【专题研究】电子证据的审查技巧（一）

电子证据审查犹如出兵作战，只有深度体察证据理论，把握证据审查的客观规律，办案人员才能胜战。此谓《三十六计·总说》：“数中有术，术中有数。阴阳变理，机在其中。机不可设，设则不中。”电子证据有效审查的核心是电子证据理论基础在司法实践领域的延伸和应用，不但可以指导审证实践，而且可以帮助人们认识电子证据这种新型证据。电子证据审查并非处于绝对的变化之中，受到“对立统一”规律的指导。本文提出的十一种电子证据有效审查技巧是在“变易” 中寻求“不易”，拓展、深化办案人员对电子证据审查领域的认识。

一、无效审查与有效审查之辨

2021年1月22日，最高人民检察院发布了《人民检察院办理网络犯罪案件规定》，该规定同先前颁布的打击治理网络犯罪的法律相比较，最大的不同在于凸显了电子证据的重要地位。例如，该规定第7条明确规定：“人民检察院办理网络犯罪案件应当加强对电子数据收集、提取、保全、固定等的审查，充分运用同一电子数据往往具有的多元关联证明作用，综合运用电子数据与其他证据，准确认定案件事实。”此外，该法在第三章中从第27-45条专门规定了如何对电子证据进行有效审查，主要包括：注重审查电子证据的客观性、合法性、关联性；注重挖掘同一电子证据往往具有多元关联证明作用；注重加强电子证据与其他证据的相互印证；注重加强对瑕疵电子证据的审查。

从司法实践层面来看，当前司法人员在运用电子证据办理案件过程中，普遍存在着无效审查问题。这主要表现在以下三个方面：

第一，司法人员、执法人员、律师等在办案过程中只审查纸面材料（案卷笔录、打印材料、情况说明等），对光盘材料熟视无睹、不做审查。笔者在一线调研时，一位公安机关的同志曾经反映，在一起网络犯罪案件中，他们向检察机关移送了很多光盘，后来发现光盘移送错了，但此时案子已作出了判决。由此观之，该案办理过程中，法官、检察官、律师并未审查过光盘。

第二，司法实践中仅侧重于审查电子证据是否违法或违规，忽视对其关联性、客观性等的审查。到目前为止，我国关于电子证据审查运用的法律法规数量可观，这些规定作为审查电子证据的法律依据是否妥当值得人们思考。《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第97条规定：“人民法院调查收集证据，应当由两人以上共同进行。调查材料要由调查人、被调查人、记录人签名、捺印或者盖章。”《监察法》第 41条第1款规定：“调查人员采取讯问、询问、留置、搜查、调取、查封、扣押、勘验检查等调查措施，均应当依照规定出示证件，出具书面通知，由二人以上进行，形成笔录、报告等书面材料，并由相关人员签名、盖章。”从法条表述来看，这意味着笔录中收集提取电子证据的人员签名处必须有两人，实践中很多取证笔录关于指挥人、勘验人、记录人、见证人等的记录并不规范，例如只有一个勘验人签字，这显然违反了很多规范性文件的规定，但此类审查在诉讼中并没有什么实际意义。

第三，完全不审查电子证据。一些办案人员会以电子证据属于专业证据需要专门知识等为说辞，完全不对其加以审查，这在涉众型犯罪案件中尤为突出。笔者时常会遇到办案人员咨询电子证据专门知识的情形，一些人提出现在很多电子证据鉴定意见书动辄几百页，内容描述上使用了python语句等专业术语，利用图表绘出了传销组织层级，但自己看不懂这些是什么意思。一些办案人员表示，他们有时会以电子证据专门性太强为由不看电子证据相关的案卷。在一起组织、领导传销活动罪案件［1］二审中，上诉人寻求专业人士对电子证据进行了审查并出具专家论证意见，二审法院最终撤销了一审法院判决，并决定发回重审，因为该案原判确实存在“事实不清、证据不足”的问题。

由无效审查迈向有效审查，这是电子证据审查运用的必然趋势。对此，办案人员需要避免只审查纸面材料、侧重审查是否违法违规、完全不审查等问题，寻求电子证据有效审查之路径。本文介绍了十一种有效审查电子证据的基本图式，即：聚焦式审查、还原式审查、实验式审查、勘验式审查、辅助式审查、对照式审查、错位式审查、递进式审查、体系式审查、关联式审查、组合式审查。这些审查方式的共同特点是：真审、拷盘审、读数据、掌握技能。拷盘审是指不能只看纸面材料，要把数据拷走审查，这一般要求镜像拷盘。镜像是指将一个介质中的数据精确复制到另一个介质中，且两者数据是完全一样的。用简单的技术术语来描述就是把数据在 0 和 1 的层面去拷贝，它对应的是在windows 系统中进行拷贝，在 windows 拷贝能做到内容是一致的， 但是在属性上是不同的；而在 0 和 1 的底层进行精确复制，镜像不仅能做到内容一致，还能做到文件生成的痕迹属性也是一样的。镜像的工具很多，鉴定机构有专门的硬件设备，普通民众可以使用 FTK 等免费软件到公检法机关拷贝光盘中的数据。拷盘时需计算校验值，以此保障电子证据的完整性。

二、电子证据的聚焦式审查

“聚”字不见于甲骨、金文，当属晚出。《说文》云：“聚，会也。从乑取声。邑落云聚。”聚焦，顾名思义，就要求人们将审查的注意力或焦点集中于某处。聚焦式审查要求避免松散无序的审查，即避免“从头到尾”地流水账式阅卷，避免泛泛地审查，要聚焦于有争议的案件事实或待证事实进行审查。案件的争点可能是法律上的争点，也可能是事实上的争点。凡是与争点相关的电子证据，办案人员都应当重点审查；反之，则不需审查。

所有刑事案件控辩双方都有可能形成争点，其中一部分是法律上的争点，更多的是事实上的争点。凡是电子证据有利于确定事实上的争点，就是办案人员应当着力审查的方向，不在该范围的，不要审查。例如，在一起侵入计算机系统犯罪案件中，教育部网站被人入侵修改了数据，检察机关以破坏计算机系统罪审查起诉，根据犯罪构成四要件明确争点。主要的争点可能是：（1）危害行为。被告人是否有侵入计算机信息系统的行为，不是侵入就不构成犯罪；被告人是通过刷机的方式还是后台侵入账号密码进入系统；若两种行为都存在，怎么区分两种行为的比例各占多少；（2） 危害结果。本案中同时存在刷机和入侵的行为，要审查入侵造成了多少犯罪收益或者财产损失；（3）犯罪客体/侵害对象。本案是嫌疑人替考生入侵托福考试网站报名，托福考试报名网站是否为教育部网站尚存疑虑，因此本案的侵害对象是什么、社会危害性有多大就难下定论。笔者建议办案人员查询工信部网站域名备案管理系统、工商局注册信息、质监局的网站信息。查询结果是该网站并不是教育部网站，也不是事业单位网站，而是独立运行的子公司的网站。这会导致犯罪社会危害性的差异。

三、电子证据的还原式审查

还原式审查的理论依据是“场”理论，即把电子证据看成一个信息“场”，据此还原案件事实。人们可以根据电子证据的时间信息重建案件事实，也可以根据电子证据的身份信息刻画嫌疑人形象。在一起微信诈骗案件中，被告人冒充不存在的人诈骗其闺蜜，二审法院认为证据不足发回重审，后来被告人被判了4年刑期，此案以聊天时间和地点为轴可以还原微信聊天记录和聊天时长。最简单的方法就是通过微信还原四个人的案件事实，四个账号是不是真的存在、是否聊过天，在何地聊天，是否存在聊天时间地点与其本人出差时间不一致。如果没有异常，就不大可能是冤枉的。如果破绽百出， 证据可能存在造假。笔者曾经接受委托协助审查电子证据，发现所谓的四个被冒充者中有三个人是不存在的， 第四个人是存在的故不存在被冒充的情况，原一二审法院并没有查清事实；同时，该手机存在多人登陆微信的情况。从控诉的角度来说，办案人员需要举证证明是被告人而非其他人实施的诈骗。

这同样适用于日常生活，信息革命以前的经典著作《易经》《论语》《史记》具有穿透时空的思想力，但这些著作的具体完成过程是怎样的，人们则只能看史书的记载。当今社会，一些伟大的作品由作者使用电脑写完，读者看到的只是呈于纸上的知识，然而若查看其word版本，就会发现关于文件头和文件尾的二进制信息远远大于文件内容的二进制信息。word 文档还会产生很多临时文件和日志文件，看 word 文档时相当于到了另一个现场去看 word 文档的形成过程。所有的电子证据都是在虚拟场中出现的，人们通过审查电子证据能够还原虚拟空间这些文件的编辑过程。笔者在人民大学指导学生写论文，就发现学生提交的毕业论文（电子版）均存在文档的创建时间、编辑时间、修订次数等信息，假若写作的时间太短（通常表现为文档编辑时间与创建时间的间差太少）或者修订次数过低，那么这篇文章就不值得费心指导了，可以要求学生下功夫“重写”。

在实践中，办案人员有许多简单办法进行还原式审查。例如，在 windows系统中用*.doc/*.docx搜索文档存储，把所有文件排个序，可以重建word文档的形成过程；对于手机里的许多条通话记录，可以按照发送/ 拨打时间排序。这些做法都能够实现“还原”。只要认识到电子数据有虚拟场的存在，人们通过时间顺序或者其他条件（如用户身份等）还原案件事实，就很简单。

四、电子证据的实验式审查

侦查实验是指侦查人员在刑事诉讼过程中按照科学的原则和方法，在模拟案件原有条件基础上所设计、实施的，旨在查明与案件有关的事实的存在、发生的可能性或其状态、过程的法科学活动。［2］刑事诉讼法第135条规定：“为了查明案情，在必要的时候，经公 安机关负责人批准，可以进行侦查实验。侦查实验的 情况应当写成笔录，由参加实验的人签名或者盖章。侦查实验，禁止一切足以造成危险、侮辱人格或者有 伤风化的行为。”《最高人民法院关于适用〈中华人民共和国刑事诉讼法〉的解释》第 106条规定：“对侦查 实验笔录应当着重审查实验的过程、方法，以及笔录 的制作是否符合有关规定。”该司法解释第 107 条规定：“侦查实验的条件与事件发生时的条件有明显差异，或者存在影响实验结论科学性的其他情形的，侦查实验笔录不得作为定案的根据。”比如过去人们不知道活着跳楼和死后被人抛尸创口有何区别，这是通过抛猪来进行模拟的。

电子证据的实验式审查是指对于案件中难以依照常规判断电子证据或其相关证据，办案人员可以进行模拟性质的侦查实验，以验证相关情况发生的可能性。对不太熟悉的电子证据专业知识，办案人员可以像传统实验那样进行模拟，了解专业知识后再进行审查。在一起案件中有一个很重要的证据是侦查人员打印了被告人淘宝订单。这个证据是不是对的呢？办案人员可以自己登录淘宝订单，把淘宝账户数据打印下来。在该案中，侦查人员提交给公诉人淘宝订单的文件格式是xls.。而实验表明，淘宝网“批量导出功能”生成的均为“.csv”属性的数据文件，不可能是“.xls”属性，这说明侦查人员提交的证据可能是编辑过的。再用鼠标右键点击文件属性，发现文件创建时间是2015/6/9 14:56，就是勘验笔录的时间，最后保存时间是2015/6/11 15:05，是勘验后两天的时间。说明侦查人员在6月9日勘验后又对文件进行了操作。这么做显然不符合法律规定。

另一个实验是用网上的取证软件对 docx 文件的创建时间、修改时间进行篡改，篡改软件的时间只能精确到秒钟，而原始文件则可精确到了百纳秒，做了这个实验就很容易判断word 文档是否造假。办案人员也要掌握这种实验式审查的技巧。（待续）

作者：刘品新