關(guān)于《公安機(jī)關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則》收集提取的基本歸納
關(guān)于《公安機(jī)關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則》的基本歸納
（僅涉及收集提取）
一、一般原則
1.電子數(shù)據(jù)取證范圍：電子數(shù)據(jù)的收集提取、電子數(shù)據(jù)的檢查檢驗(yàn)鑒定、偵查實(shí)驗(yàn)；
2.電子數(shù)據(jù)涉及國家秘密、商業(yè)秘密、警務(wù)工作秘密和個(gè)人隱私的保密。
二、收集提取電子數(shù)據(jù)
（一）一般性規(guī)定：
1.電子數(shù)據(jù)取證前置程序的必要要求：
收集和提取電子數(shù)據(jù)應(yīng)當(dāng)2名以上偵查人員進(jìn)行（必要時(shí)可指派或聘請專業(yè)技術(shù)人員在偵查人員的主持下收集和提取電子數(shù)據(jù)）
2.電子數(shù)據(jù)取證前置程序的一般性要求：
（1）原則上，只要有可以扣押原始存儲介質(zhì)和提取電子數(shù)據(jù)的可能性，不允許采取打印、拍照、錄像等方式固定相關(guān)證據(jù)；
a.若無法扣押原始存儲介質(zhì)并且無法提取電子數(shù)據(jù)的，可以采取打印、拍照、錄像等方式固定相關(guān)證據(jù)。（徹底不可能）可以封存后交給持有人（提供人）保管，并開具《登記保存清單》一式兩份，由偵查人員、持有人（提供人）和見證人簽/章。
（2）b.若電子數(shù)據(jù)存在自毀功能或裝置，需要及時(shí)固定相關(guān)證據(jù)的；
c.若需要展示、查看相關(guān)電子數(shù)據(jù)的；
上述兩種（b、c）方式固定后，能扣押原始存儲介質(zhì)或提取電子數(shù)據(jù)的，仍應(yīng)當(dāng)提取。
◎【“5確保”和“2簽章”】
上述三種（a、b、c）采用打印、拍照、錄像等非“根源性”方式固定證據(jù)的，應(yīng)確保內(nèi)容清晰、注明原因、數(shù)據(jù)存儲位置、存儲介質(zhì)的特征和介質(zhì)所在位置等情況。
由偵查人員簽/章、電子數(shù)據(jù)持有人（提供人）簽/章→提供不了的在筆錄中注明并由見證人簽/章。
3.收集、提取電子數(shù)據(jù)的方式：
A.（原則）扣押、封存原始存儲介質(zhì)（“一鍋端”）
B.現(xiàn)場提取電子數(shù)據(jù)
C.網(wǎng)絡(luò)在線提取電子數(shù)據(jù)
D.凍結(jié)電子數(shù)據(jù)
E.調(diào)取電子數(shù)據(jù)
（二）扣押、封存原始存儲介質(zhì)（原則上扣、封原始存儲介質(zhì)優(yōu)先）
1.原始存儲介質(zhì)的封存要求：
（1）不解封狀態(tài)下，無法使用或啟用，必要時(shí)內(nèi)部存儲介質(zhì)可以分別封存；
（2）封存前后應(yīng)拍攝被封存介質(zhì)照片，反應(yīng)封存前后狀況、反應(yīng)封口或者封條處的狀況；
（3）具有無線通信功能的原始存儲介質(zhì)（手機(jī)等）應(yīng)屏蔽阻斷信號或切斷電源等。
2.扣押的原則要求：
（1）在場的見證人和原始存儲介質(zhì)持有人（提供人）查點(diǎn)清楚，開列《扣押清單》一式三份（注明名稱、編號、數(shù)量、特征及其來源等）。
簽章要求：偵查人員、持有人（提供人）和見證人簽/章→持有人（提供人）不確定或無法簽章、拒絕簽章的，應(yīng)筆錄注明由見證人簽/章→因客觀原因無法由符合條件的人員擔(dān)任見證人的，應(yīng)筆錄注明并全程錄像。
（2）扣押時(shí)，應(yīng)收集證人證言以及嫌犯供述和辯解等與原始存儲介質(zhì)相關(guān)聯(lián)的證據(jù)。
（三）現(xiàn)場提取電子數(shù)據(jù)：
1.可以現(xiàn)場提取電子數(shù)據(jù)的情形：
（1）不便封存；
（2）提取計(jì)算機(jī)內(nèi)存數(shù)據(jù)、網(wǎng)絡(luò)傳輸數(shù)據(jù)等不在介質(zhì)上的電子數(shù)據(jù)；
（3）案情緊急，不立即提取可能會造成滅失或者其他嚴(yán)重后果的；
（4）關(guān)閉電子設(shè)備會導(dǎo)致重要信息系統(tǒng)停止服務(wù)的；
（5）需要通過現(xiàn)場提取排除可以存儲介質(zhì)的；
（6）正在運(yùn)行的計(jì)算機(jī)信息系統(tǒng)功能或者應(yīng)用程序關(guān)閉后，沒有密碼無法提取的；
（7）其他
無法扣押的情形消失后，應(yīng)當(dāng)及時(shí)扣押、封存原始存儲介質(zhì)。
2.現(xiàn)場提取電子數(shù)據(jù)應(yīng)當(dāng)：
（1）不得將提取的數(shù)據(jù)存儲在原始存儲介質(zhì)中；
（2）不得在目標(biāo)系統(tǒng)中安裝新的應(yīng)用程序；（特殊原因可例外，但應(yīng)在筆錄中記錄安裝的程序及目的）；
（3）在有關(guān)筆錄中詳細(xì)、準(zhǔn)確記錄實(shí)施的操作；
（4）應(yīng)制作《電子數(shù)據(jù)現(xiàn)場提取筆錄》，注明基本情況（電子數(shù)據(jù)來源、事由、目的、對象、提取電子數(shù)據(jù)的時(shí)間、地點(diǎn)、方法、過程、不能扣押原始介質(zhì)的原因、原始介質(zhì)的存放地點(diǎn)），并附《電子數(shù)據(jù)提取固定清單》，注明類別、文件格式、完整性校驗(yàn)值等，由偵查人員、電子數(shù)據(jù)持有人（提供人）簽/章→電子數(shù)據(jù)持有人（提供人）無法簽名或者拒絕簽名的，應(yīng)當(dāng)注明并由見證人簽/章→由于客觀原因無法由符合條件的人員擔(dān)任見證人的，應(yīng)在《電子數(shù)據(jù)現(xiàn)場提取筆錄》中注明并全程錄像，對錄像文件應(yīng)計(jì)算完整性校驗(yàn)值并記錄在筆錄中。
3.對提取的電子數(shù)據(jù)可以壓縮，但應(yīng)在筆錄中注明相應(yīng)的方法和壓縮后的文件完整性校驗(yàn)值。
（四）網(wǎng)絡(luò)在線提取電子數(shù)據(jù)（公開發(fā)布的、境內(nèi)遠(yuǎn)程計(jì)算機(jī)信息系統(tǒng)的電子數(shù)據(jù)）
網(wǎng)絡(luò)在線提取或者網(wǎng)絡(luò)遠(yuǎn)程勘驗(yàn)時(shí)，應(yīng)當(dāng)使用電子數(shù)據(jù)持有人、網(wǎng)絡(luò)服務(wù)提供者提供的用戶名、密碼等遠(yuǎn)程計(jì)算機(jī)信息系統(tǒng)訪問權(quán)限。（技偵的應(yīng)當(dāng)按照規(guī)定）
網(wǎng)絡(luò)在線提取或者網(wǎng)絡(luò)遠(yuǎn)程勘驗(yàn)時(shí)，嚴(yán)重危害國家安全、公共安全的案件；電子數(shù)據(jù)涉及罪與非罪、是否無期、死刑等定罪量刑關(guān)鍵的案件；社會影響較大的案件；可能被判處5年以上有期的案件（應(yīng)當(dāng)全程同步錄像）
1.應(yīng)當(dāng)計(jì)算電子數(shù)據(jù)的完整性校驗(yàn)值，必要時(shí)可以提取有關(guān)電子簽名認(rèn)證證書、數(shù)字簽名、注冊信息等關(guān)聯(lián)信息。
2.網(wǎng)絡(luò)在線提取的要求，對可能無法重復(fù)提取或者可能會出現(xiàn)變化的電子數(shù)據(jù)，應(yīng)當(dāng)采用錄像、拍照、截屏等方式記錄以下信息：
（1）遠(yuǎn)程計(jì)算機(jī)信息系統(tǒng)的訪問方式；
（2）提取的日期和時(shí)間；
（3）提取使用的工具和方法；
（4）電子數(shù)據(jù)的網(wǎng)絡(luò)地址、存儲路徑或者數(shù)據(jù)提取時(shí)的進(jìn)入步驟等；
（5）計(jì)算完整性校驗(yàn)值的過程和結(jié)果。（計(jì)算MD值時(shí)也需要錄像）
3.在有關(guān)筆錄中應(yīng)注明電子數(shù)據(jù)的來源、事由和目的、對象，提取時(shí)間、地點(diǎn)、方法、過程，不能扣押原始存儲介質(zhì)的原因，并附《電子數(shù)據(jù)提取固定清單》，注明類別和文件格式、完整性校驗(yàn)值等，由偵查人員簽/章。
4.網(wǎng)絡(luò)在線提取時(shí)的遠(yuǎn)程勘驗(yàn)（縣級公安機(jī)關(guān)負(fù)責(zé)）
（1）網(wǎng)絡(luò)遠(yuǎn)程勘驗(yàn)應(yīng)當(dāng)由符合條件的人員作為見證人，由于客觀原因無法由符合條件的人員擔(dān)任見證人的，應(yīng)當(dāng)在《遠(yuǎn)程勘驗(yàn)筆錄》中注明情況，并按照網(wǎng)絡(luò)在線提取的要求錄像，可以采用錄屏錄像或者錄像機(jī)錄像等方式，錄像文件應(yīng)當(dāng)計(jì)算完整性校驗(yàn)值記入筆錄。
（2）遠(yuǎn)程勘驗(yàn)結(jié)束后，應(yīng)制作《遠(yuǎn)程勘驗(yàn)筆錄》，由偵查人員和見證人簽/章。
遠(yuǎn)程勘驗(yàn)并且提取電子數(shù)據(jù)的，按照第“3.”要求注明并附《電子數(shù)據(jù)提取固定清單》
（3）多次遠(yuǎn)程勘驗(yàn)的，應(yīng)逐次制作補(bǔ)充《遠(yuǎn)程勘驗(yàn)筆錄》
（五）凍結(jié)電子數(shù)據(jù)：
1.可以凍結(jié)的情形：數(shù)據(jù)量大，無法或者不便提取；提取時(shí)間長，可能造成電子數(shù)據(jù)篡改或者滅失；通過網(wǎng)絡(luò)應(yīng)用可以更直觀地展示電子數(shù)據(jù)的。
2.凍結(jié)電子數(shù)據(jù)應(yīng)當(dāng)：
（1）計(jì)算電子數(shù)據(jù)的完整性校驗(yàn)值；
（2）鎖定網(wǎng)絡(luò)應(yīng)用賬號；
（3）采取保護(hù)措施；
（4）其他防止增加、刪除、修改電子數(shù)據(jù)的措施。
（六）調(diào)取電子數(shù)據(jù)
三、電子數(shù)據(jù)的檢查和偵查實(shí)驗(yàn)
（一）電子數(shù)據(jù)檢查（應(yīng)制作《電子數(shù)據(jù)檢查筆錄》）
1.電子數(shù)據(jù)檢查應(yīng)當(dāng)保護(hù)在公安機(jī)關(guān)內(nèi)部移交過程中電子數(shù)據(jù)的完整性，移交時(shí)應(yīng)當(dāng)辦理移交手續(xù)，并按以下方式核對電子數(shù)據(jù)：
（1）核對完整性校驗(yàn)值是否正確；
（2）核對封存的照片是否與當(dāng)前封存狀態(tài)一致。
有以上問題，可能影響證據(jù)真實(shí)性和完整性的，檢察人員應(yīng)在筆錄中注明。
2.電子數(shù)據(jù)檢查時(shí)需要提取電子數(shù)據(jù)的，應(yīng)當(dāng)制作《電子數(shù)據(jù)提取固定清單》，記錄該電子數(shù)據(jù)的來源、提取方法和完整性校驗(yàn)值。
（二）電子數(shù)據(jù)偵查實(shí)驗(yàn)
1.必要時(shí)為了查明案情，經(jīng)縣級以上公安機(jī)關(guān)負(fù)責(zé)人批準(zhǔn)可以進(jìn)行偵查實(shí)驗(yàn)。
2.電子數(shù)據(jù)偵查實(shí)驗(yàn)應(yīng)制作《電子數(shù)據(jù)偵查實(shí)驗(yàn)筆錄》，記錄偵查實(shí)驗(yàn)的條件、過程和結(jié)果，并由參加偵查實(shí)驗(yàn)的人員簽/章。
電子數(shù)據(jù)收集提取中的相關(guān)注意點(diǎn)：
1.需要“簽/章”的紙面文件（筆錄、清單）：
（1）采用打印、拍照或錄像等方式固定證據(jù)的相關(guān)筆錄，由2人即“偵查人員”和“電子數(shù)據(jù)持有人（提供人）”簽/章→若電子數(shù)據(jù)持有人（提供人）不或不能簽名的，應(yīng)筆錄注明并由“見證人”簽/章。
（2）現(xiàn)場提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)現(xiàn)場提取筆錄》《電子數(shù)據(jù)提取固定清單》，由2人“偵查人員”和“電子數(shù)據(jù)持有人（提供人）”簽/章→若電子數(shù)據(jù)持有人（提供人）不或不能簽名的，應(yīng)筆錄注明并由“見證人”簽/章。
（3）因原始介質(zhì)無法扣押且無法一次性完成提取而拍照錄像開具的《登記保存清單》，由3人“偵查人員”“持有人（提供人）”和“見證人”簽/章。
（4）網(wǎng)絡(luò)在線提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)提取固定清單》，由“偵查人員”簽/章。
（5）遠(yuǎn)程勘驗(yàn)結(jié)束的《遠(yuǎn)程勘驗(yàn)筆錄》，由2人“偵查人員”和“見證人”簽/章。
2.需要“完整性校驗(yàn)”的數(shù)據(jù)：
（一般采用MD5值進(jìn)行檢測，一個(gè)文件數(shù)據(jù)只有一個(gè)固定的MD5值，任何的文件數(shù)據(jù)修改或者變動(dòng)MD5值都會發(fā)生變化。）
（1）現(xiàn)場提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)現(xiàn)場提取筆錄》，需要注明完整性校驗(yàn)值；
（2）現(xiàn)場提取的電子數(shù)據(jù)可以進(jìn)行數(shù)據(jù)壓縮，并在筆錄中注明方法和壓縮后的完整性校驗(yàn)值；
（3）現(xiàn)場提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)現(xiàn)場提取筆錄》中電子數(shù)據(jù)持有人（提供人）不或不能簽名，因客觀原因也沒有符合條件的見證人而錄制的錄像，對錄像文件應(yīng)計(jì)算完整性校驗(yàn)值（附在電子數(shù)據(jù)現(xiàn)場提取筆錄中）；
（4）網(wǎng)絡(luò)在線提取，應(yīng)當(dāng)計(jì)算電子數(shù)據(jù)的完整性校驗(yàn)值（附在筆錄中）；
（5）網(wǎng)絡(luò)遠(yuǎn)程勘驗(yàn)時(shí)因客觀原因無法由符合條件的人員擔(dān)任見證人時(shí)的錄像，錄像文件應(yīng)當(dāng)計(jì)算完整性校驗(yàn)值（附在遠(yuǎn)程勘驗(yàn)筆錄中）；
（6）凍結(jié)電子數(shù)據(jù)的，應(yīng)該計(jì)算完整性校驗(yàn)值。
3.收集提取電子數(shù)據(jù)是否由2名以上偵查人員進(jìn)行？
是否附有筆錄/清單并經(jīng)3人簽/章，沒有持有人（提供人）簽章的是否注明原因？
電子數(shù)據(jù)的類別、文件格式是否注明清楚？（否則系瑕疵證據(jù)需補(bǔ)正）
是否按規(guī)定由符合條件的人員擔(dān)任見證人，是否對相關(guān)活動(dòng)進(jìn)行錄像？
4.【程序性問題可補(bǔ)正】瑕疵證據(jù)附條件排除：
有（不僅限于）下列情形經(jīng)補(bǔ)正或者合理解釋的可以采用，否則排除：
A.未以封存狀態(tài)移送的；
B.筆錄或者清單上沒有偵查人員、電子數(shù)據(jù)持有人（提供人）、見證人簽/章的；
C.對電子數(shù)據(jù)的名稱、類別和格式等注明不清的。
5.【實(shí)體性問題一律非法證據(jù)排除】虛假證據(jù)排除：
有（不僅限于）下列情形之一的，不作為定案根據(jù)采用：
A.電子數(shù)據(jù)系篡改、偽造或者無法確定真?zhèn)蔚模?/span>
B.電子數(shù)據(jù)有增加、刪除、修改等情形，影響電子數(shù)據(jù)真實(shí)性的。
