做好电子数据取证需注意的四个方面

电子数据兼具法律和科学双重属性，其生成、存储、传输等各环节均依赖于电子信息技术。这决定了电子数据取证除遵循一般法律规定外，还要遵守相关的专业技术性规则，相较于传统证据，其取证规则更为精细化和专业化。监察法实施条例对电子数据的规定更加细化和完善。笔者认为，实践中做好监察案件电子数据取证工作应注意以下四个方面。

一是严格依法取证。首先，取证主体方面，监察机关采取搜查、扣押、收集提取、勘验检查等各类措施进行收集和固定电子数据时，调查人员均不得少于二人。对于技术性较强的取证活动，应当选派具备相关专业知识的调查人员，必要时也可邀请专业技术人员予以指导和配合。其次，取证程序方面，监察机关必须严格按规定履行报批程序后，区分不同阶段采取相应调查措施，同时要依法制作有关法律文书材料。电子数据的取证，主要涉及搜查、调取、查封、扣押、勘验检查、鉴定和技术调查等监察措施。其中，调取、勘验检查或者鉴定电子数据，可以在初步核实阶段进行；而采取搜查、查封、扣押措施，或者设区的市级以下监察机关调取通过技术调查措施收集的电子数据的，必须在立案调查之后进行。再次，取证内容方面，调查人员进行电子数据取证时，应注意分析信息内容与案件事实的关联性，依法调取与案件相关的材料，避免导致取证范围扩大；对于涉及国家秘密、工作秘密、商业秘密、个人隐私的，应当保密；对于获取的材料与案件无关的，应当及时退还或者销毁。

二是“一体收集”优先。收集、提取电子数据应当以扣押电子数据原始存储介质为原则，以现场提取电子数据为例外，以打印、拍照、录像等方式固定为补充，即以“一体收集”模式为主，最大限度地保证原始数据不遭受破坏。首先，如果能够扣押原始存储介质，应当尽可能地扣押原始存储介质，并按要求及时封存。扣押、封存的存储介质，应当保证在不解除封存状态的情况下无法增加、删除、修改电子数据，存放场所应远离高磁场、高温、潮湿、灰尘、静电、挤压等环境，对于具有无线通信功能的存储介质，应当注意采取信号屏蔽或者切断电源等措施，避免数据信息遭受损毁灭失或者干扰破坏。其次，无法扣押原始存储介质的，可以利用只读、克隆、校验、镜像复制等无损技术进行现场提取。例如，在原始存储介质不便封存或者待收集数据为计算机内存数据、网络传输数据等不是存储介质上的电子数据等情况下，调查人员可以现场提取数据，但不能对涉案电子设备或系统进行任何修改操作，而且要注意计算完整性校验值。再次，在既无法扣押原始存储介质又不能提取电子数据的情况下，可以采取打印、拍照或者录像等方式固定相关电子数据。采取该方式收集、固定的电子数据往往表面呈现为文件、图片或音像资料等，仅从形式看容易与一般书证或视听资料相混淆，因此调查人员要在笔录中说明采取此种方式固定电子数据的原因并注明具体的取证过程及有关情况，并由调查人员、电子数据持有人（提供人）或见证人签名或者盖章确认，以充分释明和固定其电子数据的证据属性。

三是全面及时取证。电子数据往往依附于一定的存储介质或网络环境而存在，容易因外部载体或环境的变化而变化甚至灭失，具有易改变性和易灭失性的特点，这就要求调查人员全面、及时地进行收集和固定电子数据。首先，全面收集和固定原始存储介质及电子数据信息。为了能够更全面地还原案件事实，不仅要收集被调查人和涉案人员的电脑、手机、光盘、硬盘、U盘等原始存储介质及静态数据，还要注意收集内存数据和网络传输的动态数据，以及用户注册信息、身份认证信息、日志记录、系统运行情况等附属信息。其次，注意收集被修改或删除的隐藏数据及痕迹。被调查人或涉案人员可能会为了对抗调查、掩盖事实而故意删除或修改某些电子数据，调查人员要注意寻找这些隐藏的关键数据及痕迹，并利用技术进行恢复。再次，收集、固定电子数据一定要及时。对于调查发现的涉案电子数据原始存储介质要及时采取扣押、查封措施；对于计算机内存数据、网络传输数据等动态电子数据，尤其是不立即提取电子数据可能会造成电子数据灭失等后果的，要第一时间进行现场提取、固定；对数据量大、无法或不便提取，或者提取时间长且可能造成电子数据被篡改或者灭失的，及时对电子数据进行冻结。

四是坚持全程留痕。为保证电子数据的完整性、真实性，根据监察法实施条例等有关规定，采取搜查、查封、扣押电子数据原始存储介质，收集、提取以及勘验检查电子数据等措施，要按要求制作取证笔录、邀请见证人见证和录制同步录音录像，对取证活动全过程进行客观、如实的记录。首先，依法制作电子数据收集提取、搜查、勘验检查等取证笔录，记明案由、对象、内容，收集、提取电子数据的时间、地点、方法、过程，记录封存状态，并附电子数据清单，注明类别、文件格式、完整性校验值等，由调查人员、电子数据持有人（提供人）签名或者盖章。其次，搜查、查封、扣押、收集提取以及勘验检查电子数据时，均应当邀请与案件无关的见证人在场，并且监察人员不得担任见证人。见证人要在搜查笔录、收集提取电子数据笔录、查封扣押清单、勘验检查情况笔录等法律文书上签名或者盖章。再次，对电子数据取证全过程进行同步录音录像。电子数据的科学证据属性，决定了其取证活动的法定程序要求和技术标准要比一般物证、书证更为严格，属于重要取证活动。按照监察法和监察法实施条例中对重要取证工作全程同步录音录像的要求，监察机关依法采取搜查、查封、扣押、勘验检查等措施收集和固定电子数据，均要对操作过程全程进行同步录音录像，让调查人员习惯在“镜头”下取证。（王宇靖）