《公安机关办理刑事案件电子数据取证规则》的理解与适用

田虹 翟晓飞 王艺筱

为规范公安机关办理刑事案件过程中电子数据取证工作，公安部发布了《公安机关办理刑事案件电子数据取证规则》（公通字〔2018〕41号，以下简称“公安部《规则》”），自2019年2月1日起施行。为便于执法实践中正确理解和适用，现就“公安部《规则》”的制定背景、起草中的主要考虑，主要内容等介绍如下。

一、制定背景

电子数据是一种新型的证据类型。随着互联网的快速发展，不仅是网络犯罪案件，越来越多的传统刑事案件也需要电子数据取证。在执法和司法实践推动下，在公安机关打击网络犯罪案件中电子数据取证经验基础上，我国刑事司法领域逐步建立起电子数据取证规则体系。2012年以前，大多数对电子数据的规定仅仅局限于鉴定的范畴，极少有文件提及电子数据收集提取的问题。在案件侦查、起诉和审判的实践过程中，多将电子数据转化为其他证据类型使用。2012年，修改后的《刑事诉讼法》将电子数据确立为法定证据类型，从根本上确立了电子数据的独立证据地位。同年，最高人民法院出台了《关于适用〈中华人民共和国刑事诉讼法〉的解释》（法释〔2012〕21号），其中第九十三条和第九十四条对电子数据审查判断的最基本原则进行了规定。2014年，最高人民法院、最高人民检察院、公安部联合出台了《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》（公通字〔2014〕10号，以下简称“两高一部《意见》”），其中专设一章对电子数据的收集以及专门性问题的认定若干原则进行了明确。2016年，最高人民法院、最高人民检察院、公安部联合出台了《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（法发〔2016〕22号，以下简称“两高一部《规定》”），进一步统一了公检法部门在司法实践中对电子数据的认识和判断标准，提出了电子数据收集提取、审查判断的具体方法，明确了电子数据真实性、合法性、关联性审查的原则，确立了扣押原始存储介质为主、提取电子数据为辅、打印拍照为例外的电子数据取证原则。为各地公安机关更好地执行“两高一部《规定》”，规范公安机关在办理刑事案件过程中的电子数据取证工作，公安部于2018年12月13日发布了“公安部《规则》”。

二、起草中的主要考虑

为确保“公安部《规则》”的内容科学合理，适应形势发展、满足基层需要，在起草过程中，着重注意把握了以下几点：

第一，综合各个警种电子数据取证工作特点和实际。“公安部《规则》”编写过程中广泛听取了基层一线民警意见，邀请该领域权威的法律专家、技术专家指导并参与编写工作。综合分析了刑事案件现场勘查、扣押时拍照打印，电子数据网络在线提取等情形，参考了毒品犯罪电子数据取證有关规定，整合了各警种办理刑事案件实际需求，从电子数据的现场处置到实验室检查，再到电子数据的委托检验与鉴定均予以了回应。

第二，以实践中反映的突出问题为导向。“公安部《规则》”在深入调研的基础上，认真研究了各警种实践中面临的实际问题，深入剖析了典型案例反映的情况，对实践中广泛存在的录像、电子数据冻结的细节、拍照打印的适用性等问题均提出了解决办法。

第三，坚持同有关法律法规保持一致和衔接。除对“两高一部《规定》”进一步具体化外，“公安部《规则》”对公安部《公安机关办理刑事案件程序规定》、《公安机关刑事案件现场勘验检查规则》等规定以及有关警种出台的特别规定进行了梳理研究，统一了相关要求，保证了同既有文件的协调一致。

三、主要内容

“公安部《规则》”共5章61条，是对“两高一部《规定》”在公安机关的进一步具体化，主要明确了以下几个方面的问题：

（一）明确了电子数据取证的阶段划分。实践中，传统物证在侦查过程中一般只涉及两个阶段，即现场勘验、搜查、提取、扣押阶段以及鉴定阶段，一般工作在现场即可完成，对于专门性技术问题则可通过鉴定解决。而电子数据则不同，收集提取后往往需要公安机关进行恢复、破解、搜索、仿真、关联、统计、比对等处理后，才能更好地展示。而这些处理仅是对收集提取电子数据的进一步整理，既不是收集提取电子数据，也不涉及专门性技术问题的鉴定，该特殊阶段在“两高一部《规定》”中明确为对电子数据的检查。为此“公安部《规则》”第三条将电子数据取证划分为三个阶段，即收集、提取电子数据，电子数据检查和侦查实验，电子数据检验与鉴定。

（二）进一步强调了原始存储介质的扣押封存。“两高一部《规定》”明确了“能够扣押原始存储介质，应当扣押、封存原始存储介质”的原则，但实践中公安机关扣押手机、电脑、硬盘时，不封存或者封存不规范的问题仍然存在，造成电子数据来源不清，影响了电子数据的真实性。为此“公安部《规则》”专门对电子数据原始存储介质扣押封存进行了规定，对“两高一部《规定》”中扣押封存要求进一步强调，并提示在执法中注意收集原始存储介质同相关人的关联性证据，比如相关证人证言、嫌疑人供述、指认材料、辨认笔录、生物检材等能够证明原始存储介质为相关人员所有、管理、使用的证据。

（三）进一步统一了电子数据现场取证规范。公安部《公安机关刑事案件现场勘验检查规则》第三十二条明确“勘验、检查与电子数据有关的犯罪现场时，应当按照有关规范处置相关设备，保护电子数据和其他痕迹、物证。”公安部网络安全保卫局《计算机犯罪现场勘验与电子证据检查规则》对计算机犯罪现场的取证规则和文书进行了规范。公安机关现实执法中，不仅在刑事案件现场勘查环节，而且在搜查、逮捕、行政执法等执法活动中，也可能涉及在现场收集、提取电子数据。为此“公安部《规则》”在同已有规定保持衔接的基础上，对现场收集、提取电子数据有关规范进行了统一，明确了现场收集、提取电子数据的适用情形、有关原则和笔录要求。实践中，在刑事案件现场勘查时，统一使用《公安机关刑事案件现场勘验笔录》，若现场提取电子数据则还需制作《电子数据现场提取笔录》，两个笔录可以合并;同理，在搜查、逮捕、行政执法等执法活动中，若现场提取电子数据也需制作《电子数据现场提取笔录》，该笔录同搜查、逮捕、行政执法等有关笔录可以合并。

（四）明确了“拍照打印”方式的适用情形。“两高一部《规定》”明确了“扣押原始存储介质为主、提取电子数据为辅、打印拍照为补充”的原则。基层公安机关反映，在实际侦办案件过程中广泛存在通过拍照打印方式固定电子数据的情形。此种情形同“两高一部《规定》”确立的原则并不矛盾，实践中广泛存在的拍照打印方式是指能够扣押原始存储介质的情形下先行拍照打印，而非“两高一部《规定》”所指的既不能扣押原始存储介质又不能提取电子数据的情形。拍照打印方式具有操作简单、及时固证等优点，部分案件能够省去检查、检验、鉴定等后续环节，有利于节约侦查成本。为此，“公安部《规则》”明确了在扣押原始存储介质前，可以通过拍照打印方式先行固定电子数据内容，并进一步明确“根据前款第二、三项的规定采取打印、拍照或者录像等方式固定相关证据后，能够扣押原始存储介质的，应当扣押原始存储介质;不能扣押原始存储介质但能够提取电子数据的，应当提取电子数据”。

（五）明确了无见证人时录像规范。按照《刑事诉讼法》规定，在扣押、勘验等环节中需要符合条件的见证人见证相关活动。同时，《刑事诉讼法解释》专门规定：“由于客观原因无法由符合条件的人员担任见证人的，应当在笔录材料中注明情况，并对相关活动进行录像。”但对“相关活动”过程采用全程录像还是关键步骤录像一直没有明确的规定。在征求最高人民法院、最高人民检察院意见的基础上，“公安部《规则》”进一步明确了录像的方式。一方面，对于现场执法环节，公安部《公安机关现场执法音视频记录工作规定》规定需“全程不间断记录”，为此“公安部《规则》”明确在扣押原始存储介质及现场提取电子数据环节无见证人见证的情况下，应当全程录像。另一方面，对于网络远程提取的情形同现场情形存在较大区别，特别是在当网络带宽受限的情况下，网络远程提取所需时间可能是现场的十几倍甚至上百倍，并且大多数时间是无人工干预的数据传输时间，若“一刀切”的要求全程录像在实践中难以执行。为此“公安部《规则》”对此种情形的录像要求进行了区分，即对于重大案件、电子数据是关键证据等案件，应当全程录像;而对于一般性网络远程提取，则仅需对关键步骤录像。对于哪些内容是关键步骤，“公安部《规则》”也予以了明确，即人工操作的环节纳入关键步骤，而大量的下载等无人工干预的过程未纳入关键步骤，不再需要录像。

（六）明确了登记保存的适用情形。公安部《公安机关办理刑事案件程序规定》第二百二十六条提出了登记保存的规定，“公安部《规则》”明确电子数据取证时同样适用此种措施。比如在某案件中，涉案服务器多达800余台，由公司自行建设维护，无法采取冻结措施（针对云服务），并且难以扣押，即使能够扣押，也难以重建整个系统，为此公安机关采取了登记保存的措施，在案件侦查中发挥了关键作用。同时，“公安部《规则》”对登记保存的时间也进行了规定，明确“对登记保存的原始存储介质，应当在七日以内作出处理决定，逾期不作出处理决定的，视为自动解除。经查明确实与案件无关的，应当在三日以内解除”。

（七）明确了网络在线提取和远程勘验的区别。“两高一部《规定》”规定了两种远程收集提取电子数据的方式，即网络在线提取和远程勘验。其中，规定远程勘验是“为进一步查明有关情况，通过网络对远程计算机信息系统实施勘验，发现、提取与犯罪有关的电子数据，记录计算机信息系统状态，判断案件性质，分析犯罪过程，确定侦查方向和范围，为侦查破案、刑事诉讼提供线索和证据的侦查活动”。 “公安部《规则》”对网络在线提取和远程勘验的区别进一步予以明確，二者类似传统现场勘验和痕迹物品提取，远程勘验兼具收集提取“电子数据”和进一步收集“有关信息”、查明“有关情况”的功能，侧重于侦查人员分析、判断、发现过程，是对虚拟现场、电子数据的客观描述，《远程勘验笔录》可以直接反映侦查人员观察到的电子数据内容和相关信息，可以独立作为证据;而网络在线提取只有收集提取“电子数据”的功能，主要是对电子数据来源的说明，《网络在线提取笔录》证据主体仍然是电子数据，若不附电子数据，则不能作为证据使用。需要特别说明的是，由于“公安部《规则》”着眼点是电子数据，故仅明确了网络在线提取时应当进行远程勘验的情形，未对远程勘验的其他功能作过多规定，并不是用网络在线提取替代远程勘验。实践中，如果远程提取电子数据，则既可以把有关情况记录在《远程勘验笔录》中，又可以记录在《网络在线提取笔录》中，但如果仅收集有关信息不提取电子数据，则只能将有关情况记录在《远程勘验笔录》中。

（八）明确了网络在线提取的适用范围。“两高一部《规定》”明确了可以对境外和远程计算机信息系统中的电子数据通过网络在线提取和网络远程勘验，根据我国尊重网络主权的一贯主张，按照实践中的一贯做法，“公安部《规则》”将网络在线提取范围规定在境内电子数据和境外公开发布的电子数据。对于境外非公开发布的电子数据，一是需通过国际条约或者合作机制、刑事司法协助、国际警务合作渠道调取证据;二是需通过勘验境内访问、下载过该信息的终端、间接获取该电子数据;三是需通过技术侦查措施获取有关电子数据;四是需转化为其他类型的证据。需要强调的是，对“公开发布的电子数据”宜作扩大解释，不能机械地将是否需要用户名密码访问作为条件，比如大量赌博、淫秽色情、诈骗等网站、论坛均位于境外，境内不特定对象注册、登陆后均可以访问，对这类网站中的电子数据可以使用网络在线提取。

（九）关于冻结电子数据的程序和期限问题。冻结是“两高一部《规定》”提出的新的措施，“公安部《规则》”参考了冻结存款、汇款等财产等程序，将冻结期限限定为六个月，并且明确不需要继续冻结电子数据时，应当在三日内通知电子数据持有人、网络服务提供者或者有关部门执行。同时，按照实践中的常见做法，冻结方法增加了“写保护措施”。

（十）明确了调证的异地协作流程。办理刑事案件常常涉及异地调证，实践中办案单位出差调证屡见不鲜，不仅耗费了大量人力、物力，而且严重影响了侦查效率。为方便基层办案，“公安部《意见》”明确“公安机关跨地域调查取证的，可以将办案协作函和相关法律文书及凭证电传或者通过公安机关信息化系统传输至协作地公安机关。协作地公安机关经审查确认，在传来的法律文书上加盖本地公安机关印章后，可以代为调查取证”。但对于调取证据如何反馈给办案地未明确。为此，“公安部《规则》”对于如何反馈进行了明确，即对于文书盖章后邮寄，对于电子数据通过信息化系统传回，同时简化了协作地审批流程，即由办案部门审批即可。需要注意的是，对于协助扣押原始存储介质的情形，“公安部《规则》”并不适用，仍需沿用扣押实物的有关规定。

（十一）明确了电子数据检查的性质。“两高一部《规定》”明确“对扣押的原始存储介质或者提取的电子数据，可以通过恢复、破解、统计、关联、比对等方式进行检查。必要时，可以进行侦查实验”。由此可见，电子数据检查仍然属于侦查性质，电子数据的检查主体仍然为侦查人员。“公安部《规则》”对此予以了明确，允许本案的侦查人员作为检查人员，并针对实践中办案人员交其他警种侦查人员检查的情形，规定涉案原始存储介质或者电子数据移交需要履行相应的手续。另外，鉴于检查阶段往往对侦查人员的技术水平要求高于一般侦查人员，为此“公安部《规则》”对检查人员要求具有专业技术，实践中一般以公安机关警务技术任职资格为条件。此处需要强调的是，“具有专业技术”和“具有专门知识”是不同概念，前者侧重于公安机关内部技术人员资质，后者侧重于刑事诉讼活动的辅助人员资质，一名侦查人员可能同时满足“具有专业技术”和“具有专门知识”两个条件。

（十二）明确电子数据检查是否需要见证人。按照“两高一部《规定》”，对电子数据检查未要求见证人见证。一方面，电子数据检查一般在备份件或者写保护的情况下进行，对于既无法备份又无法写保护的特殊情形，也要求全程录像;另一方面，电子数据检查的场所往往涉密，不便寻找符合法定条件的人员担任见证人，为此“公安部《规则》”同样未对电子数据检查见证人作硬性要求。