证据审查和辩护的重点，在于侦查人员取证的人数、现场勘验、网络远程勘验以及被害人电子邮件、QQ聊天记录的提取和固定是否合乎程序规范。电子证据审查和辩护的规范依据，不仅包括刑事诉讼法和相关司法解释，还包括电子证据的技术性规范和行业标准。电子证据审查和辩护的重点是其真实性、合法性和关联性，同时要对证明力进行专门辩护。

电子数据审查 辩护规范依据 证据能力 证明力

刑事辩护是追求事实真相，维护犯罪嫌疑人、被告人合法权益的职业，其面对的对象是法官和公诉人，辩护律师要想取得辩护的实质效果，就必须比公诉人想的更加全面、深刻、细致，尽可能说服法官采纳辩护意见，电子证据的审查和辩护也不例外。本案当中涉及电子证据比较多，关于现场勘验、扣押、查封和提取问题，远程网络勘验和证据固定问题，对被害人QQ聊天记录、电子邮件的提取问题等，都存在质证和辩护的空间。

一、本案电子证据的审查与辩护

（一）关于收集、提取电子证据侦查人员的人数

根据2016年9月最高人民法院、最高人民检察院、公安部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（以下简称《规定》）第7条，侦查人员在收集、提取电子数据的过程中应当由二名以上进行，且取证的方法应当符合相关技术标准的要求。根据2016年公安部《公安机关执法细则》的规定，计算机犯罪现场电子证据的勘验、检查，应当由网络安全保卫部门专门负责组织实施，并且可以指派或者聘请具有专门知识的人一同参加。

本案中，公安机关立案后现场搜查犯罪嫌疑人的电脑，由一名民警和一名聘用制技术人员对被告人的电脑进行数据提取。根据上述规定，本案搜查现场提取的电子数据属于瑕疵证据。因为，对于计算机现场勘验应当由网络安全保卫部门的民警负责，一般二人以上，必要时聘用专门技术人员。本案当中有一名民警，聘用的技术人员不是真正的侦查人员，没有侦查执法权。所以，辩护时应当指出这种证据本身是瑕疵证据，由公诉一方进行补正或合理解释。同时，还应重点审查电子数据提取是否符合技术规范和行业标准。

（二）电子证据的现场勘验和提取

根据《规定》第8条，在侦查过程中，在能够扣押电子数据原始存储介质的情况下，应当扣押原始介质，制作笔录，记录封存状态，同时还应当保证无法增加、删除、修改存储在内的电子数据。封存前后对被封存的原始存储介质应当进行拍照，反映出封口或者张贴封条处的状况等等要求。

本案中，2016年10月25日公安机关立案后，现场搜查了犯罪嫌疑人的电脑，由一名民警和一名聘用制技术人员对被告人的电脑进行了数据提取。从辩护的角度看，公安机关现场提取电子数据违反程序规定，正确做法是，首先应当扣押、封存犯罪嫌疑人的电脑，同时制作笔录，然后进行电子数据的检查、提取、移送，而不能直接现场提取电子证据。根据《规定》第9条，如果现场提取电子数据的，只有在无法扣押原始储存介质的情况下才能进行，并且在笔录中要注明不能扣押原始存储介质的原因、介质的存放地点以及电子数据的来源等情况，并要求计算电子数据的完整性校验值。

此外，本案还可以从现场勘验程序的角度对电子证据的收集和提取进行审查和辩护。比如，现场勘验检查的程序包括：先要对现场进行保护，在保护的基础上收集证据，提取、固定容易丢失的数据，之后进行在线分析，最后要提取、固定证物。同时，还要重点审查《现场勘验检查工作记录》，包括《固定电子证据清单》、《封存电子证据清单》、《勘验检查照片记录表》，对于在线分析提取的电子数据应当认真审查《现场勘验检查笔录》，侦查人员实施的提取操作是否对目标系统造成影响。

（三）电子证据的远程勘验问题

本案涉及电子证据的远程勘验问题。根据《规定》第9条，对于位于境外的原始存储介质，以及远程计算机信息系统上的电子数据，还可以通过网络进行在线的提取。必要的时候，可以进行网络上的远程勘验。但要注意的是，进行网络远程勘验需要采取技术侦查手段的，要履行严格的批准手续。公安机关在第一个被害人报案后，考虑到数额及情节难以达到司法解释规定的立案追诉标准，所以没有立案，而是先进行了初查。初查过程中，除了调取了被害人的陈述、被害人提供的手机QQ聊天记录外，还对犯罪嫌疑人的QQ进行了监控。

对于本案而言，审查和辩护时需要考虑以下问题：

1.公安机关进行网络远程勘验提取电子数据的过程中，是否采取了技术性侦查手段，该手段是否经过了相应的审批程序。如果没有经过严格审批程序，涉嫌程序违法。如果严重侵犯公民个人权利或者违背司法公正，不得作为定案的根据。

2.在对远程计算机系统的电子数据进行网络在线提取时，是否对收集、提取电子证据的完整过程进行了相应的拍照或者录像；是否备份了制作和封存的电子数据，意见是否对数据完整性的校验值进行了计算。

3.重点审查《远程勘验工作记录》和屏幕截图的相关内容。比如，审查远程勘验工作笔录中是否全面记录了案件的案由、犯罪的对象、记载的内容、收集、提取电子数据的时间、地点、方法以及完整过程等，是否附有相应的电子数据清单，清单中是否载明了电子数据的类别，相应的文件格式以及相关的完整性校验值等。

（四）电子邮件、QQ聊天记录的提取和固定

从辩护角度看，本案对被害人的QQ聊天记录进行截屏并打印照片的做法不妥，因为电子邮件和QQ聊天记录都属于电子证据，应当按照电子数据收集和提取的规定进行。对于被害人手机或电脑，不适合进行扣押和封存，只能进行在线提取，应对提取的过程录音录像并进行规范笔录，对电子数据的类别、文件格式等应注明清楚。同时，要计算电子数据完整性的校验值，一并移送检察机关和人民法院。

二、电子证据审查和辩护所依据的规范体系

刑事诉讼法对证据进行专门的规定，是电子证据审查与辩护的主要法律依据。除此之外，2016年9月的《规定》中，第一次针对电子数据的收集提取和审查判断等方面做出了全面、系统的规定。根据《规定》第30条，自2016年10月1日该规定施行起，之前发布的规范性文件如有与其不一致的地方，以该规定为准。因而，这部司法解释是电子证据审查和质证的最为重要的规范之一。

实际上，针对电子数据调取、审查运用等问题，2005年公安部就发布了《计算机犯罪现场勘验与电子证据检查规则》和《公安机关电子数据鉴定规则》，2016年制定了《公安机关执法细则》。2009年最高人民检察院颁布《电子证据鉴定程序规则（试行）》、《人民检察院电子证据勘验程序规则（试行）》。2012年最高人民法院出台 《关于适用刑事诉讼法若干问题的解释》（以下简称《解释》）。2014年最高人民法院、最高人民检察院、公安部曾联合颁布了《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》（以下简称《意见》）。此外，2010年最高人民法院、最高人民检察院、公安部、国家安全部司法部联合发布的 《关于办理死刑案件审查判断证据若干问题的规定》以及“两高”在关于赌博罪、走私罪等适用法律问题相关司法解释当中对电子证据也有相应的一些规定。

电子证据的技术性规范和行业标准在其审查和质证当中起着十分重要的作用,如果严重违反技术规范和标准取得的电子证据，其真实性、科学性难以保障，从而对电子证据的真实性、关联性和证明力产生重大影响，从而影响案件事实的认定。电子证据的技术标准和规范大致包括以下三个方面：

（一）国家标准

1.GB／T 29360—2012《电子物证数据恢复检验规程》

2.GB／T 29361—2012《电子物证文件一致性检验规程》

3.GB／T 29362—2012《电子物证数据搜索检验规程》

（二）公共安全行业标准

1.GA／T 754—2008《电子数据存储介质复制工具要求及检测方法》

2.GA／T 755—2008《电子数据存储介质写保护设备检测方法》

3.GA／T 756—2008《数字化设备证据数据发现提取固定方法》

4.GA／T 757—2008《程序功能检验方法》

5.GA／T 825—2009《电子物证数据搜索检验技术规范》

6.GA／T 826—2009《电子物证数据恢复检验技术规范》

7.GA／T 827—2009《电子物证文件一致性检验技术规范》

8.GA／T 828—2009《电子物证软件功能检验技术规范》

9.GA／T 829—2009《电子物证软件一致性检验技术规范》

10.GA／T 976—2012《电子数据法庭科学鉴定通用方法》

l1.GA／T 977—2012《取证与鉴定文书电子签名》

12.GA／T 978—2012《网络游戏私服检验技术方法》

13.GA／T 1069—2013《法庭科学电子物证手机检验技术规范》

14.GA／T 1070—2013《法庭科学计算机开关机时间检验技术规范》

15.GA／T 1071—2013《法庭科学电子物证 Windows操作系统日志检验技术规范》

16.GA／T 1770—2014《移动终端取证检验方法》

17.GA／T 1771—2014《芯片相似性比对检验方法》

18.GA／T 1772—2014《电子邮件检验技术方法》

19.GA／T 1773—2014《即时通讯记录检验技术方法》

20.GA／T 1774—2014《电子证据数据现场获取通用方法》

21.GA／T 1775—2014《软件相似性检验技术方法》

22.GA／T 1776—2014《网页浏览器历史数据检验技术方法》

（三）司法鉴定技术规范

1.SF／ZJD0400001—2014《电子数据司法鉴定通用实施规范》

2.SF／ZJD0401001—2014《电子数据复制设备鉴定实施规范》

3.SF／ZJD0402001—2014《电子邮件鉴定实施规范》

4.SF／Z JD0403001—2014《软件相似性检验实施规范》

三、电子证据审查和辩护的重点内容

（一）真实性

电子证据是借助于现代数字化的电子信息技术及其设备存储，以相应信息的存储、处理、输入及输出用以证明案件事实的一种证据形式，这其中，不仅包括计算机程序、信息的处理，也包括一些专门技术设备检测到的信息。电子证据为数字化电磁记录，本质上属于一种电子信息，其具有脆弱性、隐蔽性等特点，容易被删除、篡改，且难以被发现，因此电子证据审查和质证的重点是其真实性。电子证据的真实性的审查包括客观性、完整性和科学性三个方面。

1.客观性。根据《规定》第22条，对电子数据的真实性应从以下几个方面着重审查：首先，移送的是否是原始的存储介质，并且在原始存储介质因为特殊原因无法移送的情况下，是否附有未移送的说明，说明中是否写明了收集、提取电子数据的过程，以及原始存储介质未移送的存放地点、电子数据的来源等情况；其次，对电子数据的数字签名、数字证书等特殊标识是否予以说明；第三，是否可以重现电子数据的收集、提取过程；第四，是否存在增加、删除或者修改电子数据的情形，如果有，是否附有相应的说明；第五，一定要求保证电子数据的完整性。

辩护律师审查电子证据的客观性，主要审查电子数据的来源是否真实可靠，是否保存储存介质，数字签名、数字证书等特殊标识是否予以说明，其中数字签名是一个数据值，它代表的是利用某种一定的算法对电子数据进行计算，通过计算得出的数值，该数值可以用于验证电子数据的来源、电子数据的完整性，而数字证书则是一个电子文件，它代表的是包含数字签名，并对电子数据的来源、电子数据的完整性进行电子认证的一种电子文件，它们是电子证据真实性的可靠保证。此外，客观性的审查还需要审查电子证据的收集和提取过程是否可以重现，即电子证据关键性的取证环节和步骤的“录像”和“照相”是否反映和体现证据收集的全貌和重点。

2.完整性。根据《规定》第23条，应当根据保护电子数据完整性的相应方法对电子数据是否完整进行相应的验证：首先，要对原始存储介质的扣押、封存状态进行审查；其次，以通过查看录像，要对电子数据的收集、提取过程进行审查；第三，对电子数据完整性的校验值进行比对；第四，将电子数据和已经备份的电子数据进行比较；第五，对冻结后的访问操作日志进行必要的审查；第六，其他兜底的方法。

电子证据的完整性既是其真实性、客观性的体现，同时，也对电子证据的关联性产生重大影响。比如，通过审查电子证据的访问操作日志，就可以了解到电子数据是否存在被增加、删除或者修改的情况，这是因为计算机信息系统会对电子数据的访问和操作情况进行自动的详细记录。另外，通过审查电子数据的完整校验值，或者通过比对备份电子数据，可以知晓在案的电子数据是否完整，是否客观真实。

3.科学性。《规定》第24条第1项规定，应当着重审查电子数据的收集方法是否符合相关的技术标准。该条规定对辩护律师审查电子数据提出了明确的要求，也指明了审查的方向和重点。根据上述规定，辩护律师可以通过以下两种方法来进行审查：首先，辩护律师要熟悉电子数据的相关规定、技术标准，并且在熟悉的基础上，进一步达到精通和熟知的程度；其次，可以通过借助有专门知识的人来审查电子数据，甚至可以聘请专家辅助证人。但从实践来看，多数辩护律师要采取后一种方式审查电子证据收集、提取的科学性。

需要重点说明的是，电子数据的真实性、关联性，与电子证据收集过程中对相关技术标准的遵循与否有直接关联。如果在收集过程中不遵循相关技术标准，可能就会对其中蕴含的相关案件信息产生破坏，从而影响电子数据的完整性、真实性。此外，侦查机关在收集电子证据时，也应当全面收集与案件有关的电子证据，辩护律师在审查案件过程中，应当根据具体案件，充分了解涉案行为中可能涉及的电子证据的种类和过程，根据卷宗材料查询，并及时向行为人进行核实，唯如此，才能最大程度地维护被告人的合法权益。

（二）合法性

电子证据的合法性，是指电子证据收集、固定及移送必须在主体、形式和程序方法上符合有关法律的规定。合法收集的电子证据才具有证据能力，才能作为定案的根据。电子证据相对于传统证据，具有特殊性，因此对于电子证据的收集，在程序和方法上亦有不同于传统证据的特殊要求。刑事诉讼中，对电子证据合法性的审查主要体现在取证主体是否合法，取证程序是否合规两个方面。

1.电子证据的取证主体。根据我国《刑事诉讼法》第50条规定，作为证据收集主体的司法人员，包括审判人员、检察人员和侦查人员，在搜集证据过程中，必须依照法定程序全面收集能够证实犯罪嫌疑人、被告人是否有罪、犯罪情节轻重的各种证据。

然而，根据2014年“两高一部”颁布的《意见》第13条规定，收集、提取电子证据，应当由具备专业知识的侦查人员进行，并要求取证设备和过程应当符合技术标准，保证所收集、提取的证据的完整性和客观性。根据上述规定，电子证据的收集、提取的主体是具备专业知识的侦查人员。根据《规定》第7条，收集、提取电子证据，要由二名以上侦查人员进行。并且取证的方法还应当符合相关技术标准。该规定与意见相比，对取证主体的要求又有一定不同，取消了 “具备相关专业知识”的标准，但同样要求电子证据的取证方法必须符合相关技术标准。

从辩护的角度看，虽然《规定》没有要求取证主体必须具备相关专业知识，但是，对电子证据取证的方法并没有降低要求，必须符合电子证据的技术标准。所以，当侦查人员不具备专门知识的情况下，从电子证据的取证方法和是否符合技术标准方面，聘请专家辅助证人对电子证据进行质证，能够取得较好的质证和辩护效果。

2．电子证据的取证程序。关于电子证据的取证程序，包括一般性的收集提取程序，现场或远程勘验程序，电子证据扣押、封存、冻结和检查程序，电子证据的移送和展示程序等等，相关司法解释对这些程序都有具体的规定。

辩护律师对取证程序合法的审查和辩护，是对电子证据是否具备证据能力、能否作为定案的根据的判断，应当对以下内容进行重点审查：首先，是否是二名以上侦查人员对电子数据进行收集和提取，侦查人员的取证方法必须符合相关的技术标准；其次，在收集、提取过程中，是否附有相应的笔录、清单，并经侦查人员、电子数据的持有人或者提供人、提取过程的见证人进行签名或者盖章；第三，如果没有相应笔录没有持有人或者提供人签名或者盖章，是什么原因应当进行说明；第四，电子数据的类别、文件格式应当予以清晰的注明；第五，见证人的人选应当符合法律规定；第六，是否对相关提取过程进行了现场照相、录像；第七，是否将电子数据存储介质通过写保护设备接入到检查设备；第八，具备条件的，是否还制作了电子数据备份，备份是否经过检查；第九，无法制作备份且无法使用写保护设备的，是否附有相应的录像。

对于电子证据的审查和辩护，根据不同情况，做出如下处理：首先，对于电子数据的收集、提取程序有程序性瑕疵的，根据法律规定，可以予以补正或者作出合理解释，在此情况下，相关证据可以予以采信；如果不能补正或者作出合理解释，相关证据则不得作为定案的根据；其次，对于电子证据的收集、提取过程严重违法的，相关的电子证据不得作为定案的根据，比如，电子数据在提取、存储过程中遭到篡改、伪造以及无法确定真伪的情况；或者电子数据有增加、删除等情况，该情形不再仅仅属于程序性瑕疵，而直接影响到电子数据真实性，则不得作为定案的根据。

（三）关联性

证据的关联性，是指证据所证明的事实与案件事实之间是否存在联系，即证据证明的事实能够证明案件事实。

电子证据不同于一般证据，区别在于，在使用电子证据证明案件事实时，除了电子证据的载体与案件事实关联外，载体所记载的内容也必须与案件事实关联，载体关联和内容关联二者缺一不可。其中，内容关联指电子证据记载的数据信息同案件事实之间存在一定的关联；载体关联指用于记载电子证据的载体同案件事实之间亦存在一定的关联。内容关联决定案件事实存在或者不存在，载体关联决定电子证据本身同案件事实有没有关系。前者属于一种经验上的关联，后者属于法律上的一种关联。前者等同于对传统证据提出的一致要求，后者体现出对电子证据关联性的特殊要求;前者主要涉及物理空间，即判断电子证据的内容是否对证明物理空间的案件事实产生了实质性影响，后者则主要涉及虚拟空间，即借助电子证据的形式确立虚拟空间的案件事实并搭建两个空间的对应关系。［1］

因此，对于电子证据关联性的审查和辩护，既要考虑电子证据自身内容与案件事实的关联性及其程度，还要考虑犯罪嫌疑人、被告人网络身份与现实身份之间对应关系是否具有唯一性。前者偏重于电子证据证明力大小，后者偏重于电子证据的形成是否由犯罪嫌疑人或被告人所为。“电子证据必须既能够从内容上影响对案件事实的认定，同时能够从载体上证明虚拟空间的身份、行为、介质、时间、地址同物理空间的当事人或其他诉讼参与人具有某种联系。电子证据的关联性，就是连接两个空间、使之贯通并形成对应关系的重要纽带。其中，载体关联性是电子证据关联性的核心。 ”［2］

审查犯罪嫌疑人、被告人在网络上使用的身份与本人是否系同一人，应当通过技术手段，如审查网络IP地址、活动记录、上网终端归属进行判断，同时还应当结合证人证言、犯罪嫌疑人、被告人供述和辩解等言词证据综合予以判断，从而使电子证据与人的关联性、事的关联性、物的关联性、时的关联性和空间的关联性对应并保持一致。否则，如果出现矛盾且难以解释，可以从电子证据关联性的角度进行辩护，从而动摇法官对案件事实的认定。

（四）证明力

所谓证明力，即证据力，是指证据证明的待证事实存在大小的状态与强弱的程度。所谓电子证据的证明力，就是指电子数据本身或者电子数据与案件中其他证据一起能否证明待证事实以及在多大程度上能够证明待证事实，其实质是电子证据的可靠程度如何以及与待证事实的关联程度如何。

关于证据证明力的大小，其实质是司法人员的经验判断问题，一般不应规定在法律和司法解释当中。但由于我国处于新法定主义证据时代［3］，现行的司法解释有关于证明力的一些规定，比如2010年“两高三部”《关于办理死刑案件审查判断证据若干问题的规定》和《关于办理刑事案件排除非法证据若干问题的规定》，以及各省高级人民法院的一些规范性解释等都有关于证明力的一些规定，这是一个方面。另一方面，电子证据具有其特殊性，即电子证据的真实性、合法性、关联性有时是相互交叉的。司法实践当中，既有从关联性角度印证真实性，也有从真实性的角度否定关联性，甚至从合法性角度来否定证据的真实性，其在司法判断中上述界限并不泾渭分明。所以，有学者提出应当从电子证据形式和内容的完整性方面来考察证明力的大小，并且认为可靠性也是衡量电子证据证明力大小的一个重要指标。基于此，我们认为，从辩护实务的角度看，应当将电子证据的证明力作为专门的一个部分进行审查和辩护，即在电子证据具备真实性、合法性和关联性的前提下，根据掌握的专门的电子技术知识和司法经验针对证明力问题进行专门辩护，因为证明力的大小对准确认定案件事实具有十分重要的意义。

注释：

［1］参见刘品新：《电子证据的关联性》，载《法学研究》2016年第6期。

［2］同［1］。

［3］参见陈瑞华：《以限制证据证明力为核心的新法定证据主义》，载《法学研究》2016年第6期。

*北京市雨仁律师事务所合伙人、刑事合规部主任，法学博士［100045］