趙利 王昌華

隨著計算機技術(shù)的發(fā)展和互聯(lián)網(wǎng)的迅速普及，大量犯罪活動都牽涉到了電子數(shù)據(jù)，由此電子數(shù)據(jù)司法鑒定在我國應(yīng)運而生。在以往，電子數(shù)據(jù)通常被劃歸到“視聽資料”類證據(jù)中，但隨著新《刑事訴訟法》和《民事訴訟法》修訂實施，“電子數(shù)據(jù)”成為了與“視聽資料”相并列的一種法定證據(jù)，其法律地位進(jìn)一步得到肯定，從而推動了電子數(shù)據(jù)司法鑒定的迅速發(fā)展。

電子數(shù)據(jù)具有隱藏性、多樣性、脆弱性等特點，在獲取、傳送、分析等各個環(huán)節(jié)都有可能被改變，而且不易留下痕跡，不易識別，這常常成為提交到法庭的電子證據(jù)被質(zhì)疑的重要原因。因此，在司法鑒定過程中保障數(shù)據(jù)的真實性和完整性是提高電子數(shù)據(jù)證據(jù)效力的關(guān)鍵，也是當(dāng)前電子數(shù)據(jù)司法鑒定面臨的難題。

證據(jù)只有符合真實性、關(guān)聯(lián)性、合法性的標(biāo)準(zhǔn)才能作為有效的證據(jù)，才能作為認(rèn)定案件事實的依據(jù)。①李揚:《論電子證據(jù)在我國新修〈民事訴訟法〉中的法律地位》，《重慶郵電大學(xué)學(xué)報（社會科學(xué)版）》2012年第11期。從司法鑒定的角度研究電子數(shù)據(jù)證據(jù)效力的提高，也應(yīng)從這三個標(biāo)準(zhǔn)出發(fā)。

一、保障電子數(shù)據(jù)的合法性

合法性指司法鑒定中所取得的電子數(shù)據(jù)符合法律規(guī)定，可作為證據(jù)采納，進(jìn)而用于證明案件事實的特性，它是保證電子數(shù)據(jù)證據(jù)效力的基礎(chǔ)和前提。具體而言，電子數(shù)據(jù)的合法性主要包含了三方面:一是證據(jù)必須具有合法的形式；二是證據(jù)的來源必須合法；三是證據(jù)必須經(jīng)法定人員依法定程序收集和提取。②劉顯鵬:《電子證據(jù)的證明能力與證明力之關(guān)系探析》，《北京交通大學(xué)學(xué)報（社會科學(xué)版）》2013年第4期。

（一）通過司法鑒定將電子數(shù)據(jù)固定為證據(jù)

電子數(shù)據(jù)應(yīng)通過第三方的司法鑒定，以鑒定結(jié)論或鑒定意見書的形式提交給法庭。由于電子數(shù)據(jù)具有極強的技術(shù)性和專業(yè)性，法官很難在技術(shù)層面判斷電子數(shù)據(jù)是否真實可靠，因此必須由技術(shù)專家運用科學(xué)技術(shù)或者專門知識對涉及的專門性問題進(jìn)行解釋、鑒別和判斷，提供鑒定意見形成證據(jù)。①汪建成:《司法鑒定基礎(chǔ)理論研究》，《法學(xué)家》2009年第4期。為保證證據(jù)的公正客觀，形成證據(jù)的工作應(yīng)由具有法律資質(zhì)的第三方鑒定機構(gòu)承擔(dān)，技術(shù)專家應(yīng)是與案件無關(guān)的具有專業(yè)知識和合法資質(zhì)的鑒定人員。這樣才能保證作為證據(jù)使用的電子數(shù)據(jù)具有合法的形式。

（二）審查被鑒定物品的來源

《司法鑒定程序通則》十四條中明確規(guī)定:“司法鑒定機構(gòu)收到委托，應(yīng)當(dāng)對委托的鑒定事項進(jìn)行審查”，并且明確了不得受理的委托情形。其中不得受理的情況之一即為“鑒定材料不真實、不完整、不充分或者取得方式不合法的”。因此電子數(shù)據(jù)司法鑒定必須要對所接收的委托鑒定物品的真實性、合法性進(jìn)行檢查，滿足證據(jù)來源合法性要求。

鑒定機構(gòu)可從兩方面入手對物品來源進(jìn)行審查:一是接受委托時，進(jìn)行委托方身份證明和鑒定物品來源審核。當(dāng)委托方是自然人時，應(yīng)提供身份證據(jù)文件如身份證及其復(fù)印件；當(dāng)委托方是執(zhí)法機關(guān)，企事業(yè)單位、律師事務(wù)所時，應(yīng)提供相應(yīng)的單位介紹信，委托函或委托人身份證明等。此外，委托單位和個人必須提供鑒定物品來源證明，例如偵查執(zhí)法機關(guān)應(yīng)提供扣押（或調(diào)?。┪锲非鍐螐?fù)印件。鑒定機構(gòu)對以上材料的真實性進(jìn)行嚴(yán)格審核通過后方可考慮受理。二是對委托物品進(jìn)行初檢，判斷其真實性和完整性。電子數(shù)據(jù)司法鑒定所涉及的鑒定物品為計算機、移動存儲介質(zhì)、光盤、手機等。初檢的目的是快速對物品內(nèi)數(shù)據(jù)進(jìn)行瀏覽，初步判斷委托方所聲稱的數(shù)據(jù)狀態(tài)是否是真實，能否滿足委托方鑒定要求，鑒定機構(gòu)的業(yè)務(wù)范圍、技術(shù)條件和鑒定能力是否能滿足鑒定需求。初檢工作應(yīng)以只讀方式對檢材數(shù)據(jù)進(jìn)行讀取，不能改變數(shù)據(jù)的原始狀態(tài)。如在初檢中發(fā)現(xiàn)一些明顯的異常，如物品聲稱在某個時間被扣押，卻出現(xiàn)了這個時間之后的數(shù)據(jù)，那么該物品數(shù)據(jù)已發(fā)生改變，無法保證其真實性和原始性，該鑒定委托應(yīng)不予受理。

（三）遵守和采用電子數(shù)據(jù)司法鑒定技術(shù)標(biāo)準(zhǔn)和技術(shù)規(guī)范

目前可采用的電子數(shù)據(jù)司法鑒定標(biāo)準(zhǔn)有三項國家標(biāo)準(zhǔn)和九項行業(yè)標(biāo)準(zhǔn)，涵蓋了大部分的電子數(shù)據(jù)司法鑒定范圍。在《司法鑒定程序通則》、《CNAS-CL01:2006檢驗和校準(zhǔn)實驗室能力認(rèn)可準(zhǔn)則》、《司法鑒定機構(gòu)資質(zhì)認(rèn)定評審準(zhǔn)則》中明確規(guī)定了選擇技術(shù)標(biāo)準(zhǔn)和技術(shù)規(guī)范的原則，應(yīng)優(yōu)先選用國家和行業(yè)標(biāo)準(zhǔn)及技術(shù)規(guī)范，只有當(dāng)標(biāo)準(zhǔn)方法未涵蓋實際工作范圍時，才可使用經(jīng)過事先確認(rèn)過的方法。在電子數(shù)據(jù)司法鑒定階段，法定的證據(jù)收集和提取必須按照以上技術(shù)標(biāo)準(zhǔn)和技術(shù)規(guī)范以及標(biāo)準(zhǔn)選用原則進(jìn)行。

二、提高電子數(shù)據(jù)的真實性和關(guān)聯(lián)性

當(dāng)合法取得的電子數(shù)據(jù)可作為證據(jù)使用時，證據(jù)效力的大小，必須由真實性和關(guān)聯(lián)性來判斷。所謂真實性是指建立在事實基礎(chǔ)上的、能準(zhǔn)確、可靠地反映事物本質(zhì)的屬性。只有證明證據(jù)是真實的，證據(jù)才具有可采性。而關(guān)聯(lián)性是指提取到的證據(jù)必須與需要證明的案件事實或其他有爭議的事實具有一定的聯(lián)系。②劉志軍:《取證工具及產(chǎn)品的評估方法淺探》，《警察技術(shù)》2006年第4期。案件事實是客觀存在的，可能從多個方面體現(xiàn)出來，也可能是直接的或間接的體現(xiàn)出來，對提取到的電子數(shù)據(jù)，應(yīng)進(jìn)一步判斷它們是否一致，是否存在矛盾的地方，以確定證據(jù)是否真實可靠，是否能真實體現(xiàn)案件的事實和本質(zhì)，從而得到完整的證據(jù)鏈。這是電子數(shù)據(jù)司法鑒定的精華所在，沒有完整證據(jù)鏈的鑒定工作，其證據(jù)的效力會大打折扣，下文將結(jié)合實例探討如何形成完整證據(jù)鏈。此外，要提高電子數(shù)據(jù)的證據(jù)效力，還必須在鑒定意見和結(jié)論中將得到的檢驗結(jié)果清楚、準(zhǔn)確、易于理解的方式表達(dá)出來。

（一）制作副本，保證證據(jù)的真實性和完整性

在電子數(shù)據(jù)司法鑒定中，最重要的一條原則就是所有的操作都不能改變原始數(shù)據(jù)。這是保證電子數(shù)據(jù)真實性的根本。因此，在實施鑒定過程中，首先應(yīng)采用專業(yè)設(shè)備對檢材進(jìn)行復(fù)制，生成副本，然后對原始檢材妥善封存，后期的所有鑒定操作在副本進(jìn)行。副本由原始檢材按位復(fù)制而成，數(shù)據(jù)形態(tài)和內(nèi)容與原始檢材完全一致。專業(yè)的取證鑒定設(shè)備在復(fù)制時使原始檢材處于只讀狀態(tài)，保證了原始數(shù)據(jù)不被改變，原始檢材可重新進(jìn)行檢驗，以驗證是否能夠得到同樣的案件事實。

此外，制作副本時要進(jìn)行完整性校驗。完整性校驗采用的哈希計算方法，生成原始數(shù)據(jù)的短信息摘要，相當(dāng)于數(shù)據(jù)指紋。即使只有一個數(shù)據(jù)位的改變，也會得完全不一致的哈希結(jié)果，因此完整性校驗值被記錄后用于證實數(shù)據(jù)的原始狀態(tài)未被改變，并且副本數(shù)據(jù)與原始數(shù)據(jù)完全真實一致，使在副本上進(jìn)行的鑒定操作具有可靠性和有效性。

值得注意的是，對某些鑒定物品如手機，就目前的取證技術(shù)而言還沒有有效的技術(shù)方法做到完全只讀保護或副本操作，那么對這類物品，應(yīng)詳細(xì)記錄鑒定過程中每一步操作及操作結(jié)果，并進(jìn)行過程錄像。

（二）選擇安全可靠的鑒定工具。

電子數(shù)據(jù)鑒定的對象是特定二進(jìn)制編碼，因此需要特定的設(shè)備和工具將虛擬化的電子數(shù)據(jù)用可以理解的形式呈現(xiàn)出來。并且電子數(shù)據(jù)在傳輸速度和存儲容量迅猛增長的現(xiàn)狀下，電子數(shù)據(jù)司法鑒定不可能僅靠人工完成，因此鑒定工具的使用幾乎貫穿了整個鑒定環(huán)節(jié)，包括數(shù)據(jù)的獲取和固定、數(shù)據(jù)搜索、數(shù)據(jù)恢復(fù)、數(shù)據(jù)分析以及報告生成。應(yīng)選擇安全可靠的鑒定工具，確保工具的使用不會造成數(shù)據(jù)以錯誤的形式表現(xiàn)出來。

目前用于電子數(shù)據(jù)司法鑒定的工具各類和數(shù)量眾多，常用的硬件工具有硬盤復(fù)制機和只讀設(shè)備，常用的軟件工具功能包括綜合取證分析、手機取證、網(wǎng)絡(luò)取證、數(shù)據(jù)恢復(fù)、密碼破解等。鑒定機構(gòu)在選用鑒定工具前，應(yīng)對其安全性和可靠進(jìn)行評估和檢驗。在我國，目前僅有兩項行業(yè)標(biāo)準(zhǔn)可用于電子數(shù)據(jù)取證與鑒定工具的檢測—《GA/T 754-2008電子數(shù)據(jù)存儲介質(zhì)復(fù)制工具要求及檢測方法》和《GA/T 755-2008電子數(shù)據(jù)存儲介質(zhì)寫保護設(shè)備檢測方法》。在這種情況下，為保證鑒定工具的安全可靠，鑒定機構(gòu)可使用人員比對和工具比對的方法檢查取證工具是否安全可靠。人員比對是指不同人員使用相同工具和方法進(jìn)行相同的取證操作，看是否得到一致結(jié)果。而工具比對是同一人使用不同工具執(zhí)行相同的取證操作，看是否結(jié)果一致。

（三）在鑒定文書中用客觀公正、易于理解的表述體現(xiàn)案件事實

司法鑒定文書是司法鑒定機構(gòu)和司法鑒定人依照法定條件和程序，運用科學(xué)技術(shù)或者專門知識對訴訟中涉及的專門性問題進(jìn)行分析、鑒別和判斷后出具的記錄和反映司法鑒定過程和司法鑒定意見的書面載體。①司法部:《司法鑒定文書規(guī)范》，2007年11月1日。出具鑒定意見或鑒定結(jié)論是電子數(shù)據(jù)司法鑒定最后一個環(huán)節(jié)，鑒定文書是鑒定工作的最終體現(xiàn)形式，將作為證據(jù)提交到法庭，其質(zhì)量的好壞將直接影響證據(jù)效力。

鑒定文書要寫明鑒定的實施過程和科學(xué)依據(jù)，包括檢材處理、鑒定程序、所用技術(shù)方法、技術(shù)標(biāo)準(zhǔn)和技術(shù)規(guī)范等內(nèi)容，要有形成鑒定意見的分析、鑒別和判斷的過程。例如在數(shù)據(jù)搜索和恢復(fù)中的處理對象常常是無法直接讀取的文件，如交換文件、被刪除或損壞的文件、臨時文件和碎片空間，以及存儲介質(zhì)的未分配空間中殘留數(shù)據(jù)等。②王俊:《論電子數(shù)據(jù)鑒定》，《證據(jù)科學(xué)》2008年第2期。搜索和恢復(fù)的結(jié)果可能是體現(xiàn)某一事實的不完整碎片，也可能改變文件某些特征屬性。例如，文件名稱為“a.doc”的文件被刪除后，如果所在分區(qū)的文件分配區(qū)已被破壞，那么恢復(fù)出的文件名可能會由恢復(fù)軟件自定義，而不是原文件名“a.doc”。在這樣的情況下，為保證電子數(shù)據(jù)的真實性，提高數(shù)據(jù)的證據(jù)能力，必須在鑒定意見的檢驗過程中詳細(xì)說明所采用的取證軟件名稱、版本等，在分析說明中詳細(xì)說明得到結(jié)果的過程，以證實得到的數(shù)據(jù)確實是原始數(shù)據(jù)的真實體現(xiàn)。

鑒定結(jié)論和意見是鑒定人員對案件事實的最終判斷，是法庭對證據(jù)認(rèn)定的依據(jù)，其表述應(yīng)明確、具體、規(guī)范，具有針對性和可適用性，能夠為非專業(yè)人士理解。

三、提高電子數(shù)據(jù)證據(jù)效力的實際運用

以下結(jié)合具體案例來談如何提高電子數(shù)據(jù)證據(jù)效力問題。某公司發(fā)生商業(yè)秘密泄露，公司對一員工進(jìn)行調(diào)查后起訴，并將其在公司工作期間的計算機作為證據(jù)提交。但該員工拒絕承認(rèn)該計算機為自己專用，并聲稱系統(tǒng)有多種病毒，可能被遠(yuǎn)程控制，同時認(rèn)為公司扣押計算機后可能篡改了數(shù)據(jù)。因此，公司方面提出對涉案計算機進(jìn)行電子數(shù)據(jù)司法鑒定。

圍繞該案的爭議點，鑒定人員對涉案計算機硬盤的副本從以下方面進(jìn)行了檢驗:

（1）對檢材的數(shù)據(jù)原始性進(jìn)行檢驗。確定了最后的數(shù)據(jù)寫入時間及系統(tǒng)最后使用時間，得到了在計算機扣押之日后檢材數(shù)據(jù)未發(fā)生任何改變的結(jié)論。

（2）對系統(tǒng)的運行狀況和安全性進(jìn)行檢測。分析注冊表和日志文件，發(fā)現(xiàn)該計算機系統(tǒng)運行正常，無異常出現(xiàn)。對系統(tǒng)的病毒和木馬進(jìn)行檢查，發(fā)現(xiàn)計算機存在少量病毒，再進(jìn)一步對此類病毒的行為特征進(jìn)行了分析，得出病毒不會控制操作行為以及改變文件狀態(tài)的結(jié)論。

（3）提取檢材中可能反應(yīng)的當(dāng)事人特征信息。數(shù)據(jù)搜索和提取的信息包括計算機帳戶信息，電子郵箱配置屬性及郵件往來關(guān)系、網(wǎng)絡(luò)連接屬性、文檔內(nèi)容（發(fā)表的文章、署名的文件）、照片圖片內(nèi)容、身份證復(fù)印件或銀行卡信息、上網(wǎng)記錄、緩存或表單中的輸入信息等。根據(jù)結(jié)果得出該計算機應(yīng)為嫌疑人所用的結(jié)論。

（4）檢查關(guān)鍵文件是否系統(tǒng)正常生成，是否在物品扣押后生成以及是否被篡改。對關(guān)鍵文件的元數(shù)據(jù)進(jìn)行分析，對與關(guān)鍵文件相關(guān)的中間文件和文件碎片進(jìn)行了搜索和恢復(fù)，對文檔的時間屬性進(jìn)行了分析和驗證，對外接存儲介質(zhì)的使用情況進(jìn)行了檢查，得出關(guān)鍵文件是在案發(fā)期間正常生成，并在外接存儲介質(zhì)上存在過的結(jié)論。

在該案中，鑒定人員通過對檢材數(shù)據(jù)原始性進(jìn)行檢驗防止了對數(shù)據(jù)真實性的質(zhì)疑；通過對系統(tǒng)狀態(tài)的檢測，確定案發(fā)期間系統(tǒng)處于安全狀態(tài)，排除了系統(tǒng)被遠(yuǎn)程控制和文件被病毒生成的可能，防止了嫌疑人對操作行為的抵賴；對當(dāng)事人身份特征信息的廣泛提取明確了計算機的使用者，鎖定了嫌疑人；對關(guān)鍵文件的狀態(tài)進(jìn)行深入分析，重現(xiàn)了案發(fā)期間文件生成和使用狀態(tài)，有利于判斷嫌疑人操作行為。由此，以上信息形成一個邏輯嚴(yán)密的證據(jù)鏈，鑒定結(jié)論具有較強的證據(jù)效力。

當(dāng)然，電子數(shù)據(jù)證據(jù)效力的提高涉及法律和技術(shù)等多方面的內(nèi)容，本文僅是從司法鑒定的角度作了初步探討，希望能為實際工作提供一種有益的幫助。