公安機關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則

160271

公安機關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則
第一章  總  則
第一條  為規(guī)范公安機關(guān)辦理刑事案件電子數(shù)據(jù)取證工作，確保電子數(shù)據(jù)取證質(zhì)量，提高電子數(shù)據(jù)取證效率，根據(jù)《中華人民共和國刑事訴訟法》《公安機關(guān)辦理刑事案件程序規(guī)定》等有關(guān)規(guī)定，制定本規(guī)則。
第二條  公安機關(guān)辦理刑事案件應當遵守法定程序，遵循有關(guān)技術(shù)標準，全面、客觀、及時地收集、提取涉案電子數(shù)據(jù)，確保電子數(shù)據(jù)的真實、完整。
第三條  電子數(shù)據(jù)取證包括但不限于：
（一）收集、提取電子數(shù)據(jù)；
（二）電子數(shù)據(jù)檢查和偵查實驗；
（三）電子數(shù)據(jù)檢驗與鑒定。
第四條  公安機關(guān)電子數(shù)據(jù)取證涉及國家秘密、警務工作秘密、商業(yè)秘密、個人隱私的，應當保密；對于獲取的材料與案件無關(guān)的，應當及時退還或者銷毀。
第五條  公安機關(guān)接受或者依法調(diào)取的其他國家機關(guān)在行政執(zhí)法和查辦案件過程中依法收集、提取的電子數(shù)據(jù)可以作為刑事案件的證據(jù)使用。
第二章  收集提取電子數(shù)據(jù)
第一節(jié)   一般規(guī)定
第六條  收集、提取電子數(shù)據(jù)，應當由二名以上偵查人員進行。必要時，可以指派或者聘請專業(yè)技術(shù)人員在偵查人員主持下進行收集、提取電子數(shù)據(jù)。
第七條  收集、提取電子數(shù)據(jù)，可以根據(jù)案情需要采取以下一種或者幾種措施、方法：
（一）扣押、封存原始存儲介質(zhì)；
（二）現(xiàn)場提取電子數(shù)據(jù)；
（三）網(wǎng)絡(luò)在線提取電子數(shù)據(jù)；
（四）凍結(jié)電子數(shù)據(jù)；
（五）調(diào)取電子數(shù)據(jù)。
第八條  具有下列情形之一的，可以采取打印、拍照或者錄像等方式固定相關(guān)證據(jù)：
（一）無法扣押原始存儲介質(zhì)并且無法提取電子數(shù)據(jù)的；
（二）存在電子數(shù)據(jù)自毀功能或裝置，需要及時固定相關(guān)證據(jù)的；
（三）需現(xiàn)場展示、查看相關(guān)電子數(shù)據(jù)的。
根據(jù)前款第二、三項的規(guī)定采取打印、拍照或者錄像等方式固定相關(guān)證據(jù)后，能夠扣押原始存儲介質(zhì)的，應當扣押原始存儲介質(zhì)；不能扣押原始存儲介質(zhì)但能夠提取電子數(shù)據(jù)的，應當提取電子數(shù)據(jù)。
第九條  采取打印、拍照或者錄像方式固定相關(guān)證據(jù)的，應當清晰反映電子數(shù)據(jù)的內(nèi)容，并在相關(guān)筆錄中注明采取打印、拍照或者錄像等方式固定相關(guān)證據(jù)的原因，電子數(shù)據(jù)的存儲位置、原始存儲介質(zhì)特征和所在位置等情況，由偵查人員、電子數(shù)據(jù)持有人（提供人）簽名或者蓋章；電子數(shù)據(jù)持有人（提供人）無法簽名或者拒絕簽名的，應當在筆錄中注明，由見證人簽名或者蓋章。
第二節(jié)   扣押、封存原始存儲介質(zhì)
第十條  在偵查活動中發(fā)現(xiàn)的可以證明犯罪嫌疑人有罪或者無罪、罪輕或者罪重的電子數(shù)據(jù)，能夠扣押原始存儲介質(zhì)的，應當扣押、封存原始存儲介質(zhì)，并制作筆錄，記錄原始存儲介質(zhì)的封存狀態(tài)。
勘驗、檢查與電子數(shù)據(jù)有關(guān)的犯罪現(xiàn)場時，應當按照有關(guān)規(guī)范處置相關(guān)設(shè)備，扣押、封存原始存儲介質(zhì)。
第十一條  對扣押的原始存儲介質(zhì)，應當按照以下要求封存：
（一）保證在不解除封存狀態(tài)的情況下，無法使用或者啟動被封存的原始存儲介質(zhì)，必要時，具備數(shù)據(jù)信息存儲功能的電子設(shè)備和硬盤、存儲卡等內(nèi)部存儲介質(zhì)可以分別封存；
（二）封存前后應當拍攝被封存原始存儲介質(zhì)的照片。照片應當反映原始存儲介質(zhì)封存前后的狀況，清晰反映封口或者張貼封條處的狀況；必要時，照片還要清晰反映電子設(shè)備的內(nèi)部存儲介質(zhì)細節(jié)；
（三）封存手機等具有無線通信功能的原始存儲介質(zhì)，應當采取信號屏蔽、信號阻斷或者切斷電源等措施。
第十二條  對扣押的原始存儲介質(zhì)，應當會同在場見證人和原始存儲介質(zhì)持有人（提供人）查點清楚，當場開列《扣押清單》一式三份，寫明原始存儲介質(zhì)名稱、編號、數(shù)量、特征及其來源等，由偵查人員、持有人（提供人）和見證人簽名或者蓋章，一份交給持有人（提供人），一份交給公安機關(guān)保管人員，一份附卷備查。
第十三條  對無法確定原始存儲介質(zhì)持有人（提供人）或者原始存儲介質(zhì)持有人（提供人）無法簽名、蓋章或者拒絕簽名、蓋章的，應當在有關(guān)筆錄中注明，由見證人簽名或者蓋章。由于客觀原因無法由符合條件的人員擔任見證人的，應當在有關(guān)筆錄中注明情況，并對扣押原始存儲介質(zhì)的過程全程錄像。
第十四條  扣押原始存儲介質(zhì)，應當收集證人證言以及犯罪嫌疑人供述和辯解等與原始存儲介質(zhì)相關(guān)聯(lián)的證據(jù)。
第十五條  扣押原始存儲介質(zhì)時，可以向相關(guān)人員了解、收集并在有關(guān)筆錄中注明以下情況：
（一）原始存儲介質(zhì)及應用系統(tǒng)管理情況，網(wǎng)絡(luò)拓撲與系統(tǒng)架構(gòu)情況，是否由多人使用及管理，管理及使用人員的身份情況；
（二）原始存儲介質(zhì)及應用系統(tǒng)管理的用戶名、密碼情況；
（三）原始存儲介質(zhì)的數(shù)據(jù)備份情況，有無加密磁盤、容器，有無自毀功能，有無其它移動存儲介質(zhì)，是否進行過備份，備份數(shù)據(jù)的存儲位置等情況；
（四）其他相關(guān)的內(nèi)容。
第三節(jié)   現(xiàn)場提取電子數(shù)據(jù)
第十六條  具有下列無法扣押原始存儲介質(zhì)情形之一的，可以現(xiàn)場提取電子數(shù)據(jù)：
（一）原始存儲介質(zhì)不便封存的；
（二）提取計算機內(nèi)存數(shù)據(jù)、網(wǎng)絡(luò)傳輸數(shù)據(jù)等不是存儲在存儲介質(zhì)上的電子數(shù)據(jù)的；
（三）案件情況緊急，不立即提取電子數(shù)據(jù)可能會造成電子數(shù)據(jù)滅失或者其他嚴重后果的；
（四）關(guān)閉電子設(shè)備會導致重要信息系統(tǒng)停止服務的;
（五）需通過現(xiàn)場提取電子數(shù)據(jù)排查可疑存儲介質(zhì)的；
（六）正在運行的計算機信息系統(tǒng)功能或者應用程序關(guān)閉后，沒有密碼無法提取的；
（七）其他無法扣押原始存儲介質(zhì)的情形。
無法扣押原始存儲介質(zhì)的情形消失后，應當及時扣押、封存原始存儲介質(zhì)。
第十七條  現(xiàn)場提取電子數(shù)據(jù)可以采取以下措施保護相關(guān)電子設(shè)備：
（一）及時將犯罪嫌疑人或者其他相關(guān)人員與電子設(shè)備分離;
（二）在未確定是否易丟失數(shù)據(jù)的情況下，不能關(guān)閉正在運行狀態(tài)的電子設(shè)備;
（三）對現(xiàn)場計算機信息系統(tǒng)可能被遠程控制的，應當及時采取信號屏蔽、信號阻斷、斷開網(wǎng)絡(luò)連接等措施；
（四）保護電源；
（五）有必要采取的其他保護措施。
第十八條  現(xiàn)場提取電子數(shù)據(jù)，應當遵守以下規(guī)定：
（一）不得將提取的數(shù)據(jù)存儲在原始存儲介質(zhì)中；
（二）不得在目標系統(tǒng)中安裝新的應用程序。如果因為特殊原因，需要在目標系統(tǒng)中安裝新的應用程序的，應當在筆錄中記錄所安裝的程序及目的；
（三）應當在有關(guān)筆錄中詳細、準確記錄實施的操作。
第十九條  現(xiàn)場提取電子數(shù)據(jù)，應當制作《電子數(shù)據(jù)現(xiàn)場提取筆錄》，注明電子數(shù)據(jù)的來源、事由和目的、對象、提取電子數(shù)據(jù)的時間、地點、方法、過程、不能扣押原始存儲介質(zhì)的原因、原始存儲介質(zhì)的存放地點，并附《電子數(shù)據(jù)提取固定清單》，注明類別、文件格式、完整性校驗值等，由偵查人員、電子數(shù)據(jù)持有人（提供人）簽名或者蓋章；電子數(shù)據(jù)持有人（提供人）無法簽名或者拒絕簽名的，應當在筆錄中注明，由見證人簽名或者蓋章。
第二十條  對提取的電子數(shù)據(jù)可以進行數(shù)據(jù)壓縮，并在筆錄中注明相應的方法和壓縮后文件的完整性校驗值。
第二十一條  由于客觀原因無法由符合條件的人員擔任見證人的，應當在《電子數(shù)據(jù)現(xiàn)場提取筆錄》中注明情況，并全程錄像，對錄像文件應當計算完整性校驗值并記入筆錄。
第二十二條  對無法扣押的原始存儲介質(zhì)且無法一次性完成電子數(shù)據(jù)提取的，經(jīng)登記、拍照或者錄像后，可以封存后交其持有人（提供人）保管，并且開具《登記保存清單》一式兩份，由偵查人員、持有人（提供人）和見證人簽名或者蓋章，一份交給持有人（提供人），另一份連同照片或者錄像資料附卷備查。
持有人（提供人）應當妥善保管，不得轉(zhuǎn)移、變賣、毀損，不得解除封存狀態(tài)，不得未經(jīng)辦案部門批準接入網(wǎng)絡(luò)，不得對其中可能用作證據(jù)的電子數(shù)據(jù)增加、刪除、修改。必要時，應當保持計算機信息系統(tǒng)處于開機狀態(tài)。
對登記保存的原始存儲介質(zhì)，應當在七日以內(nèi)作出處理決定，逾期不作出處理決定的，視為自動解除。經(jīng)查明確實與案件無關(guān)的，應當在三日以內(nèi)解除。
第四節(jié)   網(wǎng)絡(luò)在線提取電子數(shù)據(jù)
第二十三條  對公開發(fā)布的電子數(shù)據(jù)、境內(nèi)遠程計算機信息系統(tǒng)上的電子數(shù)據(jù)，可以通過網(wǎng)絡(luò)在線提取。
第二十四條  網(wǎng)絡(luò)在線提取應當計算電子數(shù)據(jù)的完整性校驗值；必要時，可以提取有關(guān)電子簽名認證證書、數(shù)字簽名、注冊信息等關(guān)聯(lián)性信息。
第二十五條  網(wǎng)絡(luò)在線提取時，對可能無法重復提取或者可能會出現(xiàn)變化的電子數(shù)據(jù)，應當采用錄像、拍照、截獲計算機屏幕內(nèi)容等方式記錄以下信息：
（一）遠程計算機信息系統(tǒng)的訪問方式；
（二）提取的日期和時間；
（三）提取使用的工具和方法；
（四）電子數(shù)據(jù)的網(wǎng)絡(luò)地址、存儲路徑或者數(shù)據(jù)提取時的進入步驟等；
（五）計算完整性校驗值的過程和結(jié)果。
第二十六條  網(wǎng)絡(luò)在線提取電子數(shù)據(jù)應當在有關(guān)筆錄中注明電子數(shù)據(jù)的來源、事由和目的、對象，提取電子數(shù)據(jù)的時間、地點、方法、過程，不能扣押原始存儲介質(zhì)的原因，并附《電子數(shù)據(jù)提取固定清單》，注明類別、文件格式、完整性校驗值等，由偵查人員簽名或者蓋章。
第二十七條  網(wǎng)絡(luò)在線提取時需要進一步查明下列情形之一的，應當對遠程計算機信息系統(tǒng)進行網(wǎng)絡(luò)遠程勘驗：
（一）需要分析、判斷提取的電子數(shù)據(jù)范圍的；
（二）需要展示或者描述電子數(shù)據(jù)內(nèi)容或者狀態(tài)的；
（三）需要在遠程計算機信息系統(tǒng)中安裝新的應用程序的；
（四）需要通過勘驗行為讓遠程計算機信息系統(tǒng)生成新的除正常運行數(shù)據(jù)外電子數(shù)據(jù)的；
（五）需要收集遠程計算機信息系統(tǒng)狀態(tài)信息、系統(tǒng)架構(gòu)、內(nèi)部系統(tǒng)關(guān)系、文件目錄結(jié)構(gòu)、系統(tǒng)工作方式等電子數(shù)據(jù)相關(guān)信息的；
（六）其他網(wǎng)絡(luò)在線提取時需要進一步查明有關(guān)情況的情形。
第二十八條  網(wǎng)絡(luò)遠程勘驗由辦理案件的縣級公安機關(guān)負責。上級公安機關(guān)對下級公安機關(guān)刑事案件網(wǎng)絡(luò)遠程勘驗提供技術(shù)支援。對于案情重大、現(xiàn)場復雜的案件，上級公安機關(guān)認為有必要時，可以直接組織指揮網(wǎng)絡(luò)遠程勘驗。
第二十九條  網(wǎng)絡(luò)遠程勘驗應當統(tǒng)一指揮，周密組織，明確分工，落實責任。
第三十條  網(wǎng)絡(luò)遠程勘驗應當由符合條件的人員作為見證人。由于客觀原因無法由符合條件的人員擔任見證人的，應當在《遠程勘驗筆錄》中注明情況，并按照本規(guī)則第二十五條的規(guī)定錄像，錄像可以采用屏幕錄像或者錄像機錄像等方式，錄像文件應當計算完整性校驗值并記入筆錄。
第三十一條  遠程勘驗結(jié)束后，應當及時制作《遠程勘驗筆錄》，詳細記錄遠程勘驗有關(guān)情況以及勘驗照片、截獲的屏幕截圖等內(nèi)容。由偵查人員和見證人簽名或者蓋章。
遠程勘驗并且提取電子數(shù)據(jù)的，應當按照本規(guī)則第二十六條的規(guī)定，在《遠程勘驗筆錄》注明有關(guān)情況，并附《電子數(shù)據(jù)提取固定清單》。
第三十二條  《遠程勘驗筆錄》應當客觀、全面、詳細、準確、規(guī)范，能夠作為還原遠程計算機信息系統(tǒng)原始情況的依據(jù)，符合法定的證據(jù)要求。
對計算機信息系統(tǒng)進行多次遠程勘驗的，在制作首次《遠程勘驗筆錄》后，逐次制作補充《遠程勘驗筆錄》。
第三十三條  網(wǎng)絡(luò)在線提取或者網(wǎng)絡(luò)遠程勘驗時，應當使用電子數(shù)據(jù)持有人、網(wǎng)絡(luò)服務提供者提供的用戶名、密碼等遠程計算機信息系統(tǒng)訪問權(quán)限。
采用技術(shù)偵查措施收集電子數(shù)據(jù)的，應當嚴格依照有關(guān)規(guī)定辦理批準手續(xù)。收集的電子數(shù)據(jù)在訴訟中作為證據(jù)使用時，應當依照刑事訴訟法第一百五十四條規(guī)定執(zhí)行。
第三十四條  對以下犯罪案件，網(wǎng)絡(luò)在線提取、遠程勘驗過程應當全程同步錄像：
（一）嚴重危害國家安全、公共安全的案件；
（二）電子數(shù)據(jù)是罪與非罪、是否判處無期徒刑、死刑等定罪量刑關(guān)鍵證據(jù)的案件；
（三）社會影響較大的案件；
（四）犯罪嫌疑人可能被判處五年有期徒刑以上刑罰的案件；
（五）其他需要全程同步錄像的重大案件。
第三十五條  網(wǎng)絡(luò)在線提取、遠程勘驗使用代理服務器、點對點傳輸軟件、下載加速軟件等網(wǎng)絡(luò)工具的，應當在《網(wǎng)絡(luò)在線提取筆錄》或者《遠程勘驗筆錄》中注明采用的相關(guān)軟件名稱和版本號。
第五節(jié)   凍結(jié)電子數(shù)據(jù)
第三十六條  具有下列情形之一的，可以對電子數(shù)據(jù)進行凍結(jié)：
（一）數(shù)據(jù)量大，無法或者不便提取的；
（二）提取時間長，可能造成電子數(shù)據(jù)被篡改或者滅失的；
（三）通過網(wǎng)絡(luò)應用可以更為直觀地展示電子數(shù)據(jù)的；
（四）其他需要凍結(jié)的情形。
第三十七條  凍結(jié)電子數(shù)據(jù)，應當經(jīng)縣級以上公安機關(guān)負責人批準，制作《協(xié)助凍結(jié)電子數(shù)據(jù)通知書》，注明凍結(jié)電子數(shù)據(jù)的網(wǎng)絡(luò)應用賬號

118773

感謝

174415

感謝分享

157094

wow

感謝分享！

165218

感謝分享！

173150

感謝分享

156427

感謝分享！

175356

感謝分享

112350

感謝分享