电子证据的特点及侦查取证

刘 洁

摘要：随着计算机和互联网的广泛运用，不可避免地出现利用计算机和互联网进行犯罪的行为，而电子证据由于其技术依赖性、易于修改性、传输快捷性和反复重现性的特点受到广泛关注。在侦查取证中。计算机进行搜查取证和电子证据的提取、固定方式十分重要。同时，侦查获取的电子证据被认可采纳作为定案根据，还须具备客观真实性、合法性和关联性。这“三个属性”是电子证据审查判断的标准。

关键词：侦查工作；电子证据；搜查取证

中图分类号：D915.13文献标识码：A文章编号：1008-4428(2009)11-77-02

电子证据是随着计算机、互联网等电子设备在生活中的普及应用而出现的一类新生事物，尽管我国《刑事诉讼法》由于颁布较早没有将电子证据纳入法定的七种证据类型，但在刑事诉讼司法实践中电子证据已逐步确立了其事实上的刑事诉讼证据地位。近几年，在各类犯罪案件中，电子证据的身影也频繁地出现，与传统证据相比，电子证据有哪些特点，针对这些特点如何进行侦查取证，如何保证侦查获取的电子证据能被检、法部门认可作为定案根据，这些问题已经成为摆在刑事执法人员面前亟待解决的新课题。

一、电子证据的概念

关于电子证据的概念，目前主流看法将其界定为：以电子形式存在的、用作证据使用的一切材料及其派生物，或者说借助电子技术或电子设备而形成的一切证据。理解这一概念时。要着重把握以下几点：

(一)电子证据的存在形式

所谓“电子形式”，是指由介质、磁性物、光学设备、计算机内存或类似设备生成、发送、接收、存储的任一信息的存在形式。形象化的描述就是以数字方式存在于计算机内存、服务器、光盘、U盘等存储介质以及手机、数码相机等数码产品中的电子信息。所谓“派生物”，是指通过一定的技术设备将电子证据转化为其他形式存在的资料或物品，比如打印出的纸质文档、冲洗出的数码照片等。

(二)电子证据的形成方式

电子证据是在电子技术和电子设备的应用过程中产生的，电子证据不能脱离特定的电子技术或电子设备而独立存在。这就从根本上决定了电子证据的技术依赖性。电子设备不限于电子计算机，还包括生活中常见的手机、MP3、MP4、数码相机、数码摄像机等等。可以预见，随着电子技术的发展，新的电子设备将不断涌现，要求侦查人员对新生事物保持高度敏感和关注。

二、电子证据的特点

电子证据从不同角度看有不同特点，本文关注的仅限于对侦查取证工作有重要影响的特点：

(一)技术依赖性

电子证据的技术依赖性表现在电子证据的生成、存储、传输及显示等过程都需要专门的技术设备和手段才能完成。电子证据和其所依赖的操作系统密不可分。这一特点要求侦查人员在收集电子证据时，应当同时保存相应的操作系统，以保全该证据的运行环境，保证电子证据的客观真实性，避免给犯罪嫌疑人对证据提出异议。

(二)易于修改性

研究表明，电子记录任何被删除、复制、个性的痕迹都可通过技术手段分析认定。被删除的记录也可以通过特定技术予以恢复。从此意义上讲，电子证据比传统证据更具稳定性和安全性。

(三)传输快捷性

与传统证据相比，电子证据具有复制、传播的迅捷性特点，且传播范围广，这一特征反而给侦查人员侦查取证提供了更加便利的条件，要求侦查人员在取证中思路要广，视野要开阔，要尽量从多种不同渠道去收集电子证据，对电子证据进行相互印证，增强电子证据的可采性。

(四)反复重现性

传统物证、书证、视听资料转移后，在原始出处就不存在了。经复制的物证、书证、视听资料与原件相比失真可能性比较大；电子证据则不然，其经复制转移后不仅仍在原始出处存在，而且失真的可能性很小甚至没有，从这个意义上讲，电子证据可以反复重现，只要能够证明复制时操作系统的安全性，即复制件没有失真的可能性，复制的电子证据即可视为原件。

三、电子证据的侦查取证

(一)电子证据取证的基本程序

电子证据的侦查取证方式包括责令犯罪嫌疑人主动上交、由证人提供、去互联网接入服务提供者和互联网信息服务提供者处调取以及对犯罪嫌疑人使用的计算机进行搜查等。前三种方式比较简单，这里重点介绍第四种方法，即对计算机进行搜查取证的基本程序。

1、首先检查硬件设备，切断可能存在的其他输入、输出设备，保证计算机储存的信息在取证过程中不被修改或损毁，必要时停止计算机的运行。

2、用无毒的备用操作系统重新开机，对计算机内部信息进行检查，尽可能地提取计算机内存储的信息。如目标不明确，需要对计算机内存储的所有信息隐蔽全部提取，就应当采取镜像复制的方式全部进行拷贝。提取时应以计算机内存储信息的易灭失程度为序先后进行提取复制。

3、对提取的电子证据进行扣押。必要时对计算机硬盘、光盘、U盘等存储介质进行扣押并封存，对取证用的操作系统也要复制封存。在固定证据后或同时，应当现场制作检查(取证)笔录。

(二)电子证据的主要提取和固定方式

1、打印方式

打印出的电子文件属于派生形式的电子证据。根据相关规定，打印出的文件视同原件，故其证据效力也无可质疑。打印时要注意下几点：(1)打印出来的文件上要注明该文件的页数和l出处(从哪台计算机或登录到哪个网站在哪些目录之下发现该文件)；(2)打印时不但要打印电子证据的内容信息，还要同时打印电子证据的附属信息；(3)有的文档可以用直接打印的方式进行打印，而有些无法直接打印的系统文件或DOS状态下的目录文件等，可采取截屏的方式进行打印；(4)打印出来的文件要由犯罪嫌疑人(或证据持有人)、见证人签名、捺指印。

2、拷贝方式

这种方式适用于内容较多不方便打印的静态电子证据和动画、视频、音频等动态多媒体类型电子证据。拷贝前要准备好空的U盘或移动硬盘并对其进行杀毒处理，拷贝工作完成后要当场封存拷贝的u盘或移动硬盘，并由犯罪嫌疑人(或证据持有人)、见证人在封条上签名、捺指印并注明日期。

3、录音录像方式。

实践中有些案件事实是一个动态的连续过程。要跨系统、跨界面的不同种类的电子证据相联结才能予以证实，这种情况下就必须采取录音录像方式来进行取证。如，某市侦办的一起网络犯罪案件中，发现某公司销售的一款手机软件宣称具有信息同步功能和远程听音功能，根据有关规定，具备该功能的软件被认为是间谍专用器材。为验证该软件上述功能属实，我们根据软件操作说明进行了详尽侦查实验，并对实验过程进行全程录像。由于该实验涉及到软件的下载、安装、设置、运行等多个环节，是一个动态的连续性过程，且涉及到被安装软件的手机和安装软件手机进行通话和互发短信的第三方以及公司网站等多个电

子证据载体之间的相互衔接，用打印或拷贝等其他方式无法将其完整地记录下来，因此，为达到取证目的和效果，全程录像是较好的方式。

四、电子证据的审查判断

综上所述，侦查获取的电子证据被认可采纳作为定案根据，须同时具备证据的客观真实性、合法性和关联性等基本属性。这“三个基本属性”就是电子证据审查判断的标准。

(一)客观真实性

客观真实性是指电子证据的来源是客观真实的存在，而不是主观臆断的产物。这里主要是要求侦查人员在侦查取证过程中一定要本着实事求是的原则收集电子证据，不能无中生有，捏造、伪造电子证据。

(二)合法性

合法性主要包含两个方面。一是证据形式合法。即作为证据的电子材料在形式上应符合法律的要求才能作为诉讼证据使用。2003年，江苏省高级人民法院印发的《关于刑事审判证据和定案的若干意见(试行)》第十三条规定：“向人民法院提供的电子数据证据应当附有侦查人员对提取、复制电子数据证据过程的有关文字说明，主要记明以下内容……”。这一规定明确了提交的电子数据形式电子证据的法定形式要求，办案中可依此操作；二是取证程序合法。合法程序设计的主要目的是保证电子数据的客观真实性，避免犯罪嫌疑人对证据提出异议。关于取证的合法程序，关键是在电子证据的取证过程中要做到以下几点：(1)提取和固定的主体应该是刑事执法人员，而不能由其他人来代替。(2)采用搜查方式提取和固定存放在犯罪嫌疑人处的电子证据时，要保证全程有犯罪嫌疑人和见证人在场见证。(3)在采用调取方式提取存放在第三方处的电子证据时，要由第三方以签字或盖章的方式对提取和固定的电子证据予以认可。(4)在条件许可的情况下应尽可能对电子证据的提取和固定进行全程录像。

(三)关联性

由于电子证据大量存在于网络犯罪案件，犯罪嫌疑人网上活动的匿名性决定了在电子证据的关联性审查时要重点解决一个问题：如何确定电子证据为犯罪嫌疑人所留下的活动痕迹?要解决这个问题，最关键的一点就是要紧紧抓住网络世界与现实世界的联结点。具体来讲，可以考虑从以下几个方面判断核实：通过将网上获取的电子证据与犯罪嫌疑人口供相互印证来判定；通过将网上获取的电子证据与犯罪嫌疑人所使用电脑中的电子证据相互印证来判定；通过将网上获取的电子证据与搜查、调查中所获取的其他证据相互印证来判定；通过网上行为人上网进行犯罪活动时所使用的IP地址来判定；通过网上行为人登录网站进行犯罪活动时所使用的用户名和密码来判定；结合行为人在网上的其他行为来判定。