刑事电子数据怎么核对：设备、提取过程和网络身份的三层证明

一条电子记录，至少要回答三个不同的问题

刑事案件中的聊天、登录日志或手机定位可以成为重要证据，但一份打印截图不能自动回答所有问题。先要问数据从哪里来、怎样提取；再看内容是否真实完整；最后才是它能否证明特定的人做了特定的事。来源可靠、文件没有变化，与记录内容真实、操作者身份确定，是彼此有关却不能互相代替的判断。

两高一部关于刑事电子数据的规定把真实性、合法性和关联性放在一起审查，同时规定了收集提取的方式、笔录、完整性校验和身份关联的核查。实践中，一条重要记录往往需要与不同来源的数据、证言和其他证据相互印证，也要认真检验不利于指控结论的材料。

本文用两个公开案例说明不同层次。一个是人员失踪后补充审查移动轨迹和资金记录的抢劫再审抗诉案；另一个是技术人员恢复删除数据、结合证人及其他证据审查监护人主观状态的故意杀人案。案例只说明具体材料在各自案件中的作用，不代表出现同样数据就必然得到相同结论。

来源不是截图上写了一个账号就足够

最先需要辨认的是记录的形成者与保存位置。一段聊天可能来自手机本地数据库，也可能由平台依照程序提供；一条登录记录可能来自服务端日志，也可能是设备端应用的缓存。二者即使显示同一账号和相近时间，记录的范围、时间精度及遗漏原因仍可能不同。

依据上述规定，收集、提取电子数据原则上应当扣押、封存原始存储介质。原始介质不便封存、无法扣押或者不宜中断相关系统等符合法定情形时，可以按照规定提取电子数据，记明原因、来源和过程。原始介质与数据本身不是同一个概念：介质是承载数据的设备或部件，提取出的文件还需要说明与原介质的对应关系。

例如，证据目录中只有一张打印聊天截图时，审查重点包括截图由谁形成、手机或平台能否提供上下文、是否能够识别对话双方和时间。不能因为没有移送手机就一律说截图必然虚假；也不能因为纸上印有头像，就认为发言者已经确定。应结合不能取得原始介质的原因、提取记录及其他证据判断。

如果数据来自大型线上系统，要求把整个系统实体设备移送可能并不现实。这个时候，调取文件、提供人说明、数据范围、筛选方式、形成时间和交接过程就更加重要。未经解释地从大量记录中截取几行，可能遗漏相邻操作或筛选条件，影响另一方核对。

校验值能验证什么，不能验证什么

电子数据在提取后可能被复制、移送和分析。完整性校验值是用一定方法计算出的数字摘要；在相同算法和相同处理对象下，将提取、移送、检查等环节的校验值进行比较，有助于发现文件是否发生变化。核对时仍应看清算法、计算对象和时间，不能把不同文件或不同算法的数值直接相比。

校验一致说明的是被比较的数据在相关环节保持一致，并不自动证明最初输入的信息真实。平台可能收到冒用账号发送的内容，用户也可能上传过经过剪辑的文件。即使后来的复制完全准确，最初形成的记录仍需要结合形成机制和其他证据判断。

取证笔录、清单和必要的录像能够帮助还原提取过程。规定要求记明案由、对象、时间、地点、方法和过程，列出数据类别、文件格式、完整性校验值等，并由相关人员签名或者盖章；不能签名或拒绝签名的，应按规定注明并处理。对于无法封存或远程提取等特殊情况，还要审查相应的技术和程序条件。

在实践中发现缺少某一项材料时，不宜马上作出“全部证据当然排除”的结论。应当进一步查清缺失的具体内容，依规定判断程序瑕疵能否补正或作出合理解释；属于规定第二十七条所列瑕疵而不能补正或合理解释的，不得作为定案根据。电子数据被篡改、伪造、无法确定真伪，或者因增删修改影响真实性以及其他无法保证真实性的情形，依第二十八条不得作为定案根据，不能简单以补正笔录解决。相反，也不能用一句“技术部门已经验证”替代对原始记录、方法和结果的公开说明。

从账号到真人，需要跨过控制关系这一步

某个账号发布了信息，并不等于登记人一定亲手发布；某个设备接入过网络，也不等于设备所有人在每个时刻都使用它。共享电脑、多人使用的手机、远程控制、借用账号以及动态IP，都可能影响身份判断。

电子数据规定提出，可以综合核查IP地址、网络活动记录、上网终端归属、相关证人证言及犯罪嫌疑人、被告人的供述和辩解。这个列表的意义不在于凑够几种材料，而在于让不同来源的事实回答彼此的缺口：网络记录说明连接活动，设备使用记录说明控制状态，证言与其他客观材料再帮助核查当时是谁操作。

最高检公布的马某林抢劫再审抗诉案中，办案机关补充审查通信轨迹、银行卡取款等证据。对这类材料，应分开理解“设备出现在某区域”“银行卡发生取款”和“具体人员实施抢劫”之间的证明距离，审查多项材料如何互相支持，也要考虑设备或卡由他人使用等合理可能。案例中的裁判结论建立在全案综合审查上，而非单凭基站位置。

恢复删除数据后，还要看它能否证明争议事实

最高检检察技术典型案例五中，办案人员恢复被删除的手机数据，发现监护人在被害人死亡前后拨打火化车司机电话。司机证言与通话时间相互结合，为审查其是否知道被害人生命垂危提供材料。案件还结合死因重新鉴定、监控音视频处理等多种证据，法院以故意杀人罪判处无期徒刑。

恢复出的通话记录本身通常说明号码、时间等信息，电话内容需要结合证人陈述及其他材料证明。记录被删除也可能成为需要解释的事实，但不能把删除直接等同于犯罪故意。另一方面，仅凭设备损坏或文件删除，也不能认定恢复结果必然不可靠，应审查恢复方法、对象、操作记录和可核验范围。

音视频经过降噪或清晰化处理时，同样要注意保留原始材料和处理过程。处理结果帮助听辨或观察，不应成为替换原始音视频、掩盖听不清部分的理由；当不同人对处理结果的含义存在争议时，需要明确哪些内容可以辨认、哪些只是推测，并结合其他证据判断。

将疑问写成可以核查的具体问题

辩护人或当事人核对电子数据时，最有价值的问题通常不是笼统地说“数据可以修改”，而是指出需要调查的具体环节。比如，提取清单上的设备标识是否与扣押清单一致；文件的校验对象是否包含完整数据库；日志时间采用何种时区；同一账号在争议时段是否存在其他登录；筛选条件会不会漏掉与指控相反的数据。

如果不同材料互相矛盾，应分别说明矛盾是时间、身份、设备还是内容上的，再请求核查相应来源。证据可能因技术限制无法达到理想完整程度，但这种限制应被解释，不能由任何一方自行填补为必然事实。最终能否认定犯罪，仍须依法审查全部证据是否达到刑事证明标准，而不是由单一技术指标决定。

还有一种容易被忽略的情况：同一份资料既包含技术记录，也包含人的解释。系统自动记载的连接时间，与分析人员根据这些记录推导出的活动顺序，应在材料中分开。对推导过程有疑问时，可以核查采用了哪些原始数据、是否存在缺失时段，以及改变假设后结论是否仍然成立。技术审查的目的，是让证据接受各方检验，而不是让专业术语替代必要的说明。