關于《公安機關辦理刑事案件電子數(shù)據(jù)取證規(guī)則》收集提取的基本歸納
關于《公安機關辦理刑事案件電子數(shù)據(jù)取證規(guī)則》的基本歸納
（僅涉及收集提取）
一、一般原則
1.電子數(shù)據(jù)取證范圍：電子數(shù)據(jù)的收集提取、電子數(shù)據(jù)的檢查檢驗鑒定、偵查實驗；
2.電子數(shù)據(jù)涉及國家秘密、商業(yè)秘密、警務工作秘密和個人隱私的保密。
二、收集提取電子數(shù)據(jù)
（一）一般性規(guī)定：
1.電子數(shù)據(jù)取證前置程序的必要要求：
收集和提取電子數(shù)據(jù)應當2名以上偵查人員進行（必要時可指派或聘請專業(yè)技術(shù)人員在偵查人員的主持下收集和提取電子數(shù)據(jù)）
2.電子數(shù)據(jù)取證前置程序的一般性要求：
（1）原則上，只要有可以扣押原始存儲介質(zhì)和提取電子數(shù)據(jù)的可能性，不允許采取打印、拍照、錄像等方式固定相關證據(jù)；
a.若無法扣押原始存儲介質(zhì)并且無法提取電子數(shù)據(jù)的，可以采取打印、拍照、錄像等方式固定相關證據(jù)。（徹底不可能）可以封存后交給持有人（提供人）保管，并開具《登記保存清單》一式兩份，由偵查人員、持有人（提供人）和見證人簽/章。
（2）b.若電子數(shù)據(jù)存在自毀功能或裝置，需要及時固定相關證據(jù)的；
c.若需要展示、查看相關電子數(shù)據(jù)的；
上述兩種（b、c）方式固定后，能扣押原始存儲介質(zhì)或提取電子數(shù)據(jù)的，仍應當提取。
◎【“5確?！焙汀?簽章”】
上述三種（a、b、c）采用打印、拍照、錄像等非“根源性”方式固定證據(jù)的，應確保內(nèi)容清晰、注明原因、數(shù)據(jù)存儲位置、存儲介質(zhì)的特征和介質(zhì)所在位置等情況。
由偵查人員簽/章、電子數(shù)據(jù)持有人（提供人）簽/章→提供不了的在筆錄中注明并由見證人簽/章。
3.收集、提取電子數(shù)據(jù)的方式：
A.（原則）扣押、封存原始存儲介質(zhì)（“一鍋端”）
B.現(xiàn)場提取電子數(shù)據(jù)
C.網(wǎng)絡在線提取電子數(shù)據(jù)
D.凍結(jié)電子數(shù)據(jù)
E.調(diào)取電子數(shù)據(jù)
（二）扣押、封存原始存儲介質(zhì)（原則上扣、封原始存儲介質(zhì)優(yōu)先）
1.原始存儲介質(zhì)的封存要求：
（1）不解封狀態(tài)下，無法使用或啟用，必要時內(nèi)部存儲介質(zhì)可以分別封存；
（2）封存前后應拍攝被封存介質(zhì)照片，反應封存前后狀況、反應封口或者封條處的狀況；
（3）具有無線通信功能的原始存儲介質(zhì)（手機等）應屏蔽阻斷信號或切斷電源等。
2.扣押的原則要求：
（1）在場的見證人和原始存儲介質(zhì)持有人（提供人）查點清楚，開列《扣押清單》一式三份（注明名稱、編號、數(shù)量、特征及其來源等）。
簽章要求：偵查人員、持有人（提供人）和見證人簽/章→持有人（提供人）不確定或無法簽章、拒絕簽章的，應筆錄注明由見證人簽/章→因客觀原因無法由符合條件的人員擔任見證人的，應筆錄注明并全程錄像。
（2）扣押時，應收集證人證言以及嫌犯供述和辯解等與原始存儲介質(zhì)相關聯(lián)的證據(jù)。
（三）現(xiàn)場提取電子數(shù)據(jù)：
1.可以現(xiàn)場提取電子數(shù)據(jù)的情形：
（1）不便封存；
（2）提取計算機內(nèi)存數(shù)據(jù)、網(wǎng)絡傳輸數(shù)據(jù)等不在介質(zhì)上的電子數(shù)據(jù)；
（3）案情緊急，不立即提取可能會造成滅失或者其他嚴重后果的；
（4）關閉電子設備會導致重要信息系統(tǒng)停止服務的；
（5）需要通過現(xiàn)場提取排除可以存儲介質(zhì)的；
（6）正在運行的計算機信息系統(tǒng)功能或者應用程序關閉后，沒有密碼無法提取的；
（7）其他
無法扣押的情形消失后，應當及時扣押、封存原始存儲介質(zhì)。
2.現(xiàn)場提取電子數(shù)據(jù)應當：
（1）不得將提取的數(shù)據(jù)存儲在原始存儲介質(zhì)中；
（2）不得在目標系統(tǒng)中安裝新的應用程序；（特殊原因可例外，但應在筆錄中記錄安裝的程序及目的）；
（3）在有關筆錄中詳細、準確記錄實施的操作；
（4）應制作《電子數(shù)據(jù)現(xiàn)場提取筆錄》，注明基本情況（電子數(shù)據(jù)來源、事由、目的、對象、提取電子數(shù)據(jù)的時間、地點、方法、過程、不能扣押原始介質(zhì)的原因、原始介質(zhì)的存放地點），并附《電子數(shù)據(jù)提取固定清單》，注明類別、文件格式、完整性校驗值等，由偵查人員、電子數(shù)據(jù)持有人（提供人）簽/章→電子數(shù)據(jù)持有人（提供人）無法簽名或者拒絕簽名的，應當注明并由見證人簽/章→由于客觀原因無法由符合條件的人員擔任見證人的，應在《電子數(shù)據(jù)現(xiàn)場提取筆錄》中注明并全程錄像，對錄像文件應計算完整性校驗值并記錄在筆錄中。
3.對提取的電子數(shù)據(jù)可以壓縮，但應在筆錄中注明相應的方法和壓縮后的文件完整性校驗值。
（四）網(wǎng)絡在線提取電子數(shù)據(jù)（公開發(fā)布的、境內(nèi)遠程計算機信息系統(tǒng)的電子數(shù)據(jù)）
網(wǎng)絡在線提取或者網(wǎng)絡遠程勘驗時，應當使用電子數(shù)據(jù)持有人、網(wǎng)絡服務提供者提供的用戶名、密碼等遠程計算機信息系統(tǒng)訪問權(quán)限。（技偵的應當按照規(guī)定）
網(wǎng)絡在線提取或者網(wǎng)絡遠程勘驗時，嚴重危害國家安全、公共安全的案件；電子數(shù)據(jù)涉及罪與非罪、是否無期、死刑等定罪量刑關鍵的案件；社會影響較大的案件；可能被判處5年以上有期的案件（應當全程同步錄像）
1.應當計算電子數(shù)據(jù)的完整性校驗值，必要時可以提取有關電子簽名認證證書、數(shù)字簽名、注冊信息等關聯(lián)信息。
2.網(wǎng)絡在線提取的要求，對可能無法重復提取或者可能會出現(xiàn)變化的電子數(shù)據(jù)，應當采用錄像、拍照、截屏等方式記錄以下信息：
（1）遠程計算機信息系統(tǒng)的訪問方式；
（2）提取的日期和時間；
（3）提取使用的工具和方法；
（4）電子數(shù)據(jù)的網(wǎng)絡地址、存儲路徑或者數(shù)據(jù)提取時的進入步驟等；
（5）計算完整性校驗值的過程和結(jié)果。（計算MD值時也需要錄像）
3.在有關筆錄中應注明電子數(shù)據(jù)的來源、事由和目的、對象，提取時間、地點、方法、過程，不能扣押原始存儲介質(zhì)的原因，并附《電子數(shù)據(jù)提取固定清單》，注明類別和文件格式、完整性校驗值等，由偵查人員簽/章。
4.網(wǎng)絡在線提取時的遠程勘驗（縣級公安機關負責）
（1）網(wǎng)絡遠程勘驗應當由符合條件的人員作為見證人，由于客觀原因無法由符合條件的人員擔任見證人的，應當在《遠程勘驗筆錄》中注明情況，并按照網(wǎng)絡在線提取的要求錄像，可以采用錄屏錄像或者錄像機錄像等方式，錄像文件應當計算完整性校驗值記入筆錄。
（2）遠程勘驗結(jié)束后，應制作《遠程勘驗筆錄》，由偵查人員和見證人簽/章。
遠程勘驗并且提取電子數(shù)據(jù)的，按照第“3.”要求注明并附《電子數(shù)據(jù)提取固定清單》
（3）多次遠程勘驗的，應逐次制作補充《遠程勘驗筆錄》
（五）凍結(jié)電子數(shù)據(jù)：
1.可以凍結(jié)的情形：數(shù)據(jù)量大，無法或者不便提??；提取時間長，可能造成電子數(shù)據(jù)篡改或者滅失；通過網(wǎng)絡應用可以更直觀地展示電子數(shù)據(jù)的。
2.凍結(jié)電子數(shù)據(jù)應當：
（1）計算電子數(shù)據(jù)的完整性校驗值；
（2）鎖定網(wǎng)絡應用賬號；
（3）采取保護措施；
（4）其他防止增加、刪除、修改電子數(shù)據(jù)的措施。
（六）調(diào)取電子數(shù)據(jù)
三、電子數(shù)據(jù)的檢查和偵查實驗
（一）電子數(shù)據(jù)檢查（應制作《電子數(shù)據(jù)檢查筆錄》）
1.電子數(shù)據(jù)檢查應當保護在公安機關內(nèi)部移交過程中電子數(shù)據(jù)的完整性，移交時應當辦理移交手續(xù)，并按以下方式核對電子數(shù)據(jù)：
（1）核對完整性校驗值是否正確；
（2）核對封存的照片是否與當前封存狀態(tài)一致。
有以上問題，可能影響證據(jù)真實性和完整性的，檢察人員應在筆錄中注明。
2.電子數(shù)據(jù)檢查時需要提取電子數(shù)據(jù)的，應當制作《電子數(shù)據(jù)提取固定清單》，記錄該電子數(shù)據(jù)的來源、提取方法和完整性校驗值。
（二）電子數(shù)據(jù)偵查實驗
1.必要時為了查明案情，經(jīng)縣級以上公安機關負責人批準可以進行偵查實驗。
2.電子數(shù)據(jù)偵查實驗應制作《電子數(shù)據(jù)偵查實驗筆錄》，記錄偵查實驗的條件、過程和結(jié)果，并由參加偵查實驗的人員簽/章。
電子數(shù)據(jù)收集提取中的相關注意點：
1.需要“簽/章”的紙面文件（筆錄、清單）：
（1）采用打印、拍照或錄像等方式固定證據(jù)的相關筆錄，由2人即“偵查人員”和“電子數(shù)據(jù)持有人（提供人）”簽/章→若電子數(shù)據(jù)持有人（提供人）不或不能簽名的，應筆錄注明并由“見證人”簽/章。
（2）現(xiàn)場提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)現(xiàn)場提取筆錄》《電子數(shù)據(jù)提取固定清單》，由2人“偵查人員”和“電子數(shù)據(jù)持有人（提供人）”簽/章→若電子數(shù)據(jù)持有人（提供人）不或不能簽名的，應筆錄注明并由“見證人”簽/章。
（3）因原始介質(zhì)無法扣押且無法一次性完成提取而拍照錄像開具的《登記保存清單》，由3人“偵查人員”“持有人（提供人）”和“見證人”簽/章。
（4）網(wǎng)絡在線提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)提取固定清單》，由“偵查人員”簽/章。
（5）遠程勘驗結(jié)束的《遠程勘驗筆錄》，由2人“偵查人員”和“見證人”簽/章。
2.需要“完整性校驗”的數(shù)據(jù)：
（一般采用MD5值進行檢測，一個文件數(shù)據(jù)只有一個固定的MD5值，任何的文件數(shù)據(jù)修改或者變動MD5值都會發(fā)生變化。）
（1）現(xiàn)場提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)現(xiàn)場提取筆錄》，需要注明完整性校驗值；
（2）現(xiàn)場提取的電子數(shù)據(jù)可以進行數(shù)據(jù)壓縮，并在筆錄中注明方法和壓縮后的完整性校驗值；
（3）現(xiàn)場提取電子數(shù)據(jù)出具的《電子數(shù)據(jù)現(xiàn)場提取筆錄》中電子數(shù)據(jù)持有人（提供人）不或不能簽名，因客觀原因也沒有符合條件的見證人而錄制的錄像，對錄像文件應計算完整性校驗值（附在電子數(shù)據(jù)現(xiàn)場提取筆錄中）；
（4）網(wǎng)絡在線提取，應當計算電子數(shù)據(jù)的完整性校驗值（附在筆錄中）；
（5）網(wǎng)絡遠程勘驗時因客觀原因無法由符合條件的人員擔任見證人時的錄像，錄像文件應當計算完整性校驗值（附在遠程勘驗筆錄中）；
（6）凍結(jié)電子數(shù)據(jù)的，應該計算完整性校驗值。
3.收集提取電子數(shù)據(jù)是否由2名以上偵查人員進行？
是否附有筆錄/清單并經(jīng)3人簽/章，沒有持有人（提供人）簽章的是否注明原因？
電子數(shù)據(jù)的類別、文件格式是否注明清楚？（否則系瑕疵證據(jù)需補正）
是否按規(guī)定由符合條件的人員擔任見證人，是否對相關活動進行錄像？
4.【程序性問題可補正】瑕疵證據(jù)附條件排除：
有（不僅限于）下列情形經(jīng)補正或者合理解釋的可以采用，否則排除：
A.未以封存狀態(tài)移送的；
B.筆錄或者清單上沒有偵查人員、電子數(shù)據(jù)持有人（提供人）、見證人簽/章的；
C.對電子數(shù)據(jù)的名稱、類別和格式等注明不清的。
5.【實體性問題一律非法證據(jù)排除】虛假證據(jù)排除：
有（不僅限于）下列情形之一的，不作為定案根據(jù)采用：
A.電子數(shù)據(jù)系篡改、偽造或者無法確定真?zhèn)蔚模?/span>
B.電子數(shù)據(jù)有增加、刪除、修改等情形，影響電子數(shù)據(jù)真實性的。
