“律师办理电子数据证据业务操作指引”研讨会综述

主讲嘉宾：

1、刘品新：中国人民大学法学院证据学研究所副所长刘品新

2、游涛：工信部软件与集成电路促进中心知识产权处副处长、司法鉴定所副所长

3、杨洋：工信部电信研究院知识产权中心主任助理

4、邹毅：江苏省律师协会“电子商务与信息网络专业委员会”主任

伴随着计算机技术的飞速发展，人们的生活进入了数字化时代，律师在处理民事、刑事等各类案件中越来越多地遇到与传统证据类型区别很大的电子数据证据，但是，由于我国立法的滞后性，而且这类证据也需要对计算机技术有较深入的研究，越来越多的律师对于案件中出现的这类证据感到非常困惑。为了适应时代的发展，全国人民代表大会在2012年修正的《中华人民共和国刑事诉讼法》和《中华人民共和国民事诉讼法》中正式将电子数据作为一类新的证据类型进行立法，因此，电信与邮政法律专业委员会举办的这次“律师办理电子数据证据业务操作指引”研讨会是非常及时和必要的，旨在提高律师办理案件过程中对电子数据证据操作水平。

（一）电子数据证据的定义

所谓电子数据证据是指借助现代信息技术而形成的一切证据，即用于证明案件事实的电子材料。

（二）电子数据证据的特征

1、国际性

电子数据证据与法律规定的其他八种证据相比，具有国际性的特征，表现为电子数据证据可以同时在不同的国家使用，取证可能涉及到多个国家的法律适用的问题。具体来说，某些证据可能在中国取证的，但是也要拿到国外去用，法律适用也会涉及到几个国家的法律。比如苹果和三星的案件、苹果和微软的案件以及富士康和比亚迪的案件都具有类似的情况。

2、系统性

电子数据证据相比传统证据另一个重要的特点是电子数据证据的系统性，它表现为任何一个简单的操作，往往产生很多关联文件，这些文件是电子数据附属信息，它们之间形成一组具有内在关联的文件，这些文件之间具有系统性。

为什么电子数据证据是系统性的呢？因为电子数据证据的形成是基于计算机系统、操作系统、应用文件系统、网络系统、存储系统、手机系统、GPS系统等，这些系统都是具有系统机制的，基于这样的系统机制所产生的电子数据也一定是具有系统性的特征，这个系统存在的空间又是虚拟的，所以这样的系统中产生的证据一定是成批的。

电子数据证据的系统性表现，一般分为三类：

数据电文证据，指数据电文正文本身、即记载法律关系发生、变更与灭失的数据，如电子邮件、文本文档、图片文件、加密文件、压缩文件等；

附属信息数据，数据电文生成、存储、传递、修改、增删而形成的时间、制作者、格式、修订次数、版本等信息，如制作人、发件人、收件人、传递路径、日志记录、文档属性等。

关联痕迹证据，电子数据的存储位置、传递信息、使用信息及相关文件的信息，如缓存文件、休眠文件、分页文件、快捷文件、源文件的存储记录以及副本文件等。

电子数据证据因存在的空间不同，分为网络空间的电子数据证据和单机空间的电子数据证据，其中单机空间的电子数据证据表现为数据电文证据、附属信息数据和关联痕迹证据是一致的；而网路空间的电子数据证据要复杂的多，比如网络空间收发一个邮件要经过四个节点，发信电脑，网络服务器电脑，收件人网络服务器电脑，收件人单机电脑，按照系统观念在四个点都有关联痕迹，如果构成一个证据体系的话，很简单的就表现为在这四个节点中至少两个节点能找到相关电子数据，电文是一致的，附属信息是一致的。

电子数据证据的系统性特征决定了这类证据是不容易被篡改的证据，它能真实地反应出人们在虚拟空间的活动轨迹。

3、多样性

电子数据证据的表现形式非常庞杂，比如电话证据、电报证据、传真证据、电子文件、计算机日志、计算机输出物、计算机打印物、电子邮件、电子数据交换、电子聊天记录、电子公告牌记录、博客记录、微博记录、电子报关单、电子签名、域名、网页、IP地址以及系统文件、休眠文件、日志记录、上网痕迹、手机录音证据、手机摄像证据、手机短消息证据、信令数据、通讯痕迹、雷达记录证据、录音证据、录像证据、摄像证据、GPS证据等。

4、虚拟性

相比传统证据是人们能够直接看得见、摸得着的物理空间的证据，电子数据证据是存在虚拟空间的证据，这里的虚拟并不是说证据是虚拟的，而是电子数据证据存在于电子介质构成的二进制的虚拟空间，比如单机服务器、网络、手机、GPS、基站、摄像头、各种各样存储介质、电报、打印机、复印机等，或者二进制空间，这些空间都是虚拟空间，只能感知，但是进不去的，不管提取证据，还是保全、解读证据，都必须靠别的方式，人不能直接进入到这个空间中。

（三）电子数据证据合理定位是什么

电子数据证据在我国没有正式立法之前，很多人将它作为线索，然后转化为法律认可的其他证据形式，自从《刑事诉讼法（2012修正）》和《民事诉讼法（2012修正）》颁布以后，电子数据证据正式作为我国法律规定的一种证据形式，但是，国际上还有一种更加主流的说法，就是把它作为一种现场，法庭上呈现的电子数据证据往往不是直接拿过去的，它可能是打印出来的派生物，也可能拿原始介质，比如录音笔，但是录音笔不是证据本身，而是通过录音笔这种原始介质把电子数据的虚拟空间直接带到了法庭上，这个虚拟空间里一批文件可以反复检验，通过这些文件还原案件的客观事实。

（四）司法实践中如何有效地运用电子数据证据

司法实践中有效地运用电子数据证据的意义在于借助其在虚拟空间形成的证据系统性还原虚拟空间的案件事实，重点是通过一定的方法构建虚拟空间的证据系统或体系。下面我们通过一个招投标的案例来分析如何有效地运用电子数据证据还原客观事实：

有几家公司投一个四千万的工程，当时采取的中标方法是谁的标的最接近平均值谁中标，结果有一家中标之后被人举报其中参与投标四家公司违标，一家冒充这四家公司投标，参与投标的共有十家公司，怎么确定是否这四家公司是否围标呢？首先应该看光盘，光盘跟打印的标书对应的，光盘不仅仅是打印出来的证据，还是现场，能够告诉我们这个证据是怎么形成的，首先挑出相同的WORD文档标书，大家一看就会发现这里面有问题，其他另外几家完全不一样，这四家非常一致，作者、保存者、修订号、打印时间、编辑时间非常像，但是只有这些还不能定案，最重要的是看电子文档创建内容时间，这四个完全一致，这是电脑中一般不可改的时间，是OFFICE最早产生的时间，当然，如果要找特别高的专家是可以改的，除了这些以外还有一些隐藏的时间属性也能够看到，那几家公司在事实面前只好承认了。

总之，通过数据电文本身、附属信息数据以及缓存文件、休眠文件、分页文件、快捷文件、源文件的存储记录以及副本文件等总是能找到蛛丝马迹，还原案件的事实情况，因为电子数据证据是不能被篡改的证据，即使你想刻意改变文件的某些内容，修改的痕迹还是被真实地记录下来。

（五）如何开展电子数据证据的取证

1、当事人自行收集

如果当事人对电子数据证据所涉及的技术比较熟悉，可以自行收集相关的电子数据证据，但是应该注意收集的证据能成为法律意义的证据。

2、电子数据鉴定

由当事人或者律师申请鉴定机构鉴定，由鉴定人员按照鉴定程序，对电脑同步进行全程录像公证，公证处到现场录像；或者申请电子鉴定，由鉴定机构进行同步全程文字公证，证明你用哪一个拷贝机把盘卸下来之后拷了，什么时候形成的；或者申请电子鉴定，由鉴定机构工作人员到现场对服务器硬盘进行复制，并采取数据恢复等检验方式，做成镜像盘，出具镜像报告，及时进行镜像报告提存公证，出具鉴定意见书，证明是某某时间鉴定机构做了一个镜像，包括镜像报告是什么。

3、法院对电子数据证据进行证据保全

目前深圳的有些法院TSV证据保全存系统，当事人在起诉立案之前，先申请证据保全，由人民法院在网上将电子数据证据固定下来，加上时间戳，证明在什么时间人民法院在网上看到了什么。

时间戳的唯一性和权威性与传统数字证书及电子物证取证技术相结合的综合性电子物证取证方案，解决当前电子物证取证过程中存在的，电子物证易篡改、可抵赖的问题。

4、电子数据证据公证

电子数据公证，由当事人、律师或者法院委托，由公证人员按照公证程序，浏览电脑或网页中的文件，采取截屏或者截屏打印的方法，出具公证书。

5、工商局调查

对于违反《反不正当竞争法》的行为，作为行政执法部门的工商局有权介入调查，并对查实的违法行为给予相应的处罚。然后由工商局等执法人员取证。

6、公安机关调查

根据《刑事诉讼法》第89条规定，公安机关对已经立案的刑事案件，应当进行侦查、收集、调取犯罪嫌疑人有罪或者无罪、罪轻或者罪重的证据材料。因此，如果已经立案的刑事案件中涉及到对电子数据证据的调查，就应该由公安机关来完成调查工作，但是，公安机关的刑警往往不太懂电子数据证据的取证技术，实务中非常困难。往往需要当事人报案的时候就要提供相应的证据材料，当事人可以委托鉴定机构做相应的证据固定。

（六）电子数据证据的鉴定原则

1、程序性原则

即受理、提取、复制、分析、鉴定和出具鉴定文书均应严格按照程序进行，确保程序合法。

2、安全性可靠原则

鉴定检材必须首先对原始数据进行复制备份，并通过哈希值校验确保检材复制件与原件的数据保持一致性和完整性，然后对原件封存，对复制件进行分析和鉴定，以确保鉴定数据的安全可靠。

3、全程记录和有效监督原则

为确保电子证据在法庭上应有的证明力，对电子证据的提取、复制、分析、鉴定等重要的鉴定过程要进行详细如实记录并签名，有条件的可进行全程录像，形成一个完整的电子证据“鉴定链”，并接受监督。

4、保密原则

要求电子证据鉴定人员严格保守执业秘密，禁止泄漏与鉴定有关的国家秘密、商业秘密和相关案情，对于可能涉及鉴定的个人隐私等信息，也要求鉴定人员必须严格按相关保密规定予以保密。

（七）电子数据鉴定的阶段

电子数据鉴定的过程三个阶段：证据获取、证据分析和证据表现阶段

1、证据获取阶段：固定证据。电子证据容易修改，一旦决定需要获取电子证据，应该首先进行证据固定，防止有用证据的丢失。

2、证据分析阶段：分析证据与案件的关联性。对证据进行全面分析，并在全面分析的基础上能够进行数据挖掘和整合，使之清晰呈现案情相关信息。

3、证据表现阶段：就电子证据与案件的关联性进行说明。

（八）电子数据鉴定的流程

1、现场电子证据固定的工作流程为：

记录现场计算机的连接现状→固定当前对象计算机的易失性数据→关闭当前计算机系统→拆卸当前计算机取出硬盘介质→对硬盘介质进行写保护处理→使用专用设备进行硬盘复制→计算原始硬盘介质并封存→封存硬盘介质副本→现场固定结束。

“易失性数据”指计算机系统内存放在进程、内存等对象里面的数据，一旦关机或者重启就会永久丢失，其中可能存储着对鉴定工作至关重要的数据，因此在开始进行静态固定之前，易失性数据是必须先进行固定的。

2、涉及知识产权的电子数据证据的司法鉴定的工作流程

（1）保护窃密时的计算机系统中相关的软硬件及当时的数据状态，封存使用过的所有储存介质，如硬盘、光盘、软盘，尽可能地保存完整的原始记录和工作日志，以保证原始证据的有效性。

（2）对不能停止运行的计算机系统或是网络系统，应该将系统当时的状态或运行参数、网络运行环境进行详细记录等。备份时按照储存介质中所有数据的物理存放格式进行复制。

（3）收集与案件有关的资料，比如在数据传送、接收过程中形成的命令记录、现场上各种系统硬件的连接状态、连接方式、系统运行的参数。

（4）检查计算机、网络以及查收的储存介质中信息。

如通过服务器上的日志记录，可以查看在设置的时间内对保存的内容使用终端进行复制、使用网络进行打印等计算机操作的记录，计算机上每一个文件夹、文件的内容，使用者的信箱内容等等。

（5）采用专业的数据分析技术查找，并恢复被故意删除、修改的文件和磁盘数据。

查清关键文件被修改移动的时间、修改前的状态和属性等。

（6）通过对犯罪嫌疑人操作计算机系统所留下的时间、范围的记录，查找破案的线索和证据。

如通过E-mall信件的lP地址可以找到发信方所使用的计算机，从而缩小案件的侦破范围。

（九）电子物证加时间戳流程

(l)对指定电子物证提取Hash值，包含原始文件信息、签名参数、签名时间等信息；

(2)将Hash值提交到电子物证取证系统的时间戳服务器；

(3)时间戳服务器通过通信接口访问第三方公共时间戳服务中心，获取可信时间戳签名；

(4)保存电子证据Hash值和时间戳到数据库；

(5)返回。

二、讲座点评互动阶段综述

（一）电子数据证据公证效力

在司法实践中法院对于电子数据证据公证书的效力，有两种倾向意见，一种意见认为公证书是事实公证；另一种意见认为公证书是行为公证。

持事实公证意见的人认为公证过程中公证是没有问题的，对公证书本身的真实性、合法性、有效性也是不持异议的，但是对于公证书的内容跟公证的证明目的之间不能划等号。因此，尽管当事人在诉讼过程中对电子数据证据做了公证，但是也不一定被法院采纳。

从另一方当事人的角度该如何应对一方的公证书呢？考虑到中国的国情，有很多法官对这方面不太懂，另一方当事人可以做反公证，比如新浪和搜狐知识产权案子就做了反公证；另一种方法可以做反鉴定，公证书说明网页上有什么内容，鉴定机构通过鉴定手段发现很多背后隐藏的东西，以此来证明公证的内容是错误的。第三种方法，民诉法修改以后，当事人可以请专家到庭，对专业问题可以由专家用演示方法告诉法官公证是错的。总而言之，要考虑到中国的国情，不要跟法官太多的讲法条，法条上就说没有相反证据就不能推翻，那就找点相反证据。

（二）从域外取得的电子数据证据的效力

在刑事案件中，如果被害人的服务器在中国，实施侵害的服务器在国外，公安机关计算机现场勘察和电子数据检查规则和人民检察院电子证据鉴定程序规则里面都规定了远程勘验，规定远程勘验是现场勘验的一种，对于这种情况，公安机关怎么做呢？公安人员通过电脑自己远程操作，然后用摄像头拍下来，然后做成现场勘验报告，对于这样的现场勘验报告，我们国家认为都是合法的、有效的。

此研讨会让律师们扩大了视野、开拓了思路、提升了能力、坚定了取证的信心！

撰稿人：刘金燕电信与邮政法律专业委员会副秘书长

审校人：陈际红电信与邮政法律专业委员会主任

马立文电信与邮政法律专业委员会副主任