网络犯罪辩护中电子证据质证“三论”

主讲人：周立波，华东政法大学刑法学博士。

主要研究领域：网络犯罪，经济犯罪。

网络犯罪辩护中电子证据质证“三论”

一、认识论

正确认识事物是利用事物的前提。

（一）网络犯罪的案件范围

2014《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》第1条

网络犯罪案件包括：

1.危害计算机信息系统安全犯罪案件；

2.通过危害计算机信息系统安全实施的盗窃、诈骗、敲诈勒索等犯罪案件；

3.在网络上发布信息或者设立主要用于实施犯罪活动的网站、通讯群组，针对或者组织、教唆、帮助不特定多数人实施的犯罪案件；

4.主要犯罪行为在网络上实施的其他案件。

（二）电子证据的含义

2005年公安部《计算机犯罪现场勘验与电子证据检查规则》

第二条：电子证据包括电子数据、存储媒介和电子设备。

注意：电子数据属于新的证据种类。

（2012年刑诉法新增）

1.存储介质

是指具备数据信息存储功能的电子设备、硬盘、光盘、U盘、记忆棒、存储卡、存储芯片等载体。目前最流行的存储介质是闪存介质，比如U盘、CF卡、SD卡、SDHC卡、MMC卡、SM卡、记忆棒、xD卡等。

2.电子设备

是指由集成电路、晶体管、电子管等电子元器件组成，应用电子技术（包括）软件发挥作用的设备，包括电子计算机以及由电子计算机控制的机器人、数控或程控系统等。

3.电子数据

（“概括+例举+排除”）

概括：电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据。

例举：电子数据包括但不限于下列信息、电子文件：

（1）网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息；

（2）手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息；

（3）用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息；

（4）文档、图片、音视频、数字证书、计算机程序等电子文件。

排除：以数字化形式记载的证人证言、被害人陈述以及犯罪嫌疑人、被告人供述和辩解等证据，不属于电子数据。

（三）电子数据的特性

特性：

1.无形性。

2.易变性。

3.稳定性。

4.难存性。

（四）电子证据到诉讼证据的形成过程

四步：现场勘验——收集提取——移送展示——审查判断。

（五）电子数据的“四性”

真实性：电子数据内容是否真实。

完整性：电子数据是否完整。

合法性：电子数据的收集、提取，移送、展示是否符合相关规定。关联性：电子数据与案件是否有关联。

（六）电子证据质证有关的法律法规及行业规范

1.主要法律法规

2005公安部《计算机犯罪现场勘验与电子证据检查规则》

2005公安部《公安机关电子数据鉴定规则》

2009最高检《人民检察院电子证据鉴定程序规则》

2012全国律协《中华全国律师协会律师办理电子数据证据业务操作指引》

2013公安部《公安机关办理刑事案件程序规定》

2014三部门《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》

2015公安部《公安机关刑事案件现场勘验检查规则》

2016公安部《公安机关执法细则(第三版)》

2016最高院《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》

2.主要行业规范

GA/T 754-2008 电子数据存储介质复制工具要求及检测方法

GA/T 755-2008 电子数据存储介质写保护设备要求及检测方法

GA/T 756-2008 数字化设备证据数据发现提取固定方法GA/T 757-2008 程序功能检验方法

GA/T 976-2012 电子数据法庭科学鉴定通用方法

GA/T 978-2012 网络游戏私服检验技术方法

GA/T 1171-2014 芯片相似性比对检验方法

GA/T 1170-2014 移动终端取证检验方法

GA/T 1172-2014 电子邮件检验技术方法

GA/T 1173-2014 即时通信记录检验技术方法

GA/T 1174-2014 电子证据数据现场获取通用方法

GA/T 1176-2014 网页浏览器历史数据取证技术方法GA/T 1175-2014 软件相似性检验技术方法

GB/T 29360-2-12 《电子物证数据恢复检验规程》

GB/T2936-2012 《电子物证文件一致性检验规程》

GB/T29361-2012 《电子物证数据搜索检验规程》

GB/T31500-2015 《信息安全技术存储介质数据恢复服务要求》GB/T 17544-1998 信息技术、软件包质量要求和测试

CNAS-CL08：2013《司法鉴定/法庭科学机构能力认可准则在电子物证鉴定领域的应用说明》

二、方法论

“天地之变，寒暑风雨，水旱螟蝗，率皆有法。”

（一）把握质证方向——以法官审查判断为视角

法官是证据认定的主体。

法官考察的是证据的真实性、完整性、合法性、关联性以及证明力的有无、大小。

法官对证据的审查、判断规范是辩护人质证的“圣经”。

1.电子数据“真实性”审查要点（2016《规定》第22条）

（1）是否移送原始存储介质；在原始存储介质无法封存、不便移动时，有无说明原因，并注明收集、提取过程及原始存储介质的存放地点或者电子数据的来源等情况；

（2）电子数据是否具有数字签名、数字证书等特殊标识；

（3）电子数据的收集、提取过程是否可以重现；

（4）电子数据如有增加、删除、修改等情形的，是否附有说明；

（5）电子数据的完整性是否可以保证。

2.电子数据“完整性”审查要点（2016《规定》第23条）

（1）审查原始存储介质的扣押、封存状态；

（2）审查电子数据的收集、提取过程，查看录像；

（3）比对电子数据完整性校验值；

（4）与备份的电子数据进行比较；

（5）审查冻结后的访问操作日志。

3.电子数据“合法性”审查要点（2016《规定》第24条）

（1）收集、提取电子数据是否由二名以上侦查人员进行，取证方法是否符合相关技术标准；

（2）收集、提取电子数据，是否附有笔录、清单，并经侦查人员、电子数据持有人（提供人）、见证人签名或者盖章；没有持有人（提供人）签名或者盖章的，是否注明原因；对电子数据的类别、文件格式等是否注明清楚；

（3）是否依照有关规定由符合条件的人员担任见证人，是否对相关活动进行录像；

（4）电子数据检查是否将电子数据存储介质通过写保护设备接入到检查设备；有条件的，是否制作电子数据备份，并对备份进行检查；无法制作备份且无法使用写保护设备的，是否附有录像。

（网络犯罪初查过程中采取强制侦查措施、技术侦查措施收集、提取的电子数据不具有合法性，应当依法排除。）

4.电子数据“关联性”审查要点（2016《规定》第25条）

（1）认定犯罪嫌疑人、被告人的网络身份与现实身份的同一性，可以通过核查相关IP地址、网络活动记录、上网终端归属、相关证人证言以及犯罪嫌疑人、被告人供述和辩解等进行综合判断。

（2）认定犯罪嫌疑人、被告人与存储介质的关联性，可以通过核查相关证人证言以及犯罪嫌疑人、被告人供述和辩解等进行综合判断。

（二）掌握质证核心——以证据排除规定为标准

2012《刑诉法》第九十四条：视听资料、电子数据具有下列情形之一的，不得作为定案的根据：

（一）经审查无法确定真伪的；（绝对排除）

（二）制作、取得的时间、地点、方式等有疑问，不能提供必要证明或者作出合理解释的。（可补正排除）

2016《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》

第二十七条电子数据的收集、提取程序有下列瑕疵，经补正或者作出合理解释的，可以采用；不能补正或者作出合理解释的，不得作为

定案的根据：

（一）未以封存状态移送的；

（二）笔录或者清单上没有侦查人员、电子数据持有人（提供人）、见证人签名或者盖章的；

（三）对电子数据的名称、类别、格式等注明不清的；

（四）有其他瑕疵的。

第二十八条电子数据具有下列情形之一的，不得作为定案的根据：（一）电子数据系篡改、伪造或者无法确定真伪的；

（二）电子数据有增加、删除、修改等情形，影响电子数据真实性的；

（三）其他无法保证电子数据真实性的情形。

2012《刑诉法》第五十四条【非法证据排除】

采用刑讯逼供等非法方法收集的犯罪嫌疑人、被告人供述和采用暴力、威胁等非法方法收集的证人证言、被害人陈述，应当予以排除。收集物证、书证不符合法定程序，可能严重影响司法公正的，应当予

以补正或者作出合理解释；不能补正或者作出合理解释的，对该证据应当予以排除。

最高法观点：以电子证据所载内容之性质判别。

一、电子证据所载内容为主观性质的言词证据，应当采用严格排除的规则。例如社交软件上的聊天记录、手机上对通话进行的录音等。

二、电子证据所载内容为客观性较强的实物证据，应当采取可补正的排除规则。大部分电子证据均为该规则的适用对象，如电脑存储的病毒源文件、电子化的账单与记录等。

（三）区分质证重点——以证据污染程度为依据

1.“摧毁型”质证

（证据污染程度高）

对电子数据的质证，足以摧毁电子数据的“四性”，达到排除电子数据的标准。

2.“动摇型”质证

（证据污染程度低）

对电子数据的质证，危及电子数据的“四性”，但不足以达到排除电子数据的程度。

（四）明确质证目的——以有效辩护为依归

质证只是手段，要服务于整个案件的辩护。

三、实践论

“不登高山，不知天之高也；不临深渊，不知地之厚也。

（一）现场勘验、检查阶段质证

1.现场保护

2015《公安机关刑事案件现场勘验检查规则》

第十四条发案地公安机关接到刑事案件报警后，对于有犯罪现场的，应当迅速派员赶赴现场，做好现场保护工作。

第十六条负责保护现场的人民警察除抢救伤员、紧急排险等情况外，不得进入现场，不得触动现场上的痕迹、物品。

第十八条保护现场的时间，从发现刑事案件现场开始，至现场勘验、检查结束。需要继续勘验、检查或者需要保留现场的，应当对整个现场或者部分现场继续予以保护。

质证要点：

一是公安机关是否进行了现场保护？

二是负责保护现场的警察除紧急情况外，是否进入现场、触动现场痕迹与物品？

三是现场保护的开始时间与结束时间是多少？

2.勘验、检查的机构和人员、见证人

2016《公安机关执法细则》7-02

计算机犯罪现场勘验与电子证据检查，应当由县级以上公安机关网络安全保卫部门负责组织实施。必要时，可以指派或者聘请具有专门知识的人参加。

2015《公安机关刑事案件现场勘验检查规则》

第二十四条：公安机关对刑事案件现场进行勘验、检查不得少于二人。

勘验、检查现场时，应当邀请一至二名与案件无关的公民作见证人。由于客观原因无法由符合条件的人员担任见证人的，应当在笔录材料中注明情况，并对相关活动进行录像。

3.现场勘验检查、远程勘验、电子证据检查笔录

勘验、检查需制作《现场勘验检查工作记录》、《远程勘验工作记录》、《电子证据检查工作记录》。这些工作记录，属于刑事诉讼法所规定的书证。

质证要点：

一是是否签字与盖章？《现场勘验检查工作记录》、《远程勘验工作记录》、《电子证据检查工作记录》，都需要盖骑缝章，并且，需要至少两名勘验、检查人员签名。

二是笔录制作的内容是否完整？对于《现场勘验检查工作记录》、《远程勘验工作记录》、《电子证据检查工作记录》应包括的内容，2005《计算机犯罪现场勘验与电子证据检查规则》第七章对其进行了具体规定。可以根据该《规则》审视工作记录的完整性，提出相应的质证意见。

（二）收集、提取阶段质证

1.取证主体资质和技术要求

2016《规定》第七条：收集、提取电子数据，应当由二名以上侦查人员进行。取证方法应当符合相关技术标准。

2014《意见》第13条：收集、提取电子数据，应当由二名以上具备

相关专业知识的侦查人员进行。取证设备和过程应当符合相关技术标准，并保证所收集、提取的电子数据的完整性、客观性。

2.扣押、封存原始存储介质，固定电子证据

2016《规定》第八条：收集、提取电子数据，能够扣押电子数据原始存储介质的，应当扣押、封存原始存储介质，并制作笔录，记录原始存储介质的封存状态。

封存电子数据原始存储介质，应当保证在不解除封存状态的情况下，无法增加、删除、修改电子数据。封存前后应当拍摄被封存原始存储介质的照片，清晰反映封口或者张贴封条处的状况。

封存手机等具有无线通信功能的存储介质，应当采取信号屏蔽、信号阻断或者切断电源等措施。

2016《公安机关执法细则》7-03.规定的电子证据的固定和封存

1）作为证据使用的存储媒介、电子设备和电子数据应当在现场固定或封存。

2）封存电子设备和存储媒介的方法是：

(1)采用的封存方法应当保证在不解除封存状态的情况下，无法使用被

封存的存储媒介和启动被封存电子设备。

(2)封存前后应当拍摄被封存电子设备和存储媒介的照片并制作《封存电子证据清单》，照片应当从各个角度反映设备封存前后的状况，清晰反映封口或张贴封条处的状况。

3）固定存储媒介和电子数据包括以下方式：

(1)完整性校验方式。是指计算电子数据和存储媒介的完整性校验值，并制作、填写《固定电子证据清单》;

(2)备份方式。是指复制、制作原始存储媒介的备份，并依照本条第2款规定的方法封存原始存储媒介;

(3)封存方式。对于无法计算存储媒介完整性校验值或制作备份的情形，应当依照本条第2款规定的方法封存原始存储媒介，并在《现场勘验检查笔录》上注明不计算完整性校验值或制作备份的理由。

3.提取电子数据

2016《规定》第九条：具有下列情形之一，无法扣押原始存储介质的，可以提取电子数据，但应当在笔录中注明不能扣押原始存储介质的原因、原始存储介质的存放地点或者电子数据的来源等情况，并计算电子数据的完整性校验值：

（1）原始存储介质不便封存的；

（2）提取计算机内存数据、网络传输数据等不是存储在存储介质上的电子数据的；

（3）原始存储介质位于境外的；

（4）其他无法扣押原始存储介质的情形。

2005《计算机犯罪现场勘验与电子证据检查规则》第28条：从电子证据中提取电子数据，应当制作《提取电子数据清单》，记录该电子数据的来源和提取方法。

4.打印、拍照或者录像等方式固定证据

2016《规定》第十条：由于客观原因无法或者不宜依据第八条、第九条的规定收集、提取电子数据的，可以采取打印、拍照或者录像等方式固定相关证据，并在笔录中说明原因。

5.远程勘验和在线分析

2016《规定》第九条第二、三款：对于原始存储介质位于境外或者远程计算机信息系统上的电子数据，可以通过网络在线提取。

为进一步查明有关情况，必要时，可以对远程计算机信息系统进行网络远程勘验。进行网络远程勘验，需要采取技术侦查措施的，应当依法经过严格的批准手续。

2005《计算机犯罪现场勘验与电子证据检查规则》第五章远程勘验

第二十二条远程勘验过程中提取的目标系统状态信息、目标网站内容以及勘验过程中生成的其它电子数据，应当计算其完整性校验值并制作《固定电子证据清单》。

第二十三条应当采用录像、照相、截获计算机屏幕内容等方式记录远程勘验过程中提取、生成电子证据等关键步骤。

第二十四条远程勘验结束后，应当及时制作《远程勘验工作记录》。《远程勘验工作记录》由《远程勘验笔录》、《固定电子证据清单》、《勘验检查照片记录表》以及截获的屏幕截图等内容组成。

第二十五条通过网络监听获取特定主机通信内容以提取电子证据时，应当遵循与远程勘验相同的规定。

6.电子数据冻结

2016《规定》第十一条：具有下列情形之一的，经县级以上公安机

关负责人或者检察长批准，可以对电子数据进行冻结：

（1）数据量大，无法或者不便提取的；

（2）提取时间长，可能造成电子数据被篡改或者灭失的；

（3）通过网络应用可以更为直观地展示电子数据的；

（4）其他需要冻结的情形。

第十二条冻结电子数据，应当制作协助冻结通知书，注明冻结电子数据的网络应用账号等信息，送交电子数据持有人、网络服务提供者或者有关部门协助办理。解除冻结的，应当在三日内制作协助解除冻结通知书，送交电子数据持有人、网络服务提供者或者有关部门协助办理。

冻结电子数据，应当采取以下一种或者几种方法：

（1）计算电子数据的完整性校验值；

（2）锁定网络应用账号；

（3）其他防止增加、删除、修改电子数据的措施。