网络赌博犯罪电子数据审查与质证实务

一、网络赌博案件中电子数据的特点和刑事证明作用

（一）网络赌博案件电子数据的特点

1、涉网赌案件电子数据的数量大，且定案信息与非定案信息相互交织

网络的便捷性和易接触性，不受地域和时空的限制，导致涉网案件人员众多，相关电子数据数量较大。在现有的取证方式下，侦查机关一般是对电子数据的原始存储介质、涉案平台的后台数据进行完整提取，在提取时，定案信息与非定案信息的区分难度大，一并提取的取证方式又必然导致提取电子数据的取证耗时较长。网络设备的便携性，导致涉案电子数据多存储在手机、移动平板等通讯设备上，此类移动存储通讯设备中涉案的电子数据与其他生活类等非涉案电子数据相互混同，导致定案信息与非定案信息相互交织，数据的检查和筛选工作量大。

2、涉网赌案件电子数据的表现形式相对固定

无论是从原始存储介质提取的网络赌博案件电子数据，还是通过远程勘验网络赌博平台后台提取的网络赌博案件电子数据，它的表现形式相对固定，主要是文字类信息和数字类信息，且两种形式相互交叉。文字类信息主要指犯罪嫌疑人在网络赌博案件中使用微信、微聊等网络聊天软件的聊天记录，该类电子数据主要以文字类信息呈现。数字类信息主要指提取到的以数据形式表现的电子数据，如用于赌资投注、结算、提现的银行、微信以及支付宝账户的资金流水记录、网络赌博平台后台的数据等。

3、网络知识简易化、普及化，互联网技术仅起到媒介作用

随着网络知识的简易化、普及化，国人受教育程度普遍提高，网络犯罪门槛逐渐降低，犯罪嫌疑人可以拿着现有的技术、方案或者程序直接使用，而无需知道背后的技术原理。互联网技术仅起到媒介作用，以互联网技术为媒介的网络赌博案件，是传统赌博方式如扑克牌、麻将，向互联网的迁移。犯罪的本质不是利用信息技术本身侵害刑法所保护法益，仅是传统赌博犯罪的互联网化，传统证据的电子化。

（二）网络赌博案件电子数据的刑事证明作用

1、电子数据可以弥补传统证据不足

网络赌博案件系传统的线下涉赌案件向互联网的迁移，与传统的涉赌案件侵害法益相同，但犯罪手段不同于传统线下涉赌案件。网络赌博案件不受地域和时间的限制，犯罪嫌疑人、参赌人员通过互联网技术建立链接，存在跨区域、甚至跨国界的情况，往往涉案人员众多。在分工配合的集团犯罪中，犯罪嫌疑人相互不认识，不清楚上下线人员的真实身份的情况大量存在，只知道网络虚拟身份，甚至与其他同案件人员没有直接联系，各犯罪嫌疑人很难供述全部的案件事实，难以建立完整的证据链，而电子数据的出现可以很好地弥补这一传统证据的不足。虽然犯罪嫌疑人的行为发生在网络空间中，可以不受具体时空的限制，但在同一的一个时间段内因共同的犯罪故意通过互联网发生了联系，电子证据可以在各犯罪嫌疑人建立链接，有利于建立完整证据链。

2、电子证据可以排除证据之间的矛盾

网络赌博案件的跨时空性，导致犯罪嫌疑人的供述、证人证言等言词证据的稳定性降低，言词证据中的关键性细节、隐蔽性细节容易出现矛盾，无法相互印证，无法判断其真实性，言词证据的可信度降低导致无法形成完整证据锁链，只能排除存疑的事实。但网络赌博案件的电子证据系在案发过程中形成的客观证据，具有较高的可信度，可以用于排除言词证据间的矛盾，有利于查清案件事实。例如在赌球案中，关于代理赌球网站的获利数额问题，即使上家未到案，几名犯罪嫌疑人的供述数额存在较大差异，只要凭借调取的用于收取利益分成的支付宝交易记录和赌资下注记录，仍可计算出其非法获利数额，并借以排除部分犯罪嫌疑人的不实口供。

3、电子证据是定罪量刑的重要证据

无论是网络赌博案件还是传统的线下涉赌案件，涉案的赌资金额、获利金额、参赌人员数量均是定罪量刑的重要依据。此外，犯罪嫌疑人的上下级代理关系亦是定罪量刑的重要参考依据。网络赌博案件中可以提取网络赌博平台后台的进出赌资账户的交易记录、人员上下级代理关系、赌博网站相关账户的下注和提现情况、犯罪嫌疑人员、参赌人员的聊天记录等电子数据，通过这些证据可以判断犯罪行为的起止时间、代理人员的上下级关系、参赌人数、赌资数额、各犯罪嫌疑人的获利情况，为案件的定性及量刑提供更为有力的证据支撑和更为准确的依据。

二、网络赌博案件中电子数据的审查要点

电子数据的诉讼流程包含：1、提取、移送阶段：搜查扣押、保全、冻结、移交；为保障同一性而进行的确认封存状态、哈希值比对；2、检查、展示阶段：对检查设备进行杀毒、屏蔽网络信号；复制到专用的储存介质、计算光盘的哈希值，存储光盘的唯一性编号、盘签，展示等多个方面。

（一）提取阶段的审查要点

1、以扣押、封存原始存储介质为原则

2019年公安部的《公安机关办理刑事案件电子数据取证规则》（以下简称《公安部取证规则》）第十条，明确了在侦查过程中发现涉案的电子数据，应当扣押、封存原始存储介质。只有在无法扣押、封存原始存储介质的情况下，才以现场提取、在线提取、冻结、调取等方式提取电子数据。目前在网络赌博案件司法实践中，公安机关经常以打印、拍照的方式提取电子数据，甚至以书证的形式展示电子数据，不符合前述公安部的取证规则。

此外，在扣押这一节点，还需重点关注电子设备扣押程序的合法性以及扣押的原始存储介质的同一性。在网络赌博案件中，犯罪嫌疑人主要使用手机等移动设备保存的电子数据，故应审查电子设备的扣押清单中，是否详细记录电子设备的外观特征、扣押的电子设备的具体数量，同时应当着重审查扣押的电子设备与法庭上出示的电子设备是否具有同一性，如审查封存前后的对比照片，看封存后电子数据的存储介质是否被使用或者被启动。此外，通过搜查扣押程序取得的电子设备，应当审查是否有搜查证、搜查程序是否合法等内容。

2、网络在线提取、通过网络远程勘验提取电子数据的，审查在线提取口令来源，关注技术侦查手段的批准手续是否合法

根据《公安部取证规则》第四十三条的规定，对于扣押犯罪嫌疑人的、作为原始存储介质的电子设备，侦查人员可以通过数据恢复、破解等方式进行电子数据检查，提取涉案电子数据。即对于扣押的犯罪嫌疑人的电子设备，公安机关侦查人员可以通过解码软件进行解码，直接破解电子设备的开机密码、文档密码、软件的登入密码，将数据提取出来。这一做法，是符合《公安部取证规则》第四十三条的规定，侦查人员可以不经过当事人的授权，直接提取电子设备中的数据。但是，在网络在线提取或者网络远程勘验时，对于远程计算机系统访问权限的用户名、登入密码应当由犯罪嫌疑人、网络服务运营商或者电子数据持有人提供。若访问权限的用户名、登入密码不是犯罪嫌疑人、网络服务运营商或者电子数据持有人提供，而是通过技术侦查措施获取的，根据《公安部取证规则》第三十三条的规定，应当严格按照刑诉法中有关规定，办理批准手续。《公安部取证规则》的前述规定，是为了限制和规范技术侦查措施的使用，保障公民的合法权益以及实现技术侦查的法制化。

3、保全环节的审查步骤是计算哈希值，审查备份、封存、冻结的过程，通过对录像、拍照等记录的审查，看是否能重现保全的全过程

比如手机保全，需要关注手机的信号屏蔽，《公安机关办理刑事案件电子数据取证规则》规定，保全必须要屏蔽信号，否则取证就涉嫌违法。比如，公安机关出具了截图照片，如果这张截图能够明显看到信号格是满的，那么这个取证就涉嫌违法，如果显示使用了飞行模式，则符合规范。其次，《公安部取证规则》规定封存电子数据，是要里外双重分别封存的，内封可以通过查看盘签来审查，一般每个电子数据形成光盘后，都会有一个盘签，其中包含有哈希值（完整性校验值）、光盘的唯一编号、检验单位的盖章。外封，可以审查封存前后是否进行拍照，履行程序与否。

4、电子设备的保管

按照《电子物证数据搜索（恢复）检验规程》规定，电子设备要专人进行保管，同时注意采取防磁、防水和防静电等措施，否则出现像暴晒的情况，会导致提取数据出现乱码等破坏电子数据真实性、完整性的情况。

（二）检查阶段的审查要点

《公安部取证规则》第四十三条规定，可以对电子数据进行检查，发现、提取与案件有关联的线索和证据。同时《公安部取证规则》第三章第一节对于电子数据检查的方法、过程都做了详细规定。此外，在2005年公安部的《计算机犯罪现场勘验与电子证据检查规则》中也有规定。

1、对检查人的资质进行审查

对电子数据的检查权是侦查权的一种，且电子数据的检查人员应当由具备专业技术资质的侦查人员担任。公安部《公安机关电子数据鉴定规则》规定，市级以上的公安机关可以成立电子数据鉴定机构，对成立机构的硬件条件和资质审核有专门要求。电子数据的检查专属于侦查权，必须是由公安机关的侦查人员行使，虽然《公安部取证规则》有规定，必要时可以聘请或者指派专业人员参加，但必须明切的是专业人员是配合参与，检查权还是由侦查人员行使。如果侦查机关将涉及到电子数据的检查环节都委托给司法鉴定机构来做即是违法的。

2、电子数据的检查标准

电子数据的检查标准，有国家标准，也有行业标准，需要的设备包括工作站、屏蔽设备、检验设备、存储介质、软件工具。其中表述非常详尽，审查检查报告时，需要关注其中列举的所需的工具及技术，是否是被行业认可的，是否是符合规范的。比如，当我们发现电子数据检查人员不是网络技术人员，其不具备相应资质，可以进一步审查，侦查人员使用了何种检查设备对电子载体进行检查，用了什么工具、什么软件、具体是怎么检查出来的，如果不能说明，则该证据至少是瑕疵证据。实践中，侦查人员往往是将U盘插在电脑里，自己把里面的数据看过后打印出来罢了。因此，审查时，一定要关注复杂的检查流程是否都做了，如果没有，那就是检查程序存在问题。

3、对检查的方法进行审查

对于电子数据检验的规范要求，有国家标准和行业标准，审查检查电子数据的检查方法，可以通过审查检查报告中的引用“技术方法”和“说明”，一一对比国家标准和行业标准，看看是否符合检验规范要求，使用的检查软件工具是否按软件工具使用说明书来进行操作等，必要时也可以聘请具有专门知识的人员，检查报告中分析说明是否是符合专业规范的。

4、对电子数据的提取过程进行审查

一般情况下，电子数据的检查和提取同时进行，但也存在分别进行的情况，先检查，检查完后进行封存，之后再进行提取。检查同时一并提取电子数据的，应当着重审查检查人员的专业资质、提取笔录的完整性、规范性，完整性校验值是否计算。检查和提取分开进行的，需要再次着重审查对比存储介质的封存对比情况、再次计算并比对完整性校验值，确保原始数据的同一性。

5、对检查成果进行审查

提取出来的电子数据会形成一个提取成果，一般是封盘刻录在不可擦写光盘上，同时附有《电子数据提取固定清单》对提取方法、检查的数据来源以及完整性校验值进行详细记录，同时提取的数据光盘一般会有一个盘签，记录哈希值等完整性校验值情况、光盘唯一编号以及盖有检验单位的盖章，可以以上角度来审查检验成果。

三、网络赌博案件中电子数据的质证要点

（一）真实性审查

1、审查扣押的是否是存储电子数据的原始存储介质

根据《公安部取证规则》第十条，扣押原始存储介质是电子数据取证的基本原则，只有在无法扣押原始介质时，才能通过拍照、录像等手段现场提取、固定电子数据。然而现在将电子数据存储在电脑硬盘、U 盘等存储介质的时代慢慢过去，大量的涉案电子数据存储于云服务器上，在真实案件侦办过程中的遇到的电子取证情形恰好与司法解释规定相反，通常以提取电子数据为常见手段，以扣押原始存储介质为补充手段。

2、审查提取的电子数据是否带有数字签名、证书等特殊的标志

在司法实践中，数字签名、证书是电子数据中所特有的，能够辨别数据真伪的标识。具体而言，审查时可以使用软件工具验证数字签名、数字证书的真实性，也可以聘请有专门知识的人进行验证，甚至可以申请提取电子数据的侦查人员进行提取过程的验证演示。值得注意的是，数字签名或者数字证书不是每份电子数据均具备的特殊标准，故不能仅以没有数字签名或者数字证书为理由而否定提取的电子数据的真实性。

3、审查是否可以重现电子数据取证过程

按常理，一份电子数据被收集、提取，那么事后仍然可以复制提取操作，重现电子数据的提取过程，以此来避免取证人在提取过程中违法的可能性。但是在大量的真实案例中，由于电子数据超高的技术依赖性，导致案发后会因为本地网络环境搭建、嫌疑人删除电子数据等种种原因，无法重现提取过程。因此大量的刑事案例中电子数据收集和提取过程都不能复现，但同样不能以此为由质疑其证明效力。

4、审查电子数据是否出现增、删、改等情形，并审查分析出现前述情形的具体原因

一般情况下，提取的电子数据发生增、删、改等情形，相应电子数据的真实性存疑。但是，《公安部取证规则》第二十七条规定，在网络远程勘验过程中是允许勘验取证人在目标计算机系统中安装新的应用程序或者通过勘验行为让目标计算机系统生成新的电子数据，因此应当分析提取的电子数据发生增、删、改的具体原因，区别对待。

5、审查电子数据是否有缺失

提取的电子数据的完整性是保障电子数据真实性的前提条件，若电子数据完整性无法保障，则其真实性自然存疑。

（二）完整性审查

1、审查电子数据原始存储介质的封存状态，是否被启动或者使用

司法实践中，对于原始介质状态通常是通过照片、纸质报告方式进行比对。

2、审查收集、提取电子数据过程的相关录屏录像

审查收集、提取的每一步骤是否规范，重点审查是否完整、全面的收集、提取数据以及收集、提取过程是否规范、步骤是否缺失。

（1）审查电子数据的访问日志。重点查看异常访问日志，排除有人在非授权下访问电子数据将其修改。

（2）审查电子数据的完整性校验值。通过对比取证时计算的校验值，可以查明提取的电子数据是否发生变化。完整性校验值是用于校验电子数据的完整性，使用散列算法等特定算法，对电子数据进行计算而得出的特定数值，是电子数据鉴真的重要方法，目的是为防止提取的电子数据被篡改或者被破坏。较为常见的完整性校验值算法包括SHA、MD5值等。保障电子数据真实性的前提和基础是提取的电子数据完整性，若完整性存疑则意味着提取的电子数据可能存在增、删、改的情况，甚至是被破坏或丢失等情况，无法保障提取的电子数据的真实性。在司法实践中，要求第一时间对提取的电子数据做哈希校验，计算哈希值并在笔录中记录。任何一条电子数据，不论是文本文件、音视频文件、APK 文件、应用程序等，都有其唯一的哈希值。当电子数据发生增、删、改等情形，相应的完整性校验值也会随之发生变化。

（三）合法性审查

1、取证人员是否适格

当前，随着网络犯罪数逐年走高，犯罪嫌疑人的技术能力水平不断水涨船高，依靠调查人员本身的专业技术水平无法适应当前的网络犯罪取证需求。《电子数据取证规则》顺应现状，第6条未再明确要求侦查人员具备相关专业知识，因此出现越来越多的社会网络技术人员协助公安机关参与案件取证的现象。但在该情形下，取证侦查人员应当警醒，社会网络技术人员类比于工具，取证的真正主体仍然是侦查人员本身。

2、电子证据保管链是否完整

在收集、提取电子数据时应当将提取过程及方法通过笔录形式固定，固定的数据进行完整性校验，将校验值、屏幕截屏等作为清单附在笔录后，以便必要时可以追溯。

3、取证过程是否录屏录像、是否有见证人参与

《公安部取证规则》中第九条、第十二、十三条、第十九条、第二十一、二十二条、第三十、三十一条对见证人作出明确。同时对于取证的录屏录像需要记录的取证过程信息，提出具体要求。 

4、电子数据检查的手续是否合法合规

与其他类型的刑事诉讼证据取证过程相比，电子数据检查是电子数据这类证据取证独有的环节。公安机关在提取电子数据时，遵循着保护电子数据的原则，避免电子数据有增、删、改的情况。因此提取的原始电子数据还需要做转化，才能够当作证据使用。例如：公安机关提取犯罪嫌疑人服务器中 Mysql 数据库的“.sql”文件，该文件是数据库脚本文件，无法通过常用办公软件进行读写，必须由侦查人员进行恢复，将该文件还原成能够正常读写的数据内容。

四、规范侦查机关电子数据取证的对策和建议

（一）对物理证据取证规范化

物理证据取证是所有网络犯罪电子证据取证工作开始的前提条件，网络赌博犯罪电子数据的人员在办案现场对涉案计算机进行隔离时，首先要观察现场计算机分布情况以及相关软硬件设施布局，并做好记录工作，包括对涉案计算机的系统版本、系统安装时间、最后一次关机时间、硬盘的序列号、硬盘分区等进行记录，并计算硬盘的哈希值进行记录。

（二）取证过程规范化

侦查机关的侦查人员应当通过同步录像、拍照等方式，实时记录提取电子数据的每一操作步骤，做到通过前述的实时记录可以重现取证的过程，同时对于取证设备的状态、位置、屏幕信息等进行重点标记，并将录像、照片等实时记录的取证程序性材料与提取的电子数据一并移送、保管。

（三）电子数据保全规范化

第一，进行电子数据证据保全，应当由两名以上侦查人员进行，且在见证环节需要聘请两名与案件无关的人员进行。

第二，在实施完整的物理复制时，通过计算源介质以及目标介质的哈希值等方法进行同一性验证。在获得实况映像和硬盘存在坏扇区的场合，由于很难计算源介质的哈希值，所以此时只计算目标介质的哈希值。证据的同一性可由使用工具的可靠性和证据保全作业的正确性加以说明。即证据保全时使用符合法律和技术标准要求的适当的 工具，并且做好担保证据保全正确性的作业内容记录。

（四）提高办案人员专业化能力和审查装备的科技化水平

第一，定期开展对电子证据提取和审查的实物操作培训，及时学习最新的电子数据侦查和审查技术，重点提升一线办案人员电子证据取证和审查判断能力。

第二，要善于借助技术力量，在技术人员的帮助之下，办案人员实现理解技术原理，解决技术难题等等办案的目标。

第三，要实现审查装备的专业化，保证办公电脑等相关软硬件设施能够满足对于电子证据审查和展示的各项需要。