纵观历史，科技革命在每次推动生产力发展时，也向法学理论与司法实践提出了挑战。同样，电子技术的广泛应用，催生了电子证据，带来了刑事电子证据取证的难题。本文拟对刑事电子证据的取证进行全方位的探讨，以求教于方家。

　　一、电子证据的概念、特点及法律定位

　　电子证据一词已广为许多国家在立法及司法实践中所使用。在很大程度上已为人们接受，并逐渐趋于规范。如：加拿大《1998年统一电子证据法》、菲律宾《电子证据规则》、印度《1999年信息技术法》和《1872年证据法》、美国《统一电子交易法》、联合国《电子商务示范法》等法律中明确使用，还有英国《1995年民事证据法》和《青少年审判与刑事证据法》、法国《刑事诉讼法》、德国《刑事诉讼法》中等可散见电子证据部分。电子证据是指以电子的、数据的、磁性的或类似性能的相关技术形式存在并能够证明案件事实真实情况的一切材料。

　　（二）电子证据的特点

与传统证据相比较，电子证据有十分鲜明的特点，这些特点既昭示其优势，也暴露出不足。笔者认为，电子证据有以下五个特点：

　　1、高科技性

　　电子证据的高科技性使取证活动变得便捷和高效，具体表现为收集电子证据快速，保存和固定电子证据便利（电子证据信息量虽大，却占用很小的物理空间并易于保存）。同时，亦要求取证主体具有良好的专业背景，即取证主体应具备与电子证据相关的技术专业知识与技能。

　　2、存储和提交形式多样性

　　电子证据以文本、图形、图像、动画、音频、视频等多种信息形成、存储于计算机硬盘、软盘、光盘、磁带等设备及介质中的，其生成和还原却离不开相关的计算机等电子设备。电子证据的提交形式相应地表现为文书、计算机硬盘、光盘等介质，因而具有与书证、视听资料、物证等证据种类相同或相似的表现形式，并随着科技成果的不断增加，电子证据的提交形式将会更加多样化。

　　3、客观实在易变性

　　电子证据一经生成必然会在计算机系统、网络系统中留下相关的痕迹或记录并被保存于系统自带日志（系统日志、安全日志等）或第三方软件形成的日志中，客观真实地记录了案件事实情况，但由于计算机数字信息存储、传输不连续和离散，容易被截取、监听、剪接、删除，同时还可能由于计算机系统、网络系统、物理系统的原因，造成其变化且难有痕迹可寻。

　　4、存在的广域性

　　电子证据因行为人使用网络的种类不同或目的不同而存在于局域网或互联网中，而在遍布全球的互联网中的各地网络服务商提供的服务器就会留有电子证据。基于电子证据的这一特性，使人们对电子证据所在地的认识有了新突破，因而，取证活动将常常不局限于一地区、一国界，且由于各地区、各国分属不同的法域，对电子证据的法律规定自然存在差异，必然带来取证的障碍和冲突。

　　5、实时准确性

　　行为人使用计算机及网络，是一个实时产生电子证据的过程，除在行为人操作下形成的电子证据外，还存在计算机及网络针对行为人的操作活动自动记录的相关电子证据，特别是网络中电子证据都是实时形成的，并可以通过取证获得具体、详细而准确的时间记载以及变化情况。电子证据一经形成，便保持了最初最原始的形态，如排除人为篡改或系统故障等外在因素，可以确定电子证据的准确性和真实性。它的这一特性决定了电子证据具有其它证据种类难以比肩的优越性。同时也使实时犯罪线索搜集与其它取证活动成为可能并富有成效。

　　（三）电子证据的法律定位

1、学界关于电子证据法律定位的不同观点

电子证据的法律定位需要明确两个问题，一是电子证据是否具有证据资格或者说是否赋予其证据地位；另一个是赋予其何种证据地位或者说电子证据归属于哪一种或哪几种证据类型。前一个问题因各国以电子证据统一立法（如：加拿大《1998年统一电子证据法》）；以电子交易法、商务立法（如：美国《统一电子交易法》和联合国《电子商务示范法》）；还有，以其散见于法律中的形式（如：英国《1995年民事证据法》、法国《刑事诉讼法》、德国《刑事诉讼法》），确认了电子证据的证据资格和法律地位。

我国则在1999年3月15日颁行的《合同法》第11条规定，书面形式是指合同书、信件及数据电文（包括电报、电传、传真、电子数据交换和电子邮件）等可以有形地表现所载内容的形式；最高人民检察院在《检察机关贯彻刑诉法若干问题的意见》中规定：“视听资料是指以图像和声音形式证明案件真实情况的证据。包括与案件事实、犯罪嫌疑人以及犯罪嫌疑人实施反侦查行为有关的录音、录像、照片、胶片、声卡、视盘、电子计算机内存信息资料等。”北京市高级人民法院在《关于办理各类案件有关证据问题的规定（试行）》中规定：“证据的种类有：……视听资料（包括录音录像资料和电子数据交换、电子邮件、电子数据等电脑贮存资料”。

另外，在我国港、澳、台地区也有关于电子证据的法律规定，如：香港地区《电子交易条例》第III部电子记录及数码签署，规定用书面形式（1）凡任何法律规则规定资讯须是书面形式，或须以书面形式提供，或规定如资讯并非以书面形式或并非以书面形式提供则会有某些后果，如某电子记录包含的资讯是可查阅的以致可供日后参阅之用，则该记录即属符合该规定。台湾地区《电子签章法》第二条（名、词定义）一、电子文件：指文字、声音、图片、影像、符号或其他资料，以电子或其他以人之知觉无法直接认识之方式，所制成足以表示其用意之纪录，而供电子处理之用者。还有，我国《刑事诉讼法》第四十二条，“证明案件真实情况的一切事实，都是证据”的规定，是否也包含有电子证据的事实，值得研究。上述法律规定无疑明确了电子证据的法律地位问题，但是对电子证据究竟应被赋予哪种法律地位或归入哪一证据类型，仍然没有达成共识，在法学理论界和司法实务界分岐较大。

我国大陆立法机关和学界以现行七种证据类型为基础，对电子证据的法律定位提出了五种不同的观点，交锋激烈，冲突显著，至今未能在学界形成一个通说。这五种观点可以分别称作，视听资料说、书证说、独立证据说、物证说、混合证据说和“分属七种类型说”。

视听资料说。电子证据属于视听资料这一观点，在立法部门与司法部门很有市场，并已为最高人民检察院颁行的《检察机关贯彻刑事诉讼法若干问题的意见》（以下简称意见），最高人民法院的《关于民事诉讼证据的若干规定》和《关于行政诉讼证据若干问题的规定》等法律所确认。[page]

书证说。正是由于我国电子商务的迅猛发展，国内有学者对国外电子商务法，电子交易法经验的借鉴，尤其是对电子证据是书证这一国际规范的推崇，促使其提出了书证说的观点。同时，立法机关于1999年3月15日颁行了《合同法》，第11条规定，书面形式是指合同书、信件及数据电文（包括电报、电传、传真、电子数据交换和电子邮件）等可以有形地表现所载内容的形式。虽然书面形式的证据并不等同于书证，但因《合同法》所规范的当事人及其它参与人的行为形成的书面形成的证据大多为书证，因而这一规定也成为主张书证说的学者坚持的理由之一。

坚持独立证据说的学者认为，“电子证据显然有其自身区别于其他证据的显著特征，它的外在表现形式亦是多媒体的，几乎涵盖了所有的传统证据类型，把它塞入哪一类传统证据都不合适。主张物证说的学者认为，“电子证据在不需要鉴定的情况下属于书证，但有时也可能需要鉴别其真伪，故也可能成为物证。” 主张混合证据说的学者将电子证据分为四类，即书证，视听资料，勘验检查笔寻录和鉴定结论证据。还有学者坚持分属七种类型说，认为电子证据同传统证据相比，不同之处在于载体方式方面，而非证明机制方面。这就决定了电子证据决非一种全新的证据，而是传统证据的演变形式，即我国所有传统证据均存在电子形式。电子证据基本也可分为电子物证、电子书证、电子视听资料、电子证人证言、电子当事人陈述、关于电子证据的鉴定结论以及电子勘验检查笔录七种。

上述关于电子证据法律定位的六种不同观点，是以法定证据种类七分法为基础的，而法定证据种类七分法并不严谨， 因此，不同观点之间的分歧是绝对的，并且每一种观点都不完整，都难以令人信服。

2、电子证据的法律定位

当前电子证据的法律定位问题，在阶段上可分两步走，因而，笔者提出诉讼法修改前和修改后的两套方案。

（1）诉讼法修改前的电子证据的法律定位

诉讼法修改前，不能因电子证据未被其明确规定为法定证据形式而否认它的证据资格，也不宜仅根据目前《合同法》第11条、《民事诉讼证据规定》、《行政诉讼证据规定》和《检察机关贯彻刑诉法若干问题的意见》、将电子证据笼统地在民事诉讼中作书证和视听资料，在刑事诉讼中作视听资料，在行政诉讼中作视听资料使用。而应该采纳前文“分属七种类型说”的观点，通过两高的司法解释明确在审判工作与检察工作具体应用法律、法令如何解决工作中出现的电子证据的法律定位问题，即规定电子证据可以存在法定证据的七种形式。笔者认为，这种司法解释属于两高的应用解释，不属于创新解释，既不违宪，亦不超越法定职权，同时具有针对性强、效率高等优势。

（2）诉讼法修改后的电子证据的法律定位

通过司法解释缓解司法实践中的矛盾仅仅是权宜之计，彻底解决电子证据法律定位问题还是要从立法上予以突破，即应通过修改诉讼法或出台证据法典来明确电子证据的法律地位，赋予电子证据独立的法律地位，以电子证据取代视听资料的证据地位。理由是：

第一，电子证据中的“电子”内涵与外延的范围很大，包含了电子的、数据的、磁性的、光学的、电磁的或类似性能的相关技术，电子证据的形式可以表现为文字、图型、符号、声音、图像、等等；视听资料表现为声音、图像、计算机数据及其它高科技设备提出的证据等形式，均能在电子证据上予以体现；反之，视听资料不能囊括电子证据，如：计算机自动生成和存储的程序即不在视听资料范围。尽管电子证据与视听证据的载体不能完全相同，但不同之处毕竟极为罕见。这就是为什么目前学界很多人主张电子证据属视听资料的原因了，不过因为狭义理解了电子证据中电子含义，或者将电子证据等同于计算机证据，从而认定电子证据是属，而视听资料是种，将二者的位置颠倒了。

第二，视听资料用词不准确，“视听资料的提法没有体现作为一种证据种类区别于其他证据种类的分类功能。音像、电子资料与传统证据的不同是在于运用了高科技手段，而非可‘视’或者可‘听’。” 虽然音像资料现在又被学者提出来代替视听资料，从名称上来说较之视听资料更适合，但音像资料外延太窄，不包括以计算机等科技设备生成的文字、符号、图形等资料，其中计算机自动生成的数据与存储的数据这些典型的电子证据更是完全不同于音像资料，为解决这一问题，学者们在提出音像资料的同时，还提出与之并列的电子资料，希望与音像资料一起涵盖视听资料。但这里也有一个矛盾的问题，即音像资料与电子资料中以声音、图像等形式表现的证据是重叠的，即可称作音像资料又可称为电子资料，放在一起界定为一个证据种类称谓既麻烦又罗嗦，而以电子证据一词以蔽之。

第三，许多高科技设备生成的电子证据，是根本不能归入其它六种证据种类中的。例如：计算机互联网络服务器使用的系统软件在作为证明网络安全软件的可靠性的证据时，就是难以归入书证、物证等证据种类中的；利用空间技术的红外线技术、遥感技术、激光技术等高科技制成的技术设备反映案件事实的一些证据，毕竟这些技术还未能普及，暂时还未进入多数学者们的视野，也是难以归入其它证据种类。随着社会的不断发展，科技的不断进步，未来的若干年将是数字时代会使这样的证据更多地出现于现实生活中，而使用电子证据这个称谓，既能包容传统技术，又可展望未来前景，将于很长时期内适用于诉讼活动。

第四，英国1968年《民事证据法》（10）的扩大定义，文书除包括书写的外，还包括地图、图纸、图画、照片、唱片、录音带以及其他收录声音和其他资料的装置，此外，还包括影片（包括微缩影片）底片。正如这一规定通过扩大书证的定义将视听资料划入一样，电子证据也可通过扩大定义的外延将视听资料划入其中，反之，则不行。

　　二、刑事电子证据取证的研究价值与现状分析

　　（一）刑事电子证据取证的概念及特点

　　刑事电子证据取证是指司法机关、电子技术专家和电子司法取证鉴定认证机构及辩护律师等取证主体在刑事诉讼中发现、取得、保全固定电子证据的诉讼证明活动。其特点是：

　　第一，取证主体的特定性。取证主体的特定性是刑事电子证据是否具有证据能力的前提之一，也是取证活动是否合法的因素之一；同时因刑事电子证据的特点又决定了刑事电子证据取证主体与其它六种法定证据的取证主体存在差别，换言之，刑事电子证据的取证主体并不局限于司法机关、辩护律师，还包括电子技术专家或司法鉴定机构等新型取证主体（后文将详细阐述）。[page]

　　第二，取证活动的高科技性和规范性。刑事犯罪活动中始终有一部分是伴随科技发展而具有高智能的犯罪，该犯罪活动中形成的电子证据所占的比重也变得越来越多，对取证活动的技术要求也是越来越高，这种技术要求要远高于对其它六种法定证据的技术要求。而且基于电子证据特点中的无形性、易破坏性、易被篡改性又要求取证活动要严格执行具体的取证操作规范，否则将会出现取证事故，致使电子证据湮灭。

　　第三，取证范围的无限性。电子证据载体中的互联网络区域的无限性，遥感技术、激光技术、空间技术使用的广大范围，都决定电子证据取证范围难以局限于一隅，因而取证范围的无限性也影响着取证活动的高科技性和取证主体的特定性。

　　第四，取证对象的无形性。电子证据以电子的、电磁的、光学的或类似性能的技术形式存在于相关载体中，不能以人的感官直接感受到，只能借助科学设备将其转化为人们能以常规方式感受到的形式，而取证活动就是将这些无形的对象予以发现、提取和固定，并转化为可视、可说、可听的常规状态。

　　（二）刑事电子证据取证实践中的困难

　　1、发现、确定网络犯罪案件困难

　　网络犯罪所呈现的外在表现和特殊的犯罪手段，使其具有极大的隐蔽性，以致于很难区分现行犯罪行为与正常的工作行为，所以，网络犯罪很难被察觉。网络以处理大量信息见长，在大量的数据信息中，微小的非法篡改本来就不容易被发现，加上犯罪人能利用网络技术快速方便地销毁罪证，使犯罪事实更难以显露。许多犯罪形式，如非法截取、访问、盗取信息等，是在网络系统内部进行，甚至不直接引起系统运行的变化，屏幕界面及其他输出设备显示不出犯罪迹象和犯罪过程，这些都给及时发现网络犯罪带来很大困难。

　　2、犯罪现场确定难

　　网络犯罪现场是指存在和发生网络犯罪行为或与之关联的场所和地点，它与传统犯罪的物理现场有很大的不同。网络犯罪跨跃物理与虚拟两大空间，网络犯罪可能是有形现场，如机房、附属工作间、终端室、计算机通信线路，也可能是不可见现场，如电磁辐射区等。发现或发生网络犯罪的发现地或结果地未必定是作案地，而确定案发的作案地或者说真正的犯罪现场非常困难。

　　3、电子证据的特性带来的取证困难

　　网络犯罪行为对象是存储在物理介质中的数据信息，当作案人对其窃取或修改时，并不会发生明显的改变也不会留下多少“痕迹”，要想通过电脑程序本身来查获犯罪行为人有较大难度。一般说来，犯罪过程持续时间越长，留下的罪证可能越多，被发觉的可能性就越大。实践表明，在侦查的过程中，侦查人员需要依赖作案人持续的作案行为，一旦犯罪在未获取有价值证据前中止，侦查也只能宣告中断。网络犯罪证据还非常容易毁灭，因为犯罪行为完全发生在作业系统或者软件资料上。犯罪行为的证据只存在于软件的资料库和输出的资料中，犯罪分子作案时，可通过预先设置好的破坏性程序或使用格式化命令，将一些遗留在软件中的证据瞬间销毁。

　　4、取证技术和经验不足方面的困难

　　网络技术的发展高于和快于取证技术的发展，这是目前的现实状况。网络犯罪案件取证的主要力量之一，网络警察仍然还是一支年轻化的缺少网络电子证据取证经验的队伍，亟待提高其取证水平。

　　5、跨国、跨地区取证困难

　　跨国的网络犯罪的种类远多于传统的刑事犯罪，但是因为目前各国各地区关于违法与犯罪，以及犯罪的标准存在差异（如对抢、赌、色情的认定上），在缺乏统一的国际司法标准的情况下，针对网络色情犯罪、网络赌博犯罪的取证将面临困难。

　　三、刑事电子证据取证的理论建构

　　（一）刑事电子证据取证原则

作为指导司法机关、电子技术专家和电子司法取证鉴定认证机构及辩护律师等取证主体进行刑事电子证据取证活动的基本准则，笔者认为，以下的几种原则可以作为规范和调整刑事电子证据取证活动的纲领性的准则，应当发挥它们的指导、统领功能并贯穿于刑事电子证据取证的始终。

　　1、任意侦查原则

　　“对于任意侦查，法律没有特别限制，即使法律没有明文规定，原则上也可以采取适当的方式进行；对于强制侦查，则只要刑事诉讼法上没有具体的规定，就不得进行”。 虽然目前学界对任意侦查原则的定义存在不同的理解，对我国目前在警察权力庞大又缺少审前司法审查制度的情况下，引入该原则会使人权保障更难落实的境况存在担心，但是笔者仍然认为，在刑事电子证据取证方面应确立贯彻任意侦查原则，理由是：电子证据，特别是计算机网络中的电子证据的高科技性，易被破坏性、实时性，决定了前述的诸多取证，特别是司法人员侦查中取证的难度，为及时、有效地惩治与威慑网络犯罪分子，网络侦查人员通过使用科技手段建立对网络实时的跟踪、搜索和监视系统，针对网络中传输通信的往来数据和内容数据进行实时搜集和实时截获，以寻找未来可能发生的网络违法犯罪案件，并对已经发生了的网络违法犯罪案件实行即时取证，刑事诉讼法与证据法对此可不作限制，仅对一些可能动用强制侦查措施并严重侵犯公民人格权和财产权的取证作明文限制规定。

　　2、相称性原则

　　相称性原则“又称为比例原则、相当性原则，是指国家机关行使公权力，其所采行的手段必须是达成目的适当手段与造成最小侵害的必要手段，而且手段与目的，或方法与目标之间，或国家公权力之干预程度与有益于社会公益之间，必须成相当比例，包括适当性、必要性与相当比例性等三个原则”。 相称性原则追求行使公权力以使法律有效执行实现惩罚犯罪、维护社会秩序与避免公权力对人权与自由不当侵犯、以保障公民权益二者之间的平衡。在刑事电子证据取证领域，相称性原则体现于侦查机关在进行前述实时数据收集与截获等任意侦查活动时，保持必要之谨慎，以适度技术手段，将对公民隐私权、财产权的侵犯降至可容忍的限度，从而实现维护网络公共秩序与网络空间公民权益保障的平衡。相称性原则可以说是对任意侦查原则的规范性准则，是对任意侦查原则应有的尊重公民权之意的重申与深化。

　　3、令状原则

　　许多国家对强制侦查中的搜查、扣押电子资料都采取令状原则，即侦查机关需依据法官签发令状实施搜查、扣押。例如：在英国，搜查分为有证搜查和无证搜查。在一般情况下，警察对嫌疑人进行搜查时，必须先向治安法官提出书面申请，由治安法官批准后签发搜查证，由警察负责执行。搜查证自签发后的1个月以内有效，每张搜查证只能使用一次。如果是有证逮捕，则可以在逮捕后进入犯罪嫌疑人的房屋进行搜查而不必另用搜查证。但如果是无证逮捕，则不允许在逮捕后直接进入嫌疑人的房屋进行搜查。《1984年警察与刑事证据法》第二编第二十条扣押计算机化信息的权力范围：一、本条所适用的授予已经进入房屋的警察行使法规所赋予的每一项扣押权力应解释为包括有权要求贮存在计算机里且从房屋来看可以进入的信息以能够带来且可见、易读的形式展现出来。美国、法国、德国、日本等国家对此均有相似或相同的法律规定，以实现保护公民自由权和财产权，而在刑事电子证据取证领域，贯彻令状原则则是侧重对公民财产权与隐私权的保护，也是对强制侦查取证中搜查、扣押行为的约束，在目前我国超强行政性侦查活动中引入令状原则，对某些严重侵犯公民权的取证活动予以司法审查，是我国社会生活民主化法治化程度不断提高的必然要求。[page]

　　4、合法性原则

　　合法性原则本是传统证据学理论中调查取证坚持的基本原则，也是证据合法性的前提条件，笔者将其重申为刑事电子证据取证合法性的一个基本原则，是考虑了电子证据的特性和取证的特殊性，并结合非法证据排除规则的要求后，为突出该取证的程序合法价值理念而作出的选择。因为刑事电子证据取证中，主体不合法、取证程序不合法，其结果将直接导致取证后结果的不真实，这一点与其它证据相比，尤其突出。其它六种证据，特别是实物证据，取证主体不合法、取证程序不合法，在很大程度上，取证结果无本质变化，证据失真的可能性相对小很多，但电子证据却相反，在其取证中，一个小小的失误，就可能改变其性质和内容，并且难以将其恢复原始状态，所以在刑事电子取证中坚持并突出合法性原则不仅是对程序保障价值的追求，更是为了实现案件的实质真实。

　　5、及时性原则

及时性原则是传统证据学理论中另一基本原则，昭示着司法活动诉讼效率价值要求，也是节约司法成本的需要。刑事电子证据取证中坚持及时性原则，不仅仅体现于诉讼效率价值，还体现于司法公正方面。因为刑事电子证据易变特性决定了取证活动对及时的必然且急迫要求，不当的迟延将导致取证的失败，进而无法完成惩罚犯罪、维护社会秩序与安全的任务，司法公正更无从谈起。

　　（二）刑事电子证据取证主体

　　如果把取证作为证明中的一个部分或者是一个阶段，那么在取证阶段就存在证明责任分担的问题，不同的证明主体决定了取证主体，但是否排斥非承担证明责任的一方，主动、自愿地进行取证活动，从而也成为取证主体的情况呢？笔者认为，取证主体的范围界定不应以证明责任分担为标准作严格划分，因为这是控辩双方力量平衡的需要，是对辩方对抗能力提高的有效途径，最终也是加强犯罪嫌疑人、被告人诉讼主体地位，实现保障人权的现实要求。

　　前文已经区分了取证、侦查、收集证据、调查四个概念，虽然它们包括许多相同的内容，但从主体的角度看，还存在着一些区别，取证的主体中不仅含有侦查人员，还包括辩护律师等诉讼主体，侦查主体只能是侦查人员；调查主体中包含取证主体中重要的部分，如：侦查人员、辩护律师，但不包括当事人主体（如：自诉人），因为该主体不享有调查权，即不享有法定职权，还包括法庭审理阶段的法官（该法官所进行的审理活动是一种实质意义上的调查）。因此，取证的主体将是比较广泛的。

　　1、司法人员

　　毫无疑问刑事电子证据取证主体是司法人员（作广义解），在我国就是侦查人员、检察官和法官，其中侦查人员包括公安人员（含网络警察）、检察院自侦人员、国家安全人员、军队保卫部门工作人员、监狱侦查员和海关缉私侦查员。网络警察是司法人员中对刑事电子证据进行取证的代表性主体，是从事刑事电子证据取证，监控网络犯罪的主要力量。其它的国家也是这种情况，在美国，“出于打击日益猖獗网络犯罪的目的，成立了专门收集网络犯罪证据、反击黑客的组织，如计算机紧急反应小组（CERT），高科技犯罪侦查组织（HTCIA）以及国家基础建设保护中心（NIPC）等。他们的任务就是及时应对网络运行中出现的紧急情况，协助收集隐藏在网络空间中的证据，网上追踪罪犯，提供有关电子证据效力法律帮助等。在德国、英国和法国也都成立了网络警察组织，虽然他们的名称并不完全一致，但目的都是为了追查网上各种形式的犯罪，搜索犯罪证据，维护网络秩序。”

　　 2、电子技术专家和电子司法取证鉴定认证机构

　　电子技术专家是那些对电子技术精通并在某些领域拥有特长的人员，应隶属于电子司法取证鉴定认证机构，其取证活动是法律行为，类似鉴定活动，否则就不能成为取证主体，只能成为类似专业技术辅助人员的角色，如：取证中涉及相关网络服务公司的管理员、被害公司的电子技术人员等。“电子技术专家”可以在下列方面发挥作用：（1）从获取某一电子证据的困难程度和最终的可能结果分析，给出是否提取该电子证据的建议；（2）制定提取某一电子证据的计划、步骤，以及相应的要领；（3）协助搜查、扣押计算机硬件寻找潜在的电子证据，依法定的程序提取，从技术的角度确保证据的真实性和完整性；（4）恢复被删除的某一电子证据；（5）协助保管某一电子证据，保证其不遭改动；（6）作为专家证人出庭作证，介绍收集、保全电子证据的技术过程的可靠性，解决相关技术问题，并接受对方当事人和律师的质询等。（7）对有关电子证据的专门问题鉴定结论。 电子技术专家作为专家证人出庭作证，不存在理论上的障碍，但如果已作为取证主体则不能同时作为鉴定人出具相关的鉴定结论，除非对同一取证对象（鉴定对象）分别由两位无回避理由的电子技术专家分别取证和鉴定。电子技术专家组成的电子司法取证鉴定机构，不仅具有传统的鉴定职能，还应具有电子证据的取证职能；因为其依法成立，所以该机构经委托后取得的电子证据具有证据能力，可以作为刑事诉讼认定案件事实的依据。该机构面向社会，接受司法机关、企事业单位、公民个人的委托，有偿提供司法取证服务。

　　3、辩护律师

　　辩护律师是刑事电子证据取证主体，这一点在各国法律上均没有争议。我国刑事诉讼法第三十七条规定，辩护律师经证人或者其他有关单位和个人同意，可以向他们收集与本案有关的材料，也可以申请人民检察院、人民法院收集调取证据，或申请人民法院通知证人出庭作证。辩护律师经人民检察院或人民法院许可，并且经被害人或者其近亲属，被害人提供的证人同意，可以向他们收集与本案有关的材料。所以，辩护律师作为刑事电子证据取证主体有法律依据。同时还具有以下的法理依据：第一，是发现案件真实和维护犯罪嫌疑人合法权益的条件；第二，是律师有效行使辩护权的前提；第三，符合维护程序正义的要求。

刑事电子证据取证主体主要包括上述三种，而且具体的取证活动研究也是以司法人员和电子技术专家、电子司法取证鉴定认证机构为重点的，因此其它主体（如：自诉人）在此不再赘述。

　　（三）刑事电子证据取证对象与取证技术

　　电子证据实质是电子的、电磁的、光学的、磁性的等相似性能的信息或数据信息，经输出设备显示为人们所能识别的文字、符号、图形、图像、动画、音频、视频等各种信息形式。体现于计算机及其网络的电子证据形式表现为：（1）存在于计算机系统内的形式：①系统日志文件；②备份介质；③入侵者残留物：如程序、脚本、进程、内存映像；④交换区文件；⑤临时文件；⑥硬盘未分配的空间（一些刚刚被删除的文件可以在这里找到）；⑦系统缓冲区。（2）存在于网络内的形式：①防火墙日志；②IDS日志；③其它网络工具所产生的记录和日志等。 上述证据形式是从技术角度简单归纳的取证对象，从法律和技术双重的角度将取证对象可分为，数据电文证据、附属信息证据和系统环境证据（具体含义和分类意义详见前文学理分类），刑事电子证据的取证活动应针对每一案件事实，分别明确取证的数据电文证据，附属信息证据和系统环境证据的内容和范围，前述三个相关联的证据构成了一份完整的证明体系，确保电子证据具有真实性和可靠性。取证对象的确定，离不开相应的取证技术，即取证技术是手段或工具，而取证对象则是目的物，所以，取证技术是获取取证对象的前提与保障。[page]

　　常见的取证技术有：（1）数据获取技术。一是对计算机系统数据和文件的安全获取技术。这种技术主要研究如何在全面获取数据的同时，避免对原始介质进行破坏和干扰。二是对已经删除被破坏的数据的获取。主要包括对已删除文件的恢复、重建技术；对slack磁盘空间、未分配空间、缓存和自由空间的信息发掘技术；对交换文件、缓存文件、临时文件的复原技术；对阴影技术的重新获取技术等。（2）数据分析技术。一是日志分析技术。通过日志分析，可以了解系统受到了哪些攻击，以及哪些远程主机访问了该主机。这可以帮助侦查人员确定作案时间以及作案过程；二是根据已获得的文件或数据的词、语法和写作（编程）风格，推断出其可能的作者。这对于确定有害程序的原始作者极为重要。（3）数据破译技术。主要包括：数据解密技术、密码破译技术；对电子介质中被保护信息的强行访问技术等。

　　（四）刑事电子证据取证规则

　　虽然，刑事证据规则一般多适用于法庭审判活动中（如：美国《联邦证据规则》中的关联性规则、非法证据排除规则、传闻规则、最佳证据规则等），但是取证活动中也存在审查、判断证据的证据能力和证明力的问题，那么关联性规则等证据规则也应适用于取证，即也可成为规范、约束取证活动的规则。还有，证据规则规范取证活动，特别是规范司法机关的行使公权力的行为，是制约公权力、加强人权保障的客观要求。同时，针对具体取证活动的特点，可创设或借鉴相应的仅适用取证活动的特有规则，如：可靠性规则、搜查、扣押规则等等。笔者认为，刑事电子证据取证活动因其特点而应适用以下几种证据规则约束和规范，以保证取证合法、有效，为随后的举证、质证和认证活动奠定了基础。

　　1、关联性规则

　　英美法系与大陆法系对于关联性均有规定，但侧重点不同，英美法系的关联性侧重规范证据的证据能力，而大陆法系则侧重于规范证据的证明力。英美法中的关联性是指证据必须与案件的待证事实有关，从而具有能够证明案件的待证事实的属性。取证中适用的关联性规则应主要是用于规范证据的证据能力，刑事电子证据取证因而受到这种关联性证据规则的规范。

　　刑事电子证据取证中，取证主体面对与案件事实可能有关联并保存于各种载体上的数据或信息，首先将其划分为数据电文、附属信息和系统环境三大类，然后再根据关联性规则识别前述数据或信息，之后确认其证据能力。具体要求如下：第一，根据案件性质，划定取证范围。因为不是每一个案件都必然存在前述三类数据或信息，如：在非法入侵、破坏计算机系统信息犯罪中一般只有附属信息和系统环境两类数据信息。第二，识别可获取的数据或信息类型，使用匹配工具传输获取的数据或信息到取证机上。第三，分析该数据或信息与案件事实有无关联，关联程度如何，是否为实质性关联，其中附属信息与系统环境往往要相互结合才与案件事实发生实质性关联，确定能够证明案件事实的数据电文证据、附属信息证据和系统环境证据，并排除相互之间的矛盾。

　　2、搜查、扣押规则

　　众所周知，很多国家的法律对于侦查人员的包括搜查、扣押在内的侦查取证行为都规定了法官预审程序，由法官签发司法令状作为批准其实施的条件。因而刑事电子证据取证中的搜查、扣押行为应在审前程序中，向法官申请令状，这一点同我国目前的现行法律规定不符。公安部《公安机关办理刑事案件程序规定》第197条规定，计算机犯罪案件的现场勘查，应当立即停止应用，保护计算机及相关设备，并复制电子数据。第215条规定，扣押犯罪嫌疑人的邮件、电子邮件、电报，应当经县级以上公安机关负责人批准，签发扣押通知书，通知邮电部门或者网络服务单位检交扣押。考虑到刑事电子证据多存储于计算机及网络上，在计算机存储的空间和网络上特定于个人化的虚拟空间，可能保存有大量的公民个人隐私和公司、企业的大量商业秘密，因而不应由侦查机关本部门负责人批准取证，我国在刑事诉讼法修改时，应参照外国的司法令状规定，明确规定对某些可能严重侵犯公民隐私权和企业公司商业的秘密的搜查、扣押取证活动需经法官批准并签发搜查令和扣押令，并明确搜查和扣押的范围，除对营利性公共场所外存在的，为公民个人或企业公司所有或控制的计算机及所属网络空间，均不得无令状而被搜查扣押。

　　3、可靠性规则

　　可靠性规则是刑事电子证据取证活动特有的规则，是基于刑事电子证据的易变性、不稳定性等特性建立的。通过规范电子证据可靠性来保证其真实性。因为可靠性规则是保障取证中的电子证据的真实性的外部条件。因此取证主体在具体取证活动中谨遵以下规则：第一，考察刑事电子证据生成、存储、传输的程序、系统、网络状态是否正常可靠稳定，排除非法入侵、非法控制、非法操作等情况发生。第二，考察计算机网络系统环境运行是否良好，排除系统自身故障，排除感染计算机病毒的可能。第三，考察计算机网络的物理环境，排除高温、高压、静电、电磁影响破坏刑事电子证据生成、存储、传输的可能。第四，运用网络取证分析技术考察刑事电子证据在生成、存储、传输过程中有无剪接、删改、替换的情况，其内容是否前后一致、通顺，符合逻辑。

（五）刑事电子证据的取证程序

　　1、取证方式

　　（1）强制记录和保存信息证据

计算机网络犯罪案件中形成的电子证据极易丢失或被篡改，因此在取证开始前，司法机关应对该证据实施快速保护，即强制网络服务提供者记录和保存信息。《网络犯罪公约》第16、17条创立了“现存计算机数据的快速保护制度”，并成为电子证据取证的新的取证方式。该快速数据保护是指保存已经以静态形式存在的计算机数据，防止由于外部原因而改变或灭失，维持现存计算机数据的安全和完整。

我国《互联网信息服务管理办法》第14条规定，从事新闻、出版以及电子公告等服务项目的互联网信息服务提供者，应当记录提供的信息内容及其发布时间、互联网地址或域名；互联网接入服务提供者应当记录上网用户的上网时间、用户帐号、互联网地址或者域名、主叫电话号码等信息。互联网信息提供者和互联网接入服务提供者的记录备份应当保存60日，并在国家有关机关依法查询时，予以提供。《互联网电子公告服务管理规定》第14条对电子公告服务提供者也规定了前述相似的规定。第15条对互联网接入服务提供者亦规定相同的规定。以上规定以行政法规或规章的形式规范管理网络服务者，是为了使其能为有关的刑事调查或行政执法活动提供信息记录和保存协助。但是从协助司法机关等取证主体取证方面来看，仍存着许多不足之处：第一，记录和保存者只适用于网络服务提供者，包括网络服务者、电子公告服务提供者、互联网接入服务提供者、互联单位和接入单位、互联网上网服务营业场所经营者等，不包括个人和其它单位，这样可能使在个人和或其它单位所有或控制的计算机系统和网络中的电子证据因得不到及时记录和保存所灭失。所以应扩大强制记录和保存电子证据的适用范围，但对个人和其它单位的这种强制取证活动，应纳入司法审查中，并以签发令状为执行条件。 第二，要求网络服务提供者记录保存服务中产生的数据，如果从行政管理的角度来看，该规定或许无可厚非，但是从刑事诉讼的角度看，该规定要求记录和保存的数据过于定泛，因为该数据记录和保存并不以与案件事实具有关联性为条件，特别是如果立法修改的适用范围及于个人和其它单位，那么强制记录和保存的取证行为，必须要适用关联性规则，避免对公民隐私权和其它社会利益的无谓侵害。第三，强制记录和保存数据缺少保密内容，不利于取证活动的开展，所以应增加网络服务提供者和个人在协助取证期间保密的规定。[page]

　　（2）现场勘查

　　我国刑事诉讼法规定，现场勘查是指侦查人员对于犯罪有关的场所、物品、人身等所进行的勘验和检查。计算机及网络现场包括传统意义上的犯罪现场和计算机系统及网络空间的现场两种。现场勘查的主体主要是侦查人员，但电子技术专家也应作为取证主体进行一定范围的勘查，可以将其理解为辅助性的取证工作。具体现场勘查程序概述如下：

　　①临场初步处置

　　A、封锁现场，进行人、机、物品之间的隔离。将现场内所有人员带离现场，立即检查他们随身携带的物品，重点是书面记录、通讯工具、磁卡类可以读写的卡片、磁介质（软盘、光盘等）。

　　B、加强现场保护。迅速派人看管配电室，避免发生突然断电导致系统运行中的各种数据结果丢失，看管现场上及周围的各种电信终端设备（例如：传真机、调制解调器等），检查现场上及周围有没有强磁场和可以产生强磁场的物品，妥善保管各种磁介质，避免被磁场消磁。

　　C、查明现场情况，确认事件性质。综合分析情况，判断所发生事件是意外事故还是犯罪行为。对于事故，及时向受害者讲明情况，对于已判定发生了犯罪行为的，要按程序办理立案审批手续，迅速进入侦查取证阶段。

　　②采取勘查措施获取证据

　　通过实地勘验收集现场上遗留的原始资料、数据参数等。既包括传统意义上的取证（如勘验手印、足迹、工具痕迹，拍摄现场照片、绘制现场图等），又包括对“网络证据”的勘验。常用的有记录封存、备份、收集等手段。记录，就是用适当的方式将现场上各种仪器设备的连接、配置状况和运行状态，各种电缆线布线方式、各种插头、插座、开关的工作状态等情况记录下来。通过记录，保存案发当时的现场状况，进而通过综合电磁记录、命令记录、当事人、知情人、技术人员的回忆，工作日志记录等方面的证据，了解系统软硬件原始状态，并通过原始状态与现场遗留状况的比较，发现各种异常现象或推断作案人使用的作案工具，作案手法。封存，就是对现场上可能记录有犯罪行为过程和真实情况的物品、数据等证据采取强制性手段维持其现有状态，以备进一步分析。封存的对象主要包括：现场内的信息系统，各种可能涉及到的磁介质，命令记录，内部人员使用的工作记录，现场上的各种打印输出结果；传真打印件、程序备份和数据备份等等的备份，主要指侦查人员对不能停止运行而又没有备用应急措施的信息系统进行数据复制，以便尽快恢复系统正常工作。备份主要对象是：系统中相关数据、系统日志等。收集，就是将现场上遗留的原始资料、数据参数等资料进行提取、包装。收集的对象主要是：计算机软、硬件，各种输入和输出设备，调制解调　　器，各种操作手册，各种连接线等。

　　（3）搜查和扣押

　　搜查和扣押应遵循关联性规则和搜查、扣押规则，搜查、扣押那些与案件事实存在实质性联系的已经司法令状载明的范围中的对象。目前司法实践中采用的程序是：第一，申请搜查证；第二，聘请电子技术专家；第三，作好搜查前的准备工作；其中包括：获取该系统尽可能多的信息；准备好搜查所需的系统软件、应用软件、硬件，拆卸工具；制定搜查计划；第四，搜查的实施；包括：对正在运行的系统，要决定现场搜查还是带回去查；外部搜查（检查打印机、显示器及外围设备）；搜查运用控制系统；搜查媒体；第五，制作搜查笔录，提取扣押电子证据等；第六，运送证据。 根据《刑事诉讼法》第116条之规定，侦查人员认为需要扣押犯罪嫌疑人的邮件、电报时候，经公安机关或者人民检察院批准，即可通知邮电机关将有关的邮件、电报检交扣押。不需要继续扣押的时候，应即通知邮电机关。《人民检察院刑事诉讼规则》第192条规定，扣押犯罪嫌疑人的邮件、电报或者电子邮件，应当经检察长批准，通知邮电机关或者网络服务机构将有关的邮件、电报或者电子邮件检交扣押。不需要继续扣押的时候，应当立即通知邮电机关或者网络服务机构。上述法律规定扣押的电子证据范围太窄，仅限于邮件（包括电子邮件和EDI数据电文），不包括其它电子证据。规定邮电机关和网络服务机构检交扣押，致使侦查人员主动使用技侦手段扣押电子证据无法律依据，并且不能扣押犯罪疑人以外人的电子证据，更不能为寻找侦查线索进行数据过滤。因而，有必要在立法时予以完善。

　　一般来说，扣押应扣押原件、原物，但扣押电子证据因电子证据的特性，即依附于一定的载体而存在，依靠一定的输出设备而为人们识别，因而有时可以通过扣押其载体来实现电子证据的扣押，然而这一作法有时却不可能实现，如：载体庞大，不宜搬运，成本过高，扣押将造成重大损失等均是其原因。因而，司法实践中常常通过制作数据复制件的形式完成电子证据的扣押，这也带来了扣押电子证据复制件的效力问题，换言之，扣押电子证据复制件违反了传统证据规则“最佳证据规则”中原件的需求，目前西方学者提出了“功能等同法”来解决这一问题，并且在许多国家证据法中明确肯定了电子证据复制件的效力，如：美国《联邦证据规则》第1003条第3款规定，如果数据被储存计算机或类似装置里面，则任何可用肉眼阅读的，表明其能准确反映数据的打印物或其他的输出物，均为原件。当然解决扣押复制件的效力，还依赖于严格遵循相应的证据规则及程序，才能确保其具有证据能力。

　　（4）保全、固定

　　刑事电子证据的保全固定可以有多种形式，一般形式有：第一，打印。将载体上记载的数据或信息通过输出设备，将其以文本的形式打印在纸张等物品上。打印后，按照提取书证的方式予以保管固定，并注明打印时间、数据或信息在载体中的位置、取证人员。第二，拷贝。将数据或信息拷贝到软盘、移动硬盘或光盘中，并确认没有被病毒感染。第三，拍照、摄像。对电子证据及取证的过程予以拍照或摄像方式进行保全固定，可以增加其证明力。第四，制作司法文书。包括：勘验检查笔录和鉴定结论，勘验检查笔录是指对于取证证据种类、方式、过程、内容等在取证中的全部情况进行的记录。鉴定结论是电子证据鉴定机构对电子证据涉及专业技术问题进行的认定。这些都是一种固定电子证据的方式。虽然上述电子证据通过打印、拷贝、拍照、摄像等形式转化为书面、视听的形式，但并不意味着这些证据变成了书证或视听资料，电子证据的本质并未因此而改变，仅仅是复制件形式而已，保全、固定电子证据的手段罢了，所以它们仍然是电子证据。[page]

　　（5）实时搜集

　　计算机及网络数据实时搜集是在通信过程中搜集证据，其目的是寻找将来可能发生的相关事件。实时搜集不会明显干扰数据的传输，被传输数据仍然可以抵达预定的接收方，因此，实时搜集不是对目标数据的物理扣押，而是对传输中数据的复制。 实时搜集对于打击非法入侵计算机系统犯罪和计算机病毒犯罪或其它类似使用计算机及网络等技术手段犯罪是十分必要的，甚至有时是唯一手段。但是实时搜集也可能给公民隐私权带来侵害，因而有必要进行相应的规制，如：《网络犯罪公约》中规定了以下9种犯罪，可以进行实时搜集证据，它们分别是：非法访问；非法截获；数据干扰；系统干扰；设备的滥用；与计算机有关的伪造罪；与计算机有关的欺诈罪；与内容（儿童色情信息）有关的犯罪；与侵犯版权和邻接权有关的犯罪。 虽然目前我国没有在法律中规定实时搜集的内容，但在《国家安全法》和《人民警察法》中规定有技术侦察措施，而实搜集应属技侦措施，同时考虑打击严重刑事犯罪之需要与保障公民隐私权之必要之间的平衡，应在立法中明确适用实时搜集针对的对象；如：非法入侵、破坏计算机系统信息罪；计算机病毒犯罪和利用计算机及网络实施的危害国家安全犯罪、危害公共安全犯罪、恐怖犯罪、有组织犯罪，严重暴力犯罪等严重刑事犯罪。

　　附：关于“刑事电子证据及取证”法律条文的立法建议

论证：确立电子证据为法定证据形式之一，取消视听资料这种证据形式，将《刑事诉讼法》第一编总则第五章证据第四十二条修改为：

条文：第四十二条 证据有下列七种：……（七）电子证据

论证：在侦查程序中，确立任意侦查原则，相称性原则、令状原则，在《刑事诉讼法》第二编立案、侦查和提起公诉中增加以下三条：

条文：第×××条 法律无特别限制，侦查机关可以任意侦查，即使法律无明文规定，原则上也可以采取适当的方式进行。

第×××条 侦查取证方式的采取应以必要为条件，依法选取适当方式，以避免不当侵犯。

第×××条 侦查机关采取搜查、扣押等取证手段，应向人民法院申请签发搜查令和扣押令，情况紧急下除外。

论证：确立电子技术专家和电子司法取证鉴定认证机构享有取证权，可以有偿接受司法机关、律师、公民个人、企业、事业单位、社会团体等的委托，进行电子证据的取证活动。

条文：第×××条 依法成立的电子司法取证鉴定认证机构及所属的电子技术专家，在其核准营业登记范围内，有偿向司法机关、律师、公民、企事业单位、社会团体提供电子证据的取证服务。

论证：在《刑事诉讼法》中增加证据规则一节，其中确立关联性规则。

条文：第×××条 证据必须与案件事实有关联性。无关联性的证据不具有证据能力。

论证：在电子证据一节中，明确可靠性规则。

条文：第×××条 在审查电子证据时，应当充分考虑证据所含数据信息生成存储或传输方法和系统环境的可靠性，排除其它不良影响。

论证：确立网络服务提供者和单位、个人强制记录和保存信息制度。

条文：第×××条 侦查人员依照法律规定，可以命令任何单位和个人提供所控制下的与案件相关的计算机数据，可以命令网络服务提供者提供控制范围内的与网络服务相关的用户数据。

论证：确立侦查机关对刑事电子证据实时搜集制度。

条文：第×××条 侦查人员依照法律规定，可以使用技术措施收集、记录国内计算机系统、网络系统中传输的特定通信的实时计算机数据。侦查人员依照法律规定，可以命令网络服务提供者在技术能力范围内，通过技术手段方式收集、记录或者与侦查机关合作并协助有权机关收集、记录国内计算机系统、网络系统中传输的特定通信的实时计算机数据。使用本条规定的技术措施，必须经过侦查机关负责人批准，并且，只能收集与案件相关的计算机数据。

第×××条 被侦查人员依法命令执行电子形式的证据保护、收集、记录的人员或单位，必须对采取的措施进行保密。违反保密命令的，应当承担法律责任。

论证：明确电子证据的搜集、扣押程序

条文：第×××条 侦查机关为侦查犯罪，可以将存储于计算机及网络系统的任何与正在侦查的犯罪或其他犯罪有关的信息制作成有形且可读的能被携带的形式，予以收集。

侦查机关为收集电子证据，可以搜查犯罪疑人的计算机信息系统及网络系统、机房、原始计算机资料或文件的存放场所并扣押电子证据载体，也可以搜查有相当证据足以怀疑与犯罪有关的其他场所并扣押电子证据载体。

侦查机关搜查、扣押电子证据，可以聘请计算机及网络工程师，程序设计员、操作员等电子技术专家协助，可以使用被搜查、扣押人的计算机输出设备将电磁记录转换成直接可视、可读的书面、声音、图像形式。

公安机关搜查、扣押电子证据，应当申请人民法院批准签发搜查令、扣押令，但营利性公共场所的搜查扣押除外。