从司法鉴定的角度谈电子数据证据效力的提高

赵利 王昌华

随着计算机技术的发展和互联网的迅速普及，大量犯罪活动都牵涉到了电子数据，由此电子数据司法鉴定在我国应运而生。在以往，电子数据通常被划归到“视听资料”类证据中，但随着新《刑事诉讼法》和《民事诉讼法》修订实施，“电子数据”成为了与“视听资料”相并列的一种法定证据，其法律地位进一步得到肯定，从而推动了电子数据司法鉴定的迅速发展。

电子数据具有隐藏性、多样性、脆弱性等特点，在获取、传送、分析等各个环节都有可能被改变，而且不易留下痕迹，不易识别，这常常成为提交到法庭的电子证据被质疑的重要原因。因此，在司法鉴定过程中保障数据的真实性和完整性是提高电子数据证据效力的关键，也是当前电子数据司法鉴定面临的难题。

证据只有符合真实性、关联性、合法性的标准才能作为有效的证据，才能作为认定案件事实的依据。①李扬:《论电子证据在我国新修〈民事诉讼法〉中的法律地位》，《重庆邮电大学学报（社会科学版）》2012年第11期。从司法鉴定的角度研究电子数据证据效力的提高，也应从这三个标准出发。

一、保障电子数据的合法性

合法性指司法鉴定中所取得的电子数据符合法律规定，可作为证据采纳，进而用于证明案件事实的特性，它是保证电子数据证据效力的基础和前提。具体而言，电子数据的合法性主要包含了三方面:一是证据必须具有合法的形式；二是证据的来源必须合法；三是证据必须经法定人员依法定程序收集和提取。②刘显鹏:《电子证据的证明能力与证明力之关系探析》，《北京交通大学学报（社会科学版）》2013年第4期。

（一）通过司法鉴定将电子数据固定为证据

电子数据应通过第三方的司法鉴定，以鉴定结论或鉴定意见书的形式提交给法庭。由于电子数据具有极强的技术性和专业性，法官很难在技术层面判断电子数据是否真实可靠，因此必须由技术专家运用科学技术或者专门知识对涉及的专门性问题进行解释、鉴别和判断，提供鉴定意见形成证据。①汪建成:《司法鉴定基础理论研究》，《法学家》2009年第4期。为保证证据的公正客观，形成证据的工作应由具有法律资质的第三方鉴定机构承担，技术专家应是与案件无关的具有专业知识和合法资质的鉴定人员。这样才能保证作为证据使用的电子数据具有合法的形式。

（二）审查被鉴定物品的来源

《司法鉴定程序通则》十四条中明确规定:“司法鉴定机构收到委托，应当对委托的鉴定事项进行审查”，并且明确了不得受理的委托情形。其中不得受理的情况之一即为“鉴定材料不真实、不完整、不充分或者取得方式不合法的”。因此电子数据司法鉴定必须要对所接收的委托鉴定物品的真实性、合法性进行检查，满足证据来源合法性要求。

鉴定机构可从两方面入手对物品来源进行审查:一是接受委托时，进行委托方身份证明和鉴定物品来源审核。当委托方是自然人时，应提供身份证据文件如身份证及其复印件；当委托方是执法机关，企事业单位、律师事务所时，应提供相应的单位介绍信，委托函或委托人身份证明等。此外，委托单位和个人必须提供鉴定物品来源证明，例如侦查执法机关应提供扣押（或调取）物品清单复印件。鉴定机构对以上材料的真实性进行严格审核通过后方可考虑受理。二是对委托物品进行初检，判断其真实性和完整性。电子数据司法鉴定所涉及的鉴定物品为计算机、移动存储介质、光盘、手机等。初检的目的是快速对物品内数据进行浏览，初步判断委托方所声称的数据状态是否是真实，能否满足委托方鉴定要求，鉴定机构的业务范围、技术条件和鉴定能力是否能满足鉴定需求。初检工作应以只读方式对检材数据进行读取，不能改变数据的原始状态。如在初检中发现一些明显的异常，如物品声称在某个时间被扣押，却出现了这个时间之后的数据，那么该物品数据已发生改变，无法保证其真实性和原始性，该鉴定委托应不予受理。

（三）遵守和采用电子数据司法鉴定技术标准和技术规范

目前可采用的电子数据司法鉴定标准有三项国家标准和九项行业标准，涵盖了大部分的电子数据司法鉴定范围。在《司法鉴定程序通则》、《CNAS-CL01:2006检验和校准实验室能力认可准则》、《司法鉴定机构资质认定评审准则》中明确规定了选择技术标准和技术规范的原则，应优先选用国家和行业标准及技术规范，只有当标准方法未涵盖实际工作范围时，才可使用经过事先确认过的方法。在电子数据司法鉴定阶段，法定的证据收集和提取必须按照以上技术标准和技术规范以及标准选用原则进行。

二、提高电子数据的真实性和关联性

当合法取得的电子数据可作为证据使用时，证据效力的大小，必须由真实性和关联性来判断。所谓真实性是指建立在事实基础上的、能准确、可靠地反映事物本质的属性。只有证明证据是真实的，证据才具有可采性。而关联性是指提取到的证据必须与需要证明的案件事实或其他有争议的事实具有一定的联系。②刘志军:《取证工具及产品的评估方法浅探》，《警察技术》2006年第4期。案件事实是客观存在的，可能从多个方面体现出来，也可能是直接的或间接的体现出来，对提取到的电子数据，应进一步判断它们是否一致，是否存在矛盾的地方，以确定证据是否真实可靠，是否能真实体现案件的事实和本质，从而得到完整的证据链。这是电子数据司法鉴定的精华所在，没有完整证据链的鉴定工作，其证据的效力会大打折扣，下文将结合实例探讨如何形成完整证据链。此外，要提高电子数据的证据效力，还必须在鉴定意见和结论中将得到的检验结果清楚、准确、易于理解的方式表达出来。

（一）制作副本，保证证据的真实性和完整性

在电子数据司法鉴定中，最重要的一条原则就是所有的操作都不能改变原始数据。这是保证电子数据真实性的根本。因此，在实施鉴定过程中，首先应采用专业设备对检材进行复制，生成副本，然后对原始检材妥善封存，后期的所有鉴定操作在副本进行。副本由原始检材按位复制而成，数据形态和内容与原始检材完全一致。专业的取证鉴定设备在复制时使原始检材处于只读状态，保证了原始数据不被改变，原始检材可重新进行检验，以验证是否能够得到同样的案件事实。

此外，制作副本时要进行完整性校验。完整性校验采用的哈希计算方法，生成原始数据的短信息摘要，相当于数据指纹。即使只有一个数据位的改变，也会得完全不一致的哈希结果，因此完整性校验值被记录后用于证实数据的原始状态未被改变，并且副本数据与原始数据完全真实一致，使在副本上进行的鉴定操作具有可靠性和有效性。

值得注意的是，对某些鉴定物品如手机，就目前的取证技术而言还没有有效的技术方法做到完全只读保护或副本操作，那么对这类物品，应详细记录鉴定过程中每一步操作及操作结果，并进行过程录像。

（二）选择安全可靠的鉴定工具。

电子数据鉴定的对象是特定二进制编码，因此需要特定的设备和工具将虚拟化的电子数据用可以理解的形式呈现出来。并且电子数据在传输速度和存储容量迅猛增长的现状下，电子数据司法鉴定不可能仅靠人工完成，因此鉴定工具的使用几乎贯穿了整个鉴定环节，包括数据的获取和固定、数据搜索、数据恢复、数据分析以及报告生成。应选择安全可靠的鉴定工具，确保工具的使用不会造成数据以错误的形式表现出来。

目前用于电子数据司法鉴定的工具各类和数量众多，常用的硬件工具有硬盘复制机和只读设备，常用的软件工具功能包括综合取证分析、手机取证、网络取证、数据恢复、密码破解等。鉴定机构在选用鉴定工具前，应对其安全性和可靠进行评估和检验。在我国，目前仅有两项行业标准可用于电子数据取证与鉴定工具的检测—《GA/T 754-2008电子数据存储介质复制工具要求及检测方法》和《GA/T 755-2008电子数据存储介质写保护设备检测方法》。在这种情况下，为保证鉴定工具的安全可靠，鉴定机构可使用人员比对和工具比对的方法检查取证工具是否安全可靠。人员比对是指不同人员使用相同工具和方法进行相同的取证操作，看是否得到一致结果。而工具比对是同一人使用不同工具执行相同的取证操作，看是否结果一致。

（三）在鉴定文书中用客观公正、易于理解的表述体现案件事实

司法鉴定文书是司法鉴定机构和司法鉴定人依照法定条件和程序，运用科学技术或者专门知识对诉讼中涉及的专门性问题进行分析、鉴别和判断后出具的记录和反映司法鉴定过程和司法鉴定意见的书面载体。①司法部:《司法鉴定文书规范》，2007年11月1日。出具鉴定意见或鉴定结论是电子数据司法鉴定最后一个环节，鉴定文书是鉴定工作的最终体现形式，将作为证据提交到法庭，其质量的好坏将直接影响证据效力。

鉴定文书要写明鉴定的实施过程和科学依据，包括检材处理、鉴定程序、所用技术方法、技术标准和技术规范等内容，要有形成鉴定意见的分析、鉴别和判断的过程。例如在数据搜索和恢复中的处理对象常常是无法直接读取的文件，如交换文件、被删除或损坏的文件、临时文件和碎片空间，以及存储介质的未分配空间中残留数据等。②王俊:《论电子数据鉴定》，《证据科学》2008年第2期。搜索和恢复的结果可能是体现某一事实的不完整碎片，也可能改变文件某些特征属性。例如，文件名称为“a.doc”的文件被删除后，如果所在分区的文件分配区已被破坏，那么恢复出的文件名可能会由恢复软件自定义，而不是原文件名“a.doc”。在这样的情况下，为保证电子数据的真实性，提高数据的证据能力，必须在鉴定意见的检验过程中详细说明所采用的取证软件名称、版本等，在分析说明中详细说明得到结果的过程，以证实得到的数据确实是原始数据的真实体现。

鉴定结论和意见是鉴定人员对案件事实的最终判断，是法庭对证据认定的依据，其表述应明确、具体、规范，具有针对性和可适用性，能够为非专业人士理解。

三、提高电子数据证据效力的实际运用

以下结合具体案例来谈如何提高电子数据证据效力问题。某公司发生商业秘密泄露，公司对一员工进行调查后起诉，并将其在公司工作期间的计算机作为证据提交。但该员工拒绝承认该计算机为自己专用，并声称系统有多种病毒，可能被远程控制，同时认为公司扣押计算机后可能篡改了数据。因此，公司方面提出对涉案计算机进行电子数据司法鉴定。

围绕该案的争议点，鉴定人员对涉案计算机硬盘的副本从以下方面进行了检验:

（1）对检材的数据原始性进行检验。确定了最后的数据写入时间及系统最后使用时间，得到了在计算机扣押之日后检材数据未发生任何改变的结论。

（2）对系统的运行状况和安全性进行检测。分析注册表和日志文件，发现该计算机系统运行正常，无异常出现。对系统的病毒和木马进行检查，发现计算机存在少量病毒，再进一步对此类病毒的行为特征进行了分析，得出病毒不会控制操作行为以及改变文件状态的结论。

（3）提取检材中可能反应的当事人特征信息。数据搜索和提取的信息包括计算机帐户信息，电子邮箱配置属性及邮件往来关系、网络连接属性、文档内容（发表的文章、署名的文件）、照片图片内容、身份证复印件或银行卡信息、上网记录、缓存或表单中的输入信息等。根据结果得出该计算机应为嫌疑人所用的结论。

（4）检查关键文件是否系统正常生成，是否在物品扣押后生成以及是否被篡改。对关键文件的元数据进行分析，对与关键文件相关的中间文件和文件碎片进行了搜索和恢复，对文档的时间属性进行了分析和验证，对外接存储介质的使用情况进行了检查，得出关键文件是在案发期间正常生成，并在外接存储介质上存在过的结论。

在该案中，鉴定人员通过对检材数据原始性进行检验防止了对数据真实性的质疑；通过对系统状态的检测，确定案发期间系统处于安全状态，排除了系统被远程控制和文件被病毒生成的可能，防止了嫌疑人对操作行为的抵赖；对当事人身份特征信息的广泛提取明确了计算机的使用者，锁定了嫌疑人；对关键文件的状态进行深入分析，重现了案发期间文件生成和使用状态，有利于判断嫌疑人操作行为。由此，以上信息形成一个逻辑严密的证据链，鉴定结论具有较强的证据效力。

当然，电子数据证据效力的提高涉及法律和技术等多方面的内容，本文仅是从司法鉴定的角度作了初步探讨，希望能为实际工作提供一种有益的帮助。