电子数据取证问题及对策建议
2022-06-09
为了保证新刑事诉讼法的正确实施，发挥电子证据在证明犯罪中的作用，如何获取电子证据就成为一个重要问题须引起重视。
一、电子证据取证中遇到的问题
从目前司法实践看，职务犯罪日趋隐秘化和高科技化，这为侦查工作带来了很大的难度和挑战，需要检察机关充分运用科技手段，收集电子证据。但由于电子证据是一种新证据，一般侦查人员又不懂这方面技术，因而实践中在电子证据取证方面遇到以下主要问题：
一是技术人员与侦查人员配合不够默契。技术人员与侦查人员分属不同的部门，平时接触少，所以在实际的工作中技术人员与侦查人员配合不很默契。这里所说的"配合"包括外出取证前准备阶段的配合、外出取证过程中的配合、外出取证回来后对数据进行分析时的配合。首先是外出取证前准备阶段的配合问题，如自侦部门在办理案件过程中，如果认为犯罪嫌疑人或有关人员的电脑或者存储设备中存在有关证据需要收集的，就会要求技术人员跟随前往外出收集，但案件的基本情况仍需保密。由于每个现场都有它的特异性，如果事先不告知技术人员，到取证现场后，技术人员往往会出现措手不及或准备不充分的情况，这时就会导致取证效率低、取证效果不理想、更有甚者会导致证据流失的问题。其次是取证过程中的配合问题，由于搜查现场会出现各种各样的突发问题，需要侦查人员与技术人员的默契配合。最后是外出取证回来后对数据进行分析时的配合。技术人员就删除数据进行恢复后，对数据对案件的侦破作用知之甚少。
二是取证中遇到的一些技术难题。随着科技的高速发展，职务犯罪中往往出现一些高新设备和技术，需要技术人员熟悉各种设备，掌握各种技术和知识。只有这样，才能保证技术有效地收集到所需要的电子证据。但从目前司法实践看，由于技术人员的培训不及时，往往难以跟上时代前进的步伐，笔者在实践中就遇到一些技术难题，比如在一次外出取证时，要对犯罪嫌疑人的一台电脑的硬盘作复制键时，但发现机器是处于开机状态的，于是按照规程，直接拔掉机箱后的电源，结果硬盘出现了坏道。另一次是对一台CANON相机的SDRAM卡中的删除数据进行恢复，已知这台相机上存储有5天的照片，相机上的照片只是被误删除了，没有被格式化，而且没有覆盖新数据，但在使用X-WAY、ENCASE、PHOTORECOVER等软件进行恢复时，发现只恢复出前3天的数据，后两天100多张照片没有了。
三是取证过程中涉及到的程序问题。由于新刑诉法对证据的取证程序缺乏明确的规定，目前的司法解释对取证程序的规定也较为原则，影响了取证的及时性和合法性。比如技术人员在从进入现场到制成复制键的过程，是否需要进行全程录像还是进行关键点的录像，目前各地的做法不同。又如回避的问题，技术人员在进行技术协助时，是否适用侦查人员的回避，法律没有明确规定；同时，在以后的出庭公诉时，技术人员是否需要出庭，如果需要出庭，是以侦查人员的身份出庭还是以鉴定人的身份出庭，法律也缺乏明确的规定等。
二、原因分析
在司法实践中，技术人员在电子证据取证过程中之所以出现上述问题，通过分析我们认为，主要有以下几方面的原因：
一是侦查人员对技术人员不了解。由于技术人员与侦查人员在不同的部门，而技术部门与侦查部门平时的沟通不够，大家互相都不甚了解。同时，侦查部门由于自己工作性质，多年来养成了良好的保密意识，对技术人员也不愿多讲案件的内容；某些技术人员平时工作不注意，给了侦查人员一种错觉，从而让侦查人员对技术人员产生了不信任。
二是没有发挥技术人员的优势。由于电子证据与传统的物证、书证不同，电子数据是不可见的，有可能分布式存储在网络中，这就决定了电子数据取证的特殊性。现在的技术人员平时使用的一些恢复工具比如X-WAY、ENCASE、FTK、取证大师等不仅提供了删除恢复功能，而且都提供了强大的数据搜索功能，尤其是关键字搜索功能，其实笔者的理解是获取电子数据对我们来说只是第一步最粗浅的功能，最终的目的是在庞大的海量数据面前准确、迅速地找到想要的信息。对一个经验丰富的技术人员来说，如果对案情有足够的了解，他可以在很短的时间内迅速定位指定数据。但如果侦查人员只是将恢复完的数据拿走，只是一个一个文件地打开去查看或者通过文件名称来简单地进行判断查找，往往是事倍功半，况且现在硬盘技术的发展很快，大容量的硬盘越来越多。这里还不包括反侦查意识强的犯罪嫌疑人有时会采取有意识的隐藏数据行为，侦查人员会被海量的数据拖垮，由此带来的直接后果可能就是有用的数据从手中又溜走了。例如有这样一个案例，两个EXCEL表，一个表中有一万九千多条记录，一个表中有一万七千多条记录，这两个表中有交集，侦查人员要从这两个表中找出每个表中独有的数据，同时又想找出两个表中的交集数据，他们采用的方法就是一个一个在表中查找，找到后或找不到后都分别将记录剪切下存入相应的文件。这实际上就是数据碰撞问题，通过技术手段可能在很短的时间内完成工作，节省下来的宝贵时间对于侦查人员来说他们就可以把更多的精力放到分析案件上。这就是技术人员的优势，在工作中如何能将技术人员的优势与侦查人员的优势充分结合，取长补短应是我们研究的重点。
三是技术人员知识的局限性对取证的影响。取证过程中遇到的各种设备种类繁多，电子取证涉及的知识异常的广泛。既有系统级知识，也有应用级知识，又有网络知识，既包括计算机取证，又包括手机取证等。技术人员知识的盲区，同样也会造成证据的遗失。比如中国移动的部分SIM卡支持的超级号簿功能，各式各样的存储设备等。在作手机取证时，手工ROOT的风险等。此外，技术人员对法律程序了解不够，也是影响其取证的一个重要因素。三、对策建议
第一，应当加强自侦部门与技术部门的沟通。可以从以下几方面入手：一是平时多加强自侦部门与技术部门的交流活动，增加相互了解和相互信任。二是技术部门在平时可以聘请有经验的侦查人员给大家讲解侦查知识，达到优势互补。三是技术人员也可以定期或不定期地为侦查人员讲授一些计算机的知识，同时也可以告诉他们当前技术发展的水平，以及目前能作哪些技术措施。四是在外出取证前，技术人员要主动与侦查人员进行交流，掌握搜查现场的基本情况，案件的基本情况，制定出详细的工作计划，作好外出之前的准备工作。五是在对取证数据进行后期分析的过程中，技术人员要邀请侦查人员一起对案件中可能涉及的电子数据证据进行分析研究。
第二，技术人员要善于总结提高。每个案件完成后，技术人员都要主动向侦查人员了解取证效果情况，不管是成功还是失败都要及时进行总结，为今后的取证积累经验。同时对在现场取证过程中遇到的新情况也要及时总结。比如有一次在现场取证时遇到犯罪嫌疑人的机器正处于开机状态，电脑上正运行着QQ聊天软件或者加密盘。犯罪嫌疑人的计算机中是否有自己的应用程序，应用程序是否需要加密狗等，正常情况下我们是直接拔除电源，然后作复制键，但此种情况下如果我们按照正常的操作流程工作，就会带来不必要的麻烦，因为回来后我们还要对相就文件进行解密，这种情况，我们应先将所要的东西拷贝出来，然后再关机作复制键，所以我们平时就要善于总结经验。此外各种工具之间的差异性也要总结，避免在工作中走弯路，比如在用X-WAY与R-STUDIO同样在对一个被重新分区的硬盘且被格式化的硬盘作恢复时会发现，X-WAY虽然也能将数据恢复出来，但其中有一部分的文件是不能正常打开的，但使用R-STUDIO的恢复结果明显要好于X-WAY。
第三，技术人员要加强专业知识学习。电子数据涉及的知识广，涉及的门类多。每个人的能力有限，不可能穷尽所有的知识，所以技术人员不仅要加强自身的学习，而且要发挥集体的作用，不断提高技术人员的整体专业知识，以更好地为侦查服务。
第四，应当制定细化的程序性规定。近几年，程序公正的问题越来越被人们重视，技术人员思想上要充分认识到程序公正的重要性，要将实体公正与程序公正放到同等地位上，不能只要求结果正确就可以了。新刑诉法确立了非法证据排除规则，这为检察机关取证提出了更高的要求，技术人员也应当不断增强程序公正的意识，不断提高取证水平。为了保证取证的及时性和合法性，我们建议高检院对电子证据的取证程序作出明确规定，以保证技术人员能够按照程序进行取证。
赵作伦，北京市通州区人民检察院技术处干部。
一、电子证据取证中遇到的问题
从目前司法实践看，职务犯罪日趋隐秘化和高科技化，这为侦查工作带来了很大的难度和挑战，需要检察机关充分运用科技手段，收集电子证据。但由于电子证据是一种新证据，一般侦查人员又不懂这方面技术，因而实践中在电子证据取证方面遇到以下主要问题：
一是技术人员与侦查人员配合不够默契。技术人员与侦查人员分属不同的部门，平时接触少，所以在实际的工作中技术人员与侦查人员配合不很默契。这里所说的"配合"包括外出取证前准备阶段的配合、外出取证过程中的配合、外出取证回来后对数据进行分析时的配合。首先是外出取证前准备阶段的配合问题，如自侦部门在办理案件过程中，如果认为犯罪嫌疑人或有关人员的电脑或者存储设备中存在有关证据需要收集的，就会要求技术人员跟随前往外出收集，但案件的基本情况仍需保密。由于每个现场都有它的特异性，如果事先不告知技术人员，到取证现场后，技术人员往往会出现措手不及或准备不充分的情况，这时就会导致取证效率低、取证效果不理想、更有甚者会导致证据流失的问题。其次是取证过程中的配合问题，由于搜查现场会出现各种各样的突发问题，需要侦查人员与技术人员的默契配合。最后是外出取证回来后对数据进行分析时的配合。技术人员就删除数据进行恢复后，对数据对案件的侦破作用知之甚少。
二是取证中遇到的一些技术难题。随着科技的高速发展，职务犯罪中往往出现一些高新设备和技术，需要技术人员熟悉各种设备，掌握各种技术和知识。只有这样，才能保证技术有效地收集到所需要的电子证据。但从目前司法实践看，由于技术人员的培训不及时，往往难以跟上时代前进的步伐，笔者在实践中就遇到一些技术难题，比如在一次外出取证时，要对犯罪嫌疑人的一台电脑的硬盘作复制键时，但发现机器是处于开机状态的，于是按照规程，直接拔掉机箱后的电源，结果硬盘出现了坏道。另一次是对一台CANON相机的SDRAM卡中的删除数据进行恢复，已知这台相机上存储有5天的照片，相机上的照片只是被误删除了，没有被格式化，而且没有覆盖新数据，但在使用X-WAY、ENCASE、PHOTORECOVER等软件进行恢复时，发现只恢复出前3天的数据，后两天100多张照片没有了。
三是取证过程中涉及到的程序问题。由于新刑诉法对证据的取证程序缺乏明确的规定，目前的司法解释对取证程序的规定也较为原则，影响了取证的及时性和合法性。比如技术人员在从进入现场到制成复制键的过程，是否需要进行全程录像还是进行关键点的录像，目前各地的做法不同。又如回避的问题，技术人员在进行技术协助时，是否适用侦查人员的回避，法律没有明确规定；同时，在以后的出庭公诉时，技术人员是否需要出庭，如果需要出庭，是以侦查人员的身份出庭还是以鉴定人的身份出庭，法律也缺乏明确的规定等。
二、原因分析
在司法实践中，技术人员在电子证据取证过程中之所以出现上述问题，通过分析我们认为，主要有以下几方面的原因：
一是侦查人员对技术人员不了解。由于技术人员与侦查人员在不同的部门，而技术部门与侦查部门平时的沟通不够，大家互相都不甚了解。同时，侦查部门由于自己工作性质，多年来养成了良好的保密意识，对技术人员也不愿多讲案件的内容；某些技术人员平时工作不注意，给了侦查人员一种错觉，从而让侦查人员对技术人员产生了不信任。
二是没有发挥技术人员的优势。由于电子证据与传统的物证、书证不同，电子数据是不可见的，有可能分布式存储在网络中，这就决定了电子数据取证的特殊性。现在的技术人员平时使用的一些恢复工具比如X-WAY、ENCASE、FTK、取证大师等不仅提供了删除恢复功能，而且都提供了强大的数据搜索功能，尤其是关键字搜索功能，其实笔者的理解是获取电子数据对我们来说只是第一步最粗浅的功能，最终的目的是在庞大的海量数据面前准确、迅速地找到想要的信息。对一个经验丰富的技术人员来说，如果对案情有足够的了解，他可以在很短的时间内迅速定位指定数据。但如果侦查人员只是将恢复完的数据拿走，只是一个一个文件地打开去查看或者通过文件名称来简单地进行判断查找，往往是事倍功半，况且现在硬盘技术的发展很快，大容量的硬盘越来越多。这里还不包括反侦查意识强的犯罪嫌疑人有时会采取有意识的隐藏数据行为，侦查人员会被海量的数据拖垮，由此带来的直接后果可能就是有用的数据从手中又溜走了。例如有这样一个案例，两个EXCEL表，一个表中有一万九千多条记录，一个表中有一万七千多条记录，这两个表中有交集，侦查人员要从这两个表中找出每个表中独有的数据，同时又想找出两个表中的交集数据，他们采用的方法就是一个一个在表中查找，找到后或找不到后都分别将记录剪切下存入相应的文件。这实际上就是数据碰撞问题，通过技术手段可能在很短的时间内完成工作，节省下来的宝贵时间对于侦查人员来说他们就可以把更多的精力放到分析案件上。这就是技术人员的优势，在工作中如何能将技术人员的优势与侦查人员的优势充分结合，取长补短应是我们研究的重点。
三是技术人员知识的局限性对取证的影响。取证过程中遇到的各种设备种类繁多，电子取证涉及的知识异常的广泛。既有系统级知识，也有应用级知识，又有网络知识，既包括计算机取证，又包括手机取证等。技术人员知识的盲区，同样也会造成证据的遗失。比如中国移动的部分SIM卡支持的超级号簿功能，各式各样的存储设备等。在作手机取证时，手工ROOT的风险等。此外，技术人员对法律程序了解不够，也是影响其取证的一个重要因素。三、对策建议
第一，应当加强自侦部门与技术部门的沟通。可以从以下几方面入手：一是平时多加强自侦部门与技术部门的交流活动，增加相互了解和相互信任。二是技术部门在平时可以聘请有经验的侦查人员给大家讲解侦查知识，达到优势互补。三是技术人员也可以定期或不定期地为侦查人员讲授一些计算机的知识，同时也可以告诉他们当前技术发展的水平，以及目前能作哪些技术措施。四是在外出取证前，技术人员要主动与侦查人员进行交流，掌握搜查现场的基本情况，案件的基本情况，制定出详细的工作计划，作好外出之前的准备工作。五是在对取证数据进行后期分析的过程中，技术人员要邀请侦查人员一起对案件中可能涉及的电子数据证据进行分析研究。
第二，技术人员要善于总结提高。每个案件完成后，技术人员都要主动向侦查人员了解取证效果情况，不管是成功还是失败都要及时进行总结，为今后的取证积累经验。同时对在现场取证过程中遇到的新情况也要及时总结。比如有一次在现场取证时遇到犯罪嫌疑人的机器正处于开机状态，电脑上正运行着QQ聊天软件或者加密盘。犯罪嫌疑人的计算机中是否有自己的应用程序，应用程序是否需要加密狗等，正常情况下我们是直接拔除电源，然后作复制键，但此种情况下如果我们按照正常的操作流程工作，就会带来不必要的麻烦，因为回来后我们还要对相就文件进行解密，这种情况，我们应先将所要的东西拷贝出来，然后再关机作复制键，所以我们平时就要善于总结经验。此外各种工具之间的差异性也要总结，避免在工作中走弯路，比如在用X-WAY与R-STUDIO同样在对一个被重新分区的硬盘且被格式化的硬盘作恢复时会发现，X-WAY虽然也能将数据恢复出来，但其中有一部分的文件是不能正常打开的，但使用R-STUDIO的恢复结果明显要好于X-WAY。
第三，技术人员要加强专业知识学习。电子数据涉及的知识广，涉及的门类多。每个人的能力有限，不可能穷尽所有的知识，所以技术人员不仅要加强自身的学习，而且要发挥集体的作用，不断提高技术人员的整体专业知识，以更好地为侦查服务。
第四，应当制定细化的程序性规定。近几年，程序公正的问题越来越被人们重视，技术人员思想上要充分认识到程序公正的重要性，要将实体公正与程序公正放到同等地位上，不能只要求结果正确就可以了。新刑诉法确立了非法证据排除规则，这为检察机关取证提出了更高的要求，技术人员也应当不断增强程序公正的意识，不断提高取证水平。为了保证取证的及时性和合法性，我们建议高检院对电子证据的取证程序作出明确规定，以保证技术人员能够按照程序进行取证。
赵作伦，北京市通州区人民检察院技术处干部。