引言：

随着电子数据在刑事案件中的广泛应用，如何对其进行有效审查逐渐成为诉讼实践的焦点。当前实务界在面对电子数据时，往往将关注点集中在“数据”本身，而对伴随数据提取与流转的“案卷材料”重视不足。事实上，在难以直接获取电子数据本体的情况下，案卷中关于电子数据的笔录、鉴定意见书、存储介质清单等材料，往往蕴含丰富的信息。对这些案卷材料的审查，同样能够为质证提供有力支撑，甚至在某些情形下成为突破案件的关键。

然而，从当前实务经验看，围绕电子证据的案卷仍存在明显问题：其一，电子数据究竟存在哪些“卷”，即哪些案卷材料与其相关，常常缺乏系统梳理；其二，面对动辄数十上百份、跨越多项技术环节的案卷，如何实现高效、针对性的阅读，亟需明确方法与路径；其三，具体到审查操作，有哪些可资借鉴的技巧与经验，以防止“阅卷”流于形式，是当前实务中的突出难题。本文即试图围绕这三个核心问题展开分析与总结。

一、电子数据有哪些“卷”？

电子数据究竟对应哪些案卷？这是令许多法律实务工作者困惑的第一个问题。实际上，在刑事案件中，电子数据的各项取证措施均对应着特定的案卷，并已在《最高人民法院、最高人民检察院、公安部<关于办理刑事案件收集提取和审查判断电子数据若干问题的规定>》（2016年，以下简称《电子数据规定》）和《公安部<公安机关办理刑事案件电子数据取证规则>》（2019年，以下简称《电子取证规则》）两部规范性文件中予以明确。

刑事电子取证措施包括以下几类：

1.扣押、封存。该措施的对象严格来说并非电子数据，而是其“原始存储介质”，如手机、电脑硬盘、U盘等。原始存储介质属于物证，可适用物证相关规则，如非法证据排除（《刑诉法》第56条）、物证鉴真（《刑诉法解释》第86条）等电子数据不具备的规则。需要注意的是，“扣押、封存”是一种优先取证措施，可理解为“应扣尽扣”，《电子数据规定》明确要求：“能够扣押原始存储介质的，应当扣押、封存原始存储介质”。

2.现场提取。指在原始存储介质不便封存、存在动态易失性数据（如内存数据、网络传输数据）、或设备关闭后无法解锁等情形下，现场直接从设备中提取数据。

3.网络在线提取、远程勘验。两项措施针对存储于网络环境中的电子数据。网络在线提取的对象为“公开发布的电子数据、境内远程计算机信息系统上的电子数据”，可理解为对网络数据的下载并固定保全。远程勘验则是“为进一步查明有关情况”，分析提取范围、安装程序、收集系统架构、日志、文件目录结构等信息，常见情形如从网络云服务平台获取后台日志数据。两者的区别在于：网络在线提取侧重于“固定信息”，而远程勘验更注重侦查人员的分析、判断和发现过程。

4.调取、冻结。多适用于电子数据由第三方持有的情形。在大数据时代，越来越多的数据存储于云端或远程网络系统，当无法直接扣押、提取时，往往需要数据持有人协助。调取是指依法要求第三方提供有关数据；冻结则是限制数据的公开访问权限，防止增删改，通常仅向侦查人员提供“只读”权限，适用于数据量庞大、提取困难或存在篡改风险等场合。

5.检查、侦查实验。与传统证据相比，电子数据在现场侦查与鉴定两个环节增加了“检查”环节，主要有解密、恢复、搜索、仿真、比对、统计等操作，由具备专业技术的侦查人员实施。侦查实验则是通过模拟和重演的方法，验证特定条件下电子数据能否再现某种状态或结果。

6.检验与鉴定。为了查明案情，解决案件中某些专门性问题，指派、聘请有专门知识的人进行鉴定，或者委托公安部指定的机构出具报告。注意其主体不是侦查人员，而是具有专门知识的专业人员。

电子取证措施对应的案卷：

《电子取证规则》对各类电子取证措施所对应的案卷文书作出了明确规定。例如，根据该规则第十条、第十二条、第十三条，实施“扣押、封存原始存储介质”时，应制作笔录并形成《扣押清单》一式三份，其中应当写明原始存储介质的名称、编号、数量、特征及来源。又如，根据第二十六条，实施“网络在线提取电子数据”时，应当制作笔录（注明电子数据的来源、事由、目的、对象，提取的时间、地点、方法、过程，以及不能扣押原始存储介质的原因），并附《电子数据提取固定清单》（注明类别、文件格式、完整性校验值等）。其他具体要求均在条文中有明确规定，此处不再逐一列举。

结合法条规定及司法实践，除鉴定意见外，电子数据相关案卷主要包括以下三类：

1.笔录类。无论采取何种取证措施，均需以笔录形式详细记录取证过程，包括具体步骤、操作方式及必要的操作截图。

2.清单类。对提取的电子数据或扣押的存储介质进行列表登记，尤其要注明电子数据的完整性校验值或存储设备的唯一性特征（如序列号）。若涉及照片，还应附《图片记录表》。

3.通知书类。对于调取、冻结等措施，应有相应的通知书，如《协助冻结电子数据通知书》《解除冻结电子数据通知书》《调取证据通知书》等；若涉及跨地域取证，还需出具《办案协作函》。

上述案卷的设置是法律规定的基本要求，具体案件中仍需结合案情进行灵活把握与审查。

二、电子数据如何高效“阅卷”？

在明确电子数据相关案卷类型的基础上，还需要掌握高效的阅卷方法。实践中，基本的做法是针对具体的取证措施，依照法律规定逐项审查其笔录、清单等材料。例如，《电子取证规则》第16至22条对现场提取作出详细规定，需重点审查取证条件是否符合“无法扣押原始存储介质”的法定情形，操作过程是否符合法规要求（如不得回写、不得擅自安装程序、全程录像），以及笔录、清单、见证手续是否齐备、完整性校验值是否完整记载。其他取证措施的案卷审查同理。

但在实务中，尤其是在涉众型网络犯罪案件中，电子数据取证笔录往往动辄数十上百份，鉴定意见也可能有多份。若僵化逐份审查，不仅效率低下，而且难以抓住实质问题。对此，可以采用“鉴—数—取”一体式审查方法。

所谓“鉴—数—取”，即：

“鉴”：指鉴定意见。司法机关对电子数据的采信往往主要依赖于鉴定意见结论部分。

“数”：指电子数据本体，即以电子形式呈现的具体数据内容。

“取”：指取证笔录、清单等案卷材料，如上文所述。

同一份电子数据在诉讼中的流转过程，大致经历“提取—移送—鉴定”三个环节：取证笔录记录了数据提取的过程，电子数据本体是被实际提取的对象，鉴定意见则以该数据作为检材。三者在指向上应当一致。例如，某公司涉案服务器日志存储在阿里云平台，侦查人员通过远程勘验方式提取数据，随后将该数据移送鉴定机构，最终形成鉴定报告。在这种情况下，远程勘验笔录、服务器日志数据、鉴定意见中的检材三者应当相互对应。如果其中任何环节存在描述不一致或细节矛盾，就可能影响证据的可靠性。因此，在审查时，可以对“鉴—数—取”三类材料进行两两比对或三者交叉比对，重点审查其对象是否一致、细节是否吻合，从而在提高效率的同时发现问题，实现精准质证。

上述思路在实践中可细化为以下操作步骤：

第一，对电子数据进行“鉴—数—取”体系化整理。

1.查找鉴定意见的检材描述。聚焦于对定罪量刑有影响的鉴定意见，首先明确其开头部分所列检材。

2.查找检材对应的取证笔录。根据检材的名称、属性等特征，寻找与之对应的取证笔录。实践中，这一步往往最为复杂：有的检材并非出自单一笔录，而是从多份笔录中抽取；也有的检材无法找到任何明确对应的取证笔录。

3.未找到取证笔录的处理。若检材缺乏对应笔录，可依据《刑诉法解释》第98条提出排除鉴定意见申请，或向法检机关申请复制原始数据。

通过上述整理，可将案件中复杂纷繁的电子数据归纳成清晰的体系。例如，在某非法获取计算机信息系统数据案中，电子数据被整理为“远程勘验笔录—勘验数据—1号鉴定意见”和“阿里云调取文书—调取数据—2号鉴定意见”两套体系。又如，在某买卖国家机关公文案中，关键的四份鉴定意见检材均未能对应到取证笔录，辩方遂提出要求法院提供原始电子数据的申请，起到了很好的质证与程序制衡效果。

第二，对“鉴—数—取”进行同类比对审查。

针对同一套电子数据的“鉴定意见检材”与“取证笔录”，应逐项比对。比对项目通常包括：文件名、哈希值、文件大小、文件数量、文件路径、文件时间等。若同一电子数据在案卷不同材料中的属性不一致，即可就真实性、关联性、合法性提出质证意见。若能够获取电子数据本体（虽然实践中较为困难），还可自行计算哈希值，核对其文件名、大小、时间、路径等，再与笔录和鉴定意见进行三方比对。例如，在前述非法获取计算机信息系统数据案中，2号鉴定意见涉及5份检材文件，但在对应的阿里云调取文书中，其记录的电子数据IP地址、数量、名称、大小、哈希值等均与检材不一致。辩方遂据此提出“2号鉴定检材来源不明”的质证意见，并依据《刑诉法解释》第98条申请排除该鉴定意见。

此外，由于上文反复提到电子数据鉴定意见的排除，现就电子数据一体化的“排除”技巧也予以说明。严格来说，刑事非法证据排除的对象并未直接涵盖电子数据，但仍可利用现有法条，从以下三个角度实现对电子数据的“排除”：

1.排除电子数据。《刑诉法解释》第113条、第114条，《电子数据规定》第27条、第28条，均明确规定了电子数据排除规则，主要包括两类情形：其一，存在取证瑕疵且无法补正；其二，电子数据真实性无法保证。

2.排除电子载体。当电子数据以原始存储介质形式呈现时，存储介质属于物证，可适用物证规则。此时可援引《刑诉法》第56条非法证据排除规则，以及《刑诉法解释》第86条关于实物证据鉴真的规定，即“未附笔录或者清单，不能证明物证、书证来源的，不得作为定案根据”。

3.排除鉴定意见。若存在上述电子数据排除或载体排除的情形，可进一步申请排除鉴定意见。依据《刑诉法解释》第98条第（三）、（四）款规定，“送检材料、样本来源不明，或者因污染不具备鉴定条件的”，“鉴定对象与送检材料、样本不一致的”，鉴定意见不得作为定案根据。

三、电子数据的阅卷技巧

在“鉴—数—取”一体化审查的基础上，实践中还可以运用一些具体的阅卷技巧，归纳如下：

1.同类比对法

这是“鉴—数—取”的延伸方法，尤其适用于案件中存在多份鉴定意见的情形。对不同鉴定意见中的同一对象进行逐项比对，揭示其属性和细节上的异常。例如，在某侵犯著作权案中，针对同样检材和事由先后进行了四次鉴定。将检材（硬盘一块）、样本（U盘一个）及其中关键文件（excel文件一份）的信息进行前后比对发现：硬盘序列号在第四次鉴定中发生变化，可能存在被调包的情况；硬盘镜像的哈希值在四次鉴定中均不一致，说明数据完整性遭到破坏；U盘虽然未计算哈希值，但其在每次鉴定中的子文件数量、名称、路径均有差异；excel文件的哈希值也在每次鉴定中不同。这些问题足以动摇上述电子数据的真实性、鉴定意见的可靠性。在操作上，不妨绘制对照表格，将各次鉴定中的检材文件属性列出，直观呈现其差异。

2.截图审查法

截图是案卷材料中不可忽视的细节来源。各类取证笔录、鉴定意见通常配有各操作步骤截图，有的还附截图电子版。通过截图可开展以下审查：

步骤与截图比对：确认文字描述与截图内容是否一致。例如某一鉴定记录的步骤为计算哈希值，但与截图中哈希值计算的具体日期有差异，且计算时间耗时两天，明显异常。

替代“数”的来源：在无法获取电子数据本体时，截图往往可反映文件数量、名称、时间、路径等信息，成为审查的重要依据。例如在前述侵犯著作权案件中，虽然整个诉讼未见鉴定样本U盘原始载体，但诸多截图完整呈现了U盘中文件情况，同样起到了不错的质证效果。

发现异常细节：截图常能暴露笔录矛盾甚至造假情形。如某远程勘验笔录称使用U盘存储提取到的数据，但截图显示使用的是大容量移动硬盘，且有向涉案电脑中拷入数据的痕迹。

3.录屏审查法

录屏可视为截图审查的延伸。《电子数据规定》《电子取证规则》提出网络在线提取、远程勘验过程全程同录的条件及要求。阅卷时应注意是否移送了取证录屏文件，并可从以下角度审查：

录屏右下角时间是否正常；

收藏夹、桌面、任务栏是否出现案外人痕迹或远程控制软件；

登陆账号是否与笔录记载一致，是否确由当事人提供；

下载的是实时数据还是“备份数据”，备份时间是否合理（尤其在趋利执法类案件中，常见“事先准备备份”并在取证中直接下载的情形，此类问题可通过录屏揭示）；

录屏视频是否有剪辑修改痕迹等。

4.时间比对法

时间审查是直观且高效的方法，笔者曾在其他文章中作过详细探讨。此处主要结合案卷材料介绍一项可直接上手的方法：比对电子数据首次收集时间与电子数据修改时间。

首次收集时间通常可在取证笔录中查到，如扣押封存、在线提取的具体时间。

修改时间则可通过电子数据本体、截图，或利用简单取证工具批量查看获得。

法律要求电子数据一经提取应保持完整性，不能再被改动。因此，若发现电子数据修改时间晚于取证时间，即可质疑其真实性和完整性。例如，通过比对发现某文件在扣押后的数日仍有修改记录，即可作为真实性质疑的突破口。

小结：

电子证据作为现代案件办理中最为常见、同时又最为复杂的证据类型，其审查价值不仅体现在对“数据本身”的核查，更体现在对相关案卷材料的深入解读。从明确电子数据对应的案卷种类，到运用“鉴—数—取”一体化方法，再到掌握同类比对、截图审查、录屏审查、时间比对等具体技巧，均可帮助法律人突破表面记载，发现隐藏问题，提出有力质证。实务中，阅卷不应流于形式，而应当成为质证的前置环节和突破口。

   作者：王燃，中国人民大学纪检监察学院副教授。

来源：中国政法大学刑事辩护研究中心